Configurations MeduzaVPN pour clients tiers : v2rayN, Karing, OpenVPN Connect, profil .mobileconfig pour iPhone

Où trouver la configuration

Toutes les configurations se trouvent dans votre espace client, sur la fiche de votre VPN. On y trouve la liste des protocoles, un bouton de QR code et un bouton de téléchargement de fichier. Point important : il ne s’agit pas de forfaits ou de VPN différents — un seul et même serveur personnel fournit tous les protocoles en même temps, si bien que vous pouvez garder WireGuard sur le téléphone, le lien vless:// dans v2rayN sur l’ordinateur portable professionnel et un profil IKEv2 sur l’iPad, sans rien changer de notre côté.

Le port et l’adresse sont déjà inscrits dans le fichier ou le lien, aucun besoin de les saisir manuellement. Si le client demande « serveur », « port » et « mot de passe » séparément, c’est que le protocole choisi ne permet pas d’importer directement — mieux vaut prendre un autre protocole dans la liste.

Ce qui convient à chaque client

Karing et Surge figurent dans ce tableau selon la documentation de ces clients eux-mêmes : ils acceptent les mêmes formats, mais nous ne les avons pas testés et ne garantissons pas que tout fonctionnera au réglage près. Si ça ne marche pas, écrivez au support ; sous Windows, la voie éprouvée est v2rayN.

Le protocole Meduza et MeduzaVPN ULTRA sont les nôtres, les clients tiers ne les comprennent pas : il faut nos applications ou le paquet pour Linux et OpenWrt. En revanche, ce sont eux qui tiennent le mieux là où le réseau filtre le trafic de façon particulièrement stricte.

v2rayN : core, lien et port local

Deux champs de v2rayN suscitent le plus de questions, et les deux ont une réponse univoque.

Type de core. Choisissez Xray. Nos liens vless:// utilisent REALITY, une technologie implémentée dans le core Xray ; avec le core v2fly, la connexion ne s’établira tout simplement pas. Pour vmess://, n’importe quel core convient, mais garder les deux n’a pas de sens — Xray comprend les deux.

Port SOCKS local. Laissez la valeur par défaut : v2rayN écoute en SOCKS sur le port 10808 et en HTTP sur le port 10809, uniquement sur l’adresse locale, et configure lui-même le proxy système. Ce numéro n’est nécessaire que si vous configurez le proxy manuellement dans le navigateur ou dans un programme séparé ; utilisez alors celui affiché dans les réglages de v2rayN, pas un nombre arbitraire. Ne changez le port qu’en cas de conflit avec un autre programme.

Ordre des opérations : copier le lien dans l’espace client, dans v2rayN choisir l’import depuis le presse-papiers, puis activer le proxy système. Si la connexion ne s’établit pas, vérifiez d’abord que le core est bien Xray et que l’heure de l’ordinateur est exacte : un décalage de plus de deux minutes casse la poignée de main TLS.

Karing et sing-box

Karing accepte notre lien tel quel : copiez vless:// (ou ss:// pour Shadowsocks) et ajoutez le profil depuis le presse-papiers. Il n’existe pas de « fichier pour Karing » séparé — c’est le même protocole et le même lien que pour v2rayN, donc un seul lien peut être ajouté à la fois sur le téléphone et sur l’ordinateur. Nous n’avons pas testé ce client lui-même : il accepte notre format, mais la voie que nous avons vérifiée sous Windows est v2rayN.

Pour sing-box pur, la réponse honnête est la suivante : nous ne fournissons pas de configuration JSON prête à l’emploi. Si vous avez précisément besoin de ce moteur, prenez Karing : il est construit sur sing-box et assemble lui-même la configuration à partir du lien. Pour ceux qui ont spécifiquement besoin du JSON, il faudra reporter manuellement les champs du lien dans la configuration ; nous ne publions pas un tel modèle pour ne pas présenter comme vérifié ce que nous ne testons pas à chaque mise à jour de sing-box.

Shadowsocks, Outline et Surge

Outline et Shadowsocks fournissent dans l’espace client une clé de la forme ss://. L’application officielle Outline l’accepte directement depuis le presse-papiers, comme tout client Shadowsocks. Surge sur macOS et iOS comprend Shadowsocks et WireGuard ; prenez donc la clé ss:// ou le fichier .conf WireGuard et ajoutez-le comme nouveau proxy ou comme tunnel.

À retenir séparément : Shadowsocks et SOCKS5 sont des proxys, pas un VPN complet. Seul le trafic des programmes capables de passer par un proxy y transitera, pas tout le trafic du système. Pour protéger l’appareil entier, choisissez WireGuard, OpenVPN, IKEv2 ou nos applications.

OpenVPN Connect et les erreurs d’import

OpenVPN Connect n’a besoin que d’un seul fichier .ovpn — il contient déjà les certificats et la clé, aucun fichier ou mot de passe séparé n’est requis. Import : « OVPN Profile » → choisir le fichier → se connecter.

Deux erreurs d’import sont constamment confondues, et elles se corrigent différemment :

• « Incorrect response from server » — l’adresse de l’espace client a été collée dans le champ « Import from URL ». Ce champ est destiné à un serveur OpenVPN Access Server et attend sa réponse depuis l’adresse, mais reçoit une page web ordinaire. Le fichier n’y est pour rien : téléchargez le .ovpn sur l’appareil et importez-le via « Import Profile → FILE ».
• « [inline] : cannot open for read » — cette fois, cela concerne le fichier : le client voit une référence à un bloc de certificat intégré, mais ce bloc est absent du fichier. La cause a été corrigée de notre côté ; retéléchargez le fichier, supprimez l’ancien profil et importez la version récente sans rien y modifier.

