Pourquoi WireGuard est l’avenir du VPN

WireGuard est une technologie VPN (Virtual Private Network) moderne dotée d’une cryptographie de pointe.

Par rapport à d’autres solutions similaires, telles que IPsec et OpenVPN, WireGuard est :

• plus rapide
• plus facile à configurer
• plus performant

Il s’agit d’un réseau multi-plateforme qui peut fonctionner presque partout, y compris sous Linux, BSD, Windows, Android et MacOS.

Veuillez noter que dans le paysage de WireGuard, il n’y a pas de « serveur » ni de « client » au sens traditionnel du terme. Les ordinateurs et les appareils connectés entre eux sont appelés « pairs ».

Ce protocle prend d’assaut le monde des VPN et promet de grandes améliorations par rapport aux protocoles VPN existants, tels qu’OpenVPN. Mais lors de tests en situation réelle, peut-il offrir :

• de meilleures vitesses
• une meilleure sécurité
• une plus grande fiabilité ?

Actuellement, l’étalon-or des protocoles VPN est OpenVPN. Il s’agit d’un protocole open source très performant, qui est considéré comme :

• sûr
• fiable
• passant avec succès de nombreux audits indépendants

WireGuard est-il meilleur qu’OpenVPN ?

Comment fonctionne WireGuard

• WireGuard fonctionne en créant une interface réseau sur chaque appareil pair qui agit comme un tunnel
• Les pairs s’authentifient mutuellement en échangeant et en validant des clés publiques
• Elles imitent le modèle SSH
• Les clés publiques sont mises en correspondance avec une liste d’adresses IP autorisées dans le tunnel
• Le trafic VPN est encapsulé dans l’UDP

L’installation d’un VPN

Si vous avez déjà mis en place un service VPN tel qu’OpenVPN, vous savez que l’installation peut devenir compliquée en raison de toutes les étapes à franchir :

• La génération de certification
• la délivrance de clés et de certificats
• la création de plusieurs fichiers de configuration
• la configuration de règles de pare-feu
• la mise en place de la redirection du trafic

L’installation de WireGuard

WireGuard change tout cela en simplifiant le processus de mise en place et de fonctionnement en un rien de temps et en permettant une configuration facile pour connecter plusieurs clients (pairs).

Pourquoi utiliser WireGuard ?

• Un VPN permet de vous protéger contre les attaques sur votre connexion
• Protéger votre vie privée contre les FAI qui fouillent dans votre trafic
• Contourner la censure d’internet dans certains pays

Avantages de WireGuard par rapport aux autres VPN

• Il est basé sur le noyau, d’où des performances améliorées
• Établit des connexions en moins de 100 ms
• Faible encombrement: peut être exécuté dans pratiquement n’importe quel appareil, même embarqué
• Facile à configurer et à déployer en tant que SSH
• Réduit la surface d’attaque puisqu’il y a moins de complexité
• Utilise des normes cryptographiques modernes et améliorées
• Prise en charge de l’itinérance IP: vous pouvez changer de réseau wifi ou vous déconnecter du wifi sans perdre la connexion au tunnel VPN

Facile à utiliser

Il suffit de spécifier sa propre adresse IP publique, l’IP publique de son homologue, les sous-réseaux que l’on souhaite mettre à disposition de chaque côté, et une clé pré-partagée. Après cela, le VPN est compatible avec tous les fournisseurs qui existent.

WireGuard plus rapide que les autres solutions VPN

Pour presque tous les cas d’utilisation, IPsec et WireGuard sont parfaitement adaptés. Le chiffrement symétrique que vous utilisez (AES ou ChaCha20 ou autre) n’est presque jamais pertinent, sauf sur les réseaux extrêmement rapides (bien au-delà de 10 Gbit/sec).

Les processeurs mobiles sont un peu plus lents que les processeurs de bureau et de serveur lorsqu’il s’agit de chiffrer. Sur les mobiles, il faut s’attendre à ce que la cryptographie symétrique prenne environ 1% du temps, et les réseaux lents 99% du temps.

