J'ai monté mon propre serveur VPN : ce que j'ai appris

Six mois d'essais, deux serveurs, trois pays — et quelques pièges que personne ne documente.

Pourquoi se compliquer la vie

Tout est parti d'un agacement banal. Je voulais regarder la RTBF depuis la France, et le site me répondait poliment que le contenu n'était pas disponible dans mon pays. J'aurais pu payer un abonnement à un grand fournisseur de VPN et passer à autre chose. J'ai préféré comprendre.

Comprendre, c'est-à-dire : louer un petit serveur, y installer un VPN moi-même, et voir ce qui se passe quand ça ne marche pas. Je ne le regrette pas — même si les premières semaines ont été laborieuses.

Un VPN, en réalité, c'est très simple

On imagine une technologie mystérieuse. Le principe tient en trois lignes. Votre appareil chiffre tout ce qu'il envoie et le fait passer par un serveur que vous avez choisi. Les sites que vous visitez ne voient plus votre adresse, mais celle du serveur. Votre fournisseur d'accès, lui, ne voit plus qu'un flux chiffré dont il ne peut rien tirer.

Deux conséquences : les sites vous croient dans le pays du serveur (fini le blocage géographique), et personne sur le réseau local — le Wi-Fi de la gare, celui de l'hôtel — ne sait ce que vous faites.

OpenVPN puis WireGuard

J'ai commencé avec OpenVPN, la référence historique. Ça fonctionne, c'est robuste, c'est très configurable. C'est aussi lent, gourmand en batterie sur le téléphone, et lourd à reconnecter quand on passe du Wi-Fi à la 4G.

Je suis passé à WireGuard, arrivé en 2020. Le contraste est saisissant : là où OpenVPN aligne 70 000 lignes de code, WireGuard en compte moins de 4 000. Résultat : plus rapide, plus léger, et surtout une reprise de connexion quasi instantanée quand on change de réseau. Sur un téléphone, la différence de batterie se voit à la fin de la journée.

OpenVPN garde un avantage : en mode TCP sur le port 443, il ressemble à du trafic web ordinaire et passe là où les VPN sont bloqués. C'est une roue de secours, pas un choix quotidien.

Le piège qui m'a coûté une semaine

Voilà le genre de détail qu'aucune documentation commerciale ne mentionne. Mon tunnel WireGuard fonctionnait parfaitement chez moi, en Wi-Fi. En 4G, il se connectait — la poignée de main réussissait, tout semblait normal — mais les pages ne s'ouvraient pas. Ou plutôt : les petites pages s'affichaient, les grosses tournaient dans le vide.

J'ai soupçonné le serveur, l'opérateur, le pare-feu. La cause était ailleurs : le MTU, la taille maximale des paquets. Les réseaux mobiles découpent les paquets un peu plus petits que les lignes fixes, et si la configuration ne le prévoit pas, les gros paquets se perdent en silence. La solution tient en une ligne :

MTU = 1280

Une ligne. Une semaine perdue. Depuis, je la mets systématiquement dans toutes les configurations que je distribue.

Le deuxième piège : le DNS sous Linux

Autre grand classique. Sur Debian ou Ubuntu, le tunnel monte, la commande wg show confirme que le serveur répond… et aucun site ne s'ouvre. Il manque un paquet, openresolv, sans lequel les serveurs DNS du VPN ne sont jamais appliqués. Le tunnel marche, mais votre ordinateur ne sait plus traduire les noms de sites en adresses.

Et si vous avez déjà Tailscale ou un autre VPN installé, coupez-le d'abord : deux VPN se disputent la table de routage, et aucun des deux ne fonctionne. J'ai mis un temps déraisonnable à comprendre que mon problème venait de là.

Ce que ça m'a appris sur la vie privée

En montant mon serveur, j'ai vu de mes yeux ce qui transite. Et le plus frappant, ce n'est pas ce qu'un VPN protège : c'est ce qu'il ne protège pas.

Aujourd'hui la quasi-totalité des sites utilisent HTTPS : le contenu de vos échanges est déjà chiffré. Personne ne « vole votre mot de passe au café » comme on le lit partout. En revanche, sans VPN, tout le monde sur le chemin voit quels sites vous visitez, quand, et combien de temps. Votre banque, un site de santé, un média : le contenu est secret, la liste ne l'est pas. C'est cela qu'un VPN cache — pas plus, mais ce n'est pas rien.

Et il faut être lucide sur le reste : un VPN ne vous protège ni d'un mot de passe faible, ni d'un e-mail frauduleux, ni du pistage publicitaire quand vous êtes connecté à votre compte. Il déplace simplement la confiance : du Wi-Fi inconnu de l'hôtel vers un fournisseur que vous avez choisi. D'où la seule question qui compte vraiment : à qui accordez-vous cette confiance ?

De l'expérience au service

À force de créer des accès pour mes proches — la famille au Liban, des amis expatriés qui voulaient regarder la télévision française — j'ai fini par industrialiser tout cela. Le serveur est à Gravelines, en France ; les profils se créent automatiquement ; l'application configure le tunnel toute seule, MTU compris.

C'est devenu VPN Paris : un service simple, avec des serveurs français, un essai gratuit de trois jours sans carte bancaire, et des applications pour Android, Windows et Linux. Les deux pièges racontés plus haut y sont réglés d'avance — parce que je les ai vécus.

Mais l'essentiel de ce que j'ai appris est là, dans cet article. Si vous voulez monter le vôtre, louez un petit serveur, installez WireGuard, n'oubliez pas le MTU, et prenez le temps de comprendre ce qui passe dans le tunnel. C'est la meilleure façon de savoir ce qu'on achète quand on paie un VPN.