Quel VPN se reconnecte sans fuite lors du passage de la fibre à la 5G de secours ? J’ai découvert que « revenir vite » ne suffisait pas

La fibre est tombée pendant que j’envoyais un dossier client.
Je ne m’en suis presque pas aperçu.

Le routeur de notre petit bureau avait fait exactement ce pour quoi nous l’avions acheté : basculer automatiquement sur sa connexion 5G de secours.

La visioconférence a hésité.
Le document partagé a affiché « reconnexion ».
Puis tout est reparti.
J’étais plutôt satisfait.

C’est seulement quelques minutes plus tard, en regardant un petit journal de test que j’avais laissé ouvert, que quelque chose m’a gêné.

Les requêtes affichaient d’abord l’adresse IP de sortie de mon VPN.
Puis, pendant le basculement :
une adresse appartenant à la connexion mobile.
Ensuite, l’adresse du VPN était revenue.

Quelques secondes.
Pas assez pour que je remarque une vraie coupure.

Assez pour comprendre que mon routeur avait parfaitement assuré la continuité d’Internet pendant que mon VPN, lui, avait brièvement cessé d’assurer la sienne.

Jusque-là, je pensais qu’un bon VPN devait surtout se reconnecter rapidement.
Après ce test, ma question est devenue différente :
que laisse-t-il passer pendant qu’il se reconnecte ?

La 5G de secours fonctionne justement parce qu’elle ne vous demande pas la permission

Ce scénario est devenu assez banal dans les petites entreprises françaises.

Orange Business décrit les architectures SD-WAN comme capables de piloter plusieurs liens — fibre, Internet classique et 4G/5G de secours — afin de maintenir la connectivité lorsqu’un accès devient indisponible.

SFR Business propose également des offres fibre accompagnées de solutions de secours 4G destinées à assurer la continuité de l’activité.

C’est précisément l’intérêt de ces systèmes.

Quand la fibre tombe, personne ne veut courir jusqu’au routeur, sortir un téléphone et reconstruire manuellement la connexion.

Le basculement doit être presque invisible.
Mais c’est là que j’avais confondu deux choses :
Internet continue ne signifie pas forcément le VPN continue.

Lorsque mon routeur quittait la fibre pour la 5G, mon ordinateur restait connecté au même réseau local. De son point de vue, presque rien ne semblait changer.

De l’autre côté du routeur, en revanche, le chemin vers Internet venait d’être remplacé : nouvel accès opérateur, nouvelle adresse publique, nouvelle route.

Et mon tunnel VPN avait été construit sur l’ancienne.
Ce sont donc les quelques secondes entre les deux qui ont commencé à m’intéresser.
Pas le débit de la fibre.
Pas celui de la 5G.

Le passage.

Mon premier VPN revenait vite — mais pas assez proprement

J’ai reproduit la panne volontairement.
VPN connecté.
Fibre active.

Puis j’ai lancé une page de test très simple qui enregistrait régulièrement l’adresse IP publique vue depuis Internet.

Tant que la fibre fonctionnait, rien à signaler.
Même sortie VPN.
J’ai débranché l’arrivée fibre du routeur.
La 5G a pris le relais.

Le navigateur n’a presque pas bronché.
Mais le journal racontait une autre histoire :
IP du VPN.
IP du VPN.

IP de la connexion 5G.
Puis nouvelle connexion VPN.
Puis de nouveau IP du VPN.
Je venais de voir ce que la reconnexion automatique cachait très bien.

Le VPN revenait.

Simplement, pendant un court instant, le système avait recommencé à envoyer du trafic avant que le tunnel soit revenu.

C’est exactement le genre de situation qu’un kill switch est censé empêcher. Proton décrit le principe simplement : si le tunnel tombe, le kill switch bloque le trafic Internet jusqu’au retour d’une connexion protégée, afin d’éviter une fuite de l’adresse IP réelle ou des requêtes DNS.

