Peut-on créer un VPN site-à-site entre deux Internet-Box Swisscom ? Deux menus WireGuard ne font pas encore un pont entre deux maisons

J’avais deux Internet-Box. Deux connexions Swisscom. Et, sur les deux sites, un menu VPN. Je pensais donc avoir déjà 90 % de la solution.

L’appartement de Lausanne contenait mon NAS principal. Dans le Valais, un petit serveur devait recevoir automatiquement une copie nocturne de certains dossiers. Je voulais aussi pouvoir atteindre une imprimante et deux interfaces d’administration depuis l’autre maison sans lancer manuellement un VPN sur chaque ordinateur.

En clair, je voulais que les deux réseaux se connaissent. Pas que mon portable « rentre à la maison » pendant une heure. Je voulais que :

192.168.10.0/24

puisse parler à :

192.168.20.0/24

en permanence. Lorsque j’ai vu WireGuard dans l’Internet-Box 5 Pro, mon raisonnement a été immédiat : Box A possède WireGuard. Box B possède WireGuard. Je vais donc présenter les deux box l’une à l’autre. C’est à ce moment-là que mon projet de dix minutes a changé de nature.

Le VPN de l’Internet-Box faisait bien ce qu’il promettait — simplement pas ce que j’imaginais

La documentation de Swisscom prévoit bien WireGuard sur les Internet-Box compatibles.

J’ai activé le serveur VPN sur la première box. Puis j’ai créé un accès WireGuard. La box m’a donné une configuration. Tout semblait parfait jusqu’au moment où j’ai regardé ce que Swisscom me demandait d’en faire. Sur iPhone : installer l’application WireGuard et scanner le QR code. Sur Android : même logique.

Sur Mac ou Windows : télécharger le fichier de configuration et l’importer dans le client WireGuard.

Swisscom présente donc cette fonction comme un accès destiné à des appareils distants. C’était la phrase qui me manquait. La fonction intégrée répondait très bien à :

« Comment connecter un appareil distant à mon réseau domestique ? »

Moi, je cherchais à résoudre :

« Comment connecter un réseau domestique entier à un autre réseau domestique entier ? »

Ce n’est pas la même topologie.

Et le piège devient encore plus facile avec une Internet-Box récente : elle possède suffisamment de performances réseau pour donner l’impression qu’il ne manque plus qu’un bouton.

Le problème n’était pourtant pas la puissance de la box.

Il me manquait surtout le routage entre les deux LAN.

Un site-à-site ne relie pas deux ordinateurs, il relie deux panneaux indicateurs

J’ai fini par comprendre la différence avec une image beaucoup plus simple. Un VPN d’accès distant dit : « Cet ordinateur peut entrer dans mon réseau. » Un VPN site-à-site dit :

« Tout ce qui cherche le réseau B doit prendre ce tunnel, et tout ce qui cherche le réseau A doit repartir dans l’autre sens. »

Pour que cela fonctionne, les passerelles des deux côtés doivent savoir quels sous-réseaux se trouvent derrière leur pair.

C’est exactement ce que montrent les configurations WireGuard site-à-site classiques : chaque extrémité connaît le réseau distant et sait que ce trafic doit passer dans le tunnel.

WireGuard sait transporter des sous-réseaux entiers.

Mais voir « WireGuard » dans l’interface d’un routeur ne signifie pas automatiquement que ce routeur expose les fonctions nécessaires pour devenir une passerelle site-à-site.

Dans l’Internet-Box, je pouvais créer un accès pour mon Mac. Je ne trouvais pas l’équivalent de : « Le pair situé à l’autre bout représente tout le LAN 192.168.20.0/24. » Et sans cette notion, j’avais un excellent moyen de rentrer dans une maison. Pas encore un pont entre les deux.

J’ai essayé de tricher avec un ordinateur laissé allumé

Ma première solution de contournement paraissait acceptable.

J’ai installé le client WireGuard sur le petit serveur du Valais et lui ai donné un profil permettant de rejoindre Lausanne.

