Pourquoi WireGuard peut plafonner sur une Internet-Box Swisscom bien avant la fibre : le test qui m’a fait regarder la box, pas les 10 Gbit/s

Le QR code avait fait exactement ce qu’il promettait.

J’avais activé WireGuard sur mon Internet-Box Swisscom, importé la configuration sur mon portable et testé la connexion depuis l’extérieur.

Handshake immédiat. Mon adresse à la maison apparaissait. Je pouvais atteindre les services dont j’avais besoin.

J’étais plutôt satisfait : ma fibre était rapide, le VPN était directement intégré à la box, et je n’avais pas eu à installer un serveur supplémentaire.

Puis j’ai dû envoyer un gros dossier depuis un espace de travail partagé. Sans mon tunnel domestique, la connexion locale allait vite. WireGuard activé, le transfert avançait proprement, mais beaucoup plus lentement que prévu. J’ai changé de Wi-Fi. Même ordre de grandeur.

J’ai essayé depuis une autre connexion. Encore cette impression de plafond. C’est là que les chiffres ont commencé à devenir absurdes dans ma tête. À la maison, j’avais une connexion fibre capable de plusieurs gigabits. Ma box possédait un port 10 Gbit/s.

WireGuard était censé être rapide. Alors pourquoi mon VPN semblait-il se comporter comme si toute cette fibre n’existait pas ?

Les 10 Gbit/s m’avaient fait regarder au mauvais endroit

La question devient de plus en plus naturelle en Suisse.

Swisscom indiquait début août 2026 que son réseau FTTH couvrait environ 58 % des ménages et entreprises à la fin juin. Les connexions capables de fournir bien plus d’un gigabit ne sont donc plus réservées à quelques installations très particulières.

L’Internet-Box 5 Pro accentue encore cette impression.

Swisscom annonce une connexion fibre jusqu’à 10 Gbit/s, un port Ethernet 10 Gbit/s, du Wi-Fi 7 et un serveur WireGuard intégré.

J’avais inconsciemment assemblé ces caractéristiques en une seule équation :

box 10 Gbit/s + fibre 10 Gbit/s + WireGuard = VPN qui devrait approcher les 10 Gbit/s.

Sauf que ces chiffres ne mesurent pas la même chose.

Faire transiter des paquets entre un port Ethernet et la fibre n’est pas la même tâche que recevoir ces paquets, les chiffrer, les encapsuler dans WireGuard, puis les renvoyer sur le réseau.

La fibre me donnait une autoroute très large.

Le serveur VPN de la box ressemblait davantage au péage installé au milieu.

Ajouter des voies avant et après le péage n’augmente pas le nombre de voitures que la cabine peut traiter chaque seconde.

À partir de là, mon problème commençait déjà à ressembler beaucoup moins à un problème de fibre.

J’ai d’abord accusé tout sauf la box

Mon premier réflexe a été de chercher un défaut de configuration. MTU. Wi-Fi du lieu où je travaillais. Portable. Distance. Peut-être même le serveur vers lequel j’envoyais mon dossier. Tout semblait plausible.

Mais en changeant les conditions autour du tunnel, son comportement restait étrangement similaire. Et une discussion publique sur la communauté Swisscom m’a fait arrêter de chercher très loin.

Un propriétaire d’Internet-Box 5 Pro avec une connexion XGS-PON 10 Gbit/s expliquait obtenir environ 130 à 180 Mbit/s avec le serveur WireGuard intégré, quel que soit le type de connexion utilisé à distance. Il avait essayé plusieurs appareils, de l’Ethernet, du Wi-Fi et de la 5G.

Le détail décisif venait ensuite. Il avait déplacé le serveur WireGuard sur un Raspberry Pi 5 derrière la même connexion. Cette fois, il dépassait 800 Mbit/s. Même protocole. Même fibre domestique. Mais plus la même machine pour chiffrer le trafic.

C’est ce test qui m’a fait regarder la situation autrement. Il ne s’agissait plus de savoir combien ma fibre pouvait transporter. Il s’agissait de savoir combien la box pouvait traiter lorsqu’elle devenait elle-même le serveur VPN.

WireGuard n’avait pas oublié comment aller vite

J’avais presque commencé à me demander si la réputation de WireGuard était exagérée.

Le test avec le Raspberry Pi disait exactement le contraire.

WireGuard a été conçu comme un protocole léger, avec une implémentation Linux intégrée au noyau et un chemin de traitement réduit.

Mais il reste du chiffrement. Chaque paquet entrant doit être traité. Chaque paquet sortant aussi. Et ce travail doit être effectué par un processeur quelque part.

Sur mon Internet-Box, le même appareil devait déjà gérer la connexion fibre, le routage, le réseau local, le Wi-Fi, le pare-feu et les autres fonctions du foyer.

Quand j’activais en plus son serveur WireGuard, je transformais cette box en porte cryptographique pour tout mon trafic distant.

C’était le point que les chiffres « 10 Gbit/s » avaient caché. Le port pouvait accepter 10 Gbit/s. La fibre pouvait transporter 10 Gbit/s.

Cela ne voulait pas dire que le processeur pouvait chiffrer un tunnel WireGuard à la même vitesse.

La fibre attendait derrière.

Elle n’était simplement plus le composant le plus lent.

Le test utile n’était pas d’optimiser encore WireGuard, mais de déplacer le travail

J’aurais pu arrêter là et acheter du matériel. Un Raspberry Pi récent. Un mini-PC. Un autre routeur. Les résultats de la communauté Swisscom montraient que cette voie pouvait très bien fonctionner. J’avais même commencé à regarder les modèles.

