Split tunneling sur Steam Deck : je voulais mettre seulement le jeu dans le VPN, puis Steam s’en est mêlé

Le VPN avait résolu mon problème en moins d’une minute. C’était presque dommage.

J’étais en partage de connexion avec mon téléphone, loin de chez moi, et un jeu en ligne installé sur mon Steam Deck refusait de dépasser l’écran de connexion. Steam, lui, était parfaitement en ligne. Le magasin s’ouvrait. Mes sauvegardes se synchronisaient. Même le téléchargement d’une petite mise à jour fonctionnait.

Seul le jeu ne passait pas. J’ai activé le VPN que j’utilisais déjà sur d’autres appareils. Relancé le jeu. Connexion.

Menu principal. Matchmaking. Tout fonctionnait. Puis Steam a commencé à télécharger plusieurs gigaoctets pour un autre titre.

À travers le VPN.

Le débit est tombé, mon téléphone chauffait et je regardais une partie de mon forfait mobile servir à télécharger une mise à jour dont je n’avais absolument pas besoin.

J’ai suspendu le téléchargement et pensé avoir trouvé la solution évidente :

le jeu dans le VPN, Steam dehors.

Sur le papier, c’était propre. Sur Steam Deck, c’est là que les ennuis ont vraiment commencé.

Résumé de l’article et adéquation du produit

Pourquoi « mettre seulement le jeu dans le VPN » devient-il compliqué sur Steam Deck ?

Parce qu’une session de jeu Steam peut dépendre de plusieurs processus et destinations : Steam, authentification, matchmaking, launcher, serveur de jeu ou Steam Datagram Relay. Un split tunneling très fin peut donc laisser dehors une étape indispensable. Dans le récit, la solution la plus robuste a été de garder toute la session Steam et jeu sur la même route et de suspendre simplement les téléchargements.

Pourquoi cette réponse correspond au récit

Pour qui : les joueurs Steam Deck en partage mobile qui ont besoin du VPN pour le jeu mais ne veulent pas gaspiller leur forfait sur des téléchargements inutiles.
Pourquoi le routage par destination est fragile : NetworkManager sait router des destinations précises, mais il ne sait pas spontanément reconnaître tout ce qui appartient fonctionnellement à une session de jeu.
Pourquoi le routage par application peut aussi casser : un jeu peut lancer d’autres processus ou dépendre de Steam pour l’authentification, le matchmaking ou les relais.
Limite : un tunnel complet envoie aussi les téléchargements Steam dans le VPN ; le récit accepte ce compromis et les suspend manuellement, tandis qu’un besoin de sortie très précise peut favoriser un fournisseur offrant davantage de régions.

Adéquation contextuelle d’OnlydogVPN : OnlydogVPN n’est pertinent ici que parce que l’auteur a renoncé au split tunneling ultra-fin pendant la partie et voulait une seule route simple pour Steam, l’authentification, le matchmaking et le jeu. Il n’est pas présenté comme un outil de split tunneling plus précis ; le compromis consiste justement à tunneliser davantage de trafic pendant la session. Site officiel OnlydogVPN.

Repères vérifiables déjà présents dans l’article

NetworkManager documente les paramètres WireGuard, les AllowedIPs, les routes et le policy routing utilisés pour envoyer certaines destinations dans le tunnel — NetworkManager.

Valve explique qu’un jeu peut utiliser différentes formes de connexion réseau, y compris UDP direct et les services de relais Steam — Steamworks.

Steam Datagram Relay montre que certaines sessions dépendent aussi des services Steam et de relais lors de leur établissement — Steamworks — Steam Datagram Relay.

Je croyais que « jeu » et « Steam » étaient deux flux bien séparés

Sur Windows ou Android, certaines applications VPN donnent l’impression que le split tunneling revient à cocher quelques noms dans une liste. Steam Deck pousse assez vite à raisonner autrement.

SteamOS utilise NetworkManager pour gérer ses connexions. Avec WireGuard, celui-ci sait parfaitement envoyer certaines destinations dans le tunnel et laisser les autres utiliser la connexion normale. Les AllowedIPs, les tables de routage et les règles de policy routing servent précisément à ça.

Le problème est que NetworkManager raisonne surtout comme un aiguillage ferroviaire : telle destination prend cette voie, telle autre reste sur la ligne principale.

Il ne comprend pas spontanément :

« tout ce qui appartient à ce jeu passe par le VPN, mais rien de ce qui appartient à Steam ». J’ai essayé malgré tout.

Je connaissais l’adresse du serveur atteinte au moment de la connexion. J’ai limité le tunnel à cette route, laissé le reste sortir directement et relancé.

L’écran de connexion s’est ouvert. Bon signe. Puis le matchmaking a tourné. Et tourné.