Certaines plates-formes VPN non-IPsec et non-WireGuard acheminent leur trafic sur TCP. Transporter le trafic VPN sur TCP est une méthode excentrique qui peut entraîner des ralentissements et des retards par rapport au trafic en temps réel :

• comme la voix sur IP
• les appels vidéo
• et les ordinateurs de bureau distants

Mais ni IPsec ni WireGuard n’ont ce problème.

Lorsqu’il est configuré correctement, WireGuard est capable de fonctionner en toute sécurité en mode point à multipoint et de réduire la latence.

Une facilité de déploiement

Un autre avantage du protocole VPN WireGuard par rapport aux autres protocoles est sa facilité de déploiement car il y a extrêmement peu de lignes de code impliquées.

Pour vous donner une idée, OpenVPN fonctionne avec 400 000 lignes de code alors que WireGuard VPN n’en a que 4 000 !

Par exemple, un ordinateur portable équipé de WireGuard peut avoir des connexions ouvertes simultanément vers 3 centres de données, au lieu d’un seul centre de données possédant ensuite plusieurs tunnels.

Rapidité de WireGuard

Les inconvénients de WireGuard

Les choses semblent assez prometteuses, sans aucun doute. Cependant, il y a quelques inconvénients de WireGuard dont vous devez être conscient :

Pas d’obfuscation par défaut

Parce que son objectif est de fournir un tunnelage VPN le plus simplement et efficacement possible, WireGuard laisse les portes ouvertes à l’obfuscation sur une couche supérieure.

Cela permet aux utilisateurs qui veulent construire un VPN et aux fournisseurs de VPN de le configurer de la manière qu’ils préfèrent. Malheureusement, cela signifie également que sans dissimulation du tunnel VPN, vous aurez probablement du mal à passer le DPI (Deep Packet Inspection) et ne pourrez donc pas contourner les blocages VPN sur les principaux services de streaming et en Chine.

Sujet à la perte de paquets de données

Ce n’est pas la faute de WireGuard mais plutôt celle de l’UDP (User Datagram Protocol).

Bien que considérablement plus rapide que TCP, il ne vérifie pas si les paquets de données sont arrivés à destination.

WireGuard l’a voulu ainsi ; ses concepteurs ont remarqué que le tunnelage TCP sur TCP réduit les performances du réseau. Au lieu de cela, ils utilisent une fenêtre glissante qui compte le plus grand compteur reçu et enregistrent les 2000 dernières valeurs.

Ils suggèrent également d’utiliser un logiciel tiers pour tunneliser les paquets UDP dans une connexion TCP si nécessaire. Les fournisseurs de VPN font de même, à moins qu’ils n’aient une solution personnalisée à la perte de paquets de données.

Certains problèmes de confidentialité

Les problèmes de sécurité ne s’appliquent qu’à la version non modifiée du protocole.

Chaque fournisseur de VPN a sa solution, exactement ce que le développeur de WireGuard a prédit.

Par exemple, NordVPN utilise un double système NAT dans son protocole VPN interne basé sur WireGuard, NordLynx. Il fournit la même adresse IP à chaque utilisateur, mais dès que le tunnelage est réalisé, chaque tunnel obtient une adresse IP unique.

• De cette façon, NordVPN n’a pas besoin de stocker les journaux
• délègue les adresses IP de façon dynamique
• met en œuvre le tunnelage TCP si nécessaire
• et prend en charge le PFC (Perfect Forward Secrecy)

Prix de NordVPN

Tableau comparatif entre WireGuard et OpenVpn

NordVpn adopte WireGuard

NordVPN, l’une des plus grandes sociétés de fournisseurs de services VPN au monde, a déployé au mois d’avril 2020 une nouvelle technologie basée sur le protocole VPN WireGuard.

Cette nouvelle technologie, baptisée NordLynx, s’appuie sur le protocole VPN WireGuard, dont on vient de dire qu’il offrait une vitesse supérieure à celle d’autres protocoles contemporains comme OpenVPN ou IPSec.

➜ NordLynx rend le service VPN de NordVpn 2 fois plus rapide qu’auparavant

NordVPN a effectué 256 886 tests de vitesse et a découvert que lorsqu’un utilisateur se connecte à un serveur VPN proche et télécharge du contenu qui est servi par un réseau de distribution de contenu (CDN) dans un rayon de quelques milliers de kilomètres, il peut s’attendre à une vitesse de téléchargement en amont et en aval jusqu’à deux fois plus élevée.

