Pourquoi un VPN est-il beaucoup plus lent sur le routeur que sur le même ordinateur ? J’avais confondu débit du routeur et débit de chiffrement

J’avais enfin réussi à faire exactement ce que je voulais : un seul VPN dans le routeur, et toute la maison passait derrière. Téléphone, ordinateur, télévision, tout était couvert sans ouvrir une application sur chaque appareil. Puis j’ai lancé un test de débit depuis mon ordinateur connecté en Ethernet. Environ 140 Mb/s. J’ai coupé le VPN du routeur, lancé le client VPN directement sur ce même ordinateur et recommencé.

Plusieurs centaines de mégabits sont revenus immédiatement. Même fibre. Même câble. Même machine. Je pensais que le fournisseur traitait différemment les connexions de routeur. La vraie différence se trouvait beaucoup plus près de moi : ce n’était plus le même appareil qui faisait le travail du VPN.

Ma fibre n’était soudainement plus le chiffre intéressant

Le contraste est devenu plus visible parce que ma connexion fixe est désormais beaucoup plus rapide que ce dont mon ancien routeur avait été conçu pour profiter. Fin 2025, la France comptait 27,1 millions d’abonnements fibre, soit 82 % des abonnements internet fixes. Avec ce type de connexion, on peut facilement se retrouver avec une situation étrange : sans VPN : près du gigabit ;

VPN dans l’ordinateur : encore plusieurs centaines de Mb/s ; VPN dans le routeur : une fraction de ce débit. Mon premier réflexe avait été de chercher du côté du serveur VPN. Serveur plus proche. Autre ville.

Redémarrage du routeur. Ethernet au lieu du Wi-Fi. Même phénomène. Puis j’ai fait le test qui a tout simplifié : lorsque le tunnel tournait directement sur l’ordinateur, le débit remontait. Le serveur n’avait pas changé de personnalité en trente secondes.

J’avais simplement déplacé le travail de chiffrement d’une petite boîte réseau vers une machine beaucoup plus puissante.

À partir de là, le problème n’était plus vraiment « pourquoi mon VPN est-il lent ? ». Il devenait : « pourquoi mon routeur plafonne-t-il dès qu’on lui demande de faire le VPN lui-même ? »

Un routeur peut transférer 1 Gb/s sans savoir chiffrer 1 Gb/s

C’est le point que les fiches techniques rendent faciles à rater. Mon routeur avait des ports rapides. Son Wi-Fi promettait des débits largement supérieurs à ceux que j’obtenais. Je m’étais donc dit : si le routeur sait transporter autant de données, pourquoi serait-il responsable du ralentissement ?

Parce que transporter un paquet et faire fonctionner un VPN sur ce paquet sont deux travaux différents. Sans tunnel, le routeur reçoit les données et les fait passer. Avec le VPN exécuté directement dessus, il doit en plus encapsuler, chiffrer et déchiffrer le trafic en continu.

OpenVPN avertit justement que les routeurs peuvent offrir des performances plus faibles lorsqu’ils deviennent eux-mêmes le point de terminaison VPN, notamment à cause de leur puissance de calcul et de leur mémoire plus limitées.

L’image qui m’a aidé à le comprendre est simple. Un routeur normal ressemble à un centre de tri qui fait passer les colis sur un tapis roulant. Un routeur qui exécute le VPN doit, en plus, emballer et déballer chaque colis dans une enveloppe sécurisée. Le tapis peut aller très vite. La table d’emballage peut devenir le goulot d’étranglement.

Et c’est exactement ce que mon test était en train de mesurer.

Le chiffre « AX3000 » sur la boîte ne répondait pas à la bonne question

J’ai fini par regarder les caractéristiques de routeurs conçus précisément pour les utilisateurs de VPN. Le contraste est parlant.

Le GL.iNet Beryl AX possède un port WAN 2,5 Gb/s et annonce jusqu’à 2 402 Mb/s sur sa bande Wi-Fi 5 GHz. Pourtant, ses débits VPN annoncés sont bien plus bas : jusqu’à environ 150 Mb/s avec OpenVPN et 300 Mb/s avec WireGuard.

