Par défaut, un VPN c'est tout-ou-rien : on l'active et tout ce que votre appareil envoie passe par le tunnel chiffré. Le split tunneling casse cette règle. Il vous laisse choisir quel trafic passe par le VPN et quel trafic emprunte votre connexion normale - pratique, mais avec une nuance à comprendre. Ce guide explique ce qu'est le split tunneling, les types, pourquoi on l'utilise, le compromis honnête, et comment le faire sur un WireGuard auto-hébergé.
La définition courte
Le split tunneling est une fonction VPN qui route une partie de votre trafic par le tunnel chiffré et laisse le reste passer directement par votre connexion internet normale. Au lieu d'un seul tunnel qui transporte tout, vous divisez votre trafic en deux chemins : protégé (par le VPN) et direct (non). C'est vous qui décidez ce qui va où.
Comment ça marche
Vous définissez des règles indiquant au VPN quel trafic inclure ou exclure. Ces règles fonctionnent généralement de quelques façons :
- Par application - choisir des applications précises à faire passer par le VPN (ou à en garder hors). Courant sur les clients VPN desktop et Android.
- Par destination - router par plage d'IP ou par domaine, pour que le trafic vers certains sites ou réseaux utilise le tunnel et pas le reste.
- Split tunnel inversé - tout passe par le VPN sauf une courte liste que vous excluez (pratique pour une application qui fonctionne mal derrière un VPN).
Quelle que soit la méthode, le client VPN applique vos règles à chaque connexion et l'envoie sur le bon chemin.
Pourquoi on l'utilise
Le split tunneling est surtout une affaire de confort et de performance :
- Vitesse et bande passante. Le trafic qui n'a pas besoin d'être protégé évite le saut supplémentaire du VPN : plus rapide et sans grignoter le débit du tunnel. Gros téléchargements et appels vidéo partent souvent en direct.
- Accès au réseau local. Vous atteignez votre imprimante, votre NAS ou d'autres appareils de la maison pendant que le VPN reste actif pour le reste - normalement, un tunnel complet vous en couperait.
- Double accès. Utiliser un service qui bloque les VPN (certaines applis bancaires ou de streaming) via votre vraie connexion pendant qu'une autre appli reste sur le VPN - sans activer/désactiver sans cesse.
Le compromis honnête
Voici ce qui compte : tout ce que vous routez hors du tunnel n'est pas protégé. Ce trafic utilise votre vraie IP et est visible par votre réseau et votre FAI, exactement comme si le VPN était éteint. Le split tunneling échange une part de protection contre du confort, et le principal risque est la mauvaise configuration - exclure par erreur quelque chose de sensible, ou une requête DNS qui fuit hors du tunnel et révèle ce que vous faites.
La règle est donc simple : n'excluez que le trafic qui ne vous dérange vraiment pas de laisser sans protection. Si vous utilisez un VPN pour la confidentialité ou sur un réseau hostile, un tunnel complet - tout par le VPN - est le réglage par défaut le plus sûr, et le split tunneling est l'exception délibérée que vous faites pour une application précise.
Ce que fait votre système par défaut
La plupart des explications du split tunneling sautent la question qui décide de tout en pratique : que se passe-t-il si vous ne configurez rien du tout ?
Sous Windows, la documentation de Microsoft y répond directement. Le tunnel forcé est la configuration par défaut, et il s'applique dès qu'aucune route n'est spécifiée. Dans cette configuration, tout le trafic passe par le VPN. Le split tunneling n'est donc pas l'état dans lequel on tombe par accident : c'est l'état qu'il faut demander.
Le mécanisme mérite d'être connu, parce qu'il démystifie tout le sujet. Microsoft décrit la seule implication du tunnel forcé comme la manipulation des entrées de routage : les routes par défaut IPv4 et IPv6 du VPN, 0.0.0.0/0 et son équivalent v6, sont ajoutées à la table de routage avec une métrique inférieure à celles des autres interfaces. Le trafic emprunte alors le VPN tant qu'aucune route plus spécifique n'existe sur l'interface physique.
