VPS VPN, serveur VPN personnel WireGuard et OpenVPN

Le plus rapide est de choisir l'image d'application WireGuard à la création du serveur. Une fois le serveur allumé, connectez-vous en SSH, créez les paires de clés du serveur et des appareils, indiquez l'adresse du serveur et la clé publique de l'appareil dans le fichier de configuration wg0.conf, puis activez l'interface avec wg-quick. WireGuard utilise par défaut le port UDP 51820 : ouvrez simplement ce port dans le pare-feu.

Côté appareils, des applications WireGuard officielles existent pour Windows, macOS, iOS, Android et Linux. Importez dans l'application le fichier de configuration de l'appareil créé sur le serveur, ou scannez avec le téléphone le QR code généré par qrencode : la connexion est établie. Pour faire passer tout le trafic Internet par le VPN, réglez AllowedIPs sur 0.0.0.0/0, ::/0 ; pour le seul réseau interne, indiquez uniquement les plages privées.

Pour une gestion plus simple, créez le serveur avec l'image d'application Docker et déployez une interface comme wg-easy. Depuis le navigateur, ajoutez et supprimez des appareils et suivez l'état des connexions. Configurez le pare-feu pour que l'interface ne s'ouvre qu'à l'intérieur du VPN ou à votre IP, pour plus de sécurité.

WireGuard est un VPN moderne intégré au noyau Linux, au code court et à la configuration simple, plus rapide sur le même serveur. La connexion reprend vite quand le téléphone passe du Wi-Fi aux données mobiles : c'est le plus utilisé pour les VPN personnels et les liaisons entre serveurs. Pour un nouveau VPN, nous recommandons de commencer avec WireGuard.

OpenVPN est un VPN éprouvé depuis longtemps, compatible avec un très large éventail d'équipements et de systèmes, avec une gestion solide des utilisateurs par certificats. Il utilise par défaut le port UDP 1194 et peut au besoin fonctionner sur le port TCP 443. Il convient quand la politique de pare-feu de l'entreprise ou des équipements existants imposent un client OpenVPN.

Les deux logiciels peuvent cohabiter sur le même serveur. Il suffit de leur attribuer des ports et des plages d'adresses internes différents pour connecter, par exemple, les nouveaux appareils en WireGuard et les anciens équipements en OpenVPN. Pour OpenVPN, un script d'installation ou une image Docker prépare tout d'un coup, y compris la création des certificats.

Enregistrez d'abord une clé SSH et choisissez-la à la création du serveur : la connexion est plus sûre qu'avec un mot de passe. Dans le pare-feu, n'ouvrez que SSH et le port du VPN, et faites recevoir automatiquement les mises à jour de sécurité des paquets avec unattended-upgrades. En cas de perte d'un appareil, supprimez simplement sa clé publique de la configuration du serveur pour le bloquer aussitôt.

La vitesse dépend surtout de la distance entre le serveur et les utilisateurs. Choisissez une ville proche du pays d'où vous vous connectez le plus, et si votre équipe est répartie dans plusieurs pays, placez plusieurs serveurs sur un même compte pour des VPN régionaux. Un compte peut contenir jusqu'à 10 serveurs.

Le serveur VPN respecte aussi la politique d'utilisation. Utilisez-le pour la confidentialité, le télétravail et les liaisons entre serveurs, et en ne laissant se connecter que les personnes à qui vous avez délivré une clé, il ne devient pas un proxy ouvert à tous et reste conforme à la politique. En reliant un service d'envoi externe plutôt que le port 25, vous envoyez aussi vos e-mails de façon fiable.