Même appareil. Trois chiffres très différents. Ce n’est pas une contradiction. Les premiers décrivent ce que ses interfaces réseau peuvent transporter. Les seconds décrivent ce que le routeur peut traiter lorsqu’il doit faire le travail cryptographique du VPN.

Un modèle beaucoup plus puissant comme le Flint 2 annonce, lui, jusqu’à 900 Mb/s avec WireGuard et 880 Mb/s en OpenVPN avec DCO. C’est là que j’ai cessé de demander :

« Mon routeur est-il gigabit ? »

La question utile était devenue :

« Quel débit ce routeur peut-il réellement tenir lorsqu’il est lui-même le client VPN ? »

Ce chiffre-là est beaucoup plus proche de ce que je verrai à l’écran.

J’ai changé de protocole et j’ai cru avoir trouvé la solution

Mon deuxième essai était donc logique. J’utilisais OpenVPN sur le routeur. Je suis passé à WireGuard. Le débit s’est nettement amélioré. Je me suis dit que l’affaire était réglée.

Puis j’ai relancé exactement le même usage avec le VPN directement sur l’ordinateur. L’écart était encore là. Plus petit. Mais évident. C’est ce qui m’a fait comprendre que deux choses comptaient en même temps :

le protocole, et la machine qui l’exécute.

Les évolutions d’OpenVPN avec Data Channel Offload montrent bien à quel point cela peut changer le résultat. DCO déplace une partie importante du traitement du trafic dans le noyau Linux afin d’éviter des passages inutiles entre différentes couches du système et de réduire la charge CPU.

Pas besoin d’en faire un cours de système d’exploitation. L’idée utile est simplement celle-ci :

si le trajet du paquet demande moins de travail au processeur, le routeur peut traiter davantage de trafic.

Autrement dit, un routeur récent et bien optimisé peut aller très vite. Mais aucun changement de protocole ne transforme magiquement un processeur modeste en processeur d’ordinateur portable. Je suis ensuite tombé sur une discussion publiée sur r/VPN en mai 2026. La question ressemblait presque exactement à la mienne : à quel point le processeur du routeur limite-t-il réellement les performances du VPN ?

Un participant y décrivait un écart important entre un ancien ASUS, un routeur GL.iNet plus récent et le VPN exécuté directement sur son PC. Sur sa configuration, le PC restait largement devant l’ancien routeur.

Ce témoignage ne m’apprenait pas une nouvelle théorie.

Il m’apportait quelque chose de plus utile : la confirmation que l’on peut passer beaucoup de temps à changer les serveurs, les câbles et les paramètres avant de regarder l’endroit où le chiffrement est réellement effectué.

C’était exactement ce que j’avais fait. Et cela expliquait aussi pourquoi le routeur semblait parfaitement performant dès que le VPN était coupé. Sans VPN, il gérait ma fibre sans difficulté. Plusieurs appareils connectés. Vidéo.

Téléchargements. Rien d’alarmant. Puis j’activais le tunnel et le plafond apparaissait presque immédiatement. J’avais tendance à interpréter cela comme une panne du VPN. En réalité, c’était plutôt un plafond de traitement.

Imaginez une autoroute capable d’absorber mille voitures par minute. Ajoutez un poste de contrôle où chaque voiture doit ralentir avant de continuer. L’autoroute n’est pas devenue plus étroite. Le débit final dépend maintenant du poste de contrôle. Une fois que j’ai compris ça, essayer un douzième serveur ou payer une connexion encore plus rapide n’avait plus beaucoup de sens.

Il restait une question plus pratique : est-ce que j’avais vraiment besoin que ce soit le routeur qui fasse ce travail ?

Je n’avais pas envie de remplacer un routeur fonctionnel uniquement pour mon ordinateur

À ce stade, deux solutions étaient raisonnables. La première : acheter un routeur beaucoup plus puissant pour le VPN. Si mon objectif avait été de faire passer en permanence une télévision, une console, des objets connectés et toute la maison derrière le même tunnel, cela aurait eu du sens. Mais mon besoin de gros débit concernait surtout mon ordinateur.

C’était lui qui téléchargeait de gros fichiers. Lui qui synchronisait mon stockage cloud. Lui qui avait largement assez de puissance pour exécuter le VPN sans transformer le chiffrement en goulot d’étranglement. J’allais donc acheter une nouvelle boîte réseau pour éviter d’installer une application sur la machine la mieux équipée pour faire le travail.

