Un tunnel VPN chiffré en permanence modifie le comportement réseau de chaque paquet sortant de la machine. Avant de trancher sur l’activation continue, il faut mesurer ce que ce choix implique sur la pile protocolaire, la gestion d’énergie et la surface d’attaque réelle.
Protocole VPN et impact sur une connexion permanente
Le protocole détermine la viabilité d’un VPN toujours actif bien plus que le fournisseur lui-même. WireGuard reconnecter plus vite et consomme moins qu’OpenVPN, notamment lors des bascules entre Wi-Fi et réseau mobile. Sa pile cryptographique réduite (ChaCha20, Curve25519) limite les cycles CPU par paquet, ce qui se traduit par une latence plus faible sur les reconnexions.
A lire également : Quelles sont les 3 parties d'un mapping des risques ?
OpenVPN, en mode UDP, reste fonctionnel en continu, mais chaque renégociation TLS (toutes les 60 minutes par défaut) provoque un micro-délai perceptible sur les flux temps réel (visioconférence, VoIP). En mode TCP, l’encapsulation TCP-dans-TCP génère des retransmissions parasites dès que le réseau sous-jacent perd des paquets.
IKEv2/IPSec offre un bon compromis pour le mobile grâce à sa gestion native du changement d’interface réseau (MOBIKE). Pour un appareil qui alterne entre Wi-Fi domestique, Wi-Fi public et 4G/5G dans la même journée, IKEv2 maintient le tunnel sans réauthentification complète.
A découvrir également : Quelles informations sont exemptées du RGPD ?
VPN toujours actif sur Android et iOS : les pièges de l’arrière-plan
Activer le VPN en permanence sur un téléphone ne garantit pas qu’il tourne réellement en continu. Sur Android, les fonctions d’économie d’énergie de certains constructeurs (Xiaomi, Samsung, Huawei) peuvent fermer le client VPN en arrière-plan. Le résultat : l’icône de cadenas reste affichée dans la barre de notifications alors que le tunnel est tombé depuis plusieurs minutes.
Paramètres à verrouiller sur Android
- Autoriser le client VPN à fonctionner sans restriction de batterie (Paramètres > Applications > Gestion de la batterie)
- Activer « VPN toujours actif » et « Bloquer les connexions sans VPN » dans les réglages réseau du système
- Désactiver l’optimisation adaptative de la batterie pour l’application VPN concernée
Sur iOS, la situation est différente. Le système gère mieux la persistance des tunnels IKEv2 et WireGuard natifs via le Network Extension Framework, mais une déconnexion Wi-Fi prolongée peut suspendre le tunnel sans notification visible.
Un VPN affiché comme actif ne signifie pas que le trafic passe dans le tunnel. Seul un test de fuite DNS ou IP après chaque changement de réseau le confirme.
Batterie et VPN permanent : ce qui consomme vraiment
L’idée reçue attribue au chiffrement la majeure partie de la consommation. En pratique, le coût CPU du chiffrement symétrique (AES-NI sur les processeurs récents, ou ChaCha20 sur ARM) est négligeable. Ce qui pèse sur l’autonomie, c’est la radio.
Les reconnexions fréquentes entre Wi-Fi et réseau mobile maintiennent le modem cellulaire actif plus longtemps. Un serveur VPN éloigné géographiquement allonge le RTT, ce qui retarde la mise en veille radio. Une mauvaise couverture réseau amplifie le phénomène.
Nous constatons que le choix du serveur le plus proche réduit davantage la consommation que le choix du protocole. Un tunnel WireGuard vers un serveur à 200 ms de latence consommera plus qu’un tunnel OpenVPN vers un serveur local à 15 ms, parce que la radio reste active plus longtemps par requête.
Optimiser l’autonomie sans couper le VPN
- Sélectionner un serveur dans le même pays, idéalement dans la même zone géographique
- Privilégier WireGuard ou IKEv2 pour leurs reconnexions rapides qui libèrent la radio plus vite
- Éviter le split tunneling vers des services gourmands en bande passante (streaming vidéo) si la protection de ces flux n’est pas nécessaire
VPN activé en permanence : ce qu’il ne protège pas
Un VPN chiffre le trafic entre le terminal et le serveur de sortie. Il ne vérifie pas qu’un appareil est sain, ne bloque pas les pages d’hameçonnage et ne neutralise pas un mot de passe compromis. Laisser le VPN actif en continu crée parfois un faux sentiment de sécurité globale.
Pour le télétravail, les recommandations récentes insistent sur l’association du VPN avec l’authentification multifacteur, les mises à jour rapides et la protection du terminal. Un VPN permanent sans MFA ni antivirus à jour laisse la porte ouverte aux attaques par credential stuffing ou aux malwares déjà présents sur la machine.
Sur un réseau Wi-Fi public (café, aéroport, coworking), le VPN reste pertinent en continu : il empêche l’interception du trafic par un attaquant sur le même segment réseau. Sur un réseau domestique correctement configuré (WPA3, DNS chiffré, firmware à jour du routeur), le gain de sécurité d’un VPN permanent est marginal.
Situations où couper le VPN est rationnel
Certains services bancaires ou administratifs bloquent les connexions provenant d’IP de datacenters associées aux VPN. Les portails captifs (hôtels, trains) exigent une connexion directe pour l’authentification initiale. Le streaming géolocalisé détecte et refuse les plages IP des principaux fournisseurs VPN.
Dans ces cas, le split tunneling applicatif (router uniquement certaines applications dans le tunnel) évite de couper la protection pour l’ensemble du trafic.
Garder un VPN activé en permanence a du sens quand le protocole est adapté au terminal, quand les paramètres système empêchent sa coupure silencieuse et quand l’utilisateur ne confond pas chiffrement du trafic avec sécurité complète. Le VPN protège le canal de transmission, pas ce qui se passe aux deux extrémités.