Connexion. Handshake. Depuis ce serveur, je pouvais atteindre le NAS. J’ai lancé une copie. Elle fonctionnait. Pendant quelques minutes, j’ai cru que j’avais résolu le problème. Puis j’ai essayé depuis un autre ordinateur du même réseau valaisan. Rien. L’imprimante ne connaissait pas le tunnel. Le second ordinateur non plus.

Le serveur était entré dans le réseau distant.

Le réseau situé derrière le serveur n’y était pas entré avec lui.

Je pouvais transformer cette machine en routeur : activer le forwarding, ajouter des routes et gérer le pare-feu.

Mais à ce moment-là, je n’utilisais plus simplement le VPN de l’Internet-Box.

J’étais en train de construire moi-même la passerelle site-à-site qui me manquait.

Des discussions de la communauté Swisscom autour de configurations similaires arrivent au même point : l’accès VPN individuel de l’Internet-Box ne remplace pas une véritable fonction de liaison permanente entre deux LAN.

J’avais enfin arrêté d’essayer de faire entrer la mauvaise forme de tunnel dans le bon menu.

Et avant d’acheter quoi que ce soit, un autre détail m’a sauté aux yeux.

Les deux maisons avaient exactement la même adresse

Lausanne :

192.168.1.x

Valais :

192.168.1.x

Évidemment.

Les deux Internet-Box avaient été installées séparément avec le même plan d’adressage domestique.

Pour Internet, cela ne posait aucun problème.

Pour relier les deux LAN, c’était comme avoir deux rues portant exactement le même nom et les mêmes numéros.

Si un appareil demande :

192.168.1.50

de quel côté faut-il l’envoyer ?

Ce problème revient régulièrement dans les configurations VPN domestiques : lorsque le réseau local et le réseau distant utilisent le même sous-réseau, le système ne sait plus quelle destination est réellement distante.

J’ai donc corrigé cela avant le reste.

Lausanne est devenu :

192.168.10.0/24

Le Valais :

192.168.20.0/24

Cette fois, une route vers 192.168.20.0/24 voulait dire quelque chose d’unique.

Et seulement à ce moment-là, ajouter deux vraies passerelles avait du sens.

Deux petites passerelles ont fait ce que je demandais aux Internet-Box

J’ai finalement cessé d’essayer de faire terminer le site-à-site directement sur les box Swisscom.

J’ai placé à chaque emplacement un équipement capable de gérer WireGuard et le routage entre sous-réseaux.

Les Internet-Box continuaient à faire ce qu’elles faisaient déjà très bien : donner accès à Internet.

Le lien privé entre mes deux LAN appartenait désormais aux deux passerelles prévues pour cela. Chaque côté connaissait le sous-réseau de l’autre. Les routes pointaient vers le tunnel. Les règles de pare-feu autorisaient seulement les communications dont j’avais besoin.

Puis j’ai commencé par le test qui m’intéressait depuis le début. Depuis le Valais : NAS de Lausanne. Réponse. J’ai ouvert un partage. Puis, depuis Lausanne, j’ai atteint l’interface du serveur situé dans le Valais.

Enfin, j’ai lancé la tâche de sauvegarde et fermé l’ordinateur depuis lequel je faisais les essais.

C’était le test important. Quelques minutes plus tard, la copie continuait. Le site-à-site ne dépendait plus de mon portable. Le lendemain matin, les fichiers étaient arrivés. C’était enfin un réseau qui parlait à un autre réseau. Pas un utilisateur VPN que j’avais artificiellement laissé connecté toute la nuit.

Une discussion publique sur r/homelab décrivait justement ce type de besoin : un NAS accessible lorsqu’on lance manuellement un VPN, alors que le vrai objectif est que les machines du second emplacement puissent l’atteindre en permanence.

C’est précisément la différence qui m’avait fait perdre du temps.

Swisscom sait d’ailleurs très bien nommer la fonction lorsqu’elle est présente

Ce détail a fini de confirmer mon diagnostic.

