// CLUBIC — CYBERSECURITY
Du Wi-Fi à la 5G, comment votre VPN fait-il pour continuer à vous protéger quand vous changez de réseau ?
Quand votre smartphone quitte le Wi-Fi pour la 5G, son adresse IP change et le VPN doit s’adapter à ce nouvel accès. Une transition généralement discrète, mais qui peut interrompre vos échanges et, dans certaines conditions, exposer votre connexion.
Vous quittez votre domicile, écouteurs vissés aux oreilles, et votre téléphone passe du Wi-Fi aux données mobiles sans incidence sur la lecture en cours. Rien de bien extraordinaire. Sauf que si vous utilisez un VPN, ce changement de réseau lui impose une petite gymnastique technique. Votre appareil ne communique plus avec Internet par le même chemin, et le serveur VPN auquel il était connecté doit désormais lui répondre à une autre adresse. Selon le protocole utilisé et la manière dont l’application gère cette transition, la connexion chiffrée peut poursuivre ses échanges, s’interrompre brièvement avant de reprendre ou nécessiter une nouvelle session. Avec des conséquences parfois moins perceptibles qu’une coupure de son.
Pour comprendre ce qui se produit, rappelons d’abord comment fonctionne une connexion VPN. Lorsque vous l’activez, votre application établit un tunnel chiffré avec un serveur distant, par lequel transitent les données de vos applications. Les sites que vous consultez voient alors l'adresse IP de sortie du VPN et non celle de votre connexion Internet habituelle.
Tant que votre téléphone utilise le Wi-Fi domestique, les paquets chiffrés qu’il envoie au serveur VPN arrivent depuis l’adresse IP publique de votre connexion fixe. En passant sur la 5G, ils empruntent le réseau de votre opérateur mobile et proviennent généralement d’une autre adresse publique, que le serveur VPN doit désormais utiliser pour vous répondre.
Pour autant, le changement d’adresse IP de votre accès Internet n’oblige pas forcément votre VPN à établir un nouveau tunnel chiffré. Selon le protocole utilisé, le serveur peut reconnaître votre téléphone lorsqu’il reprend contact depuis la 5G, actualiser son adresse et poursuivre la session en cours. Un peu comme lors d’un appel passé sur Internet : vous pouvez quitter le Wi-Fi pour les données mobiles sans avoir à raccrocher et rappeler votre correspondant.
Cette capacité à suivre un appareil lorsqu'il change de réseau porte un nom : le roaming, ou mobilité de connexion. WireGuard, par exemple, identifie les appareils autorisés à communiquer grâce à leurs clés cryptographiques, et non à leur seule adresse IP. Lorsqu'il reçoit un paquet correctement authentifié depuis la nouvelle connexion, le serveur reconnaît son correspondant et actualise l’adresse et le port auxquels lui envoyer ses réponses. Le tunnel peut ainsi continuer de fonctionner sans qu’une nouvelle connexion sécurisée doive être négociée.
IKEv2/IPsec peut s’appuyer sur une fonction comparable, appelée MOBIKE (Mobility and Multihoming Protocol), qui permet de modifier les adresses utilisées pour acheminer les données chiffrées tout en maintenant la session VPN. Avec OpenVPN, la transition peut nécessiter une reconnexion au serveur, selon la manière dont l’application détecte et gère le changement de réseau.
Le protocole n’est d’ailleurs pas seul en jeu. Le système d’exploitation doit détecter le nouvel accès Internet disponible, puis l’application VPN doit adapter ses communications pour l’utiliser. Même si le tunnel est maintenu, le passage du Wi-Fi à la 5G n'est donc pas toujours instantané.
Pendant cette transition, quelques paquets de données peuvent être perdus, provoquant une brève interruption des échanges. Les conséquences dépendent alors des applications utilisées. Un podcast peut continuer à jouer grâce aux données déjà téléchargées, tandis qu’un appel vidéo, qui nécessite des échanges en temps réel, risque davantage de subir un gel de l’image ou une coupure sonore.
Cette interruption n’implique pas nécessairement la rupture des connexions en cours. Si le tunnel conserve sa configuration et que le serveur VPN continue d’utiliser la même adresse IP de sortie, les communi