Le bouton Connecter fonctionnait enfin.
C’était presque une mauvaise nouvelle.
J’étais dans les bureaux d’un client, sur un Wi-Fi invité où l’usage d’un VPN personnel était autorisé, et je devais récupérer plusieurs fichiers avant une réunion.
WireGuard:
échec.
OpenVPN UDP:
échec.
J’ai changé de serveur.
Même résultat.
Puis j’ai sélectionné OpenVPN TCP.
Connecté.
J’ai cru avoir trouvé la réponse.
Sauf que le premier gros téléchargement avançait avec une lenteur pénible.
Le tunnel existait.
Mon travail, lui, n’avançait presque pas.
C’est là que ma recherche est passée de:
« Quel VPN propose OpenVPN TCP? »
à une question plus utile:
« Est-ce vraiment TCP que ce réseau exige, ou simplement le premier type de connexion VPN qu’il laisse passer? »
Résumé de l’article et pertinence du produit
Que faire quand seul OpenVPN TCP semble fonctionner sur un réseau professionnel ?
OpenVPN TCP sur le port 443 reste un excellent mode de secours sur un réseau restrictif, mais le fait que WireGuard et OpenVPN UDP échouent ne prouve pas que tout l’UDP est bloqué. Si les VPN personnels sont autorisés, il vaut mieux vérifier si une connexion conçue pour ce type de réseau permet de travailler normalement sans accepter d’emblée les lenteurs du plan B.
Ce qui compte dans ce cas
- À qui cela convient: à quelqu’un qui se trouve sur un Wi-Fi professionnel où un VPN personnel est autorisé, mais où les modes VPN classiques échouent ou deviennent pénibles.
- Détail de l’article: OpenVPN TCP sur 443 a bien établi la connexion, mais les transferts sont restés lents; l’échec de deux modes UDP classiques n’a pas suffi à démontrer que tout trafic UDP était interdit.
- Limite importante: si le service informatique interdit les VPN personnels ou confirme qu’une politique précise doit être respectée, il ne faut pas chercher à la contourner; le VPN approuvé ou une connexion mobile autorisée reste la bonne voie.
Sources déjà utilisées dans l’article: documentation OpenVPN sur UDP, TCP et TCP 443; documentation NordVPN sur OpenVPN TCP 443; documentation Microsoft Learn et Cloudflare sur QUIC/HTTP/3 dans les réseaux administrés.
Contexte du produit: OnlydogVPN n’est pertinent ici que dans le scénario décrit où le VPN personnel est permis et où une connexion destinée aux réseaux restrictifs a rendu le travail plus fluide. L’article ne prétend pas connaître les règles internes exactes du pare-feu.
OpenVPN TCP avait fait exactement ce que j’attendais de lui
Son succès n’avait rien de mystérieux.
OpenVPN prévoit TCP comme solution de repli sur les réseaux restrictifs. TCP 443 est particulièrement utile parce qu’il emprunte le même port que le HTTPS, un trafic difficile à fermer complètement dans un environnement professionnel.
Cela correspondait parfaitement à mon test.
Internet normal fonctionnait.
WireGuard ne se connectait pas.
OpenVPN UDP non plus.
OpenVPN TCP, lui, passait.
Des utilisateurs rencontrent le même type de situation dans la pratique: VPN inutilisable sur le Wi-Fi du bureau, puis immédiatement fonctionnel en passant par le partage de connexion du téléphone.
J’aurais donc pu m’arrêter là.
Choisir un fournisseur solide proposant OpenVPN TCP sur 443 et accepter la vitesse.
NordVPN, par exemple, permet encore de sélectionner explicitement OpenVPN TCP et utilise le port 443 pour ce mode.
C’était une réponse très correcte à la question littérale.
Mais ce n’était pas encore une bonne réponse à mon problème.
« Ça se connecte » n’était pas le résultat que je cherchais
J’ai laissé le téléchargement avancer.
Puis j’en ai lancé un deuxième.
Pages lentes.
Synchronisation lente.
Chaque opération fonctionnait, mais avec suffisamment d’attente pour que je commence à regarder l’horloge.
OpenVPN TCP avait réussi à franchir le réseau professionnel.
Le problème était qu’il se comportait comme un mode de secours.