À force de le formuler comme ça, la solution devenait assez évidente.

J’ai gardé le routeur et déplacé uniquement le travail qui le ralentissait

C’est là que OnlydogVPN^↗ est entré dans le test. J’ai désactivé le tunnel global du routeur. Le routeur a continué à faire ce qu’il faisait déjà très bien : distribuer ma connexion dans la maison. Puis j’ai lancé l’application directement sur l’ordinateur et choisi le mode destiné à obtenir automatiquement une connexion rapide. Je n’ai pas sélectionné manuellement un protocole.

Je n’ai pas commencé à tester dix villes. Connexion. J’ai repris le gros téléchargement qui m’avait fait remarquer le problème. Le débit est remonté à plusieurs centaines de mégabits. J’ai lancé une vidéo pendant que la synchronisation continuait.

Elle est partie normalement. Puis j’ai arrêté de regarder le graphique.

C’était exactement le résultat que je cherchais depuis le début : laisser la machine puissante faire le travail lourd, au lieu de remplacer tout le réseau pour essayer de rendre le routeur aussi rapide qu’elle.

Le petit service n’avait pas rendu mon routeur plus rapide. Il avait rendu inutile le fait de lui demander ce travail. Et, dans mon cas, c’était bien plus efficace. C’était l’avantage du tunnel centralisé que je ne voulais pas perdre. Avec un VPN installé sur le routeur, je connectais un nouvel appareil au Wi-Fi et il héritait automatiquement du tunnel.

Terminé. Installer et reconnecter un VPN appareil par appareil pouvait facilement devenir la nouvelle corvée. Après avoir récupéré le débit sur l’ordinateur, j’ai donc essayé sur mon téléphone. Le service permet de partager l’accès par code, sans devoir retaper sur chaque appareil le schéma traditionnel adresse e-mail et mot de passe. Quelques instants plus tard, le téléphone avait lui aussi sa connexion.

Le routeur, lui, n’avait toujours rien à chiffrer. C’est ce détail qui a rendu le changement durable pour moi. Je récupérais une bonne partie de la simplicité que j’avais cherchée avec le VPN sur routeur, sans replacer le goulot d’étranglement au centre de toute la maison.

Le VPN sur routeur garde malgré tout un vrai intérêt

Je ne retirerais pas le VPN d’un routeur dans tous les cas. Il reste extrêmement pratique pour les appareils qui ne savent pas exécuter eux-mêmes une application VPN : téléviseurs, consoles, certains objets connectés,

ou simplement un réseau où tout doit toujours sortir par la même connexion. Dans ce cas, je regarderais désormais trois choses avant d’acheter : le débit VPN réel annoncé, le protocole utilisé, et les éventuelles accélérations matérielles ou logicielles.

Pas seulement la norme Wi-Fi ou la vitesse des ports. Le petit service a aussi sa limite : moins de régions et moins d’historique public qu’un grand fournisseur établi. Pour construire un réseau domestique entièrement piloté depuis le routeur, je donnerais davantage de poids à un matériel et à un fournisseur documentés précisément pour ce montage. Mais ce n’était pas mon problème.

Mon ordinateur savait déjà faire mieux. Et je n’avais aucune raison de ralentir toute la maison pour éviter d’utiliser cette puissance.

Ce que j’ai fini par comprendre

Parce que lorsque le VPN tourne sur le routeur, c’est le routeur qui doit traiter le tunnel pour tout le trafic. Ses ports Ethernet peuvent être gigabit. Son Wi-Fi peut afficher AX3000, AX6000 ou davantage. Cela ne signifie pas que son processeur peut chiffrer et déchiffrer un flux VPN au même débit.

WireGuard, OpenVPN DCO et un matériel plus puissant peuvent améliorer énormément le résultat. Mais le test qui m’a donné la réponse n’avait rien de sophistiqué. Même ordinateur. Même câble. VPN dans le routeur : lent.

VPN directement dans l’ordinateur : rapide. Je pensais devoir trouver un serveur capable de mieux exploiter ma fibre.

J’avais surtout besoin d’arrêter de demander à mon routeur de chiffrer à la vitesse d’un ordinateur qui se trouvait déjà à cinquante centimètres de lui.