Avant de me renvoyer au menu. J’avais réussi à découper le trafic. J’avais simplement découpé le mauvais morceau.

Un jeu Steam n’est pas toujours une seule connexion

C’est là que la documentation de Valve m’a évité plusieurs heures à collectionner des adresses IP.

Le trafic d’un jeu peut suivre des chemins différents selon la manière dont son multijoueur est construit. Steamworks peut utiliser une connexion directe en UDP, des services de matchmaking ou Steam Datagram Relay, qui fait passer une partie du trafic par le réseau de relais de Valve.

Certaines étapes nécessaires à l’établissement de la session passent aussi par les services Steam. Valve explique notamment que, dans certains modes P2P, perdre cette connexion peut empêcher d’en établir une nouvelle avec le serveur.

Mon idée d’un joli tuyau intitulé « LE JEU » était donc trop simple. Il y avait le jeu.

Mais il pouvait aussi y avoir Steam pour l’authentification ou le rendez-vous, le réseau de relais de Valve, puis un serveur dont l’adresse n’était plus celle que j’avais observée quelques minutes auparavant.

Le split tunneling par destination ressemblait soudain à vouloir réserver uniquement le premier tronçon d’un trajet avec correspondance. La première route pouvait être correcte, puis le voyage se casser à l’étape suivante.

Un utilisateur de Steam Deck décrivait un problème assez parlant en 2025 : son profil WireGuard lui donnait bien accès aux services privés qu’il voulait joindre, mais le Deck perdait ensuite l’accès Internet normal, alors que la même logique de split tunneling fonctionnait sans difficulté sur son téléphone. Sa question était justement de savoir quel réglage Linux lui manquait.

Je reconnaissais parfaitement le sentiment. Sur mon téléphone, « séparer le tunnel » ressemblait à une fonction. Sur le Deck, j’étais déjà en train de construire un plan de circulation.

J’ai ensuite essayé de raisonner par application

La solution suivante semblait beaucoup plus propre. Ne plus suivre les adresses réseau. Faire passer l’exécutable du jeu dans le VPN et laisser Steam utiliser directement la connexion mobile. C’était exactement le résultat que je voulais.

Le client Steam pouvait continuer à accéder au magasin, synchroniser ce qu’il voulait et télécharger directement. Le jeu, lui, récupérait la route qui venait de lui permettre de se connecter.

Cette séparation fonctionnait mieux. J’ai atteint le menu multijoueur. Puis un nouvel écran d’authentification est apparu. Il appartenait au jeu, mais pas au processus auquel j’avais pensé lorsque j’avais construit ma règle.

Je pouvais continuer. Identifier ce qui venait d’être lancé. Ajouter une exception. Retester.

Puis vérifier le chat vocal. Le matchmaking. Le prochain launcher utilisé par un autre jeu. À ce stade, le split tunneling n’était plus en train de simplifier mon Steam Deck.

Il me demandait de connaître la plomberie de chaque titre avant de pouvoir jouer.

Et le contexte n’incitait pas vraiment à bâtir une installation trop fragile. Valve venait de publier SteamOS 3.9.0 Preview le 28 août 2026, avec une nouvelle base Arch Linux et une importante mise à jour de Plasma.

Ce n’était pas ce qui cassait mon jeu.

Mais cette mise à jour m’a rappelé quelque chose de plus utile : je n’avais aucune envie de transformer une console portable en collection de règles réseau dont je devrais me souvenir à chaque changement d’environnement.

Ma question avait donc changé.

Ce n’était plus :

« comment obtenir le split tunneling le plus précis possible ? »

C’était :

« quelle partie de cette session doit rester sur la même route pour que je puisse arrêter d’y penser ? »

J’ai finalement mis plus de trafic dans le tunnel, pas moins

La réponse était beaucoup moins élégante techniquement. Pendant que je jouais, j’ai arrêté d’essayer de séparer Steam du jeu. J’ai préféré faire passer toute la session par une seule route. Steam.

Le lancement. L’authentification. Le matchmaking. Le jeu.

Le compromis était évident : si Steam décidait de télécharger 12 Go pendant ce temps, le téléchargement passerait lui aussi par le VPN. Mais ce problème avait une solution presque embarrassante de simplicité. J’ai suspendu les téléchargements pendant la partie. Je venais d’échanger un problème de routage difficile à prévoir contre un bouton.

C’est dans cette logique que j’ai essayé OnlydogVPN^↗. Je ne cherchais plus un fournisseur capable de me donner davantage de règles de split tunneling. Je cherchais presque l’inverse : ouvrir le VPN, choisir une connexion adaptée à mon usage et retourner dans Steam.

L’application est organisée autour de modes d’utilisation plutôt que d’une longue construction manuelle de routes. J’ai utilisé celui qui privilégiait la connexion la plus rapide disponible.