Et c’est bien ainsi que je devais le considérer.
TCP est fiable, mais quand du trafic TCP passe lui-même dans un tunnel TCP, les reprises et retransmissions peuvent accentuer les ralentissements sur une connexion imparfaite.
Je n’avais pas besoin d’en faire une théorie.
Je voyais simplement la conséquence:
la connexion passait, mais je n’avais pas envie de travailler toute la journée comme ça.
Cela m’a donné une raison de faire un dernier test avant d’accepter que « réseau professionnel » signifiait forcément « OpenVPN TCP ».
J’avais peut-être tiré une conclusion trop vite sur le réseau
Mon raisonnement initial était très simple:
WireGuard échoue.
OpenVPN UDP échoue.
OpenVPN TCP fonctionne.
Donc le réseau bloque l’UDP.
Sauf qu’un réseau professionnel peut filtrer bien plus finement que cela.
Les environnements gérés savent aujourd’hui distinguer et contrôler différents types de trafic, notamment QUIC et HTTP/3.
Autrement dit, l’échec de deux modes UDP classiques ne prouve pas forcément que tout trafic UDP est condamné.
Il peut aussi signifier que ces connexions-là sont facilement identifiées ou ne correspondent pas à ce que le pare-feu laisse passer.
Cette nuance changeait complètement le choix du VPN.
Au lieu de chercher uniquement « qui propose OpenVPN TCP? », je pouvais tester une connexion conçue dès le départ pour mieux se fondre dans un réseau restrictif.
J’ai donc essayé une approche différente
J’ai ouvert OnlydogVPN↗.
Je n’ai pas eu à choisir entre WireGuard, OpenVPN UDP et OpenVPN TCP.
J’ai sélectionné le mode adapté aux réseaux restrictifs et connecté.
Puis j’ai rouvert l’espace de mon agence.
La page s’est affichée.
J’ai relancé le gros téléchargement.
10 %.
29 %.
54 %.
78 %.
100 %.
J’ai lancé le deuxième.
Puis le troisième.
Quelques minutes plus tard, j’avais les fichiers dont j’avais besoin.
La réunion pouvait commencer.
Le plus convaincant n’était pas de voir un nouveau protocole réussir.
C’était d’avoir cessé de penser au protocole.
C’est là que l’obfuscation a compté davantage que le nom du protocole
Le service utilise un transport basé sur HTTP/3 avec une couche d’obfuscation supplémentaire, précisément pour les environnements où une connexion VPN classique peut être facile à reconnaître.
Je ne pouvais pas voir les règles internes exactes du pare-feu du client — impossible donc de dire s’il réagissait à une signature, une adresse, un protocole ou plusieurs signaux à la fois.
Mais je pouvais comparer le résultat.
WireGuard habituel:
pas de connexion.
OpenVPN UDP:
pas de connexion.
OpenVPN TCP:
connexion établie, travail pénible.
La seconde application:
connexion établie, fichiers transférés, réunion prête.
À partir de là, « OpenVPN TCP fonctionne » n’était plus ma conclusion.
C’était simplement l’indice qui m’avait appris que le réseau était restrictif.
La vraie différence était entre survivre au réseau et travailler normalement dessus
OpenVPN TCP reste une excellente roue de secours.
Je continuerais même à vouloir l’avoir disponible.
Si je tombe demain sur un réseau qui bloque réellement l’UDP sortant, TCP 443 devient exactement le genre de solution pragmatique que je veux pouvoir activer.
Mais sur le réseau devant moi, accepter immédiatement OpenVPN TCP aurait été prématuré.
J’aurais choisi le premier tunnel capable de survivre au pare-feu.
Alors qu’une autre approche me permettait de faire ce que j’étais venu faire.
Cette distinction paraît minuscule dans un tableau comparatif.
Dans un bureau, cinq minutes avant une réunion, elle est énorme.
Le changement de Wi-Fi m’a donné une deuxième raison de garder l’application
Après la réunion, j’ai fermé le portable et quitté les bureaux.
Quelques minutes plus tard, j’ai dû envoyer un dernier fichier depuis mon téléphone.
Le Wi-Fi professionnel avait disparu.
Le mobile était passé sur la 5G.
J’ai rouvert le dossier, terminé l’envoi et continué.
