Un VPN mal configuré peut donner une fausse impression de sécurité. Il chiffre bien une connexion, mais il peut aussi ouvrir une porte directe vers le réseau de l’entreprise si les identités, les appareils et les droits d’accès ne sont pas maîtrisés. Savoir comment mettre en place un VPN ne consiste donc pas seulement à activer une fonction sur un pare-feu : il faut concevoir un accès distant cohérent avec les risques, les usages et les obligations de l’organisation.
Pour une PME, l’objectif est simple : permettre aux employés, aux fournisseurs ou aux administrateurs d’accéder aux ressources nécessaires sans exposer inutilement le réseau interne. Le bon déploiement doit rester fiable pour les équipes, administrable pour le service TI et suffisamment évolutif pour accompagner la croissance de l’entreprise.
Définir le type de VPN adapté à vos besoins
Avant de choisir une solution, il faut identifier précisément ce que le VPN doit connecter. Le scénario le plus courant est le VPN d’accès distant. Un employé à domicile, en déplacement ou sur un réseau public établit une connexion chiffrée vers les ressources autorisées de l’entreprise. Ce modèle est utile pour accéder à un serveur de fichiers, à une application métier interne, à un environnement de gestion ou à certains services qui ne doivent pas être publiés sur Internet.
Le second scénario est le VPN site à site. Il relie deux emplacements permanents, par exemple un siège social à Montréal et un entrepôt en région, ou encore un bureau à un environnement infonuagique. Les utilisateurs n’ont alors pas besoin de lancer un client VPN individuellement : les réseaux communiquent selon des règles définies dans les équipements de sécurité.
Ces deux usages peuvent coexister, mais ils ne se configurent pas de la même façon. Un VPN d’accès distant demande une attention particulière aux comptes utilisateurs, aux appareils personnels et à l’authentification. Un tunnel site à site exige surtout une bonne segmentation réseau, des routes précises et une gestion rigoureuse des pare-feu de chaque côté.
Il faut aussi se demander si un VPN est réellement nécessaire pour chaque application. Microsoft 365, les services SaaS et plusieurs plateformes infonuagiques sécurisées sont conçus pour être accessibles directement avec une authentification forte. Faire transiter tout ce trafic par le VPN peut augmenter la latence, compliquer les opérations et surcharger la connexion Internet. Le VPN doit protéger les accès internes qui le nécessitent, non devenir un détour imposé par défaut.
Les prérequis avant de mettre en place un VPN
La configuration technique vient après un travail de préparation. Une entreprise qui ne connaît pas ses actifs, ses utilisateurs et ses flux réseau ne peut pas appliquer des règles d’accès fiables.
Commencez par dresser la liste des ressources à rendre accessibles : serveurs, applications, partages réseau, outils d’administration, imprimantes, environnements Azure ou systèmes spécialisés. Pour chacune, précisez qui doit y accéder et dans quel contexte. Un comptable n’a pas besoin des mêmes droits qu’un technicien externe ou qu’un administrateur TI.
Vérifiez ensuite l’état de votre infrastructure. Le pare-feu doit être de niveau professionnel, maintenu par le fabricant et suffisamment dimensionné pour chiffrer le trafic attendu. Un équipement trop ancien peut fonctionner pour quelques connexions, puis devenir un point de ralentissement lorsque plusieurs employés se connectent simultanément. La capacité VPN annoncée par un fabricant ne correspond pas toujours aux conditions réelles : le chiffrement, l’inspection de sécurité et la qualité du lien Internet influencent directement la performance.
Les identités doivent également être centralisées. Idéalement, les comptes VPN reposent sur votre annuaire d’entreprise ou sur Microsoft Entra ID, avec un processus clair d’arrivée, de changement de poste et de départ des employés. Créer des comptes locaux isolés sur un pare-feu peut sembler rapide, mais cette approche complique les audits et laisse plus facilement des accès actifs après le départ d’un collaborateur.
Enfin, confirmez que les appareils utilisés sont gérés et à jour. Donner un accès VPN complet à un ordinateur personnel non protégé est rarement défendable. Une gestion avec Microsoft Intune ou un outil équivalent permet de vérifier des exigences minimales : chiffrement du disque, antivirus actif, correctifs installés, verrouillage d’écran et version de système d’exploitation prise en charge.
Comment mettre en place un VPN de façon sécuritaire
1. Choisir une architecture simple et contrôlable
Pour la plupart des PME, le point de départ est un pare-feu central configuré comme concentrateur VPN. Les employés utilisent un client validé par l’organisation, tandis que les accès sont filtrés par des règles réseau. Les protocoles modernes, tels qu’IPsec ou SSL VPN selon la solution retenue, offrent un chiffrement solide lorsqu’ils sont correctement configurés.
Évitez les appareils grand public, les configurations copiées depuis un forum et les services dont le fonctionnement n’est pas documenté. Le VPN fait partie de votre périmètre de sécurité. Il doit être intégré à la supervision, aux sauvegardes de configuration et aux procédures de changement de l’entreprise.
