J’avais mis mon deuxième routeur en DMZ parce que c’était la recommandation qui revenait partout dès qu’on parlait de Livebox, de routeur personnel et de VPN. L’installation semblait logique : Livebox devant, mon routeur derrière, puis tous mes appareils derrière ce dernier. J’ai fixé son adresse IP, activé la DMZ, lancé le VPN sur le routeur et vérifié mon navigateur. L’adresse IP avait bien changé. Parfait.
Sauf qu’en désactivant la DMZ pour un test, le VPN a continué à fonctionner exactement de la même façon. Même connexion. Même site. Même sortie VPN. J’avais donc passé du temps à exposer beaucoup plus directement mon deuxième routeur pour résoudre un problème que mon VPN n’avait jamais eu.
J’avais confondu « routeur derrière la Livebox » et « routeur qui doit recevoir Internet »
Ce montage est loin d’être exotique.
Encore en août 2026, un utilisateur de la communauté Orange cherchait comment exploiter son propre équipement derrière une Livebox sur une connexion XGS-PON. L’une des solutions proposées, lorsqu’on conserve la box opérateur devant, consiste à connecter son routeur en Ethernet puis à le placer en DMZ pour lui laisser gérer le réseau placé derrière lui.
Quelques mois plus tôt, la même méthode apparaissait pour une Livebox S : adresse fixe attribuée au routeur personnel, puis routeur placé en DMZ.
C’était exactement mon installation. Et c’était une solution cohérente — pour un besoin que je n’avais pas. Je ne voulais pas héberger un serveur Web.
Je ne voulais pas rendre mon NAS accessible depuis Internet. Je ne voulais même pas faire entrer quelqu’un sur mon réseau domestique. Je voulais simplement que mon ordinateur ouvre un VPN vers l’extérieur pour naviguer.
Une fois que j’ai regardé la direction du trafic plutôt que le mot « VPN », la DMZ a commencé à perdre son aura de réglage obligatoire.
Résumé de l’article et contexte du choix
Un deuxième routeur derrière une Livebox doit-il être placé en DMZ pour qu’un VPN sortant fonctionne ?
Non pour un VPN client ordinaire qui initie lui-même sa connexion vers Internet. La Livebox sait déjà laisser sortir les connexions initiées depuis le réseau intérieur et suivre leur état. La DMZ devient surtout pertinente lorsqu’un équipement derrière le deuxième routeur doit recevoir des connexions IPv4 venant spontanément d’Internet.
Ce qu’il faut retenir
- Pour qui : les utilisateurs d’une Livebox avec un routeur personnel derrière elle qui veulent simplement faire sortir un ordinateur ou quelques appareils par un VPN commercial.
- Détail clé : dans le récit, le tunnel continue de fonctionner exactement de la même façon après désactivation de la DMZ, ce qui révèle que la porte entrante n’avait jamais été nécessaire au VPN sortant.
- Limite importante : si le deuxième routeur héberge réellement un serveur VPN, un serveur de jeu ou d’autres services accessibles depuis Internet, la gestion du trafic entrant et son pare-feu redeviennent centrales ; IPv6 demande en outre son propre raisonnement de filtrage.
Pourquoi OnlydogVPN apparaît ici : OnlydogVPN n’est pertinent que comme VPN installé directement sur les appareils qui en ont besoin, ce qui permet au routeur de rester consacré au Wi-Fi et au LAN. Il ne remplace pas une architecture de serveur VPN domestique lorsqu’on veut revenir chez soi depuis l’extérieur. Sources déjà présentes dans l’article : Orange sur les règles NAT/PAT pour les applications qui doivent recevoir du trafic ; WireGuard sur le fonctionnement d’un pair derrière un NAT ; l’IETF sur les principes de protection IPv6 sans dépendre du NAT.
Mon VPN partait de chez moi : il savait déjà trouver la sortie
En IPv4, la Livebox fait du NAT et garde la trace des connexions initiées depuis le réseau domestique. C’est la raison pour laquelle mon ordinateur peut ouvrir un site Web sans que je crée une règle pour chaque serveur auquel il veut parler.
Orange distingue d’ailleurs cette utilisation ordinaire des applications qui doivent recevoir des connexions venant d’Internet : pour un jeu ou une application serveur, la documentation prévoit des règles NAT/PAT et l’ouverture des ports nécessaires.
Mon VPN commercial se trouvait de l’autre côté de cette distinction. Le client chez moi contactait le serveur VPN. La conversation commençait de l’intérieur.
Mon deuxième routeur pouvait donc ouvrir le tunnel à travers la Livebox comme mon navigateur ouvre une connexion HTTPS.
