VPN sur le routeur ou sur chaque appareil ? L'arbitrage que personne n'explicite

Cherchez le sujet et vous tomberez surtout sur des tutoriels d'installation. Or la question que les gens posent vraiment, à en juger par ce qu'ils tapent, n'est pas comment faire. C'est où le mettre : sur le routeur, ou sur chaque appareil. Ce sont deux réseaux différents, et la différence n'est pas une affaire de confort.

Ce que « sur le routeur » veut dire concrètement

Installer le client VPN sur le routeur place tout le réseau local derrière un seul tunnel. Ce n'est pas une image. Le guide client WireGuard d'OpenWrt fait assigner l'interface VPN à la zone WAN et router 0.0.0.0/0 et ::/0 à travers elle, c'est-à-dire toutes les destinations IPv4 et IPv6. Tout ce qui sort de la maison passe par le tunnel, que l'appareil soit au courant ou non.

Cette seule phrase contient à la fois l'attrait et le prix.

Ce qu'on y gagne, et c'est réel

Les appareils incapables de faire tourner un client sont couverts. Une télévision connectée, une console, une imprimante, un thermostat : aucun n'aura jamais d'application VPN à laquelle vous ferez confiance, et derrière un tunnel au niveau du routeur ils n'en ont pas besoin. C'est pourquoi nos guides sur l'Apple TV et sur les consoles présentent le routeur comme la voie propre plutôt que comme un contournement.

Rien n'est oublié. Aucun appareil laissé sans protection parce que quelqu'un a réinstallé l'application sans se reconnecter. La couverture cesse de dépendre de qui a configuré quoi.

Une seule place de licence couvre le foyer. Chez la plupart des fournisseurs, un routeur compte pour une connexion, quel que soit le nombre d'appareils derrière lui.

Ce qu'on y perd, et c'est rarement dit

Tout le monde partage la même sortie. Toute la maison apparaît depuis le même pays, au même moment. Impossible de regarder une chose qui exige d'être ici pendant que quelqu'un d'autre doit être ailleurs. Sur une installation appareil par appareil, c'est trivial ; au niveau du routeur, c'est une reconfiguration pour tout le monde.

L'éteindre n'est pas local. Certaines banques et certains services publics refusent le trafic VPN. Sur un appareil, on bascule l'application ; sur un routeur, il faut reconfigurer ou exclure délibérément cet appareil, si le micrologiciel le permet.

Le chiffrement se déplace. La cryptographie s'exécute sur le processeur du routeur au lieu de celui de chaque appareil. C'est une conséquence d'architecture, pas un test de performance : ce que cela coûte dépend entièrement de votre matériel, et cela se mesure chez vous plutôt que sur un chiffre trouvé ailleurs.

Le micrologiciel décide si la question se pose. Beaucoup de routeurs d'origine n'ont aucun client VPN. Les voies réalistes sont un routeur vendu avec, un appareil compatible passé sous un micrologiciel comme OpenWrt, ou un second routeur placé derrière le premier.

L'arrangement que la plupart veulent en réalité

Une fois les deux colonnes posées, la réponse n'est généralement ni l'une ni l'autre. C'est un tunnel au routeur pour ce qui ne peut pas se protéger seul, et un client sur l'ordinateur portable et le téléphone, qui vous suivent de toute façon hors de la maison et dont vous voulez l'interrupteur à portée de main.

Si votre raison de vouloir le routeur était « je veux qu'une partie du trafic reste hors du tunnel », le mécanisme que vous cherchez s'appelle le split tunneling, et il existe aussi du côté appareil.

En résumé honnête

Le niveau routeur n'est pas la version avancée du niveau appareil. C'est un autre arbitrage : une couverture totale contre une sortie unique partagée et un interrupteur qui n'est plus à portée de bras. Choisissez-le parce que les appareils qui comptent pour vous ne peuvent pas faire tourner un client, pas parce que cela paraît plus sérieux.