Comment configurer un VPN maison pour le télétravail en toute sécurité

Un client m'a appelé un mardi soir, paniqué. Son NAS Synology était plein de factures clients et il devait absolument récupérer trois PDF pour un contrôle fiscal le lendemain. Le problème : il était chez lui, à 400 km, et son NAS était branché dans son ancien bureau. C'est là qu'on comprend l'intérêt du VPN maison dans un contexte de télétravail. Pas pour "sortir à l'étranger" ou masquer sa navigation : pour retrouver ses propres machines.

Je vais être direct : la plupart des articles sur le sujet vendent du VPN commercial. Ce n'est pas ce que vous cherchez si vous tapez "comment configurer VPN maison pour télétravail". Vous voulez accéder à votre réseau domestique depuis l'extérieur, ou relier votre poste à distance à l'infrastructure de votre entreprise. Deux cas différents, deux configurations. Je vais dérouler les deux, avec les pièges que j'ai rencontrés pour de vrai.

VPN maison pour télétravail : de quoi parle-t-on vraiment

Le terme VPN est tellement galvaudé que deux internautes peuvent vouloir dire l'inverse en l'utilisant. Il y a le VPN commercial (NordVPN, ExpressVPN, ProtonVPN...) : vous payez un abonnement, vous installez un client, votre trafic sort chez eux. Utile pour contourner une géo-restriction, pas pour accéder à votre propre matériel.

Il y a le VPN dit "maison" : vous montez vous-même un serveur (sur une box, un Raspberry Pi, un NAS, un vieux mini-PC) et vous y connectez vos appareils à distance. C'est celui qui vous intéresse ici.

Les deux usages concrets en télétravail

• Joindre votre propre réseau depuis un hôtel, un train, un appartement de location : imprimante, NAS, PC de bureau, caméra, Home Assistant
• Joindre le réseau de votre entreprise depuis chez vous, quand l'employeur ne fournit pas déjà un accès distant

Le premier cas est à votre portée un dimanche après-midi. Le second dépend souvent de votre service informatique : si votre boîte a un VPN d'entreprise, c'est lui qu'il faut utiliser, pas le vôtre. Mais si vous êtes freelance, en TPE, ou si vous voulez simplement faire les choses vous-même, la suite vous concerne.

Comment installer un VPN sur une box ?

Sur une box opérateur (Freebox, Livebox, Bbox), la réponse honnête est : rarement en natif. Les box grand public ne proposent pas de serveur VPN intégré. Ce qui existe, c'est la possibilité de faire passer le trafic d'un appareil distant par la box — autre chose. Pour un vrai serveur VPN joignable depuis Internet, il faut un appareil qui le fasse tourner.

Mon setup actuel, que j'ai monté après trois tentatives ratées : un Raspberry Pi 4 à 60 €, branché en Ethernet sur la Livebox, qui fait tourner WireGuard. Le Pi consomme moins de 5 W en continu, chauffe à peine, et ne m'a pas coûté un centime d'électricité perceptible sur la facture. Je l'ai configuré en une soirée. Environ 2 h, dont 40 minutes à comprendre pourquoi le port 51820 ne répondait pas (spoiler : je n'avais pas redirigé le port sur la box).

Trois étapes techniques, dans l'ordre

1. Réserver une IP locale fixe pour le Pi (ou le NAS) depuis l'interface de la box. Sinon la redirection de port casse à chaque bail DHCP.
2. Rediriger le port WireGuard (51820/UDP par défaut) vers cette IP depuis l'admin de la box
3. Générer les clés côté serveur et côté client, déclarer le pair côté serveur, importer la config côté client

Alternativement, si votre box le permet, vous pouvez installer WireGuard directement sur un routeur custom (OpenWrt, pfSense). C'est plus propre à long terme mais ça demande un routeur compatible, chose rarement fournie par les opérateurs.

