Réseau restrictif : le meilleur VPN est celui qui réussit à se connecter quand les autres restent bloqués

Le Wi-Fi de l’aéroport fonctionnait.

Mon VPN, non.

J’avais déjà accepté le portail de connexion. Les sites web s’ouvraient. Mes e-mails arrivaient. Je pouvais consulter les actualités sans difficulté.

Mais j’avais un fichier client à envoyer avant l’embarquement et je ne voulais pas commencer cette session de travail sur un Wi-Fi public sans le VPN que j’utilisais habituellement.

J’ai ouvert l’application.

Connexion…

Puis rien.

J’ai changé de serveur.

Connexion…

Échec.

France, Belgique, Pays-Bas : trois tentatives, trois variations du même écran d’attente.

J’ai fini par désactiver le VPN et actualiser une page.

Elle s’est ouverte immédiatement.

Le problème n’était donc pas simplement un mauvais Wi-Fi. Internet fonctionnait ; c’était le tunnel qui n’arrivait pas à passer.

À partir de là, comparer les VPN par vitesse ou par nombre de serveurs n’avait plus beaucoup de sens.

Avant la vitesse, encore faut-il franchir le réseau

Un réseau restrictif n’a pas besoin de couper tout Internet pour rendre un VPN inutilisable.

Il peut laisser fonctionner le navigateur, les e-mails et la vidéo tout en identifiant ou limitant certains types de tunnels. Ports, adresses et caractéristiques du trafic peuvent servir à distinguer les connexions.

C’est pour cette raison que les grands fournisseurs développent eux aussi des protocoles spécialisés. NordVPN présente NordWhisper comme une réponse aux réseaux qui filtrent les VPN, notamment dans certains aéroports, cafés ou environnements administrés. Proton utilise une logique comparable avec Stealth.

Cette information a changé ma façon d’interpréter mes échecs.

Changer de serveur modifiait la destination.

Cela ne changeait pas forcément la manière dont mon VPN essayait d’atteindre cette destination.

Et tant que cette manière de se connecter restait reconnaissable par le réseau, la longue liste de serveurs ne m’aidait pas beaucoup.

Mon grand VPN m’offrait beaucoup de sorties, mais aucune entrée

Le fournisseur que j’utilisais avait pourtant de vrais atouts.

Une longue histoire publique, beaucoup de serveurs, une infrastructure mature et plusieurs pays proches.

Sur ma connexion domestique, c’était exactement ce que je voulais.

À l’aéroport, j’ai donc commencé naturellement par exploiter cette abondance.

Un serveur français.

Échec.

Un autre pays.

Échec.

Un troisième serveur s’est connecté brièvement avant de retomber.

Puis j’ai ouvert les paramètres de protocole.

C’est à ce moment-là que la situation m’a paru presque comique.

Je devais envoyer un fichier.

Je n’avais pas besoin de devenir spécialiste des transports réseau entre deux annonces d’embarquement.

Je voulais appuyer sur un bouton, établir le tunnel et reprendre mon travail.

Cette frustration apparaît aussi dans les discussions d’utilisateurs confrontés à des Wi-Fi très administrés : le web fonctionne normalement alors que les VPN ou certains tunnels refusent de démarrer.

Le problème devenait donc beaucoup plus précis.

Je ne cherchais plus davantage de serveurs.

Je cherchais une façon différente d’entrer dans le tunnel.

J’ai essayé l’option conçue pour ce problème précis

J’ai alors lancé OnlydogVPN^{site officiel}.

Au lieu de commencer par choisir parmi une longue liste de pays, j’ai sélectionné le préréglage destiné aux réseaux restrictifs.

Puis j’ai appuyé sur connexion.

Le tunnel s’est établi.

Je suis revenu au navigateur.

Le portail client s’est ouvert.

J’ai choisi le fichier et lancé l’envoi.

10 %.

40 %.

80 %.

Terminé.

J’ai envoyé le message de confirmation au client.

C’était exactement le résultat que j’attendais d’un VPN à cet instant.

Pas un score théorique.

Pas cinquante destinations supplémentaires.

Mon travail était parti depuis le réseau qui empêchait mon premier VPN de se connecter.

Et ce résultat rendait la comparaison beaucoup plus simple : le grand service avait davantage d’infrastructure derrière lui ; le plus petit avait franchi la première étape sans laquelle toute cette infrastructure ne me servait à rien.

La différence utile tenait en un mot : obfuscation

Je me suis intéressé à la technique seulement après l’envoi du fichier.

