Si mon téléphone est connecté au VPN, mon ordinateur en partage de connexion est-il protégé ? Le piège que j’ai découvert trop tard

J’étais persuadé que mon ordinateur était derrière le VPN.

L’icône VPN était bien visible sur mon téléphone.

Le téléphone affichait une adresse IP française.

Mon portable était connecté au hotspot de ce téléphone.

Pour moi, le raisonnement était terminé :

téléphone → VPN → Internet.

Donc forcément :

ordinateur → téléphone → VPN → Internet.

J’étais dans un train à l’étranger, avec une connexion mobile correcte et un dossier client à envoyer avant l’arrivée. J’avais précisément activé le VPN sur mon téléphone avant de créer le partage de connexion pour éviter d’avoir à configurer quoi que ce soit sur l’ordinateur.

Le fichier est parti.

Puis, par curiosité, j’ai vérifié l’adresse IP publique depuis le portable.

Ce n’était pas celle du VPN.

Le téléphone apparaissait en France.

L’ordinateur apparaissait toujours sur le réseau mobile local.

J’ai actualisé.

Même résultat.

J’ai désactivé le VPN du téléphone.

Son adresse publique est redevenue locale.

Celle du portable, elle, n’a pratiquement pas changé.

J’avais passé une bonne partie du trajet à croire que deux appareils étaient dans le même tunnel simplement parce qu’ils partageaient la même connexion Internet.

Ils ne l’étaient pas.

Le hotspot partage Internet, pas forcément le VPN

C’est le point qui résout presque toute la confusion.

Sur Android, le partage de connexion et le VPN sont deux fonctions distinctes : le téléphone peut fournir Internet à un ordinateur sans faire passer automatiquement le trafic de cet ordinateur dans le tunnel VPN actif sur le téléphone.

Autrement dit :

le téléphone peut être protégé ;

le portable peut utiliser la connexion du téléphone ;

et le portable peut malgré tout sortir sur Internet hors de ce tunnel.

C’est exactement ce que j’avais sous les yeux.

Un utilisateur décrivait d’ailleurs la même surprise très simplement : IP VPN sur le téléphone, IP normale sur l’ordinateur connecté au hotspot.

À partir de là, j’ai arrêté de regarder l’icône VPN du téléphone.

L’appareil qui m’intéressait réellement était le portable.

C’était donc sur le portable que je devais vérifier l’adresse de sortie.

Mon grand fournisseur n’était pas en faute

C’est aussi ce qui m’a empêché de tirer la mauvaise conclusion.

Mon fournisseur principal protégeait bien le téléphone.

Il proposait également une application pour ordinateur et plusieurs connexions simultanées.

La solution officielle à ce type de situation est d’ailleurs très simple : installer le VPN directement sur l’appareil connecté au hotspot.

J’ai donc sorti le portable.

Ouvert le site du fournisseur.

Connexion au compte.

Adresse électronique.

Mot de passe.

Gestionnaire de mots de passe.

Validation.

Téléchargement.

Installation.

À la maison, je n’aurais même pas remarqué la procédure.

Dans un train, avec une connexion mobile qui variait et un fichier déjà en retard, elle a changé ma façon de voir le problème.

Je ne cherchais finalement pas :

« Comment faire pour que mon téléphone devienne un routeur VPN ? »

Je cherchais plutôt :

« Comment protéger le portable assez vite pour ne plus dépendre de cette supposition ? »

La différence paraît petite.

Elle a complètement changé mon choix.

J’ai arrêté d’essayer de partager le tunnel

Au départ, je voulais une seule connexion VPN pour deux appareils.

Cela semblait plus élégant.

Téléphone connecté.

Hotspot activé.

Tout ce qui se branche derrière devrait suivre.

Mais ce n’est pas ainsi que le partage mobile ordinaire fonctionne.

Forcer réellement le trafic d’un appareil connecté au hotspot à passer dans le tunnel du téléphone peut demander une configuration beaucoup plus avancée ; certains guides parlent même de root ou d’architectures spécifiques.

Je n’avais aucune envie de transformer Android en projet réseau pendant un trajet.

La solution la plus propre devenait évidente :

le téléphone garde son tunnel ;

le portable obtient le sien.

Le seul problème restant était la friction pour passer rapidement de l’un à l’autre.

C’est là que la deuxième application est devenue intéressante.

Avec OnlydogVPN^↗, j’ai protégé le portable au lieu d’essayer de transformer le téléphone

J’ai ouvert OnlydogVPN sur le téléphone.

Puis j’ai ajouté l’ordinateur à l’aide du code de vérification proposé par le service, sans devoir refaire une connexion classique avec adresse électronique et mot de passe.

Application ouverte sur le portable.

Code.

Validation.

Connexion.

Quelques instants plus tard, j’ai refait le test.

Adresse IP du téléphone :

celle de sa connexion VPN.

Adresse IP du portable :

celle de sa propre connexion VPN.

Cette fois, il n’y avait plus rien à interpréter.

Le hotspot fournissait Internet.

Chaque appareil protégeait son propre trafic.

J’ai rouvert le dossier du client.

Relancé l’envoi.

Le fichier a progressé jusqu’à 100 %.

Puis j’ai envoyé le message que j’aurais préféré envoyer vingt minutes plus tôt :

« Version finale déposée. »

À partir de là, je n’avais plus besoin de savoir si Android savait partager un tunnel.

J’avais supprimé cette dépendance.

C’est là que le multi-appareil a cessé d’être un chiffre

Avant ce trajet, « plusieurs appareils » était pour moi une caractéristique de fiche technique.

Cinq appareils.

Dix.

Illimité.

