Les réseaux de campus et d’entreprise filtrent le trafic pour des raisons de règlement et de sécurité : ils bloquent des ports et des protocoles (souvent l’UDP qu’utilise WireGuard), des serveurs VPN connus ou des noms dans le DNS. Un VPN qui passe par le port TCP 443, comme le trafic web ordinaire, passe en général. Mais l’utiliser peut enfreindre des règles que vous avez acceptées : lisez-les d’abord, et n’essayez jamais sur un appareil géré par votre organisation.
Le Wi-Fi du campus marche pour tout, sauf pour l’appli qui vous intéresse : le VPN tourne sur « Connexion » puis abandonne. Ou c’est le réseau du bureau, qui laisse naviguer mais semble allergique à tout ce qui ressemble à un tunnel. Ce n’est pas un bug. Ces réseaux sont conçus pour bloquer une partie du trafic, et les VPN en font souvent les frais.
Cet article s’adresse aux étudiants et aux adultes au travail. Les réseaux scolaires destinés aux mineurs sont un autre sujet, que nous ne traitons pas.
Comment les réseaux de campus et de bureau bloquent les VPN
Les équipes réseau bloquent rarement « les VPN » en tant que tels. Elles bloquent les briques dont un VPN est fait :
| Méthode | Ce qu’elle fait | Ce que vous voyez |
|---|---|---|
| Règles de ports et de protocoles | Seuls le web (TCP 80 et 443), le DNS et quelques services passent ; le reste de l’UDP est rejeté | WireGuard n’achève jamais sa poignée de main |
| Reconnaissance du protocole | Le pare-feu reconnaît l’ouverture d’un VPN à sa taille et à sa forme | Connexion un instant puis blocage, ou aucun démarrage |
| Listes de serveurs VPN | Les adresses VPN connues sont refusées | Certains emplacements échouent, d’autres marchent |
| Filtrage DNS | Le résolveur du réseau refuse ou modifie certains noms | L’appli ne trouve pas ses serveurs, ou les sites aboutissent sur une page de blocage |
| Inspection TLS | Sur les appareils gérés, un certificat d’entreprise permet d’ouvrir le trafic chiffré | Alertes de sécurité, ou applis qui refusent de se connecter |
Pourquoi ? Bande passante, politiques de sécurité, licences, et parfois simplement un pare-feu livré ainsi. Bloquer les VPN permet aussi au réseau de garder la main avec ses propres filtres, contre les logiciels malveillants par exemple.
eduroam est un réseau de réseaux
Beaucoup d’universités utilisent eduroam, le Wi-Fi itinérant de l’enseignement et de la recherche. Il offre un identifiant unique dans tous les établissements, mais chacun continue de gérer son propre réseau et son propre pare-feu. Un VPN qui marche sur un campus peut donc échouer sur un autre, et il n’existe pas de « règle eduroam » à consulter.
Beaucoup d’universités proposent aussi leur propre VPN, pour accéder à la bibliothèque ou aux services internes depuis chez soi. C’est un autre outil : il vous fait entrer dans le réseau de l’université au lieu de lui cacher votre trafic. Une étude sur l’usage des VPN (USENIX Security 2022) a constaté que la plupart des utilisateurs ont découvert les VPN au lycée ou à l’université, utilisent des VPN gratuits et se sentent plus en sécurité avec ceux que fournit leur établissement.
D’abord, vérifiez que vous en avez le droit
Un VPN est légal dans la plupart des pays, mais le réseau d’un campus ou d’une entreprise est un réseau privé avec ses propres règles. Avant de contourner un blocage :
- Lisez la charte informatique que vous avez acceptée avec votre compte. Certaines interdisent explicitement les tunnels ou le fait de « contourner les dispositifs de sécurité ».
- N’utilisez pas de VPN sur un appareil géré par votre organisation. Un téléphone ou un profil professionnel peut interdire les VPN ; Android empêche alors l’appli de démarrer, et seul l’administrateur peut changer cela. Notre article d’aide sur les profils professionnels et les autres VPN explique ce que vous verrez.
- Examens, laboratoires et systèmes restreints ont souvent leurs propres règles. Respectez-les.
Si quelque chose dont vous avez légitimement besoin est bloqué, adressez-vous au service informatique. Un message court et précis fonctionne le mieux : quel réseau, quelle appli ou quel site, pour quel usage et quel message d’erreur. C’est le chemin le plus rapide, et celui qui ne vous causera pas d’ennuis ensuite.