Le service utilise un transport basé sur HTTP/3 avec une couche supplémentaire d’obfuscation.

Dans ce scénario, c’est surtout cette dernière qui m’intéressait.

L’idée est de rendre le tunnel moins évident à distinguer du trafic web ordinaire. Lorsqu’un réseau cherche à reconnaître des connexions VPN pour les limiter, masquer davantage leur signature devient plus utile que simplement changer de serveur.

C’est la même logique générale derrière les modes spécialisés proposés par d’autres fournisseurs pour les environnements filtrés.

Je ne pouvais pas voir la règle interne exacte utilisée par le Wi-Fi de l’aéroport. Mais je pouvais comparer ce qui se passait devant moi : mes premières connexions échouaient ; le mode prévu pour un réseau restrictif s’est connecté et m’a permis d’envoyer le fichier.

Je n’avais pas besoin d’un diagnostic plus compliqué.

Puis le réseau a changé sans me demander mon avis

Le fichier envoyé, j’ai fermé l’ordinateur et marché vers ma porte d’embarquement avec le téléphone à la main.

Le signal Wi-Fi a commencé à faiblir.

Quelques mètres plus loin, il a disparu et la 5G a repris.

J’ai regardé l’application VPN par réflexe.

Toujours connectée.

Ce petit détail a prolongé le test d’une manière beaucoup plus réaliste qu’un benchmark.

Les réseaux restrictifs que je rencontre en déplacement ne sont pas des laboratoires dans lesquels je reste huit heures sur la même connexion.

C’est plutôt :

Wi-Fi d’aéroport.

Réseau mobile.

Wi-Fi d’hôtel.

Réseau d’un centre de conférences.

Retour à la 5G.

Un VPN peut parfaitement réussir à franchir le premier filtre et devenir pénible s’il faut ensuite le relancer à chaque changement de réseau.

Le service est aussi conçu pour récupérer lorsque la connexion sous-jacente change. Dans mon cas, le passage du Wi-Fi à la 5G n’a pas entraîné une nouvelle séance de réglages.

Après avoir perdu plusieurs minutes à changer de serveur au début, ne plus avoir à regarder l’application était un avantage beaucoup plus concret que je ne l’aurais imaginé.

C’est là que mon ordre de priorité s’est inversé

Avant cet incident, j’aurais probablement comparé les VPN comme beaucoup de gens :

vitesse ;

nombre de serveurs ;

pays disponibles ;

prix ;

puis fonctions particulières.

Un réseau restrictif force à mettre tout cela dans un autre ordre.

D’abord : est-ce que le tunnel s’établit ?

Ensuite : est-ce qu’il reste utilisable ?

Et seulement après : quelle vitesse reste-t-il et dans quel pays puis-je sortir ?

Cela paraît évident après avoir regardé un VPN tourner dans le vide pendant plusieurs minutes.

Ça l’est beaucoup moins lorsqu’on choisit tranquillement son abonnement depuis une fibre domestique où presque tous les protocoles passent.

C’est aussi pourquoi chercher simplement un VPN gratuit supplémentaire ne m’aurait pas beaucoup aidé.

Mon problème n’était pas le prix d’un nouveau serveur à essayer.

C’était la façon dont le tunnel rencontrait le réseau.

Ajouter dix connexions classiques à une connexion classique déjà bloquée ne changeait pas le critère.

Il me fallait un mode conçu pour ne pas se présenter de la même manière au filtre.

Le grand fournisseur reste meilleur sur certains terrains

Un fournisseur majeur conserve des avantages évidents.

Il possède généralement davantage de localisations, plus de recul public, plus d’avis indépendants et une infrastructure beaucoup plus large.

OnlydogVPN est plus petit sur ces points.

Sur mon réseau domestique, où aucun filtrage particulier ne gêne mes connexions, ces différences peuvent parfaitement redevenir importantes.

Mais elles n’étaient pas importantes devant la porte d’embarquement.

À cet instant, un VPN extrêmement rapide qui ne se connectait pas était simplement un VPN que je ne pouvais pas utiliser.

OnlydogVPN avait moins de destinations à me proposer. Son mode pour réseau restrictif a établi le tunnel, mon fichier est parti, puis la connexion a continué lorsque le téléphone est passé du Wi-Fi à la 5G.

C’est ce qui a fini de déplacer mon critère.

Sur un réseau restrictif, je choisirais d’abord le VPN dont le trafic sait franchir le filtre ; la vitesse et le nombre de serveurs ne commencent à compter qu’une fois la connexion établie.