Pourquoi mon VPN professionnel devenait-il instable sur Proximus avec IPv6 actif ? Le correctif n’était pas de revenir à IPv4

J’avais trouvé la solution en moins de trente secondes, et je n’en étais pas satisfait. Dans les propriétés réseau de mon ordinateur, j’ai décoché IPv6, reconnecté le VPN professionnel et rouvert le serveur de fichiers qui se figeait depuis le début de la matinée.

Cette fois, tout a fonctionné. Plus de reconnexions. Plus de dossier bloqué au milieu du transfert. J’aurais pu m’arrêter là.

IPv6 désactivé. VPN stable. Travail terminé.

Seulement, quelque chose me dérangeait dans ce diagnostic : ma connexion Proximus fonctionnait parfaitement avec IPv6 lorsque le VPN professionnel était coupé. Et ce même VPN fonctionnait normalement depuis le partage de connexion de mon téléphone.

Ce n’était donc ni « Proximus est instable », ni « le VPN de l’entreprise est cassé ». C’était leur rencontre qui posait problème. Désactiver IPv6 supprimait le symptôme. Ça ne m’expliquait toujours pas pourquoi il existait.

Le problème est devenu plus visible au moment où la connexion elle-même s’améliorait

Le paradoxe était assez joli. Ma connexion fixe n’avait jamais été aussi rapide.

Proximus continue d’étendre massivement son réseau fibre : fin juin 2026, 2,753 millions de foyers et d’entreprises étaient raccordables, et le nombre de lignes fibre actives continuait d’augmenter.

Pour les offres professionnelles concernées, Proximus documente également une véritable configuration IPv6, avec un sous-réseau utilisé sur le LAN et, selon l’offre, un bloc IPv6 pouvant être routé vers un firewall ou un routeur interne.

Autrement dit, IPv6 n’était pas une anomalie que ma box avait inventée pendant la nuit. Il faisait partie du réseau.

Le problème ressemblait davantage à une autoroute à deux voies. Mon ordinateur pouvait utiliser IPv4 ou IPv6, tandis que le tunnel de l’entreprise semblait beaucoup plus à l’aise avec l’un de ces chemins qu’avec l’autre.

Tant que tout empruntait la bonne voie, rien ne se passait.

Mais dès qu’une application prenait l’autre, le VPN ne tombait pas forcément complètement. Il pouvait simplement commencer à se comporter bizarrement.

Et c’était exactement ce que j’avais sous les yeux.

« Connecté » pendant trois minutes, puis presque inutilisable

Le client professionnel se lançait normalement. Authentification. MFA.

Connecté. Je pouvais même ouvrir le portail interne. Puis je lançais le transfert du dossier.

Quelques mégaoctets passaient. Pause. Nouvelle progression.

Puis plus rien.

Une session distante se connectait avant de devenir extrêmement lente. Une autre application restait fonctionnelle. Teams, lui, semblait ne rien remarquer.

C’est ce mélange qui m’avait fait soupçonner successivement le Wi-Fi, Windows, le firewall et le serveur de l’entreprise.

Si le VPN avait simplement refusé de se connecter, le diagnostic aurait presque été plus facile.

L’IETF documente depuis longtemps ce type de problème sur les réseaux dual stack : un VPN peut prendre correctement en charge IPv4 sans traiter IPv6 de la même manière. Une partie du trafic dispose alors, en quelque sorte, d’une sortie latérale que le tunnel ne gère pas comme prévu.

Les applications modernes rendent le phénomène encore moins évident. Avec des mécanismes comme « Happy Eyeballs », elles peuvent tester rapidement IPv6 et IPv4 et choisir le chemin qui répond le mieux.

Pour naviguer, c’est pratique. Pour comprendre pourquoi un VPN se comporte bien dans une application et très mal dans une autre, beaucoup moins.

Je commençais enfin à comprendre pourquoi l’étiquette « Connecté » ne voulait pas forcément dire que tout mon trafic suivait le trajet que j’imaginais.

Le test IPv6 avait déjà résolu des semaines de galère chez quelqu’un d’autre

En cherchant ce symptôme précis, je suis tombé sur une discussion du forum Proximus qui ressemblait beaucoup trop à mon écran.

Un utilisateur expliquait que le VPN professionnel de sa compagne rencontrait des problèmes alors que la connexion Internet elle-même ne subissait pas de coupure. Son service informatique soupçonnait un conflit IPv6.

Un modérateur Proximus lui a suggéré un test très simple : désactiver IPv6 sur l’appareil. Il l’a fait. Le VPN est devenu stable.

Ce n’était pas une preuve que mon client professionnel souffrait exactement du même défaut. Mais c’était largement suffisant pour rendre mon propre test intéressant.

IPv6 activé : instable. IPv6 désactivé : stable. À partir de là, je savais où regarder.

Le problème, c’est que je ne voulais toujours pas garder le correctif.

Désactiver IPv6 fonctionnait trop bien pour être une bonne fin

Pendant presque une heure, j’ai travaillé avec IPv6 désactivé. Tout était propre. Le serveur de fichiers répondait.

La session distante ne gelait plus. J’ai terminé ce que j’avais à faire. Puis j’ai regardé le réglage que je venais de modifier sur un ordinateur professionnel.

