Routeur personnel derrière l’Internet Box Proximus : j’ai découvert que le VPN n’était pas le vrai problème, mais la frontière du réseau

J’avais acheté mon propre routeur pour avoir davantage de contrôle, pas pour compliquer Internet. Je l’ai branché derrière l’Internet Box Proximus, déplacé mon Wi-Fi dessus, configuré mes règles et ajouté le VPN que je voulais utiliser sur certains appareils. Tout fonctionnait.

Les pages s’ouvraient, le débit était excellent et mon vérificateur d’adresse IP montrait bien la sortie VPN. Puis j’ai essayé d’accéder à distance à un service hébergé chez moi. Rien. En cherchant, j’ai remarqué que l’adresse WAN de mon routeur personnel commençait par 192.168. Ensuite, IPv6 m’a donné un résultat différent de celui auquel je m’attendais.

C’est là que j’ai compris ce que j’avais réellement construit : je pensais avoir remplacé la fonction de routage de la box Proximus ; j’avais simplement placé un deuxième routeur derrière elle. **Transparence : cet article a été réalisé pour OnlydogVPN.

Le récit à la première personne est une narration composite construite à partir de tests du produit, de documentation officielle et de discussions publiques ; les expériences particulières rapportées dans les forums Proximus ne sont pas présentées comme étant arrivées personnellement au narrateur.**

Internet fonctionnait, ce qui rendait mon erreur presque invisible

Depuis novembre 2024, le libre choix du modem et du routeur est devenu beaucoup plus concret en Belgique.

L’IBPT permet aux utilisateurs de choisir leur propre équipement, à condition qu’il respecte les spécifications techniques de l’opérateur, et Proximus publie justement les paramètres nécessaires aux routeurs tiers.

C’est ce qui m’avait poussé à ressortir mon routeur personnel. Je voulais mon Wi-Fi. Mes VLAN. Mon pare-feu. Et la possibilité de décider moi-même quels appareils passeraient par un VPN. Je l’ai donc connecté à un port LAN de l’Internet Box et laissé son interface WAN en DHCP. Quelques secondes plus tard, il avait Internet.

Pour moi, le test était terminé.

Ce que je n’avais pas regardé, c’était l’adresse reçue sur son port WAN :

192.168.129.x

Elle racontait pourtant toute l’histoire.

Mon routeur personnel n’était pas encore directement à la frontière d’Internet.

Il était devenu un client du réseau créé par l’Internet Box, puis créait à son tour un deuxième réseau derrière lui.

Tant que je ne faisais que naviguer, cette différence restait presque invisible.

J’avais deux routeurs qui pensaient tous les deux être la porte de sortie

Le chemin ressemblait maintenant à ceci : ordinateur → routeur personnel → Internet Box → Internet. Pour un navigateur, ce montage n’a rien d’extraordinaire. C’est justement pour cela qu’il m’avait piégé. L’ordinateur possède une adresse privée. Mon routeur personnel traduit cette connexion une première fois.

L’Internet Box reçoit ensuite ce trafic sur son propre réseau privé et le traduit à nouveau vers Internet.

Deux frontières IPv4.

Deux NAT.

Deux endroits susceptibles d’intervenir lorsqu’une connexion doit revenir depuis Internet vers un appareil situé chez moi.

Un utilisateur Proximus qui installait son propre routeur derrière une Internet Box décrivait ce même résultat : sans configuration de pont appropriée, le routeur en aval recevait une adresse WAN privée et l’installation fonctionnait en double NAT.

Je m’étais concentré sur la vitesse et la qualité du Wi-Fi.

J’aurais dû commencer par une question beaucoup plus banale :

qui possède réellement mon adresse IPv4 publique ?

Le VPN fonctionnait, et c’est précisément ce qui m’avait rassuré à tort

Le plus trompeur était que mon VPN n’avait aucun mal à se connecter. Je l’avais configuré sur le routeur personnel. Le tunnel montait. Le navigateur affichait l’adresse du VPN. Les pages passaient normalement. J’en avais conclu que l’architecture réseau était correcte.

Mais un tunnel lancé depuis l’intérieur traverse assez facilement ces deux couches de NAT parce que c’est lui qui initie la conversation.

Mon problème d’accès à distance fonctionnait dans l’autre sens. Je voulais qu’une connexion venue d’Internet retrouve un service placé derrière : l’Internet Box, puis le routeur personnel, puis l’appareil final.

