Un collaborateur travaille depuis un hôtel et doit ouvrir le logiciel de gestion hébergé dans les locaux de l'entreprise. Le réseau utilisé n'est pas maîtrisé. Un VPN entreprise peut alors chiffrer la liaison entre son poste et la passerelle de l'entreprise, puis lui donner accès aux seules ressources prévues. Le risque d'interception pendant le transport est réduit, mais le VPN ne sécurise ni un ordinateur déjà compromis ni un compte dont les identifiants ont été volés.
Le choix ne se résume donc pas à comparer des abonnements. Il faut d'abord savoir qui se connecte, à quelles applications, depuis quels appareils et avec quel niveau de disponibilité. Une solution simple peut convenir à cinq utilisateurs occasionnels. Elle deviendra insuffisante si cinquante personnes dépendent chaque jour du même accès pour travailler.
Qu'est-ce qu'un VPN pour une entreprise ?
Un VPN, ou réseau privé virtuel, établit une liaison chiffrée à travers Internet. Dans une entreprise, il sert principalement à relier un utilisateur distant au système d'information ou à faire communiquer plusieurs sites. Les données circulant dans le tunnel sont rendues inintelligibles pour un tiers qui les intercepterait, à condition que la solution, les protocoles et les postes soient correctement configurés.
Le tunnel ne rend pas pour autant l'utilisateur anonyme. Selon la configuration, tout le trafic Internet peut passer par la passerelle de l'entreprise, ou seuls les flux destinés aux ressources professionnelles peuvent l'emprunter. Ce second fonctionnement, appelé « split tunneling », réduit la charge sur la connexion centrale, mais demande une analyse de risque : une partie des échanges échappe alors aux contrôles appliqués par l'entreprise.
Les deux principaux usages d'un VPN professionnel
Le VPN d'accès distant connecte un poste nomade au réseau ou aux applications internes. Un logiciel client est généralement installé sur l'appareil. Après authentification, l'utilisateur obtient les droits correspondant à son activité. C'est le cas habituel pour le télétravail, les déplacements et certaines opérations de maintenance.
Le VPN site à site relie des réseaux entiers, par exemple le siège et une agence. Le tunnel est établi entre des équipements réseau et fonctionne généralement sans action de chaque utilisateur. Il faut néanmoins prévoir ce qui se passe si la liaison Internet ou l'une des passerelles tombe en panne.
Un serveur ou un NAS peut héberger un service VPN, mais le support technique ne suffit pas à définir une architecture. Les performances, les mises à jour de sécurité, la redondance, les journaux de connexion et la capacité à isoler les accès restent déterminants. Installer un service VPN sur un boîtier de stockage uniquement parce que l'option existe n'est pas toujours un choix raisonnable.
Quelle différence entre un VPN grand public et un VPN d'entreprise ?
Un VPN grand public achemine habituellement la navigation vers les serveurs d'un fournisseur afin de modifier l'adresse IP visible des sites consultés et de protéger le trafic jusqu'à ce fournisseur. Un VPN d'entreprise sert d'abord à contrôler l'accès aux ressources professionnelles. Il doit permettre de gérer les comptes, les droits, l'authentification, les appareils autorisés, les journaux et la révocation d'un accès. Un abonnement destiné aux particuliers ne remplace pas cette administration.
Dans quelles situations un VPN entreprise est-il utile ?
Le premier usage est l'accès à des ressources qui ne doivent pas être exposées directement sur Internet : serveur de fichiers, application métier interne, outil d'administration ou bureau distant. La CNIL recommande un VPN pour l'accès à distance et une authentification robuste. Elle recommande également de ne pas rendre les interfaces d'administration directement accessibles depuis Internet.
Le second usage est l'interconnexion de sites. Une agence peut accéder aux ressources du siège à travers un tunnel chiffré, sans publier chaque service sur Internet. Le VPN peut aussi faciliter la centralisation des règles d'accès et la suppression des droits lors du départ d'un salarié.
En revanche, si l'entreprise utilise uniquement des applications SaaS accessibles par HTTPS et déjà protégées par une authentification multifacteur, faire transiter toute la navigation par le bureau n'apporte pas toujours un bénéfice proportionné. Il peut être plus pertinent de renforcer la gestion des identités et des postes. Le besoin doit être évalué application par application.
Un VPN suffit-il à sécuriser le réseau d'une entreprise ?
Non. Le VPN protège une liaison et contrôle un point d'entrée, mais il ne remplace ni le pare-feu, ni la protection des postes, ni les sauvegardes, ni les mises à jour, ni la sensibilisation à l'hameçonnage. Un ordinateur infecté peut utiliser un tunnel parfaitement chiffré pour atteindre le réseau interne.
Le compte VPN lui-même devient une cible. Cybermalveillance.gouv.fr conseille de privilégier la double authentification sur les connexions VPN. Cette mesure limite les conséquences d'un mot de passe compromis, sans supprimer tous les risques. Les accès doivent aussi être limités au besoin réel de chaque utilisateur et révoqués dès qu'ils ne sont plus justifiés.
Comment mettre en place un VPN dans une entreprise ?
Le déploiement doit partir des usages, pas du matériel déjà présent. Une cartographie simple évite d'ouvrir trop largement le réseau et permet de dimensionner correctement la passerelle.
- Recenser les accès. Identifiez les utilisateurs, les appareils, les lieux de connexion, les applications visées et les horaires pendant lesquels l'accès doit être disponible.
- Définir les droits. Un comptable, un technicien externe et un dirigeant n'ont pas besoin du même périmètre. Évitez de donner un accès général au réseau lorsque quelques applications suffisent.
