Routeur VPN séparé ou routeur principal : pour dépanner, le plus utile est de garder une route sans VPN

Le jour où j’ai regretté d’avoir mis le VPN sur mon routeur principal, le VPN n’était même pas franchement en panne.

C’était pire : il fonctionnait assez bien pour rendre le problème difficile à isoler.

Mon ordinateur était connecté au Wi-Fi de la maison. Internet fonctionnait. La messagerie aussi. Mais le portail d’un client restait bloqué après la connexion, et je devais y déposer un dossier avant une visioconférence.

J’ai essayé le téléphone sur le même Wi-Fi. Même blocage. J’ai alors coupé le Wi-Fi du téléphone et laissé la 5G prendre le relais. Le portail s’est ouvert immédiatement.

À ce stade, j’avais un indice solide : quelque chose dans le chemin réseau de la maison gênait cette session. Mais tout mon réseau domestique passait par la même configuration VPN. Pour faire le test le plus simple — « est-ce le tunnel ou la connexion Internet ? » — je devais désactiver le VPN dans l’interface du routeur principal.

Et ce geste concernait aussi la télévision, la tablette et l’ordinateur de ma compagne. J’avais centralisé la protection. J’avais aussi centralisé le dépannage.

En 2026, les deux architectures sont devenues crédibles

Il y a quelques années, le choix était en partie dicté par le matériel. Un petit routeur VPN pouvait être pratique mais lent, tandis qu’un routeur principal suffisamment puissant demandait souvent davantage de configuration.

Ce contraste s’est nettement réduit.

En février 2026, GL.iNet a lancé le Beryl 7, un petit routeur Wi-Fi 7 pour lequel le constructeur annonce jusqu’à 1 100 Mb/s avec WireGuard. De l’autre côté, TP-Link expliquait encore dans son guide mis à jour en avril 2026 que, sur les modèles compatibles, on peut importer un profil VPN puis décider quels appareils l’utilisent, pendant que les autres continuent à sortir normalement par Internet.

Autrement dit, le choix n’est plus simplement « petit routeur pratique mais lent » contre « gros routeur puissant mais compliqué ».

Les deux peuvent être rapides.

Les deux peuvent désormais séparer certains appareils du tunnel.

La vraie question devient donc beaucoup plus concrète : quand quelque chose casse, quelle architecture me permet de modifier une seule variable sans dérégler le reste de la maison ?

C’était exactement mon problème.

Sur le routeur principal, tout était propre jusqu’au premier doute

Au départ, le VPN sur le routeur principal m’avait paru être la solution la plus élégante.

Mon fournisseur habituel avait une longue histoire publique, beaucoup de serveurs et des profils utilisables sur routeur. Je pouvais protéger plusieurs appareils sans installer une application sur chacun. Pour les appareils fixes, c’était confortable.

Le défaut n’est apparu qu’au moment du diagnostic.

Quand le portail client a refusé de charger, les suspects se sont multipliés : la fibre, le DNS, le navigateur, l’adresse de sortie du VPN, le profil WireGuard, une règle du routeur ou le service lui-même.

Et comme tous mes appareils Wi-Fi partageaient la même infrastructure, tester un deuxième appareil ne créait pas vraiment un deuxième point de comparaison.

Le téléphone sur le Wi-Fi suivait pratiquement le même chemin que l’ordinateur. La 5G, elle, m’avait donné le premier vrai témoin. J’ai donc désactivé le client VPN sur le routeur principal. Le portail s’est ouvert sur l’ordinateur.

J’avais ma réponse pratique : la fibre n’était pas tombée et le portail n’était pas globalement hors service. Le problème se trouvait dans la partie du chemin que je venais de retirer.

Mais ce test avait un coût disproportionné. Pour diagnostiquer un seul portable, j’avais changé la route de toute la maison.

C’est à ce moment-là que le second routeur a cessé de me sembler être « une boîte de plus ».

Il pouvait devenir un moyen de séparer le problème.

Deux Wi-Fi m’ont donné ce qu’un tableau de bord ne me donnait pas : un témoin

J’ai remis le routeur principal dans son état normal, sans VPN global. Puis j’ai branché un second routeur derrière lui et créé un autre réseau Wi-Fi réservé au tunnel. Le réseau habituel est resté banal. J’ai appelé l’autre « Maison-VPN ».

Pour le diagnostic, c’était presque ridiculement simple. Je connectais le même ordinateur à Maison : le portail s’ouvrait. Je le reconnectais à Maison-VPN : il bloquait. Même navigateur.

Même compte. Même pièce. Même fibre. La variable qui changeait sous mes yeux était enfin le chemin VPN.

Je n’avais plus besoin de relancer trois appareils, de couper le tunnel pour tout le monde ou d’essayer de me souvenir quelle règle du routeur principal était active dix minutes plus tôt.

Cette envie de conserver deux chemins très lisibles se retrouve d’ailleurs dans les discussions d’utilisateurs. Fin 2025, sur r/GlInet, un utilisateur cherchait précisément à maintenir un Wi-Fi normal et un second Wi-Fi protégé par VPN afin de déplacer simplement ses appareils de l’un à l’autre ; les réponses l’orientaient vers un réseau invité associé à des politiques VPN.

Ce qui m’intéressait dans cette configuration n’était donc pas le deuxième routeur en lui-même. C’était de pouvoir faire un test A/B en changeant simplement de Wi-Fi. Pour le dépannage, cette visibilité vaut énormément.

