- Un VPN d’entreprise chiffre les communications entre un utilisateur distant et le réseau de l’entreprise, mais sa sécurité dépend entièrement de sa configuration.
- Les VPN eux-mêmes sont devenus une cible de choix : de nombreuses attaques récentes exploitent des passerelles VPN non mises à jour.
- Le modèle Zero Trust complète de plus en plus le VPN traditionnel plutôt que de simplement s’y substituer.
Le télétravail a généralisé l’usage du VPN en entreprise, souvent installé dans l’urgence sans configuration approfondie. Or un VPN mal sécurisé peut devenir la porte d’entrée la plus directe vers l’ensemble du réseau interne — c’est d’ailleurs devenu l’un des vecteurs d’attaque les plus exploités ces dernières années. Ce guide détaille comment déployer un VPN d’entreprise réellement sécurisé.
1. Ce qu’un VPN protège, et ce qu’il ne protège pas
Un VPN chiffre le trafic entre l’appareil de l’utilisateur et le réseau de l’entreprise, empêchant son interception en transit (par exemple sur un wifi public non sécurisé). Il ne protège en revanche ni contre un appareil déjà compromis par un malware, ni contre des identifiants volés utilisés par un attaquant pour se connecter légitimement au VPN.
2. MFA sur le VPN : une exigence, pas une option
Comme pour tout accès sensible, la double authentification sur la connexion VPN reste la protection la plus rentable contre l’usage frauduleux d’identifiants volés. De nombreuses compromissions récentes de passerelles VPN d’entreprise auraient pu être évitées avec un simple MFA correctement configuré.
3. Les vulnérabilités de passerelles VPN : une cible privilégiée
Les équipements VPN, exposés par nature sur Internet pour être accessibles à distance, font l’objet d’une recherche active de vulnérabilités par les attaquants. Plusieurs failles critiques touchant des passerelles VPN grand public ont été exploitées massivement ces dernières années avant même que les correctifs ne soient largement déployés.
4. Maintenir la passerelle VPN à jour en priorité
Les équipements VPN doivent figurer parmi les priorités absolues de toute politique de mise à jour de sécurité, au même titre que les pare-feu. Une passerelle VPN vulnérable exposée directement sur Internet reste l’une des cibles les plus recherchées par les scanners automatisés.
5. VPN traditionnel vs Zero Trust
| Approche | Principe | Limite du modèle précédent |
|---|---|---|
| VPN traditionnel | Une fois connecté, l’utilisateur accède largement au réseau interne | Un accès compromis peut donner une visibilité large sur le réseau |
| Zero Trust (ZTNA) | Chaque accès à chaque ressource est vérifié individuellement, sans confiance implicite | Complexité de mise en œuvre plus élevée |
Le modèle Zero Trust part du principe qu’aucun utilisateur ni appareil ne doit être automatiquement approuvé, même une fois connecté au réseau interne. Chaque accès à une ressource spécifique est vérifié individuellement, limitant fortement les mouvements latéraux possibles en cas de compromission.
6. VPN personnel vs VPN d’entreprise
Un VPN grand public (souvent utilisé pour contourner des restrictions géographiques ou anonymiser sa navigation) n’a pas les mêmes objectifs ni les mêmes garanties qu’un VPN d’entreprise, conçu pour sécuriser l’accès à un réseau professionnel spécifique. Les deux ne doivent pas être confondus dans une politique de sécurité.
📋 Checklist VPN d’entreprise
- Le MFA est activé sur toutes les connexions VPN, sans exception.
- La passerelle VPN est maintenue à jour en priorité, avec un suivi rapproché des correctifs de sécurité.
- Les accès sont restreints par profil, pas ouverts largement sur l’ensemble du réseau par défaut.
- Les comptes VPN inactifs ou d’anciens collaborateurs sont désactivés régulièrement.
- L’usage de VPN personnels grand public sur les postes professionnels est encadré par une politique claire.
❓ FAQ
❓ Un VPN ralentit-il significativement la connexion ?
L’impact dépend du protocole utilisé et de la qualité de la connexion internet ; des protocoles modernes comme WireGuard limitent fortement ce surcoût par rapport à des solutions plus anciennes.
❓ Faut-il un VPN si l’entreprise utilise déjà Microsoft 365 et des outils cloud ?
Cela dépend des ressources internes restantes (serveurs de fichiers locaux, applications métier non cloud). De plus en plus d’entreprises combinent accès cloud direct et VPN limité aux seules ressources encore internes.
❓ Le Zero Trust remplace-t-il complètement le VPN ?
Pas nécessairement : de nombreuses architectures combinent les deux approches, le VPN restant pertinent pour certains cas d’usage tout en intégrant progressivement des principes Zero Trust.
📚 Pour aller plus loin
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Réseaux, pare-feu et accès distants : Julien décortique les infrastructures pour que la sécurité ne rime pas avec usine à gaz, du VPN au NAS en passant par le pare-feu.