Un fichier correct contient les blocs <ca>, <cert>, <key>, et s’ouvre dans un éditeur de texte sans être coupé au milieu d’une ligne.

L’espace client propose deux fichiers OpenVPN, tous deux issus du même certificat. Le fichier standard client.ovpn convient à la fois pour OpenVPN Connect et pour l’ordinateur : il contient les deux transports — d’abord UDP, puis TCP en secours —, donc sur un réseau où l’UDP ne passe pas, le client bascule automatiquement sur TCP. Le second fichier, uniquement en TCP, est destiné aux routeurs — voir ci-dessous.

IKEv2 : profil .mobileconfig pour iPhone et Mac

Apple sait connecter IKEv2 elle-même, sans programme tiers, mais il est inutile et déconseillé de saisir les paramètres à la main : il existe pour cela un profil de configuration .mobileconfig. Il contient déjà l’adresse de votre VPN, le certificat client et tous les paramètres de chiffrement, il est donc impossible de se tromper dans le champ « ID distant ».

Choisissez sur la fiche VPN le protocole IKEv2/IPsec — à côté du bouton de téléchargement habituel apparaît un bouton de profil pour iPhone, iPad et Mac. Ensuite :

• iPhone et iPad : ouvrez l’espace client dans Safari, téléchargez le profil, puis « Réglages » → « Profil téléchargé » → « Installer ». Le profil est ensuite visible dans « Réglages » → « Général » → « VPN et gestion de l’appareil ».
• Mac : le fichier téléchargé s’ouvre dans « Réglages Système » → « Général » → « Gestion des appareils », où le profil se confirme et se supprime.

À côté du profil reste le fichier credentials.json — il est destiné aux clients qui ne comprennent pas .mobileconfig : IKEv2 intégré à Windows, strongSwan sur Android et Linux. Le profil et le fichier décrivent le même VPN, simplement dans des formats différents.

Une limite à connaître à l’avance : chez nous, IKEv2 ne transporte pas le trafic IPv6, et il est signalé comme tel par une icône, aussi bien dans l’application que dans l’espace client. Si vous avez besoin d’IPv6, prenez WireGuard, Meduza ou OpenVPN.

Routeurs et OpenVPN en TCP

Les firmwares de routeur standards — y compris TP-Link Archer — acceptent soit un fichier .ovpn, soit des paramètres WireGuard manuels. Si le fournisseur d’accès bloque l’UDP, WireGuard et nos propres protocoles ne s’établiront pas du tout sur un tel routeur : ils fonctionnent sur UDP. Pour ce cas, notre OpenVPN écoute aussi en TCP.

Sur la fiche VPN, dans l’espace client, deux fichiers sont disponibles pour le protocole OpenVPN, tous deux issus du même certificat :

• client.ovpn — bouton de téléchargement standard. Le fichier contient deux lignes remote : d’abord UDP, puis TCP. OpenVPN les essaie dans l’ordre du fichier, si bien qu’un seul profil porte les deux transports et bascule automatiquement en TCP sur un réseau sans UDP. C’est le fichier à utiliser pour OpenVPN Connect, sur téléphone comme sur ordinateur.
• client_tcp.ovpn — bouton « Profil OpenVPN en TCP pour routeur ». Uniquement TCP, une seule ligne remote. Il est nécessaire car une partie notable des clients OpenVPN de routeurs ne lit que la première ligne remote et reste silencieusement bloquée en UDP uniquement avec le profil standard — c’est-à-dire exactement l’état dont vous vouliez sortir.

Le TCP écoute sur le port 1194 — le même numéro que l’UDP. Notre OpenVPN n’écoute précisément pas sur le port 443, et le promettre serait mensonger : le 443/tcp est occupé par VLESS Reality, qui s’y maintient. Si votre réseau ne laisse passer que le port 443, OpenVPN ne vous aidera pas — prenez VLESS Reality ou nos protocoles sur un appareil équipé de l’application.

Les deux fichiers sont réécrits à chaque mise à jour du VPN ; pour un service souscrit depuis longtemps, ils apparaîtront après la prochaine mise à jour. Si un seul bouton de téléchargement est visible dans l’espace client, appuyez sur « Réinstaller » sur la fiche et retéléchargez les fichiers.

Ce qui a également du sens sur un réseau sans UDP :

• OpenWrt avec le paquet MeduzaVPN — une solution complète pour un routeur sur un réseau au filtrage strict : nos propres protocoles y sont disponibles. Détails dans l’article VPN sur routeur.
• Des applications à la place du routeur — l’option la plus rapide : le routeur reste sans VPN, et les téléphones, ordinateurs et box se connectent via des applications où le protocole est choisi automatiquement.

Conclusion

Un client tiers n’est pas un moyen de « contourner » MeduzaVPN, mais l’une des voies prévues : le même VPN personnel fournit à la fois le lien pour v2rayN ou Karing, le fichier pour OpenVPN Connect et le profil .mobileconfig pour iPhone. Il suffit de prendre dans l’espace client le format attendu par votre client, sans inventer de valeurs pour des champs déjà remplis à votre place.

Les abonnements MeduzaVPN bénéficient de 7 jours sans engagement et d’un remboursement possible sous 15 jours, et le nombre d’appareils du compte n’est pas limité — vous pouvez tester tranquillement à la fois l’application et la configuration manuelle. Choisir une offre.

Questions fréquentes