Quand c’est permis : ce qui passe
Si les règles le permettent, la voie fiable consiste à faire passer le VPN dans ce que le réseau accepte déjà : du trafic web chiffré sur le port TCP 443. C’est ce que fait un mode furtif, ou d’obfuscation.
- Essayez d’abord le mode automatique. Une bonne appli tente le protocole rapide (UDP) et bascule seule en cas d’échec.
- Choisissez le mode Furtif à la main si le mode automatique met trop de temps sur un réseau que vous utilisez tous les jours.
- Essayez un autre emplacement. Certains réseaux bloquent des adresses précises.
- Acceptez que certains réseaux ne le permettent pas. Si le réseau ne laisse passer qu’une courte liste de services ou inspecte chaque connexion en profondeur, aucun réglage n’y fera peut-être rien, et c’est aussi une réponse.
Notre diagnostic gratuit « VPN bloqué sur le Wi-Fi » vous demande ce que vous voyez et vous donne les étapes adaptées. Les mêmes causes existent dans les hôtels ; notre article sur le Wi-Fi d’hôtel qui bloque le VPN détaille en plus la page de connexion.
Ce que voit le réseau, avec ou sans VPN
Sans VPN, le réseau du campus ou du bureau voit en général quels sites vous visitez (grâce aux requêtes DNS et au nom du site au début de chaque connexion chiffrée), quand et combien de données vous utilisez, mais pas les pages ni ce que vous tapez sur les sites HTTPS. Avec un VPN, il voit une connexion chiffrée vers un serveur VPN et son volume. En mode Furtif, cette connexion ressemble à du HTTPS, mais un réseau doté d’une inspection avancée peut encore deviner qu’il s’agit d’un VPN. Notre guide ce que voit le propriétaire du Wi-Fi donne le tableau complet.
Comment PryVPN se comporte sur ces réseaux
- Automatique essaie WireGuard sur UDP. Si le serveur ne répond pas en 7 secondes environ, l’appli passe en Furtif (WireGuard dans TLS 1.3 sur le port TCP 443) et s’en souvient pour ce réseau pendant quelques heures.
- Le mode Furtif est plus lent que l’UDP et demande Android 10 ou plus récent. Pendant qu’il est actif, l’appli PryVPN elle-même reste hors du tunnel pour que sa connexion TLS atteigne notre serveur ; vos autres applis restent protégées. L’article d’aide sur les protocoles détaille chaque option.
- Si le réseau inspecte le trafic chiffré en remplaçant les certificats, PryVPN s’en aperçoit, refuse de se connecter et vous le dit, au lieu d’envoyer quoi que ce soit par ce réseau.
- Sur un appareil géré qui interdit les VPN, PryVPN ne peut pas démarrer et n’essaie pas de le contourner.
Rien de tout cela ne promet une connexion sur tous les réseaux. Mais sur ceux qui bloquent seulement l’UDP, vous n’avez pas besoin de devenir ingénieur réseau pour vous connecter, et nous vous dirons franchement quand un réseau ne le permet pas.
Questions fréquentes
L’université peut-elle voir que j’utilise un VPN ?
En général, oui. Elle voit une connexion vers un serveur VPN, ou en mode Furtif une longue connexion qui ressemble à du HTTPS, et la quantité de données. Elle ne voit ni les sites ni le contenu à l’intérieur.
Utiliser un VPN sur le Wi-Fi du campus est-il illégal ?
Dans la plupart des pays, un VPN est légal. Les règles du campus sont une autre question : enfreindre la charte informatique peut avoir des conséquences même sans rien d’illégal. Lisez les règles et, en cas de doute, demandez au service informatique.
Pourquoi le VPN marche-t-il en 4G et pas sur le Wi-Fi ?
Parce que le blocage se trouve dans le pare-feu du Wi-Fi, pas dans votre téléphone ni dans le VPN. Le réseau de votre opérateur mobile a ses propres règles, différentes.
Si PryVPN vous semble le bon outil pour les réseaux où vous avez le droit de l’utiliser, rejoignez la bêta.
Sources
- Dutkowska-Żuk et al., How and Why People Use Virtual Private Networks (USENIX Security 2022, en anglais)
- eduroam : ce qu’est eduroam et comment chaque établissement le gère (en anglais)
- WireGuard : protocole et cryptographie, transport sur UDP (en anglais)
- RFC 8446 : TLS 1.3 (en anglais)
- Cybermalveillance.gouv.fr : les 10 mesures essentielles pour assurer votre sécurité numérique
Vous avez repéré une erreur ? Écrivez-nous à support@pryvpn.com : nous la corrigeons et mettons la date à jour.
