Comment séparer les usages professionnels et personnels avec deux VPN ? J’ai arrêté d’empiler les tunnels

J’avais fermé Teams depuis vingt minutes lorsque j’ai remarqué le petit cadenas du VPN d’entreprise toujours présent dans la barre des tâches.

J’étais pourtant déjà passé à autre chose.

Dans Chrome, j’avais ma messagerie personnelle ouverte, deux hôtels pour un week-end à Marseille et un panier que je comptais payer avec ma propre carte.

Rien de secret. Simplement rien de professionnel. Mon premier réflexe a été presque mécanique : lancer mon VPN personnel par-dessus celui de l’entreprise. Deux usages. Deux VPN. Cela me paraissait être la séparation la plus propre possible. Le second tunnel s’est connecté pendant quelques secondes.

Puis l’intranet de l’entreprise a disparu. Teams a affiché « Reconnexion… ». Le VPN professionnel a tenté de reprendre la main. Quelques instants plus tard, le VPN personnel ne faisait plus passer Internet correctement. J’avais réussi à installer deux cadenas sur la même porte. Je n’avais toujours qu’une seule porte.

Le problème n’était pas vraiment d’avoir deux VPN

Le 9 juillet 2026, la CNIL a actualisé ses explications sur le contrôle de l’activité des salariés.

Le principe est assez clair : l’employeur peut encadrer l’activité professionnelle et l’usage de ses équipements, mais ce contrôle doit rester justifié, proportionné et connu des salariés. La CNIL rappelle aussi que la vie privée ne disparaît pas au travail et qu’un usage personnel raisonnable des outils professionnels peut être toléré tant qu’il ne compromet pas la sécurité de l’organisation.

C’est cette nuance qui m’a fait regarder autrement mon ordinateur. « Usage personnel toléré » ne signifie pas « ordinateur devenu personnel ». Le portable restait administré par mon entreprise.

Son VPN, ses politiques de sécurité et certains logiciels étaient là parce que cette machine était destinée au travail.

Mon VPN personnel pouvait changer la route réseau.

Il ne pouvait pas changer la nature de l’ordinateur.

L’ANSSI va d’ailleurs droit au but : elle recommande de séparer les usages personnels et professionnels et d’éviter d’utiliser le matériel de l’un pour les besoins de l’autre.

À ce moment-là, ma question a changé. Je ne cherchais plus : « Comment faire fonctionner deux VPN simultanément sur la même machine ? » Je cherchais plutôt :

« Où placer chacun des deux VPN pour qu’ils n’aient jamais besoin de se battre pour le même trafic ? »

Mon VPN d’entreprise ne dysfonctionnait pas

J’avais d’abord accusé les deux applications de mal cohabiter.

En réalité, le VPN professionnel faisait exactement ce qu’on lui demandait.

Un VPN d’entreprise peut être configuré en forced tunnel. Dans ce modèle, tout le trafic de l’ordinateur passe par le réseau de l’entreprise : les ressources internes, mais aussi le trafic Internet ordinaire. Microsoft décrit ce scénario comme un tunnel qui prend en charge 100 % du trafic.

Il existe évidemment une autre approche : le split tunneling.

Certaines destinations passent alors par le VPN professionnel, tandis que d’autres sortent directement sur Internet.

Sur le papier, c’était séduisant. Travail à gauche. Personnel à droite. Mais je n’étais pas l’administrateur du VPN professionnel. La politique avait été définie par notre équipe informatique.

Je pouvais probablement bricoler des routes, ajouter des exceptions ou modifier des réglages jusqu’à obtenir quelque chose de fonctionnel.

Mais cela revenait à traiter une politique de sécurité d’entreprise comme un paramètre de confort personnel.

Je n’avais aucune envie de devenir la personne qui appelle l’IT le lundi matin avec :

« J’ai changé les routes parce que je voulais réserver un hôtel vendredi soir. »

Le deuxième VPN n’ajoutait pas une deuxième route propre

J’ai tout de même voulu comprendre pourquoi mon idée avait échoué aussi vite. En pratique, les deux clients VPN essayaient de répondre à la même question : où doit partir le prochain paquet Internet ? Le VPN professionnel avait déjà posé sa route. Le VPN personnel arrivait ensuite avec la sienne.

C’est un peu comme deux GPS donnant simultanément des instructions différentes au même conducteur : parfois l’un prend le dessus, parfois la route devient étrange, parfois une application cesse simplement d’atteindre sa destination.

On peut construire des configurations où deux tunnels coexistent.

Mais ce n’était pas la séparation simple que j’avais imaginée.

Cette confusion revient d’ailleurs régulièrement chez les télétravailleurs. Dans une discussion publique sur r/VPN, une personne voulait conserver le VPN obligatoire de son entreprise tout en utilisant son propre VPN pour ses activités personnelles, notamment le streaming. Très vite, les réponses déplaçaient le VPN personnel vers les appareils concernés plutôt que d’essayer de compliquer davantage le poste professionnel.

C’est là que quelque chose a cliqué. Je cherchais deux routes sur un ordinateur. Ce dont j’avais réellement besoin, c’était de deux espaces qui ne se mélangent pas.

Le test le plus simple a été de laisser le portable professionnel tranquille

Le lendemain, je n’ai rien modifié sur l’ordinateur de travail. VPN de l’entreprise activé. Outlook. Teams. Git. Portail interne. Exactement comme l’IT l’avait prévu. Pour le personnel, j’ai sorti mon propre portable. J’y ai installé OnlydogVPN.