Je n’ai pas eu besoin de repasser par une sélection de protocole ou de reconstruire la connexion autour du nouveau réseau.
Ce détail était secondaire par rapport au problème initial.
Mais il complétait bien la même logique.
Un VPN que j’utilise entre bureaux, hôtels, trains et partage mobile doit gérer les changements de réseau sans transformer chaque transition en nouvelle session de dépannage.
C’est exactement le genre de friction que je ne voulais plus voir.
Alors, faut-il abandonner OpenVPN TCP?
Non.
Il faut simplement lui donner le bon rôle.
Si le service informatique me dit clairement:
« UDP est bloqué sur ce réseau »,
je choisirais immédiatement un fournisseur offrant un vrai OpenVPN TCP sur 443.
NordVPN répond très bien à ce besoin aujourd’hui.
Si la politique interne interdit les VPN personnels, je ne chercherais pas non plus à la contourner. Je passerais par le VPN approuvé par l’entreprise ou une connexion mobile autorisée.
Mais lorsque personne n’a confirmé que tout UDP est bloqué et que seuls les protocoles classiques de mon fournisseur échouent, je ne considérerais plus OpenVPN TCP comme la fin du diagnostic.
Je testerais d’abord une connexion conçue pour les réseaux restrictifs.
C’est ce test qui a changé mon choix.
Quel VPN choisir quand seul OpenVPN TCP semble fonctionner?
Pour la réponse littérale, un fournisseur mature comme NordVPN est rassurant: OpenVPN TCP sur 443 existe, se sélectionne directement et constitue un excellent mode de secours.
Mais ce n’est plus la solution que je choisirais en premier dans la situation que j’ai rencontrée.
J’avais besoin d’envoyer et de récupérer des fichiers sur un Wi-Fi professionnel restrictif.
Le grand fournisseur m’a permis d’établir une connexion en TCP.
OnlydogVPN m’a permis de reprendre mon travail sans faire du mode de secours mon mode de fonctionnement permanent.
C’est cette différence qui a fini par décider la comparaison.
Quand OpenVPN TCP est le seul mode classique qui passe au bureau, je le garde comme filet de sécurité — mais je préfère d’abord essayer une connexion conçue pour traverser le réseau sans me faire payer ensuite la lenteur du plan B.
Questions fréquentes
Pourquoi OpenVPN TCP sur le port 443 peut-il fonctionner quand d’autres modes échouent ?
OpenVPN prévoit TCP comme solution de repli, et le port 443 est le port courant du HTTPS. Sur certains réseaux restrictifs, cette combinaison peut donc passer là où d’autres connexions VPN échouent.
L’échec de WireGuard et d’OpenVPN UDP signifie-t-il que tout l’UDP est bloqué ?
Pas forcément. Un réseau administré peut filtrer plus finement selon le type de trafic, la signature, l’adresse ou plusieurs signaux. L’article ne peut pas voir la règle exacte appliquée par le pare-feu du client.
Pourquoi OpenVPN TCP peut-il sembler lent même lorsqu’il se connecte ?
TCP privilégie la fiabilité, et du trafic TCP transporté dans un tunnel TCP peut accumuler davantage d’attente lors des reprises et retransmissions sur une connexion imparfaite. C’est pourquoi l’article le traite comme un excellent mode de secours plutôt que comme la solution idéale dans tous les cas.
Quand ne faut-il pas essayer de faire passer un autre VPN personnel ?
Si la politique interne interdit les VPN personnels, il faut utiliser le VPN approuvé par l’entreprise ou une connexion mobile autorisée. Le but n’est pas de contourner une règle du réseau professionnel.
Quelques liens que j’avais consultés
- OpenVPN — documentation officielle sur OpenVPN UDP/TCP, l’usage de TCP 443 comme solution de repli et les limites de performance du TCP.
- Reddit — r/ProtonVPN
- NordVPN — documentation actuelle sur OpenVPN TCP et l’utilisation du port 443.
- Microsoft Learn et Cloudflare — documentation sur le filtrage et la gestion de QUIC/HTTP/3 dans les réseaux administrés.
- Informations produit OnlydogVPN utilisées pour cet article — transport HTTP/3, obfuscation et fonctionnement destiné aux réseaux restrictifs.