Configurer une redirection uniquement sur le deuxième routeur ne supprimait pas la première frontière.

C’était comme donner à quelqu’un le numéro de mon appartement sans lui dire dans quel immeuble j’habite.

Le VPN n’était pas en train de casser mon réseau.

Il fonctionnait suffisamment bien pour masquer le fait que j’avais construit deux portes d’entrée.

Et je n’avais encore regardé que la partie IPv4.

IPv6 a cassé mon raisonnement basé sur le double NAT

Une fois le problème IPv4 compris, j’ai naturellement essayé d’appliquer la même logique à IPv6.

C’était la mauvaise grille de lecture.

IPv6 n’a pas été conçu autour du partage d’une adresse publique au moyen du NAT. L’IETF décrit au contraire des réseaux où les équipements disposent d’adresses globales et où la protection est assurée par des règles de filtrage et de pare-feu, sans dépendre du NAT comme frontière implicite.

Et les spécifications Proximus pour un routeur personnel sont assez claires.

Pour IPv4, le routeur obtient son adressage via DHCPv4.

Pour IPv6, il doit gérer SLAAC, DHCPv6 et surtout la délégation de préfixe pour recevoir une plage IPv6 qu’il pourra ensuite distribuer aux appareils du LAN.

C’est là que ma question a encore changé. Je ne devais plus simplement demander : « mon routeur a-t-il Internet ? » Je devais demander :

« est-ce lui qui reçoit réellement les ressources nécessaires pour être responsable de mon réseau IPv4 et IPv6 ? »

À partir de là, le mode ponté ne ressemblait plus à un réglage avancé facultatif.

Il déterminait quelle boîte était réellement aux commandes.

Le mode ponté a changé le rôle du routeur, pas seulement son adresse WAN

L’Internet Box prévoit justement un mode destiné à ce type de montage : l’Hôte LAN ponté.

Dans les configurations décrites par la communauté Proximus, on renseigne l’adresse MAC WAN du routeur personnel, on utilise le port prévu pour le bridge et on laisse le routeur obtenir sa connexion WAN. Le résultat important est simple : le routeur en aval peut recevoir directement l’IPv4 publique au lieu d’une adresse privée fournie par l’Internet Box.

J’ai effectué le changement. Puis j’ai rouvert la page d’état WAN. Cette fois, l’adresse ne commençait plus par 192.168.

Et, bizarrement, cette ligne d’adresse m’a donné davantage satisfaction que tous mes tests de débit précédents.

Mon routeur était enfin là où je pensais l’avoir placé depuis le début. Les règles IPv4 n’avaient plus à franchir deux NAT domestiques. Le pare-feu que je configurais était réellement à la frontière utile.

Un serveur VPN hébergé chez moi devenait également beaucoup plus simple à comprendre : je savais quel équipement recevait la connexion et quel équipement devait décider de la laisser passer.

Mais il me restait IPv6.

Et cette fois, je savais qu’il ne fallait pas simplement attendre qu’il copie le comportement d’IPv4.

IPv6 est devenu mon meilleur test de fin de configuration

Au début, j’aurais considéré l’arrivée de l’IPv4 publique comme la preuve que tout était terminé.

Après quelques heures passées dans ces réglages, j’ai vérifié la délégation de préfixe.

Des utilisateurs Proximus ayant installé leur propre routeur ont rencontré exactement cette deuxième étape : IPv4 opérationnel immédiatement, puis IPv6 qui demande encore de vérifier le préfixe reçu et distribué au LAN.

C’est là que la documentation officielle m’a davantage servi que les valeurs copiées dans des captures d’écran de forum.

Proximus attend d’un routeur tiers qu’il sache gérer SLAAC, DHCPv6 et la délégation de préfixe.

Le routeur ne devait pas simplement posséder une adresse IPv6 sur son interface WAN.

Il devait aussi recevoir une plage qu’il pouvait annoncer correctement aux appareils derrière lui.

Cette fois, je ne cherchais plus à « faire passer IPv6 à travers les deux boîtes ».

Je voulais qu’une seule boîte soit clairement responsable du réseau.

Une fois ce rôle clarifié, IPv4, IPv6, les règles de pare-feu et les accès entrants ont enfin commencé à raconter la même histoire.

Puis j’ai failli recréer exactement le problème que je venais de supprimer

Mon réseau était enfin propre. Le routeur personnel gérait le LAN. La frontière IPv4 était claire. IPv6 aussi.