Je venais, en pratique, de fermer une voie entière de mon réseau pour éviter que le VPN choisisse mal son chemin.

RFC 7359 décrit justement la désactivation d’IPv6 comme un contournement possible lorsqu’un VPN dual stack le gère mal ; l’objectif préférable reste de maîtriser correctement les deux familles de trafic.

Et c’est là que mon raisonnement a changé. Mon fournisseur d’accès me donnait IPv4 et IPv6. Tout fonctionnait ainsi jusqu’au moment où j’ouvrais le tunnel.

Je ne voulais plus adapter toute ma connexion aux limites du trajet imposé par le VPN professionnel. Je voulais voir si je pouvais changer ce trajet avant qu’il ne l’emprunte.

J’ai réactivé IPv6 avant d’essayer autre chose

C’était la partie du test qui comptait vraiment. IPv6 réactivé. Redémarrage de l’interface.

Internet normal. Puis j’ai ouvert OnlydogVPN^↗. Je ne cherchais pas à remplacer le VPN professionnel. Lui seul possédait mes certificats, mon authentification et l’accès au réseau de l’entreprise.

Je voulais agir un étage plus bas : modifier le premier chemin entre mon ordinateur et Internet, puis laisser le client professionnel faire exactement son travail habituel par-dessus.

J’ai choisi le mode destiné aux connexions problématiques et laissé l’application établir sa route. Puis j’ai lancé le VPN du travail. Authentification.

MFA. Connecté. Cette fois, je ne me suis pas laissé convaincre par le petit voyant vert.

Le problème précédent apparaissait après. J’ai donc rouvert le même dossier. Transfert.

10 %. 27 %. 51 %.

C’est à peu près là que j’attendais le ralentissement que j’avais vu toute la matinée. Il n’est pas venu. 78 %.

100 %. Dossier reçu. J’ai rouvert la session distante.

Elle est restée réactive. Puis j’ai vérifié IPv6. Toujours activé.

C’était enfin le résultat que je cherchais : pas simplement rendre le VPN professionnel stable, mais le rendre stable sans remettre ma connexion en IPv4 uniquement.

Ajouter une route semblait plus compliqué que décocher une case. En pratique, c’était l’inverse.

Sur le papier, ajouter une première connexion avant le VPN professionnel paraît être la solution sophistiquée.

Dans mon usage, elle était pourtant plus simple à vivre que le contournement. Je n’avais pas modifié la box. Je n’avais pas touché aux routes du client professionnel.

Je n’avais pas transformé IPv6 en réglage qu’il fallait penser à désactiver, puis éventuellement réactiver, chaque fois que je changeais de réseau.

Le petit service utilise un transport basé sur HTTP/3, avec une couche d’obfuscation et une logique de récupération conçue pour mieux supporter les chemins réseau qui changent ou se comportent mal.

Le fonctionnement interne exact du réseau Proximus n’était plus la question qui m’intéressait le plus. J’avais devant moi un test beaucoup plus parlant. Proximus + IPv6 + VPN professionnel directement :

transfert irrégulier, session distante instable. Même connexion, même IPv6, mais avec la première route établie avant le VPN professionnel : dossier terminé et session distante utilisable.

Le tunnel de l’entreprise n’avait pas changé. Son chemin d’accès, oui. Et contrairement à la désactivation d’IPv6, ce changement ne m’obligeait pas à dégrader le reste de ma connexion pour satisfaire le VPN.

Le lendemain, je n’ai plus touché au réglage IPv6

C’est finalement ce détail qui m’a fait garder la petite application. Le lendemain matin, j’ai ouvert le portable sans penser immédiatement au dépannage de la veille. IPv6 était activé.

Comme il devait l’être. J’ai lancé la première connexion, puis le VPN du travail. Le serveur s’est ouvert.

Je suis passé à autre chose. Cette absence de manipulation comptait davantage que je ne l’aurais pensé. Mon premier réflexe avait été de faire entrer mon réseau moderne dans la configuration que le VPN professionnel supportait le mieux.

Après le test, j’ai préféré faire l’inverse : laisser Proximus fonctionner en dual stack et donner au tunnel un chemin sur lequel il restait utilisable.

Le service plus petit possède moins de localisations et moins d’années d’exploitation publique que les grands fournisseurs. Si mon objectif avait été de choisir entre des dizaines de pays ou des villes de sortie très précises, j’aurais regardé ces différences de beaucoup plus près.

Mais ce n’était pas mon problème. Je disposais déjà du seul VPN professionnel que mon employeur m’autorisait à utiliser. Je ne pouvais pas le remplacer.

La seule chose que je pouvais réellement améliorer était la connexion située devant lui. Désactiver IPv6 avait stabilisé mon VPN en supprimant l’une des deux voies. L’autre approche l’avait stabilisé sans me demander de fermer cette voie.

C’est la distinction que je retiens désormais lorsqu’un VPN professionnel devient instable dès que l’IPv6 apparaît.

Je ne commence plus par demander comment revenir à IPv4. Je vérifie d’abord si le VPN a simplement besoin d’un meilleur chemin pour fonctionner sur le réseau que j’ai déjà.