Transparence affiliation - Ce guide cite des hébergeurs que nous utilisons réellement pour nos propres tunnels. Une commande via nos liens nous rémunère sans surcoût pour vous, et ne change rien à ce qui est écrit ici.
Installer OpenVPN se fait aujourd'hui en deux façons très différentes : lancer un script qui fait tout en quelques minutes, ou monter la chaîne à la main pour savoir exactement ce qui tourne. Les deux sont légitimes, elles ne servent simplement pas le même objectif. Cette page dit ce que chacune fait vraiment, ce qu'il faut vérifier dans les deux cas, et les quatre pannes qui reviennent toujours.
Ce qu'une installation OpenVPN comporte réellement
Beaucoup de guides donnent une suite de commandes sans dire ce qu'elles construisent. Il y a en fait cinq pièces, et connaître leur rôle suffit à diagnostiquer presque toutes les pannes.
- Une autorité de certification. C'est elle qui signe les certificats et décide qui a le droit d'entrer. Elle vit sur le serveur, ou mieux, hors du serveur.
- Un certificat serveur et une clé. L'identité que le client vérifie avant de se connecter.
- Un certificat par client. C'est ce qui permet de révoquer un appareil perdu sans toucher aux autres.
- La configuration serveur. Port, protocole de transport, plage d'adresses distribuées, routes poussées vers le client, serveurs DNS annoncés.
- Le routage et le pare-feu de la machine. Sans eux, le tunnel monte et rien ne circule.
Un script d'installation fait ces cinq choses. C'est pour cela qu'il gagne une soirée, et aussi pour cela qu'il faut savoir ce qu'il a écrit.
Script ou manuel : ce qui décide
| Script d'installation | Installation manuelle | |
|---|---|---|
| Durée | Quelques minutes | Une soirée la première fois |
| Ce que vous apprenez | Peu | Tout |
| Personnalisation | Ce que le script expose | Totale |
| Révocation d'un client | Prévue par le script | À monter vous-même |
| Bon pour | Un serveur personnel | Comprendre, ou intégrer à l'existant |
Pour un tunnel personnel, le script est le choix raisonnable. Il produit une installation correcte, avec des paramètres de chiffrement à jour, et il génère les fichiers clients à la demande.
Vérifiez tout de même trois choses après son passage : le port et le transport réellement configurés, les serveurs DNS annoncés au client, et l'endroit où sont stockées les clés de l'autorité de certification. Ce sont les trois réglages qui changent le comportement réel du tunnel.
Les quatre pannes classiques
Elles se ressemblent toutes de l'extérieur : le client se connecte, et rien ne passe.
1. Le routage n'est pas activé. Les paquets entrent dans la machine et s'y arrêtent. C'est un réglage système d'une ligne, oublié une fois sur deux, et il faut qu'il survive au redémarrage.
2. La traduction d'adresse manque. Le trafic sort du serveur avec l'adresse privée du tunnel, que plus personne ne sait renvoyer. Une règle de pare-feu suffit, encore faut-il qu'elle vise la bonne interface de sortie.
3. Le pare-feu de l'hébergeur bloque. Beaucoup d'hébergeurs ont leur propre pare-feu, en amont de la machine : ouvrir le port dans le système ne suffit pas, il faut aussi l'ouvrir dans leur interface.
4. Les requêtes DNS sortent hors du tunnel. C'est la plus sournoise des quatre, parce que tout fonctionne. Vous naviguez, votre trafic est chiffré, et votre fournisseur d'accès voit quand même la liste des sites visités. Rien ne la signale : il faut la chercher.
UDP ou TCP
UDP par défaut, parce que c'est ce pour quoi un tunnel est fait : pas de retransmission redondante, latence régulière, débit meilleur.
TCP sur le port 443 comme solution de repli, et uniquement là. Sur un réseau d'entreprise ou d'hôtel qui filtre l'UDP, OpenVPN en TCP/443 ressemble à du trafic web et passe souvent. Le prix est réel : deux couches de retransmission empilées produisent des à-coups dès que la ligne se dégrade. C'est une porte de secours, pas une configuration par défaut.
Faut-il encore choisir OpenVPN ?
Non, dans le cas général. Pour un serveur personnel monté en 2026, WireGuard fait le même travail avec une configuration plus courte, une reprise instantanée après une coupure réseau, et une base de code assez petite pour avoir été relue sérieusement.
Oui, dans deux cas précis. Si le réseau que vous traversez filtre l'UDP, la bascule en TCP/443 d'OpenVPN n'a pas d'équivalent simple. Et si vous devez connecter un routeur ou un appareil ancien, OpenVPN y est souvent présent quand WireGuard n'y est pas.
Le reste du temps, installer OpenVPN aujourd'hui relève de l'existant à maintenir, pas du choix à faire.
★ Datacenter Nuremberg GDPR · ✓ IPv4 dédiée incluse · 200+ Mbps garantis
Héberge ton VPN sur ton propre VPS → ContaboAccès root complet · IPv4 publique · choisis ta région→