J’ai activé cette protection sur mon fournisseur habituel et recommencé.
Cette fois, aucune adresse 5G n’est apparue.
C’était mieux.
Mais à sa place, j’ai obtenu :

rien.
Pendant plusieurs secondes, les requêtes s’arrêtaient.
Puis le VPN revenait et le trafic reprenait.
Je n’avais plus une fuite.

J’avais une coupure.

Et c’est là que j’ai compris que « kill switch efficace » et « basculement propre » n’étaient pas tout à fait la même chose.

Le premier protège l’intervalle.

Le second essaie de faire en sorte que cet intervalle soit le plus petit possible — voire qu’il ne ressemble plus à une reconnexion complète.

Le vrai test était devenu : faut-il vraiment tout reconstruire ?

La différence technique tient finalement dans une idée assez simple.

Avec une connexion classique fortement liée à son chemin réseau, la fibre disparaît, l’adresse publique change et l’ancien trajet n’existe plus.

Le tunnel doit s’en rendre compte.
S’arrêter.
Puis repartir sur la 5G.
Le kill switch ferme la porte pendant cette reconstruction.

C’est sûr.
Mais la porte reste fermée quelques secondes.

QUIC a été conçu pour mieux supporter ce genre de changement. Sa spécification prévoit la migration d’une connexion lorsqu’une adresse ou un chemin réseau change, notamment lorsqu’un changement de NAT modifie l’adresse visible depuis Internet.

Je me le représente comme un train face à un aiguillage.

Avec le premier comportement, le train arrive au bout de sa voie, s’arrête, puis il faut le remettre sur une autre.

Avec la migration, la voie change sous lui sans obliger tout le voyage à recommencer.
Le nouveau chemin doit évidemment fonctionner.

Mais entre une fibre morte et une 5G déjà prête à prendre le relais, c’était exactement la différence que je voulais observer.

Avec OnlydogVPN, j’ai regardé l’adresse IP avant le mot « connecté »

J’ai repris exactement le même scénario avec OnlydogVPN.
Même ordinateur.
Même routeur.
Même fibre.

Même liaison 5G de secours.
Je me suis connecté, puis j’ai relancé mon journal d’adresses IP.
Fibre active.
Plusieurs requêtes.

Même sortie VPN.
J’ai débranché la fibre.
Le routeur est passé sur la 5G.
Une requête a mis un peu plus de temps à revenir.

Puis la suivante est arrivée.
J’ai fait défiler le journal.
IP du VPN.
IP du VPN.

Pause.
IP du VPN.
IP du VPN.
Pas d’adresse publique de la connexion 5G entre les deux.

Et contrairement à mon test avec le kill switch du premier service, je n’avais pas non plus subi plusieurs secondes de trafic totalement bloqué avant que tout recommence.

Le tunnel avait absorbé le changement beaucoup plus proprement.

Le service utilise un transport basé sur HTTP/3, donc sur QUIC, et ce comportement correspond justement à l’un des intérêts de QUIC : conserver une connexion malgré un changement de chemin plutôt que repartir automatiquement de zéro.

Je n’avais pas besoin de regarder plus profondément dans le protocole.
Le résultat utile était déjà sous mes yeux :

la fibre avait disparu ; la 5G avait pris le relais ; l’adresse mobile brute n’était pas apparue entre les deux.

Une seule bascule propre ne me suffisait pas

Une fuite de quelques secondes est justement le genre de problème qui peut disparaître au moment où l’on essaie de la reproduire.

J’ai donc recommencé.
Fibre.
5G.
Fibre.

Puis 5G une deuxième fois.
À chaque transition, je laissais tourner les requêtes.
Je regardais deux choses :
est-ce que l’adresse de l’opérateur apparaît ?

et combien de temps mon trafic devient-il inutilisable ?

Au fil de ces bascules, la sortie VPN est restée celle que j’observais avant le changement, avec seulement une courte hésitation sur certaines transitions.