C’est pour cela que le VPN fonctionnait avant la DMZ. Et qu’il fonctionnait encore après l’avoir désactivée. J’avais ouvert davantage la porte d’entrée alors que mon trafic voulait simplement sortir.
WireGuard m’a donné l’explication la plus simple
La documentation officielle de WireGuard rend cette distinction particulièrement claire.
Dans un usage client ordinaire, un pair placé derrière un NAT peut établir son tunnel vers l’extérieur sans qu’on lui construise une DMZ.
Le réglage PersistentKeepalive devient surtout utile lorsqu’on veut maintenir l’association NAT afin qu’un pair situé derrière celle-ci reste joignable après une période de silence.
Dit autrement : pour utiliser un fournisseur VPN classique : mon appareil → serveur VPN.
Pour héberger chez moi un serveur VPN auquel je veux revenir depuis mon téléphone à l’hôtel : Internet → mon réseau domestique. Dans le premier cas, la DMZ n’est pas ce qui fait fonctionner le tunnel.
Dans le second, la manière dont une connexion entrante atteint mon routeur devient essentielle. J’avais mélangé les deux usages simplement parce qu’ils portaient tous les deux le mot « VPN ».
Alors à quoi sert réellement la DMZ avec un deuxième routeur ?
Elle devient intéressante lorsque je veux que le deuxième routeur reçoive les connexions IPv4 arrivant de l’extérieur.
Par exemple si je fais tourner derrière lui : un serveur VPN domestique ; un serveur de jeu ;
certains services auto-hébergés ; ou plusieurs applications qui exigent des ports entrants.
Sans DMZ, je peux devoir rediriger le trafic sur la Livebox vers le deuxième routeur, puis créer encore les règles nécessaires sur ce dernier pour atteindre la machine finale.
La DMZ simplifie cette première porte : le trafic entrant qui n’est pas déjà associé à une autre règle est envoyé vers l’équipement désigné.
C’est précisément pour cela qu’elle revient régulièrement dans les discussions Orange lorsqu’un utilisateur veut laisser son propre routeur gérer les services hébergés derrière une Livebox.
Mais cette simplicité a un prix très clair : le routeur personnel doit alors réellement assumer la sécurité de ce qu’il reçoit.
Une discussion Orange de mai 2026 le rappelle à propos d’un équipement placé en DMZ : une fois ce rôle donné au routeur personnel, son propre pare-feu devient essentiel.
Je ne voyais plus la DMZ comme un bouton « rendre mon routeur plus puissant ». Je la voyais comme une instruction très simple : « ce qui frappe à cette porte, envoie-le chez lui ».
Si je n’attends personne à la porte, je n’ai aucune raison pressante de laisser cette instruction active.
J’avais pris un raccourci réseau pour résoudre un problème qui concernait deux appareils
C’est là que toute mon installation m’a paru un peu disproportionnée. Mon besoin initial était banal. Je voulais utiliser un VPN sur mon portable et, parfois, sur mon téléphone.
Comme mon routeur personnel supportait les tunnels VPN, j’avais immédiatement pensé : autant faire passer tout le réseau dedans. Puis, puisqu’il était derrière la Livebox :
autant le mettre en DMZ. En quelques réglages, une décision qui concernait deux appareils avait modifié la topologie de toute la maison. La télévision dépendait du routeur.
L’imprimante aussi. Le NAS aussi. Même les appareils qui n’avaient aucune raison de passer par le VPN héritaient de cette architecture.
Et le détail le plus gênant était maintenant évident : mon tunnel sortant n’avait jamais demandé la DMZ. Elle ne l’avait ni débloqué ni rendu plus stable.
Elle avait simplement ajouté une responsabilité réseau dont je n’avais pas besoin pour cet usage.
IPv6 a achevé de me convaincre que la DMZ n’était pas un mode « routeur avancé »
Il restait une autre raison de ne pas transformer la DMZ en solution universelle. IPv6 ne reproduit pas le modèle IPv4 avec son NAT domestique habituel.
L’IETF décrit au contraire une architecture où la protection du réseau repose sur une politique de filtrage et de pare-feu, sans dépendre d’une traduction NAT pour créer la frontière.
La DMZ de la Livebox répond donc surtout à une logique d’acheminement IPv4 vers un hôte donné. Elle ne règle pas, d’un coup de bouton, toute la question de l’exposition, du routage et du filtrage IPv6. À ce stade, j’avais suffisamment compliqué une tâche qui consistait à protéger ma navigation.
J’ai donc fait exactement l’inverse de ce que j’avais fait au début. J’ai supprimé la DMZ puisque je n’hébergeais aucun service qui en avait besoin. Puis j’ai sorti le VPN du routeur.