En plus de la vitesse, NordVPN a également ajouté son double système de traduction d’adresses réseau (NAT) pour renforcer la confidentialité des utilisateurs. Ce système garantit qu’aucune donnée personnelle de l’utilisateur n’est stockée sur les serveurs du VPN.

La technologie NordLynx a été déployée sur tous les produits VPN proposés sur différentes plateformes, notamment Windows, iOS, Android et Linux.

WireGuard / NordLynx

NordVPN a choisi de ne pas utiliser la version vanille de WireGuard, et a plutôt lancé sa propre version, appelée NordLynx.

NordVPN a choisi cette solution parce qu’il était préoccupé par la façon dont WireGuard attribue les adresses IP aux utilisateurs, qui oblige à stocker les données des utilisateurs sur les serveurs de l’entreprise. Cela irait à l’encontre de la politique de NordVPN en matière de respect de la vie privée.

➜ NordVPN a donc créé ce qu’il appelle un système de « double NAT » .

Ceci pour établir une connexion VPN sécurisée sans stocker sur ses serveurs aucune donnée d’utilisateur identifiable.

Le système de double NAT crée deux interfaces de réseau local pour chaque utilisateur.

• La première interface attribue la même adresse IP locale à tous les utilisateurs connectés à un serveur.
• Une fois que le tunnel VPN sécurisé est établi, la deuxième interface réseau avec un système NAT dynamique entre en action.

Les adresses IP locales dynamiques ne restent attribuées que tant que la session est active et permettent de ne pas stocker de données identifiables sur le serveur.

Comment utiliser WireGuard sur NordVPN

• Pour utiliser NordLynx, ouvrez l’application
• Cliquez sur Paramètres
• Sélectionnez Wireguard dans les options du protocole
• NordLynx apparaît en tant qu’option

OpenVPN reste le protocole par défaut dans NordVPN si vous optez pour la sélection « automatique » du protocole.

Vitesses de téléchargement par protocole

Conclusion

• WireGuard est un logiciel libre
• Il peut fonctionner dans une machine virtuelle purement logicielle (ce qui évite les blocages matériels et les goulots d’étranglement)
• Il ne prend en charge qu’une seule suite de chiffrement connue pour être très rapide et très sûre
• Il fonctionne avec le mécanisme d’échange de clés que vous souhaitez superposer

Lors de la sortie de WireGuard, des inquiétudes subsistaient

• la protection de la vie privée
• les journaux d’adresses IP stockés sur le serveur
• la nature nouvelle et expérimentale du protocole

Il ne semblait tout simplement pas être une solution idéale pour les personnes qui utilisent les VPN dans un souci de protection de la vie privée.

Mais beaucoup de choses ont changé en 2021 pour WireGuard

• Les VPN ont trouvé de bonnes solutions pour prendre en charge WireGuard tout en garantissant la confidentialité des utilisateurs.
• WireGuard a été officiellement publié sous la version 1.0 (plus de code expérimental).
• WireGuard a maintenant été incorporé dans le noyau Linux, ce qui constitue une étape importante.
• De nombreux tests ont prouvé l’avantage significatif de WireGuard en terme de performances par rapport aux protocoles VPN existants.

Une faible surcharge

En raison de sa faible surcharge par rapport à OpenVPN, WireGuard est bien adapté aux applications où la longévité de la batterie est une préoccupation.

Comme décrit par son développeur, WireGuard n’est pas un protocole bavard. La plupart du temps, il ne transmet des données que lorsqu’un pair souhaite envoyer des paquets. Lorsqu’on ne lui demande pas d’envoyer des paquets, il arrête d’envoyer des paquets jusqu’à ce qu’on lui demande à nouveau.

Par conséquent, votre adaptateur sans fil a plus de chances de pouvoir tourner au ralenti, ce qui permet d’améliorer l’autonomie de la batterie.

WireGuard a beaucoup à offrir aux utilisateurs de VPN, dans de nombreux cas d’utilisation différents.

De ce fait, il est de plus en plus largement accepté comme l’avenir de la connectivité VPN sécurisée.