Puis j’ai regardé ce que j’essayais réellement de faire ce jour-là. Je n’avais pas besoin d’ouvrir un fichier stocké sur mon NAS. Je n’avais pas besoin d’administrer une machine uniquement accessible depuis mon réseau domestique.

Je voulais surtout protéger ma connexion depuis un réseau qui n’était pas le mien et terminer un gros transfert vers un service cloud.

Autrement dit, j’utilisais mon Internet-Box comme serveur VPN parce qu’elle pouvait le faire. Pas parce que ma tâche avait réellement besoin de passer par mon salon. Cette différence m’avait complètement échappé.

Au lieu d’acheter une autre machine pour accélérer mon tunnel domestique, j’ai donc essayé OnlydogVPN directement sur le portable.

J’ai coupé le tunnel WireGuard vers la maison. Puis j’ai ouvert l’application, choisi le mode correspondant à la connexion devant moi et connecté. Je suis retourné à mon dossier. Le transfert est reparti.

Cette fois, mon trafic n’avait plus besoin de parcourir Internet jusqu’à mon domicile, d’être traité par l’Internet-Box, puis de repartir vers sa destination finale.

La box continuait tranquillement son travail chez moi. Elle n’était simplement plus le goulot d’étranglement au milieu de mon transfert. La progression a dépassé le point où j’avais commencé à surveiller nerveusement l’estimation restante. Puis elle a continué.

Je suis allé chercher un café. À mon retour, les derniers fichiers partaient. Quelques minutes plus tard : transfert terminé. C’était le résultat que j’avais essayé d’obtenir en demandant toujours plus à ma fibre.

La solution avait été de demander moins à ma box.

Après le transfert, HTTP/3 m’a intéressé pour une raison différente

Le service utilise un transport basé sur HTTP/3. Quelques heures plus tôt, j’aurais probablement transformé cette information en nouveau duel de protocoles : WireGuard contre HTTP/3. Lequel est le plus rapide ? Après mes tests, la question me paraissait beaucoup moins utile.

WireGuard venait déjà de montrer qu’il pouvait dépasser 800 Mbit/s lorsqu’il tournait sur un Raspberry Pi 5 derrière la même fibre.

Le protocole n’était donc pas le principal coupable.

Ce qui m’intéressait dans l’autre application était surtout l’architecture : le tunnel était directement établi depuis l’appareil qui avait besoin du VPN vers l’infrastructure du service.

Je ne transformais plus ma box domestique en étape obligatoire.

Le transport basé sur HTTP/3 et les modes orientés par situation sont également conçus pour maintenir une connexion utilisable lorsque le réseau change ou devient moins stable. Les tests publiés par le service reposent sur cette même idée : éviter qu’un routeur domestique limité devienne le plafond du VPN lorsqu’il n’a pas besoin d’être dans le chemin.

Pour mon usage, c’était beaucoup plus intéressant qu’une nouvelle soirée à optimiser mon réseau domestique. Je lançais le VPN sur l’appareil qui en avait besoin. Le routeur restait routeur. Et je pouvais retourner au fichier.

Je n’ai pourtant pas supprimé WireGuard de l’Internet-Box

Je l’ai gardé.

Si je dois accéder à mon NAS, à une machine ou à un service privé disponible uniquement chez moi, le tunnel Swisscom fait quelque chose que le VPN commercial ne remplace pas :

il me ramène dans mon réseau domestique. Dans ce cas, passer par l’Internet-Box n’est pas un détour. C’est précisément le but.

Si le fichier que j’envoyais ce jour-là avait été stocké uniquement sur mon NAS de salon, déplacer le tunnel ailleurs n’aurait pas répondu au besoin.

Mais pour protéger ma navigation, mes applications et un transfert vers Internet, faire le voyage jusqu’à la maison puis repartir n’apportait rien qui justifiait ce plafond.

J’ai donc cessé de demander à un seul VPN de résoudre deux problèmes différents. WireGuard sur l’Internet-Box quand j’ai réellement besoin de rentrer chez moi. L’application sur le portable quand j’ai simplement besoin d’un VPN pour le portable.

Cette séparation m’a été beaucoup plus utile que ma recherche initiale du « réglage WireGuard le plus rapide ».

Pourquoi WireGuard peut-il donc plafonner bien avant la fibre sur une Internet-Box Swisscom ?

Parce que le débit de la fibre et le débit du serveur VPN mesurent deux capacités différentes.

Une Internet-Box 5 Pro peut recevoir une connexion XGS-PON jusqu’à 10 Gbit/s et posséder un port Ethernet 10 Gbit/s sans pouvoir chiffrer un tunnel WireGuard à 10 Gbit/s.

Si le débit sans VPN est très élevé, que plusieurs connexions distantes aboutissent à un plafond similaire et que le même WireGuard devient beaucoup plus rapide lorsqu’on déplace le serveur sur une machine plus puissante, je regarderais la capacité de traitement de la box avant d’accuser la fibre.

WireGuard peut déjà être le bon protocole.

Un Raspberry Pi ou un mini-PC peut être la bonne solution si le but est réellement de rentrer dans le réseau domestique.

Mais si le besoin est simplement de protéger le portable sur Internet, il existe une question encore plus utile :

pourquoi faire de l’Internet-Box le serveur VPN de cette tâche ?

J’avais commencé avec une fibre de plusieurs gigabits et la conviction qu’il devait manquer un réglage pour que WireGuard la suive.

Le transfert s’est finalement terminé quand j’ai cessé d’essayer de faire passer toute la largeur de ma fibre par la petite cabine de péage installée dans l’Internet-Box.