Le deuxième routeur apporte aussi une complication

Le routeur séparé n’est pourtant pas gratuit en complexité.

Dans mon montage, le second appareil créait son propre réseau derrière le routeur principal. En IPv4, on se retrouve alors généralement avec deux couches de NAT : comme deux réceptionnistes successifs qui doivent chacun savoir vers quelle chambre renvoyer un paquet.

Pour la navigation courante ou la vidéo, on peut très bien ne jamais y penser.

Mais pour les jeux en ligne, l’UPnP, certaines redirections de ports ou la communication entre appareils placés de part et d’autre des deux réseaux, ce double NAT peut devenir gênant. Google documente précisément ces effets dans son aide consacrée aux réseaux Nest.

C’est la vraie limite de la solution « prenez juste un deuxième routeur ».

Je n’ai donc pas déplacé la console, l’imprimante ni le NAS sur Maison-VPN. Le second routeur est resté un outil de séparation pour quelques appareils qui avaient besoin du tunnel, pas le nouveau centre de gravité de la maison.

Et cette expérience m’a aussi montré quelque chose d’important : si le routeur principal permet de conserver très clairement certains appareils ou un SSID hors VPN, il peut offrir une bonne partie du même avantage sans ajouter une seconde couche réseau. Les fonctions de sélection par appareil décrites par TP-Link vont précisément dans ce sens.

Le vrai avantage n’était donc toujours pas la deuxième boîte.

C’était de garder une route de référence qui ne passe jamais par le VPN.

Une fois la panne isolée, je n’avais plus envie d’administrer un deuxième routeur pour un seul portable

Le second Wi-Fi avait répondu à la question la plus urgente : la route VPN de mon fournisseur habituel était bien ce qui faisait échouer le portail dans cette configuration.

Mais il ne réglait pas encore mon problème initial. Je devais envoyer le dossier, et je voulais conserver un VPN actif sur le portable. C’est à ce moment-là que j’ai essayé OnlydogVPN^↗.

Je n’attendais pas de l’application qu’elle « répare le réseau ». Son intérêt était justement de me permettre de ne plus toucher au réseau.

Je suis revenu sur le Wi-Fi principal, celui dont je savais désormais qu’il fonctionnait correctement. J’ai lancé l’application directement sur l’ordinateur et utilisé sa connexion en une action, au lieu d’importer encore un profil dans un routeur ou de modifier une nouvelle règle réseau.

Puis j’ai rouvert le portail. La page de connexion a franchi l’étape où elle se bloquait auparavant. J’ai lancé l’envoi. Le pourcentage a continué à monter.

100 %. Puis la page de confirmation s’est affichée. J’ai rejoint la visioconférence avec le document déjà dans l’espace du client.

À ce moment-là, l’avantage était beaucoup plus concret qu’une différence de fiche technique : le VPN était redevenu une variable locale à mon ordinateur.

S’il me posait problème, je pouvais le couper ou le relancer sans déplacer la télévision, le NAS ou les autres personnes de la maison.

Et puisqu’il fonctionnait ici, je pouvais terminer ma tâche sans garder une architecture réseau supplémentaire uniquement pour un ordinateur.

C’est finalement la raison pour laquelle je l’ai conservé sur les appareils qui ont réellement besoin d’un tunnel.

Il y a une limite évidente à cette approche : une application sur téléphone ou ordinateur ne remplace pas un VPN au niveau du routeur pour une console, un téléviseur ou un appareil incapable d’exécuter son propre client. Le service possède aussi un historique public plus court et moins d’évaluations indépendantes que les grands acteurs du secteur.

Mais dans mon cas, cette limite allait presque dans le bon sens.

Le tunnel restait exactement là où je pouvais le tester sans transformer toute la maison en expérience réseau.

Alors, routeur séparé ou routeur principal ?

Si votre objectif est de couvrir beaucoup d’appareils avec une seule configuration et que votre routeur principal gère proprement les règles par appareil, installer le VPN dessus peut rester la solution la plus nette. Vous évitez un second réseau, le double NAT et une deuxième interface à administrer.

Si votre priorité est de comprendre rapidement pourquoi quelque chose ne fonctionne plus, un routeur VPN séparé conserve un avantage extrêmement tangible : le réseau principal reste intact, et changer de Wi-Fi suffit à comparer « avec VPN » et « sans VPN ».

Mais après avoir vécu le problème, je ne choisirais plus l’architecture uniquement en regardant où le VPN peut être installé.

Je regarderais d’abord où se trouve ma sortie de secours.

Un appareil exclu du tunnel. Un SSID sans VPN. Ou, quand le besoin concerne seulement quelques ordinateurs et téléphones, une application locale que je peux activer sans toucher au reste du réseau.

C’est ce que mon premier montage avait perdu.

J’avais rendu le réseau plus uniforme, donc très confortable quand tout fonctionnait — et beaucoup moins lisible dès qu’un seul site refusait de coopérer.

Le routeur séparé m’a permis d’isoler la panne. L’application locale m’a ensuite permis de terminer le travail sans conserver une deuxième couche de réseau pour un seul portable.

Pour cette maison, le meilleur outil de dépannage n’était finalement ni le routeur le plus puissant ni celui qui affichait le plus d’options : c’était le chemin que j’avais volontairement laissé sans VPN.