Et mon premier réflexe a été d’activer un VPN permanent pour toute la maison sur ce routeur.

C’est là que je me suis arrêté. Mon téléviseur n’en avait pas besoin. Mon imprimante non plus.

Certains objets connectés auraient simplement hérité d’un trajet plus compliqué sans rien y gagner.

Le portable professionnel devait suivre ses propres politiques.

Et certains services locaux n’avaient aucune raison de sortir par le même tunnel que mon navigateur.

J’avais passé une soirée entière à supprimer une couche réseau inutile.

Je m’apprêtais à créer une nouvelle dépendance générale simplement parce que mon routeur savait techniquement le faire.

C’est à ce moment-là que OnlydogVPN a trouvé sa place dans l’installation. Pas en prenant le contrôle du routeur. En m’évitant justement de lui demander encore une chose.

J’ai laissé le routeur gérer le réseau et déplacé le VPN là où il était réellement utile

J’ai désactivé le tunnel commercial au niveau du routeur.

TV, NAS, imprimante, domotique et appareils locaux ont continué à utiliser normalement la connexion Proximus que je venais enfin de rendre cohérente.

Sur mon ordinateur portable, j’ai lancé le petit service et choisi le mode correspondant à mon usage.

Connexion. Le navigateur est passé par le VPN. Le reste de la maison n’a pas bougé. C’était presque trop simple après une soirée passée entre adresses WAN et préfixes IPv6. Et c’est précisément ce qui m’a plu. Je n’avais plus besoin de demander à mon routeur de gérer simultanément : la connexion Proximus ; le LAN ; IPv4 ; IPv6 ;

les règles d’accès entrant ; et le comportement VPN de chaque appareil de la maison. Le VPN redevenait une décision prise sur l’appareil qui en avait réellement besoin. Le routeur, lui, pouvait rester une infrastructure prévisible.

Cette séparation m’a finalement donné davantage de contrôle, pas moins

Au début, j’avais associé « contrôle » à l’idée de tout centraliser sur mon routeur personnel. Plus il faisait de choses, pensais-je, mieux je maîtrisais mon réseau. J’en suis arrivé à la conclusion inverse.

Le petit service possède moins de régions et moins de recul public qu’un grand fournisseur historique. Pour quelqu’un qui veut administrer depuis son routeur une longue bibliothèque de profils VPN, de pays et de règles très détaillées, cette limite compte.

Mais je n’avais plus besoin de ça.

Je voulais que mon routeur soit fiable et compréhensible.

Et je voulais qu’un VPN soit facile à activer lorsque mon ordinateur ou mon téléphone en avait besoin.

Le mode orienté vers l’usage de la petite application faisait précisément disparaître la tentation de transformer chaque changement de VPN en nouvelle règle d’infrastructure.

Je pouvais modifier ma route Internet sur le portable sans toucher au NAS. Sans déplacer la TV. Sans me demander ce que cela faisait à la délégation IPv6.

Sans faire dépendre toute la maison de la disponibilité d’un tunnel dont seule une partie de mes appareils avait réellement besoin.

C’était finalement beaucoup plus proche du contrôle que j’étais venu chercher.

« Derrière l’Internet Box » peut donc vouloir dire deux architectures très différentes

Si mon routeur personnel reçoit une adresse WAN privée de l’Internet Box et fonctionne lui-même en mode routeur, j’ai créé deux couches de routage IPv4.

Pour le Web, elles peuvent rester parfaitement invisibles.

Pour les connexions entrantes, les serveurs domestiques, certaines redirections ou certains usages VPN, elles deviennent immédiatement importantes.

Avec l’Hôte LAN ponté correctement configuré, le routeur personnel peut au contraire récupérer directement l’IPv4 publique et devenir la frontière réseau des appareils placés derrière lui.

IPv6 doit ensuite être vérifié pour lui-même : le routeur doit recevoir et distribuer correctement le préfixe IPv6 que Proximus lui délègue.

C’est seulement après avoir compris ces deux points que mon installation est devenue réellement plus simple.

Je pensais acheter mon propre routeur pour obtenir davantage de réglages.

Le vrai progrès est arrivé quand j’ai décidé quelle boîte avait le droit d’être la frontière du réseau — puis laissé le VPN sur les appareils qui avaient réellement une raison de changer de route.