C’était ce que je voulais voir.
Pas une application qui affiche rapidement « reconnecté ».
Une connexion qui évite de devenir momentanément autre chose.

Les problèmes de reprise après un changement de réseau sont d’ailleurs bien réels pour les utilisateurs. Dans une discussion publiée en août 2026 sur r/ProtonVPN, un utilisateur décrivait un VPN restant bloqué en reconnexion après un changement de connexion, au point de devoir parfois le désactiver puis le relancer manuellement pour récupérer Internet.

C’est précisément pourquoi « reconnexion automatique » ne me suffit plus comme description.

Deux VPN peuvent afficher la même promesse et se comporter très différemment dans les secondes qui suivent une panne.

L’un laisse passer le trafic normal avant de revenir.
L’autre bloque tout.

Un troisième conserve suffisamment de continuité pour que le passage ressemble davantage à un changement de route qu’à une nouvelle connexion.

Sur une fibre stable, ils peuvent tous paraître identiques.
Il faut retirer le câble pour voir lequel on a réellement installé.

J’ai fini par provoquer la panne pendant une vraie réunion

Après plusieurs tests artificiels, il restait celui qui comptait.
J’ai laissé une réunion vidéo ouverte.
Un transfert tournait en arrière-plan.
Puis j’ai coupé la fibre une dernière fois.

Le son a hésité.
Une phrase est arrivée avec un petit retard.
Mais la réunion est restée ouverte.
Le transfert a ralenti, puis repris.

Et le journal d’IP n’a pas affiché l’adresse 5G brute au milieu.
C’est à ce moment-là que mon critère a définitivement changé.
Au départ, j’aurais comparé les VPN sur leur délai de reconnexion :
trois secondes ;

cinq secondes ;
huit secondes.
Je compare maintenant quelque chose de plus important :
que se passe-t-il pendant ces secondes ?

Si le trafic repart directement sur Internet, le VPN revient vite mais trop tard.

S’il bloque tout, la confidentialité est protégée mais le basculement devient visible dans toutes les applications.

Si le tunnel suit suffisamment bien le changement de réseau pour éviter les deux, la 5G joue enfin le rôle pour lequel je l’avais installée : prendre le relais sans créer un deuxième incident.

Le kill switch reste ma ceinture de sécurité, pas mon système de basculement

Je n’ai pas cessé de vouloir un kill switch.
Au contraire.

Si le tunnel échoue réellement et qu’aucune route protégée n’est disponible, je préfère que le trafic s’arrête plutôt qu’il sorte silencieusement avec mon adresse réelle.

Mais après ces tests, je le vois davantage comme une ceinture de sécurité.
Je veux qu’elle soit là.
Je ne veux pas avoir besoin de la bloquer à chaque changement de voie.

Le petit service conserve un compromis réel : moins de régions de serveurs, moins de recul public et moins d’évaluations indépendantes que les grandes marques établies.

Pour ce problème précis, ce n’était pourtant pas ce qui décidait du résultat.
Ma fibre avait déjà assez de débit.
Ma 5G de secours aussi.
Je n’avais pas besoin d’un meilleur Speedtest ni de dizaines de pays supplémentaires.

J’avais besoin que le tunnel comprenne que la disparition de la fibre ne signifiait pas forcément la fin de la connexion.

Depuis, je teste un VPN de secours d’une façon volontairement brutale.
Je le connecte.
Je lance une activité réelle.
Je note son adresse de sortie.

Puis je retire la fibre.

Lorsque la 5G prend le relais, je ne regarde plus seulement le temps nécessaire pour que l’application affiche « connecté ».

Je regarde ce qui est sorti pendant le passage.

Parce que si ma liaison de secours fait correctement son travail, la panne de fibre doit rester le seul incident de la journée.

Elle ne doit pas devenir, pendant deux secondes, une panne de confidentialité.