Je n’ai configuré aucun sous-réseau d’entreprise. Je n’ai créé aucune exception pour Teams. Je n’ai pas essayé de faire rentrer un tunnel à l’intérieur d’un autre. J’ai simplement donné à chaque VPN l’appareil correspondant à son usage. J’ai ouvert mon navigateur personnel. Ma messagerie. Le site de réservation.

Puis j’ai vérifié la connexion. Le trafic personnel passait par le second service. À côté, le portable professionnel gardait son tunnel d’entreprise et l’intranet continuait de répondre. J’ai fermé le VPN personnel. Le travail n’a rien remarqué. Je l’ai reconnecté. Teams n’a toujours rien remarqué.

Pour la première fois, j’avais réellement deux VPN actifs en même temps. Simplement pas sur la même machine. Cela paraît presque trop évident une fois que c’est fait. Avant, je pensais que la sophistication consistait à faire cohabiter deux tunnels.

En pratique, la solution la plus propre a été de leur donner deux territoires.

Le détail que j’ai apprécié est arrivé ensuite sur mon téléphone

À ce stade, le problème principal était réglé. Mais le soir même, je me suis aperçu que mon téléphone personnel restait le seul appareil sans VPN. D’habitude, c’est là que commence le petit rituel. Retrouver le compte. Ouvrir le gestionnaire de mots de passe. Copier l’identifiant. Copier le mot de passe.

Se connecter sur le nouvel appareil.

Avec le service que je venais d’installer, j’ai utilisé le partage par code de vérification depuis l’appareil déjà configuré.

Quelques instants plus tard, le téléphone avait lui aussi sa propre connexion. Ce n’était pas ce qui avait résolu le conflit entre les deux VPN. La séparation des appareils avait déjà fait ce travail. Mais ce détail rendait la nouvelle organisation beaucoup plus naturelle.

Mon adresse professionnelle ne servait pas à créer mon VPN personnel. Mon mot de passe professionnel n’avait évidemment rien à voir avec lui. Et je n’avais pas non plus besoin de multiplier les identifiants personnels entre plusieurs appareils. Le portable professionnel restait d’un côté.

Mes appareils personnels de l’autre.

La frontière devenait difficile à casser par accident.

J’avais aussi envisagé de mettre le VPN personnel sur toute la box

L’idée semblait élégante.

Installer le VPN personnel directement sur le routeur aurait protégé automatiquement tous mes appareils privés.

Mais le portable professionnel aurait lui aussi démarré derrière ce premier tunnel, avant d’établir son VPN d’entreprise.

Je serais revenu à une variante du même problème : un premier tunnel au niveau de la maison ; un second tunnel au niveau du portable professionnel.

Et au premier problème avec Teams, l’intranet ou une authentification, j’aurais eu deux couches réseau à diagnostiquer.

C’était précisément l’ambiguïté que j’essayais de supprimer. Je n’allais pas la reconstruire dans ma box. En gardant l’application sur mes appareils personnels, le choix restait attaché au bon endroit. Travail : tunnel professionnel. Personnel : autre tunnel.

Aucun des deux n’avait besoin de comprendre l’existence de l’autre.

La limite du petit service reste simple à voir

Le service possède moins de recul public, moins d’évaluations indépendantes accumulées et moins de localisations que plusieurs grands fournisseurs historiques.

Si mon besoin personnel exigeait une longue liste de pays précis ou une infrastructure documentée depuis de nombreuses années, cet écart compterait.

Mais ce n’était pas ce qui avait déclenché ma recherche. Je ne cherchais pas un VPN capable de remplacer celui de mon entreprise. Je cherchais précisément un VPN qui n’aurait jamais besoin de le toucher. Sur ce point, la simplicité m’a apporté davantage qu’une nouvelle option de routage.

Je pouvais laisser l’ordinateur professionnel exactement dans l’état prévu par l’IT et déplacer mes activités personnelles vers mes propres appareils sans apprendre à maintenir deux tunnels concurrents.

Et surtout, je pouvais arrêter d’y penser.

Maintenant, « deux VPN » signifie deux responsabilités

Avant cette expérience, j’aurais probablement commencé par le split tunneling. Ou par un VPN installé sur le routeur. Ou par une combinaison plus savante permettant de chaîner deux services. Toutes ces architectures peuvent être utiles lorsqu’on a réellement besoin de les construire.

Mais pour séparer simplement une journée de travail de sa vie personnelle, elles commencent souvent beaucoup trop loin dans la technique.

L’ordinateur professionnel reste professionnel. Son VPN protège l’accès dont l’entreprise a besoin. Mon ordinateur et mon téléphone personnels restent personnels. Le second VPN s’occupe de leur trafic.

Je n’ai plus à me demander quel tunnel possède la route par défaut, quel DNS a gagné ou dans quel ordre les deux clients se sont connectés.

Et je n’utilise plus un outil personnel pour essayer de reprendre le contrôle d’une machine que mon entreprise est justement chargée d’administrer.

Je pensais que deux VPN offriraient une meilleure séparation s’ils fonctionnaient l’un au-dessus de l’autre.

J’ai fini par retenir exactement l’inverse :

pour séparer vraiment le travail du personnel, mes deux VPN fonctionnent mieux depuis qu’ils n’ont plus besoin de se rencontrer.