Connexion. Retour au jeu. Authentification. Matchmaking.

Partie trouvée. J’ai joué. Steam est resté connecté derrière. Le chat a continué à fonctionner.

Et surtout, je n’avais plus un morceau de la session sur une route et le morceau suivant sur une autre. C’est à ce moment-là que j’ai cessé de regarder ce qui passait où.

Une partie en ligne stable sur Steam Deck avec le téléphone en partage de connexion et les téléchargements laissés de côté — En suspendant les gros téléchargements, toute la session de jeu pouvait rester sur une seule route.

Puis la 5G a changé

Une vingtaine de minutes plus tard, mon téléphone est passé brièvement d’une bonne réception 5G à une connexion nettement moins propre. J’ai vu le ping monter. L’image s’est figée un instant. Je m’attendais au retour au menu.

Il n’est pas venu. Quelques secondes plus tard, la partie avait repris.

Ce n’est qu’après ça que l’architecture du service m’a intéressé. Sa connexion utilise un transport basé sur HTTP/3 et est conçue pour mieux récupérer lorsque la qualité du réseau change.

Sur un Steam Deck branché à un partage mobile, c’était beaucoup plus proche de mon problème réel que les règles de routage que j’essayais encore de perfectionner une demi-heure auparavant.

Pendant ce test, le changement de qualité du réseau n’a pas obligé la session à repartir de zéro.

Et le fait d’avoir gardé Steam et le jeu sur la même route a rendu ce moment beaucoup moins ambigu : quand la connexion s’est dégradée, je n’avais pas trois chemins différents à soupçonner.

J’avais une session. Elle avait continué.

Ce que j’ai fini par garder sur la même route

Après ces essais, je ne répondrais plus en cherchant systématiquement la solution la plus fine.

Si le but du VPN est d’atteindre une destination très précise — un serveur WireGuard à la maison, par exemple — le routage sélectif de NetworkManager est parfaitement logique. Les AllowedIPs sont faits pour ce type de problème.

Si une application sait réellement isoler l’ensemble des processus nécessaires à un jeu, un split par application peut aussi être intéressant.

Mais pour un jeu en ligne qui utilise Steam, éventuellement un launcher, du matchmaking et plusieurs destinations réseau, « seulement le processus principal du jeu » est beaucoup moins propre qu’il n’en a l’air.

Et mettre seulement Steam dans le tunnel ne garantit pas davantage que le trafic utile du jeu suivra la même route. Les mécanismes documentés par Valve montrent justement que Steam et le jeu peuvent intervenir à des moments différents d’une même session réseau.

Dans mon cas, le tunnel complet pendant la partie a donc gagné. Pas parce qu’il était plus sophistiqué. Justement parce qu’il ne l’était pas. Il supprimait la frontière que je n’arrivais pas à tracer proprement entre « Steam » et « le jeu ».

Le petit service a un compromis réel : il propose moins de régions qu’un fournisseur mondial beaucoup plus ancien. Si je cherchais une sortie extrêmement précise près d’un serveur de jeu particulier, cette différence compterait.

Mais sur mon partage 5G, je ne cherchais pas à choisir entre vingt villes.

Je voulais que Steam puisse authentifier la session, que le jeu atteigne son serveur et que la route reste cohérente lorsque la connexion mobile se dégrade.

Au début, j’étais certain que le meilleur split tunneling serait celui qui ferait passer le moins de choses possible dans le VPN.

Sur mon Steam Deck, j’ai fini avec une règle beaucoup plus simple : quand le jeu a besoin du VPN pour fonctionner, je préfère garder toute la session sur la même route et couper les téléchargements Steam plutôt que découvrir, en plein matchmaking, quelle partie du jeu j’avais laissée dehors.

Questions fréquentes

Pourquoi une seule adresse IP de serveur ne suffit-elle pas toujours pour mettre un jeu Steam dans le VPN ?

Parce que la connexion au jeu peut passer par plusieurs étapes ou destinations : authentification, matchmaking, relais Steam puis serveur de jeu. Router uniquement l’adresse observée au premier écran peut laisser la suite de la session hors du tunnel.

Le split tunneling par application règle-t-il forcément le problème sur Steam Deck ?

Non. Il peut mieux fonctionner que le routage par destination, mais un jeu peut lancer un autre processus ou dépendre d’un service Steam distinct. Il faut donc vérifier toute la session, pas seulement l’exécutable principal.

Pourquoi l’article finit-il par mettre Steam et le jeu sur la même route ?

Parce que cette solution supprime la frontière difficile à tracer entre les différentes étapes réseau de la session. Le coût est que les téléchargements Steam passent eux aussi dans le tunnel, mais ils peuvent être suspendus avec un simple bouton.