Je regardais le chiffre et passais à la ligne suivante.

Après ce trajet, j’ai commencé à le mesurer autrement.

Quand je découvre que le deuxième appareil n’est pas protégé, combien d’étapes me séparent d’une vraie connexion VPN sur cet appareil ?

C’est là que le code de vérification m’a paru beaucoup plus important.

Il ne change pas la manière dont Android partage Internet.

Il évite simplement de faire reposer toute ma sécurité sur cette mécanique.

Deux appareils à protéger ?

Deux connexions VPN.

Mais sans recommencer toute l’administration du compte à chaque fois.

Pour quelqu’un qui voyage régulièrement avec téléphone + portable, cette approche est beaucoup plus rassurante qu’une icône VPN sur le mauvais écran.

Mon erreur venait surtout d’un mauvais modèle mental

Je pensais au téléphone comme à un petit routeur.

C’est vrai jusqu’à un certain point.

Il redistribue sa connexion mobile.

Mais cela ne signifie pas que tout le trafic des appareils connectés traverse automatiquement les applications et tunnels actifs sur le téléphone.

Android sépare le tethering de son infrastructure VPN.

Je ne pouvais pas observer toutes les décisions internes de routage prises par Android, le constructeur et l’opérateur pendant ces tests.

Mais les adresses IP publiques suffisaient largement.

Avant :

téléphone → IP VPN ;

portable → IP mobile locale.

Après installation directe du VPN :

téléphone → IP VPN ;

portable → IP VPN de sa propre connexion.

C’était beaucoup plus fiable qu’une hypothèse basée sur le petit symbole de clé dans la barre d’état.

Sur iPhone, je ne ferais plus l’hypothèse non plus

Apple décrit Personal Hotspot comme le partage de la connexion cellulaire de l’iPhone avec d’autres appareils.

Et la documentation des fournisseurs VPN fait la même mise en garde pratique pour iPhone : l’appareil connecté au hotspot ne doit pas être considéré comme automatiquement protégé par le VPN de l’iPhone.

Depuis ce trajet, mon test est donc devenu très simple, quel que soit le téléphone.

Je vérifie l’adresse IP sur le téléphone.

Puis sur le portable.

Si les deux appareils ne montrent pas le comportement attendu, je ne discute pas avec l’icône VPN.

Je protège directement celui qui va réellement travailler.

C’est aussi plus pratique quand les deux appareils ne servent pas à la même chose

Cette séparation a fini par me plaire.

Mon téléphone peut avoir besoin d’une situation donnée.

Le portable peut en avoir une autre.

Je n’ai plus besoin de considérer le premier comme le chef de réseau du second.

Il fournit simplement la connectivité.

Le VPN reste une décision propre à chaque appareil.

Dans mon cas, le téléphone servait surtout de modem.

Le portable devait envoyer un fichier client.

C’était donc le portable que je voulais voir explicitement connecté.

Cette manière de faire demande une installation supplémentaire, oui.

Mais une fois l’accès partagé rapidement entre les deux appareils, elle devient beaucoup plus facile à vérifier.

Et pour moi, vérifiable vaut mieux que supposé automatique.

Le grand fournisseur reste plus vaste

Mon fournisseur habituel conserve des avantages évidents.

Plus de serveurs.

Davantage d’années d’histoire publique.

Plus de documentation.

Beaucoup plus d’évaluations indépendantes.

Il sait lui aussi protéger chaque appareil séparément.

OnlydogVPN possède moins de localisations et moins de recul public.

La différence qui a compté dans cette situation n’était donc pas une capacité magique absente des grands VPN.

C’était la quantité de friction entre :

« mon portable n’est pas dans le tunnel »

et

« maintenant, il l’est ».

Avec mon fournisseur principal, cette correction passait par le compte, les identifiants et une nouvelle installation classique.

Avec la petite application, le code de vérification m’a permis d’ajouter rapidement le deuxième appareil et de revenir au fichier.

Dans un train, cela comptait davantage que le nombre de pays disponibles.

Il y a malgré tout une limite très claire

Si l’ordinateur est verrouillé par une entreprise et interdit l’installation d’un VPN personnel, aucune application sur mon téléphone ne va magiquement lui donner son tunnel par un hotspot ordinaire.

Dans ce cas, il faut utiliser la solution approuvée sur l’ordinateur ou une architecture réellement conçue pour partager un VPN, par exemple un routeur VPN.

Cette limite ne me dérange pas.

Je préfère la connaître.

L’erreur la plus gênante n’était pas qu’Android refuse une fonction.

C’était de croire qu’elle existait déjà.

Alors, mon ordinateur utilise-t-il le VPN de mon téléphone en partage de connexion ?

Dans le scénario Android classique testé ici : non.

Et je ne partirais pas non plus de cette hypothèse avec un iPhone.

Le hotspot partage Internet.

Il ne faut pas supposer qu’il partage automatiquement le tunnel VPN actif sur le téléphone.

Mon erreur avait été de chercher une seule connexion VPN pour deux appareils.

Après ce trajet, je préfère une architecture beaucoup plus simple à vérifier :

le téléphone possède son tunnel ;

le portable possède le sien ;

et je contrôle le résultat sur l’appareil qui va réellement travailler.

Mon grand fournisseur savait le faire.

OnlydogVPN a simplement rendu la correction plus rapide : code de vérification, connexion sur le portable, IP protégée, fichier envoyé.

Le meilleur VPN pour mon partage de connexion n’est donc pas celui qui me laisse croire que le portable hérite du tunnel du téléphone ; c’est celui qui rend assez simple la protection directe du portable pour que je n’aie plus besoin de le croire.