Le piège du CGNAT

Certains abonnements fibre récents sont livrés derrière un CGNAT : votre box n'a pas d'IP publique à elle, elle partage celle de l'opérateur avec d'autres clients. La redirection de port devient impossible. Si vous tapez une redirection et que rien ne passe malgré une config correcte, c'est probablement ça. Solutions : demander une IP publique à l'opérateur (souvent gratuit sur demande), ou basculer sur une solution de type Tailscale qui utilise un relais tiers et passe sans redirection.

Le choix du protocole : WireGuard contre OpenVPN

Quand j'ai commencé à bricoler ça, OpenVPN était le seul sérieux. Aujourd'hui, franchement, il n'y a plus débat pour un usage domestique. WireGuard est intégré au noyau Linux depuis des années, il est plus rapide, plus simple à configurer, et il gère mieux la reconnexion quand le réseau change (passage du Wi-Fi au 4G, typiquement).

Critère	WireGuard	OpenVPN
Configuration serveur	Un fichier de config de 10 lignes	Un fichier de 30+ lignes + PKI
Performance	Très rapide, faible overhead	Correct, plus gourmand CPU
Reconnexion mobile	Instantanée, transparente	Nécessite parfois un redémarrage manuel
Clients disponibles	Officiel sur toutes les plateformes	Client tiers (OpenVPN Connect)
Support sur box/NAS	Variable, souvent via paquet	Plus répandu historiquement

Mon avis tranché : si vous partez de zéro, allez sur WireGuard. Si votre NAS Synology ou votre box ne propose que du OpenVPN, tant pis, il fera le travail — mais comptez deux fois plus de temps de mise en place. J'ai encore un vieux NAS qui ne connaît que OpenVPN, et je ne l'utilise que pour les sauvegardes nocturnes, pas pour un usage interactif.

Split tunneling : le réglage que tout le monde oublie

Vous avez un serveur VPN qui fonctionne. Vous activez le tunnel à la maison pour accéder au NAS. Et là, surprise : Netflix ne marche plus, votre console refuse de se connecter, votre visio plante. Pourquoi ? Parce que tout votre trafic est passé dans le tunnel, y compris ce qui n'en a pas besoin.

C'est là qu'intervient le split tunneling : ne router dans le VPN que les adresses du réseau que vous voulez joindre (par exemple 192.168.1.0/24), et laisser tout le reste sortir par votre connexion locale. Sur WireGuard, ça se joue dans la ligne AllowedIPs de la config client.

Concrètement, dans le fichier client, remplacer :

• AllowedIPs = 0.0.0.0/0, ::/0 → tout passe dans le tunnel
• AllowedIPs = 192.168.1.0/24 → seul votre réseau maison passe par le VPN

Ce simple changement m'a évité de basculer sur un abonnement VPN commercial pendant six mois. Et pour les cas pro, c'est encore plus important : si votre boîte routait tout votre trafic par le VPN, votre visio Zoom en local deviendrait une purge.

Est-il légal d'utiliser un VPN ?

Oui. En France, l'usage d'un VPN est parfaitement légal. Il n'existe aucune loi qui l'interdise, ni qui impose une déclaration. Des millions de salariés en télétravail utilisent quotidiennement le VPN de leur employeur sans le savoir.

Ce qui est encadré, ce sont les usages :

• Un VPN ne rend pas magiquement légal ce qui ne l'est pas (téléchargement illégal, contournement de droits d'accès)
• Votre employeur peut interdire l'usage d'un VPN personnel sur du matériel fourni ou pour accéder à ses systèmes — lisez votre charte informatique
• Certains services (banques, streaming) bloquent les IP de VPN commerciaux, c'est contractuel et non pénal

Un mythe à démolir : "un VPN rend anonyme". Non. Votre fournisseur d'accès voit que vous vous connectez à un serveur VPN, et le serveur VPN voit votre trafic. L'anonymat réel, ça n'existe pas par défaut, même avec un VPN personnel.

