Qu'est-ce que le split tunneling ? 3 types, le risque et une config WireGuard

Par défaut, un VPN fonctionne en tout-ou-rien : tu l'actives et tout ce que ton appareil envoie passe par le tunnel chiffré. Le split tunneling casse cette règle. Il te permet de choisir quel trafic passe par le VPN et lequel emprunte ta connexion normale. C'est pratique, mais avec une contrepartie qu'il vaut mieux comprendre. Ce guide explique ce qu'est le split tunneling, ses différents types, pourquoi on l'utilise, le compromis en toute honnêteté, et comment le mettre en place sur un WireGuard auto-hébergé.

Qu'est-ce que le split tunneling VPN ?

Le split tunneling est une fonction VPN qui fait passer une partie de ton trafic par le tunnel chiffré et laisse le reste sortir directement par ta connexion internet normale. Au lieu d'un seul tunnel qui transporte tout, tu divises ton trafic en deux chemins : protégé (par le VPN) et direct (sans VPN). C'est toi qui décides ce qui va où.

Comment le split tunneling route-t-il réellement ton trafic ?

Tu définis des règles qui indiquent au VPN quel trafic inclure ou exclure. Ces règles fonctionnent généralement de l'une de ces façons :

• Par application : tu choisis des applis précises à envoyer dans le VPN (ou à tenir à l'écart). Courant sur les clients VPN de bureau et Android.
• Par destination : le routage se fait par plage d'IP ou par domaine, si bien que le trafic vers certains sites ou réseaux passe par le tunnel et le reste non.
• Split tunnel inversé : tout passe par le VPN sauf une courte liste que tu exclus (pratique pour une appli qui se comporte mal derrière un VPN).

Quelle que soit la méthode, le client VPN applique tes règles à chaque connexion et l'envoie sur le bon chemin.

Pourquoi utiliser le split tunneling ?

Le split tunneling, c'est surtout une question de confort et de performance :

• Vitesse et bande passante. Le trafic qui n'a pas besoin d'être protégé évite le saut supplémentaire du VPN : il est plus rapide et ne grignote pas le débit du tunnel. Les gros téléchargements ou les appels vidéo partent souvent en direct.
• Accès au réseau local. Tu peux atteindre ton imprimante, ton NAS ou d'autres appareils de la maison pendant que le VPN reste actif pour tout le reste, alors qu'un tunnel complet t'en couperait normalement.
• Double accès. Tu utilises un service qui bloque les VPN (certaines applis bancaires ou de streaming) via ta vraie connexion pendant qu'une autre appli reste sur le VPN, sans avoir à l'activer et le désactiver sans cesse.

Quels sont les risques du split tunneling ?

Voici ce qui compte vraiment : tout ce que tu routes hors du tunnel n'est pas protégé. Ce trafic utilise ta vraie IP et reste visible par ton réseau et ton FAI, exactement comme si le VPN était coupé. Le split tunneling échange une part de protection contre du confort, et le principal risque est la mauvaise configuration : exclure par erreur quelque chose de sensible, ou une requête DNS qui fuit hors du tunnel et révèle ce que tu fais.

La règle de base est donc simple : n'exclus que le trafic dont tu acceptes vraiment qu'il ne soit pas protégé. Si tu utilises un VPN pour ta vie privée ou sur un réseau hostile, un tunnel complet (tout passe par le VPN) est le réglage par défaut le plus sûr, et le split tunneling reste l'exception délibérée que tu fais pour une appli précise.

Windows ou macOS font-ils du split tunneling par défaut ?

La plupart des explications sur le split tunneling sautent la question qui décide de tout en pratique : que se passe-t-il si tu ne configures rien du tout ?

Sur Windows, la documentation de Microsoft y répond directement. Le force tunnel est la configuration par défaut, et il s'applique lorsqu'aucune route n'est spécifiée. Dans une configuration force tunnel, tout le trafic passe par le VPN. Le split tunneling n'est donc pas un état dans lequel tu tombes par accident, c'est un état que tu dois demander.

Le mécanisme vaut la peine d'être connu, car il démystifie tout le sujet. Microsoft décrit la seule conséquence du force tunnel comme la manipulation des entrées de routage : les routes par défaut IPv4 et IPv6 du VPN, 0.0.0.0/0 et son équivalent v6, sont ajoutées à la table de routage avec une métrique inférieure à celle des autres interfaces. Le trafic passe alors par le VPN tant qu'il n'existe pas de route plus spécifique sur l'interface physique.

C'est exactement la même idée que les configurations WireGuard ci-dessous expriment avec AllowedIPs. Éditeurs différents, syntaxes différentes, un seul mécanisme : celui qui détient la route la plus spécifique détient le trafic.

Deux conséquences pratiques en découlent.

Le split tunneling est une décision de routage, pas une fonction de sécurité. Microsoft présente ce choix comme ayant un impact sur la configuration, la planification de capacité et les attentes de sécurité de la connexion. Il change quels paquets sont protégés, donc il change ce que la connexion garantit, et c'est une décision à prendre délibérément plutôt qu'un réglage à activer parce qu'il a l'air plus rapide.

Les routes d'exclusion existent aussi. Avec le VPN de Windows, tu peux spécifier des routes qui ne doivent pas passer par le tunnel, ce qui est l'image inverse du choix de ce qui y passe. Les deux approches produisent un split tunnel ; elles diffèrent selon que ton point de départ est la confiance ou l'exclusion.

Comment configurer le split tunneling sur WireGuard ?

Sur WireGuard, il n'existe pas d'interrupteur appelé « split tunnel » : tu le décides entièrement via AllowedIPs, qui liste ce que le tunnel capture. Tout ce qui est absent de cette liste continue d'utiliser ta connexion normale.