2. Imposer l’authentification multifacteur
Un mot de passe seul ne suffit plus pour protéger un accès distant. Les campagnes d’hameçonnage, les mots de passe réutilisés et les fuites d’identifiants rendent ce contrôle insuffisant, même avec un tunnel chiffré.
L’authentification multifacteur doit être obligatoire pour tous les accès VPN, y compris ceux des administrateurs. Une application d’authentification ou une clé de sécurité constitue généralement un meilleur choix qu’un code SMS. Pour les comptes à privilèges élevés, appliquez des règles encore plus strictes : accès nominatif, élévation temporaire lorsque possible et revue régulière des droits.
3. Limiter l’accès avec la segmentation réseau
Une fois connecté, un utilisateur ne devrait pas automatiquement voir l’ensemble du réseau. C’est l’une des erreurs les plus fréquentes dans les déploiements VPN. Une connexion distante doit être associée à un groupe, puis ce groupe doit recevoir uniquement les accès nécessaires.
Par exemple, les employés administratifs peuvent accéder à une application de gestion et à un serveur de fichiers précis, sans pouvoir atteindre les consoles de réseau, les sauvegardes ou les serveurs de production. Les fournisseurs externes devraient utiliser des accès séparés, limités dans le temps et idéalement restreints à une ressource déterminée.
Cette segmentation réduit l’impact d’un compte compromis. Elle améliore aussi la lisibilité de l’environnement : les règles deviennent plus faciles à vérifier, à maintenir et à expliquer lors d’un audit.
4. Définir la politique de trafic Internet
Deux approches sont possibles. Avec le tunnel complet, tout le trafic Internet de l’utilisateur passe par le pare-feu de l’entreprise. Cette méthode facilite l’application des filtres web, l’inspection de sécurité et la journalisation centralisée, mais elle augmente la consommation de bande passante et peut affecter l’expérience pour les équipes éloignées.
Avec le split tunneling, seul le trafic destiné aux ressources de l’entreprise traverse le VPN. Le reste sort directement sur Internet depuis le réseau local de l’employé. Cette option est souvent plus performante et convient bien aux organisations qui utilisent déjà des services cloud sécurisés. En contrepartie, elle exige des appareils bien gérés, car le trafic Internet ne passe pas nécessairement par les protections du bureau.
Le bon choix dépend de votre niveau de maturité, de vos outils de sécurité, du débit Internet disponible et de la sensibilité des données. Il ne faut pas appliquer une politique unique sans évaluer ces paramètres.
5. Tester avant le déploiement général
Un VPN doit être validé dans des conditions réelles : connexion depuis un domicile, réseau mobile, hôtel, appareil Windows et, au besoin, macOS ou mobile. Testez les applications métiers, les performances, les droits d’accès, la reconnexion après une interruption et le comportement de l’authentification multifacteur.
Le test doit aussi inclure des scénarios négatifs. Un utilisateur d’un groupe donné peut-il atteindre une ressource qui devrait lui être refusée? Un appareil non conforme est-il bloqué? Un ancien compte désactivé peut-il encore se connecter? Ces vérifications sont souvent plus révélatrices que le simple fait de confirmer qu’une connexion fonctionne.
Exploiter et surveiller le VPN après son déploiement
Un VPN n’est pas un projet que l’on configure une fois pour l’oublier. Les mises à jour de pare-feu, les vulnérabilités des clients VPN et les changements dans les équipes peuvent rapidement créer un risque. Les journaux de connexion doivent être conservés et examinés, particulièrement pour les accès administratifs, les échecs répétés d’authentification et les connexions depuis des emplacements inhabituels.
Prévoyez une procédure de retrait immédiat des accès lors du départ d’un employé ou de la fin d’un mandat externe. Révisez aussi les groupes d’accès à intervalles définis. Dans une petite entreprise, cette revue peut être trimestrielle. Dans un environnement plus sensible ou soumis à des exigences de conformité, elle devra être plus fréquente.
La documentation compte autant que la technologie. Elle doit indiquer l’architecture retenue, les plages réseau, les groupes autorisés, les responsables, le processus de dépannage et la marche à suivre en cas d’incident. Sans cette discipline, une simple modification peut interrompre le travail de plusieurs équipes ou créer une faille difficile à détecter.
Daramac TECH aborde le VPN comme une composante de l’environnement TI global : pare-feu géré, identités protégées, appareils conformes, sauvegardes fiables et supervision continue. C’est cette approche qui permet de soutenir le télétravail et les accès intersites sans transformer la flexibilité en risque opérationnel.
Un bon VPN ne se remarque presque pas au quotidien : les utilisateurs accèdent à ce dont ils ont besoin, les données restent protégées et l’organisation sait exactement qui entre dans son réseau. Cette discrétion est le résultat d’une architecture réfléchie, de contrôles appliqués avec rigueur et d’un suivi constant.