Sur son matériel professionnel Centro Business, Swisscom documente explicitement des fonctions de VPN site-à-site.

Autrement dit, « VPN » et « site-à-site » ne sont pas deux façons de nommer la même chose. Le second implique une vraie fonction de routage entre réseaux. Sur l’Internet-Box résidentielle, la documentation me guide surtout vers des appareils clients.

Sur le matériel où le site-à-site est prévu, Swisscom le présente comme une fonction distincte.

À partir de là, ma réponse à la question initiale est devenue simple :

avec seulement les fonctions VPN intégrées des Internet-Box résidentielles, je ne compterais pas sur les deux box pour construire à elles seules un vrai tunnel site-à-site entre les deux LAN.

Je garderais les box pour l’accès Internet et j’ajouterais des passerelles capables de gérer explicitement le routage intersite — ou je choisirais un équipement où cette fonction est prévue dès le départ.

J’ai ensuite failli faire passer tout Internet dans ce tunnel

Une fois le lien fonctionnel, une autre idée m’est venue.

Puisque le Valais pouvait atteindre Lausanne, pourquoi ne pas envoyer également toute la navigation Internet du Valais dans le tunnel ?

Après tout, j’avais « un VPN ». C’était exactement le genre de raccourci qui m’avait amené au mauvais endroit au début. Mon site-à-site avait une tâche très claire : NAS. Sauvegardes. Interfaces internes. Quelques appareils privés.

Je n’avais aucune raison d’y ajouter YouTube, les mises à jour des téléphones, la télévision et toute la navigation de chaque personne présente dans la seconde maison.

Cela aurait transformé un lien privé simple à comprendre en sortie Internet générale.

J’ai donc gardé les routes étroites.

192.168.10.0/24 d’un côté.

192.168.20.0/24 de l’autre.

Le reste continuait à sortir localement.

C’est aussi à ce moment-là que le rôle de la petite application installée sur mon portable est devenu plus clair.

Je lui avais presque demandé le mauvais travail.

Pour mon téléphone ou mon ordinateur, lorsque je veux simplement protéger la connexion Internet de l’appareil sans toucher à l’architecture des deux maisons, je peux ouvrir l’application, lancer la connexion et laisser cet appareil utiliser son propre tunnel.

Elle ne remplace pas le site-à-site. Et c’est justement ce qui rend l’ensemble plus propre. Le site-à-site s’occupe de mes réseaux privés. La petite application s’occupe du portable que j’ai devant moi.

Je n’ai plus besoin de faire passer toute une maison par l’autre simplement parce que je veux protéger une session de travail sur mon Mac.

Le service offre moins de régions de sortie et moins d’historique public que les grands fournisseurs établis, ce qui compterait davantage si mon objectif était de choisir manuellement beaucoup de localisations.

Ici, ce n’était pas le problème.

Je voulais surtout éviter de mélanger deux architectures qui n’avaient pas le même rôle.

Les deux Internet-Box n’étaient finalement pas les deux extrémités du tunnel

J’avais commencé avec une idée très séduisante : deux Internet-Box, WireGuard sur les deux, donc un tunnel entre les deux. La réalité est plus précise.

Le VPN intégré de l’Internet-Box est très utile pour faire entrer des appareils distants dans un réseau domestique.

Un véritable site-à-site demande autre chose : deux passerelles capables de représenter des sous-réseaux entiers, des plans d’adressage qui ne se chevauchent pas et des routes qui continuent à fonctionner même lorsqu’aucun ordinateur portable n’est connecté.

Une fois ces rôles séparés, mon montage est devenu beaucoup moins mystérieux. Les Internet-Box fournissent Internet. Les deux passerelles relient Lausanne au Valais. Et le VPN de mon portable reste le VPN de mon portable. Le test final n’était pas de voir deux icônes WireGuard devenir vertes.

C’était de fermer mon ordinateur à Lausanne et de constater, le lendemain matin, que le NAS avait continué à sauvegarder ses fichiers dans le Valais sans lui.