L'erreur qui suit est toujours la même : une plage assez large pour avaler le réseau local, si bien que les imprimantes et le NAS ne répondent plus quand le tunnel est actif, et personne ne fait le lien entre les deux. wg-clients-audit lit un dossier de configs et signale exactement ce problème, ainsi que les adresses en double et les clés réutilisées.

Si tu fais tourner ton propre VPN, tu as déjà le split tunneling : c'est simplement le paramètre AllowedIPs de ta config client WireGuard. AllowedIPs = 0.0.0.0/0, ::/0 route tout le trafic par le tunnel (un tunnel complet). Indique plutôt des sous-réseaux précis, et seul ce trafic passe par WireGuard pendant que tout le reste reste sur ta connexion normale (un split tunnel). Aucun interrupteur spécial n'est nécessaire : la config de routage est le réglage, ce qui est une raison de plus pour laquelle un serveur WireGuard auto-hébergé te donne un contrôle précis sur ton trafic.

Notre générateur de config WireGuard gratuit te laisse choisir un tunnel complet (0.0.0.0/0, ::/0) ou un split tunnel quand il construit tes configs client, avec des clés générées dans ton navigateur. Le générateur est gratuit et sans compte, jusqu'à 250 appareils, et son export ZIP réunit chaque .conf client et son code QR en PNG, pratique pour équiper tout un bureau ou une famille d'un coup.

Configs WireGuard concrètes

Comme AllowedIPs est le réglage, il est utile de voir les vraies lignes plutôt que le principe. Elles vont dans la section [Peer] de ta config client.

Tunnel complet : tout passe par le VPN, le réglage par défaut sûr :

AllowedIPs = 0.0.0.0/0, ::/0

Split tunnel, uniquement le sous-réseau distant : tu atteins ton réseau domestique ou de bureau via le VPN, tout le reste part en direct :

AllowedIPs = 10.0.0.0/24

Split tunnel, réseau VPN plus un service : le tunnel transporte ton sous-réseau privé et une destination précise :

AllowedIPs = 10.0.0.0/24, 203.0.113.10/32

Une adresse unique nécessite le suffixe /32 (ou /128 en IPv6). Note ce que cette conception implique : WireGuard divise par destination, pas par application. Si tu as besoin de règles par appli, cette logique se trouve dans ton client VPN ou ton système d'exploitation, pas dans WireGuard lui-même.

Tu as besoin de l'inverse, tout sauf ton réseau local ou une adresse ? AllowedIPs n'a pas de syntaxe d'exclusion, donc tu dois lister tous les autres réseaux. Notre calculateur AllowedIPs WireGuard gratuit fait cette soustraction en IPv4 et IPv6 et te renvoie la ligne exacte, plus l'exclusion de l'IP du serveur dont wg-quick a besoin sous Linux.

Comment vérifier que le split tunneling fonctionne ?

Un split tunnel qui route silencieusement plus, ou moins, que prévu est la panne la plus courante. Deux vérifications suffisent à trancher.

Quelle route est utilisée. Sous Linux ou macOS, ip route get 1.1.1.1 (ou route get 1.1.1.1) affiche l'interface qu'une destination va emprunter. Si elle indique ton interface WireGuard pour quelque chose que tu voulais exclure, ton AllowedIPs est plus large que tu ne le penses.

Ce que voit internet. Ouvre une page de vérification d'IP depuis l'appli que tu as routée dans le tunnel, puis depuis une appli que tu as exclue. La première doit afficher l'adresse du serveur VPN, la seconde ta vraie adresse. Si les deux affichent la même adresse, tu n'as pas de split tunnel : tu as un tunnel complet, ou pas de tunnel du tout.

Le piège du DNS

C'est la panne qui surprend le plus, et elle mérite son propre avertissement. Tes requêtes DNS peuvent fuir hors du tunnel même quand ton trafic est correctement routé.

Si ton client envoie le DNS à un résolveur joint hors du tunnel, ton FAI voit le nom de chaque site que tu visites, y compris ceux que tu as soigneusement routés par le VPN. Le trafic est chiffré ; la résolution qui l'a précédé ne l'est pas. Cela annule une bonne partie de l'intérêt.

Dans WireGuard, la ligne DNS = de la section [Interface] du client définit le résolveur utilisé tant que le tunnel est actif. Fais-la pointer vers un résolveur joignable à travers le tunnel si tu veux que les résolutions soient protégées. Vérifie ensuite avec un test de fuite DNS plutôt que de le supposer, car les systèmes d'exploitation ont leur propre avis sur l'ordre des résolveurs et passent parfois outre le tien.

Le verdict

Le split tunneling est une fonction vraiment utile pour la vitesse, l'accès local et les doubles connexions, à condition de garder en tête que le trafic exclu ne bénéficie d'aucune protection du VPN. Utilise-le délibérément pour les applis qui en profitent, garde tout ce qui est sensible dans le tunnel, et dans le doute, fais tout passer par le VPN.

Le comportement par défaut de Windows décrit ici, notamment le fait que le force tunnel est la configuration par défaut lorsqu'aucune route n'est spécifiée, la manipulation des entrées de routage avec une métrique inférieure à celle des autres interfaces, l'existence des routes d'exclusion, et la présentation de ce choix comme ayant un impact sur la configuration, la planification de capacité et les attentes de sécurité, provient de la documentation de Microsoft sur les décisions de routage VPN, consultée au moment de la rédaction. D'autres plateformes ont un comportement par défaut différent ; consulte la documentation de ton propre client.