Quel est le VPN le plus fiable et gratuit ?

Attention, la question mélange deux choses. Si vous parlez d'un VPN commercial gratuit, la réalité économique est simple : un service gratuit doit se financer autrement. Soit par la revente de données agrégées, soit par un modèle freemium avec des limitations (data plafonnée, débit bridé, serveurs moins nombreux). ProtonVPN propose une offre gratuite avec data illimitée mais peu de serveurs — c'est l'un des rares que j'utiliserais si j'avais besoin d'un commercial ponctuel.

Si vous parlez d'un VPN maison gratuit, alors oui, on peut faire gratuit : WireGuard est open source, un Raspberry Pi coûte moins de 80 €, et l'électricité représente quelques euros par an. C'est ma recommandation pour un usage télétravail, parce que vous contrôlez tout.

Et Tailscale, dans tout ça ?

Tailscale est un service qui simplifie énormément le montage d'un réseau privé entre plusieurs appareils. Basé sur WireGuard, il gère automatiquement les NAT, propose un plan gratuit généreux pour un usage personnel, et supprime la redirection de port. Le compromis : vous dépendez d'un service tiers pour la coordination initiale. Pour un freelance qui ne veut pas bidouiller, c'est mon second choix après un Raspberry Pi + WireGuard, dans cet ordre.

Est-il nécessaire de laisser son VPN activé en permanence ?

Non. Et si quelqu'un vous répond "oui, tout le temps", méfiance. Un VPN maison activé en permanence sur votre poste de télétravail, c'est un tunnel qui tourne pour rien la plupart du temps : vous ne joignez votre NAS que quelques minutes par jour.

Ce que je recommande dans la vraie vie :

• Laissez le serveur tourner H24 (sur le Pi ou le NAS) — il ne consomme quasi rien et il est là quand vous en avez besoin
• Activez le client VPN à la demande sur PC et téléphone, quand vous savez que vous allez accéder à distance
• Exception utile : si vous êtes sur un Wi-Fi public sans mot de passe (gare, hôtel), activez le tunnel avant de vous connecter à la banque ou au webmail pro

Sur mobile, l'app WireGuard permet d'activer le tunnel en un tap. J'ai un raccourci sur l'écran d'accueil. Une fois habitué, c'est aussi rapide que d'ouvrir une appli.

Ce que j'aurais aimé savoir avant de configurer

Trois conseils qui ne figurent dans aucun tuto, et que j'ai appris à la dure.

Premier conseil : sauvegardez votre config serveur et vos clés dans un gestionnaire de mots de passe (Bitwarden, KeePass). Si vous perdez le fichier, vous re-générez tout et vous redevez appairer chaque client. Je l'ai fait une fois, à 23 h, un dimanche. Plus jamais.

Deuxième conseil : testez depuis l'extérieur. Une config qui marche depuis votre canapé, sur le même réseau que le serveur, ne prouve rien. Coupez le Wi-Fi, passez en 4G, tentez une connexion. C'est le seul test valable.

Troisième conseil : documentez votre plan d'adressage. Note IP du serveur, port utilisé, plage distribuée aux clients, nom des pairs. Un fichier texte dans votre coffre-fort numérique. Dans deux ans, quand vous devrez ajouter un appareil, vous bénirez ce fichier.

Le VPN maison n'est pas une solution magique — c'est un outil. Il ne vous rendra pas invisible, ne contournera pas les règles de votre employeur, ne remplacera pas un vrai accès distant fourni par le service informatique. Mais pour joindre son NAS depuis un Airbnb, récupérer un fichier oublié sur son PC de bureau, ou faire transiter des factures clients sur un réseau public, c'est le meilleur investissement de 80 € que j'ai fait pour mon télétravail. Le jour où la box tombe ou que le Pi rend l'âme, vous aurez au moins la satisfaction de comprendre pourquoi.