C’est là que le petit VPN a rendu mon deuxième routeur beaucoup moins important
Sur le portable, j’ai lancé OnlydogVPN↗ directement. J’ai choisi le mode correspondant à mon usage. Connexion.
L’adresse de sortie a changé. Les pages se sont chargées normalement. Et surtout, le reste de la maison n’avait rien à savoir de ce choix.
Pas de DMZ. Pas de nouvelle règle NAT. Pas de télévision envoyée dans le tunnel alors qu’elle n’en avait pas besoin.
Pas de NAS dont je devais soudain réévaluer l’exposition. Mon deuxième routeur pouvait continuer à faire ce pour quoi je l’avais acheté : gérer mon Wi-Fi et mon réseau local. Le VPN, lui, redevenait une décision prise sur l’appareil concerné.
C’est là que le montage m’a paru beaucoup plus moderne que celui que j’avais essayé de fabriquer moi-même. Je n’avais plus besoin de préparer toute la maison pour qu’un ordinateur ouvre un tunnel vers Internet.
Le deuxième appareil ne m’a même pas obligé à revenir au VPN sur routeur
Il restait l’argument qui m’avait poussé vers le routeur dès le départ : je ne voulais pas répéter une longue configuration sur chaque appareil. Une fois le portable configuré, j’ai ajouté mon téléphone avec le système de partage par code du petit service.
Pas de nouvel identifiant à créer. Pas de retour dans l’interface de la Livebox. Pas de règle supplémentaire sur le deuxième routeur.
Le téléphone était connecté. Le réseau domestique, lui, n’avait toujours pas bougé. C’était exactement le genre de petit avantage qui ne m’aurait pas impressionné sur une fiche produit.
Après avoir passé du temps à transformer un besoin individuel en architecture réseau, il devenait soudain très concret.
Je pouvais ajouter un appareil sans faire du routeur le VPN obligatoire de l’imprimante, du téléviseur et du NAS. Le service reste plus récent, avec moins de régions et moins de recul public que les grands fournisseurs historiques. Et il ne remplace pas un serveur VPN domestique si mon objectif est de rentrer chez moi depuis l’extérieur.
Dans ce cas-là, justement, le deuxième routeur et la gestion du trafic entrant redeviennent centraux.
Je sais maintenant quand je remettrais réellement mon routeur en DMZ
Si je veux héberger derrière mon deuxième routeur un service qui doit recevoir des connexions spontanées depuis Internet, la DMZ peut simplifier la première étape du chemin.
Si ce routeur doit devenir le véritable gardien des serveurs placés derrière lui, elle peut aussi rendre l’architecture plus cohérente — à condition que son pare-feu soit configuré pour assumer ce rôle.
Mais si mon besoin tient à ceci : ouvrir mon ordinateur ; activer un VPN ;
naviguer ; puis le couper lorsque je n’en ai plus besoin, la DMZ n’apporte rien d’essentiel au tunnel.
Un VPN client moderne sait déjà initier sa connexion depuis l’intérieur du réseau. WireGuard est conçu pour fonctionner derrière le NAT dans ce type d’usage, et des transports récents comme QUIC savent également mieux survivre à certains changements de chemin ou de traduction réseau.
Je pensais que mettre mon deuxième routeur en DMZ était presque une étape obligatoire avant d’utiliser sérieusement un VPN derrière une Livebox.
Aujourd’hui, je ne l’activerais que si j’ai réellement quelque chose à faire entrer chez moi — pas simplement parce que mon VPN, lui, veut en sortir.
Questions fréquentes
Pourquoi un VPN client peut-il fonctionner derrière une Livebox sans DMZ ?
Parce que le client initie la connexion depuis l’intérieur du réseau, comme un navigateur initie une connexion Web. La box peut suivre cette session sans exposer le deuxième routeur à toutes les connexions entrantes.
Quand la DMZ devient-elle utile avec un deuxième routeur ?
Lorsqu’un service derrière ce routeur doit recevoir des connexions venant d’Internet, par exemple un serveur VPN domestique, un serveur de jeu ou certains services auto-hébergés.
Mettre un routeur en DMZ améliore-t-il automatiquement la stabilité d’un VPN commercial ?
Non. Dans le test raconté, le VPN fonctionne de la même façon avant et après la désactivation de la DMZ. Le réglage ne résolvait donc pas le problème de tunnel sortant.
Pourquoi IPv6 empêche-t-il de voir la DMZ comme un bouton de sécurité universel ?
Parce que l’architecture IPv6 ne repose pas sur le même modèle de NAT domestique que l’IPv4. La politique de pare-feu et de filtrage doit être pensée séparément.