- Choisir l'architecture. Décidez où se trouve la passerelle, quels flux passent dans le tunnel, quelle capacité est nécessaire et comment le service continue en cas de panne.
- Renforcer l'authentification. Activez l'authentification multifacteur et prévoyez une procédure de récupération qui ne permette pas de la contourner trop facilement. L'ANSSI recommande de privilégier l'authentification multifacteur en l'adaptant au risque.
- Déployer puis tester. Vérifiez la connexion depuis l'extérieur, les droits accordés, les performances, la déconnexion automatique, la révocation d'un compte et la traçabilité des événements.
- Exploiter le service. Mettez à jour les clients et les passerelles, examinez les connexions anormales et supprimez rapidement les comptes inutiles.
La formation des utilisateurs fait partie du déploiement. Si la connexion est trop lente, si elle coupe les visioconférences ou si la procédure est incompréhensible, les salariés chercheront un contournement. Il faut donc tester le service dans les conditions réelles de travail, y compris avec une connexion domestique moyenne et pendant les périodes chargées.
Les contrôles à exiger avant la mise en service
Demandez comment sont gérés les comptes, les droits et les appareils. Vérifiez aussi la durée de conservation des journaux, les alertes prévues en cas de connexions inhabituelles, le délai d'installation des correctifs et la procédure appliquée lors du départ d'un collaborateur. Pour un prestataire externe, l'accès doit être limité dans le temps et au périmètre nécessaire.
Le plan de secours mérite la même attention. Si tous les télétravailleurs passent par une seule passerelle et une seule connexion Internet, cette infrastructure devient un point de blocage. Selon la dépendance de l'entreprise, une seconde liaison, une passerelle redondante ou une procédure de travail dégradé peut être justifiée.
Faut-il héberger le VPN en interne ou choisir un service géré ?
L'hébergement interne donne davantage de maîtrise sur l'architecture, mais il transfère aussi à l'entreprise la responsabilité de l'administration quotidienne. Un service géré réduit cette charge, sans dispenser de vérifier les engagements du fournisseur, la localisation des traitements, les possibilités d'export et les conditions de sortie.
| Critère | VPN administré en interne | VPN fourni comme service géré |
|---|---|---|
| Investissement initial | Équipement, licences, configuration et éventuelle redondance | Mise en service et abonnement, souvent liés au nombre d'utilisateurs |
| Administration | Assurée par l'équipe interne ou un prestataire d'infogérance | Partiellement prise en charge, selon le périmètre contractuel |
| Capacité | Limitée par les passerelles et les connexions disponibles | Évolutive si l'offre et l'infrastructure du fournisseur le permettent |
| Contrôle | Configuration et journaux sous maîtrise directe | Visibilité dépendante des fonctions et engagements prévus au contrat |
| Maintenance | Correctifs, supervision et renouvellement à organiser | Responsabilités à répartir précisément entre le fournisseur et l'entreprise |
| Réversibilité | Dépend surtout des compétences et de la documentation internes | Export des configurations, journaux et modalités de sortie à vérifier |
Une petite structure sans compétence réseau disponible peut raisonnablement choisir un service géré. Une entreprise qui possède une équipe capable d'administrer la solution, des exigences particulières ou une infrastructure déjà redondée peut préférer garder la main. Dans les deux cas, comparez le coût total : licences, installation, authentification multifacteur, supervision, support, renouvellement des passerelles et temps d'administration.
Le VPN ralentit-il la connexion des employés ?
Oui, une perte de performance est possible, mais son ampleur dépend de l'architecture. Le chiffrement consomme des ressources et le détour par une passerelle peut ajouter de la latence. La capacité de l'équipement, le débit montant du site central, la distance, le nombre d'utilisateurs simultanés et le choix de faire passer tout ou partie du trafic influencent le résultat.
Un essai avec plusieurs utilisateurs simultanés est plus instructif qu'un débit annoncé sur une fiche commerciale. Testez les transferts de fichiers, les applications métier, la voix et la visioconférence. Précisez ensuite dans le contrat qui intervient si les performances deviennent insuffisantes.
VPN ou ZTNA comment choisir le bon modèle d'accès ?
Le ZTNA, pour « Zero Trust Network Access » ou accès réseau fondé sur une confiance nulle, donne en principe accès à une application précise après vérification de l'identité et du contexte, plutôt qu'à une portion étendue du réseau. Cette approche peut mieux convenir à une entreprise dont les applications sont réparties entre plusieurs services cloud et plusieurs sites.
Le VPN reste pertinent pour relier des réseaux, administrer une infrastructure ou accéder à des applications anciennes conçues pour le réseau local. Les deux modèles peuvent coexister. La bonne question n'est donc pas de savoir lequel remplacera l'autre, mais quel périmètre chaque solution doit couvrir sans donner plus de droits que nécessaire.
Quels points faut-il vérifier dans un devis VPN ?
Le devis doit préciser le nombre d'utilisateurs simultanés, les équipements et licences compris, l'authentification multifacteur, la supervision, les mises à jour, les délais de support et les exclusions. Il doit aussi indiquer qui configure les droits, qui analyse les alertes, qui révoque les comptes et ce qui est facturé en dehors du forfait.
Avant de signer, demandez un schéma des flux et un test de révocation d'accès. Si le prestataire ne peut pas montrer quelles applications deviennent accessibles à chaque profil ni comment un compte est coupé en urgence, le périmètre n'est pas encore assez défini pour engager l'entreprise.