C'est exactement l'idée que la configuration WireGuard ci-dessous exprime avec AllowedIPs. Éditeurs différents, syntaxes différentes, un seul mécanisme : qui possède la route la plus spécifique possède le trafic.
Deux conséquences pratiques en découlent.
Le split tunneling est une décision de routage, pas une fonction de sécurité. Microsoft présente ce choix comme affectant la configuration, le dimensionnement et les attentes de sécurité de la connexion. Il change quels paquets sont protégés, donc ce que la connexion promet : cela se décide délibérément, ce n'est pas un réglage qu'on active parce qu'il a l'air plus rapide.
Les routes d'exclusion existent aussi. Avec le client VPN de Windows, vous pouvez désigner les routes qui ne doivent pas passer par le tunnel, l'image miroir du fait de choisir ce qui y passe. Les deux approches produisent un tunnel divisé ; elles diffèrent sur le point de savoir si votre défaut est la confiance ou l'exclusion.
Le faire soi-même sur WireGuard
Si vous hébergez votre propre VPN, vous avez déjà le split tunneling - c'est juste le réglage AllowedIPs de votre config client WireGuard. AllowedIPs = 0.0.0.0/0, ::/0 route tout le trafic par le tunnel (tunnel complet). N'indiquez que des sous-réseaux précis, et seul ce trafic-là utilise WireGuard tandis que le reste reste sur votre connexion normale (tunnel divisé). Aucun bouton spécial : la config de routage est le contrôle - une raison de plus pour laquelle un serveur WireGuard auto-hébergé vous donne une maîtrise précise de votre trafic.
Vérifier que ça marche vraiment
Un tunnel divisé qui route silencieusement plus, ou moins, que prévu, c'est la panne la plus courante. Deux contrôles tranchent.
Quelle route est empruntée. Sous Linux ou macOS, ip route get 1.1.1.1 (ou route get 1.1.1.1) affiche l'interface qu'une destination va utiliser. Si la commande nomme votre interface WireGuard pour quelque chose que vous vouliez exclure, votre AllowedIPs est plus large que vous ne le croyez.
Ce que voit Internet. Ouvrez une page de vérification d'adresse IP depuis l'application que vous avez routée dans le tunnel, puis depuis une application que vous en avez exclue. La première doit afficher l'adresse du serveur VPN, la seconde votre adresse réelle. Si les deux affichent la même, vous n'avez pas de tunnel divisé : vous avez un tunnel complet, ou aucun.
Le piège DNS
C'est l'échec qui prend les gens au dépourvu, et il mérite son propre avertissement. Vos requêtes DNS peuvent fuir hors du tunnel alors même que votre trafic est correctement routé.
Si votre client envoie ses requêtes DNS à un résolveur joint en dehors du tunnel, votre fournisseur d'accès voit le nom de chaque site que vous visitez, y compris ceux que vous avez soigneusement fait passer par le VPN. Le trafic est chiffré ; la résolution qui l'a précédé ne l'est pas. Cela annule une grande partie de l'intérêt de l'opération.
Dans WireGuard, la ligne DNS = de la section [Interface] du client définit le résolveur utilisé pendant que le tunnel est actif. Pointez-la vers un résolveur joignable à travers le tunnel si vous voulez protéger vos résolutions. Puis vérifiez avec un test de fuite DNS plutôt que de le supposer : les systèmes d'exploitation ont leurs propres idées sur l'ordre des résolveurs, et ils passeront parfois outre les vôtres.
Le verdict
Le split tunneling est une fonction réellement utile pour la vitesse, l'accès local et les doubles connexions - tant que vous gardez à l'esprit que le trafic exclu ne reçoit aucune protection du VPN. Utilisez-le délibérément pour les applications qui en profitent, gardez tout ce qui est sensible dans le tunnel, et dans le doute, faites tout passer par le VPN.
★ Datacenter Nuremberg GDPR · ✓ IPv4 dédiée incluse · 200+ Mbps garantis
Un VPS que tu contrôles pour le tunneling & l'obfuscation → ContaboAccès root · ouvre n'importe quel port · ta propre stack→
