Le terme « VPN d'entreprise » recouvre en réalité deux architectures aux objectifs distincts, souvent confondues dans les discours commerciaux génériques. Le VPN d'accès distant connecte un utilisateur individuel, où qu'il se trouve, au système d'information de l'entreprise. Le VPN site-à-site connecte en permanence deux réseaux entre eux, typiquement le siège social et une agence, sans intervention d'un utilisateur final à chaque connexion. Confondre ces deux besoins lors d'un choix d'architecture conduit soit à un surdimensionnement coûteux, soit à une solution inadaptée qui devra être revue à court terme.
Cette architecture répond au besoin de collaborateurs individuels, mobiles ou en télétravail, qui doivent accéder ponctuellement ou quotidiennement au système d'information depuis un poste et un réseau variables. Chaque connexion est initiée par l'utilisateur, authentifiée individuellement, et peut être coupée sans affecter les autres utilisateurs. C'est l'architecture pertinente pour une force commerciale itinérante, des équipes en télétravail partiel, ou des prestataires externes nécessitant un accès temporaire et limité.
À l'inverse, un VPN site-à-site établit un tunnel permanent entre deux passerelles réseau, sans authentification individuelle à chaque connexion : une fois configuré, l'ensemble du trafic éligible entre les deux sites transite automatiquement par ce tunnel, de façon transparente pour les utilisateurs de part et d'autre. Cette architecture est pertinente pour relier un siège social à une agence, une filiale, ou un centre de données secondaire, lorsque le besoin est de faire fonctionner plusieurs sites comme un seul réseau logique plutôt que de gérer des accès individuels.
Une entreprise disposant de plusieurs implantations physiques a fréquemment besoin des deux architectures simultanément : du site-à-site entre ses propres locaux, et de l'accès distant pour les collaborateurs qui travaillent en dehors de ces locaux. Ce sont deux briques complémentaires, pas deux options concurrentes entre lesquelles il faudrait choisir une fois pour toutes.
Sur le plan technique, les VPN d'entreprise reposent principalement sur deux familles de protocoles. IPsec, dont l'architecture de sécurité est formalisée dans la RFC 4301 de l'IETF, opère au niveau de la couche réseau et chiffre l'ensemble du trafic IP qui transite par le tunnel, indépendamment de l'application qui l'a généré. SSL/TLS, la même famille de protocoles qui sécurise la navigation web via HTTPS, opère à un niveau plus proche de l'application et se prête particulièrement bien à un accès via navigateur, sans nécessiter l'installation d'un client dédié sur le poste de l'utilisateur.
L'agence nationale de la sécurité des systèmes d'information (ANSSI) a publié en 2018 des recommandations explicites privilégiant IPsec par rapport à TLS pour la mise en œuvre de tunnels VPN, au motif qu'IPsec présente une surface d'attaque réduite : les fonctions cryptographiques critiques s'exécutent dans un environnement confiné au niveau du noyau du système d'exploitation, alors que TLS s'exécute généralement en espace utilisateur au niveau de la couche applicative, un environnement statistiquement plus exposé aux vulnérabilités logicielles.
Ce choix protocolaire influence directement l'architecture retenue : IPsec s'impose naturellement pour du site-à-site, où deux passerelles dédiées dialoguent en continu, tandis que SSL/TLS conserve un avantage pratique pour de l'accès distant ponctuel depuis des postes variés, notamment lorsque l'installation d'un client VPN complet sur l'appareil de l'utilisateur n'est pas souhaitable ou possible.
Pour relier plusieurs sites, l'alternative historique au VPN site-à-site sur Internet public est le réseau MPLS (Multiprotocol Label Switching), une infrastructure privée louée à un opérateur télécom, avec des garanties de qualité de service contractuelles. Le MPLS offre une latence et une disponibilité plus prévisibles, au prix d'un coût mensuel nettement supérieur à un tunnel VPN établi sur une connexion Internet standard.
Un VPN site-à-site sur Internet public reste dépendant de la qualité de la connexion Internet de chaque site et n'offre pas de garantie contractuelle de performance, mais son coût marginal, une fois l'équipement en place, est sans commune mesure avec un abonnement MPLS. De nombreuses entreprises de taille intermédiaire arbitrent aujourd'hui en faveur du VPN sur Internet public pour l'ensemble de leurs sites secondaires, et ne réservent le MPLS, lorsqu'il subsiste, qu'aux liaisons critiques nécessitant une garantie de service contractuelle forte.
Au-delà du choix protocolaire, une entreprise disposant de plus de deux sites doit trancher entre une topologie en étoile (hub-and-spoke), où chaque site secondaire se connecte uniquement au site central, et une topologie en maillage complet, où chaque site dispose d'un tunnel direct vers chacun des autres. La topologie en étoile est plus simple à administrer et à sécuriser, puisque tout le trafic inter-sites transite par un point de contrôle central, mais elle introduit une latence supplémentaire pour les échanges entre deux sites secondaires, qui doivent transiter par le site central même s'ils sont géographiquement proches l'un de l'autre.
Le maillage complet élimine ce détour et réduit la latence inter-sites, au prix d'une complexité de configuration qui croît avec le carré du nombre de sites : dix sites en maillage complet nécessitent quarante-cinq tunnels distincts à configurer et maintenir, contre neuf seulement en topologie étoile. Pour la majorité des PME et ETI disposant de moins d'une dizaine de sites, l'étoile reste l'arbitrage le plus raisonnable entre simplicité opérationnelle et performance.
Un tunnel VPN site-à-site unique constitue un point de défaillance unique pour la connectivité entre deux sites : une coupure de la liaison Internet d'un site isole immédiatement ce site du reste du réseau de l'entreprise. Les architectures critiques prévoient généralement une double liaison Internet par site, chacune associée à son propre tunnel VPN, avec un mécanisme de routage dynamique qui bascule automatiquement le trafic vers le tunnel de secours en cas de défaillance du tunnel principal, sans intervention manuelle et idéalement sans interruption perceptible pour les utilisateurs.
Ce niveau de redondance a un coût, tant en équipement qu'en abonnements Internet redondants, qui doit être mis en balance avec le coût réel d'une interruption de connectivité pour l'activité du site concerné : un site de production dont l'arrêt coûte plusieurs milliers d'euros par heure justifie cet investissement bien plus facilement qu'un site administratif dont l'activité peut tolérer une coupure ponctuelle de quelques heures.
La question à poser avant tout choix d'architecture n'est pas « quelle technologie est la meilleure » mais « quel est le besoin réel à couvrir ». Si l'enjeu est de connecter des personnes mobiles à un système d'information central, l'accès distant est la réponse naturelle, avec un arbitrage IPsec ou SSL/TLS selon le niveau de contrôle souhaité sur les postes clients. Si l'enjeu est de faire communiquer en permanence plusieurs sites physiques, le site-à-site s'impose, avec un arbitrage entre coût et garantie de service pour choisir entre Internet public et une liaison dédiée de type MPLS.
Une entreprise en croissance, qui ouvre progressivement de nouvelles implantations tout en développant le télétravail, se retrouve généralement à devoir faire évoluer les deux architectures en parallèle, ce qui justifie de choisir dès le départ des équipements et des fournisseurs capables de gérer les deux cas d'usage de façon cohérente, plutôt que d'empiler des solutions hétérogènes au fil des besoins ponctuels.
Les questions de coût associées à ces choix d'architecture sont développées plus en détail dans notre page consacrée au coût réel d'un VPN d'entreprise, tandis que la page d'accueil présente une vue d'ensemble des bénéfices attendus d'un déploiement VPN professionnel.