VPN sur routeur : OpenWrt, toute la maison protégée, téléviseur et box comprises

Pourquoi un VPN sur le routeur

Une application sur le téléphone protège un seul téléphone. Un routeur avec VPN protège tout ce qui est connecté au réseau domestique, et le fait de manière invisible pour les appareils eux-mêmes : ils voient un Wi-Fi ordinaire, tandis que le chiffrement et le routage se font sur le routeur.

• Le téléviseur, la console, le lecteur multimédia et les objets connectés sans client VPN obtiennent la même IP que le téléphone.
• Les ordinateurs portables et les téléphones n’épuisent pas leur batterie et n’ont pas besoin de vérifier si le tunnel est actif.
• Les invités et les nouveaux appareils sont protégés dès leur connexion au Wi-Fi.
• Les réglages vivent à un seul endroit, et non dans une dizaine d’applications.

Il y a aussi un prix à payer : la vitesse est limitée par le processeur du routeur, et le moindre problème de tunnel touche toute la maison d’un coup. Il est donc important de bien choisir le matériel et de prévoir la conduite à tenir en cas de coupure.

Quel routeur convient

MeduzaVPN fournit un paquet prêt à l’emploi pour OpenWrt, le firmware ouvert installé sur des centaines de modèles de routeurs. Le paquet est compilé pour trois plateformes sur lesquelles nous le testons ; pour les autres, des builds statiques du démon sont disponibles.

Mémoire et stockage

L’exigence principale porte sur l’espace de stockage. Le paquet et ses dépendances nécessitent 40 à 46 Mo. Un routeur avec 16 Mo de mémoire flash ne convient pas : il ne reste que quelques mégaoctets une fois le firmware lui-même installé. Cherchez des modèles avec 128 Mo ou plus, ou configurez l’extroot sur une clé USB si le routeur dispose d’un port. Une RAM d’au moins 256 Mo est préférable, sinon le démon et l’interface web se disputeront les ressources en cas de nombreuses connexions.

Avant d’acheter, consultez le tableau du matériel OpenWrt : ce qui compte, ce n’est pas seulement le processeur et la quantité de mémoire, mais aussi le fait que le modèle soit pris en charge par la branche de firmware actuelle. Les branches obsolètes peuvent manquer des dépendances nécessaires.

Installation du paquet sur OpenWrt

On suppose qu’OpenWrt est déjà installé et que le routeur a accès à Internet. L’installation du paquet prend quelques minutes.

1. Ouvrez la page VPN pour routeur et téléchargez le paquet correspondant à votre plateforme.
2. Vérifiez que l’espace libre n’est pas inférieur à 50 Mo : la section « Système → Logiciels » dans LuCI indique l’espace restant.
3. Téléversez le paquet via cette même section de LuCI, ou en SSH avec la commande d’installation opkg.
4. Attendez l’installation des dépendances ; au premier démarrage, le démon crée sa configuration.
5. Ouvrez la nouvelle page MeduzaVPN dans le menu LuCI et effectuez la connexion par code QR.
6. Choisissez une localisation et un protocole, activez la connexion et vérifiez l’IP depuis n’importe quel appareil du réseau.

Builds statiques pour les autres plateformes

Si votre routeur fonctionne sous arm64, armv7 ou mips, prenez le build statique du démon. Il ne dépend pas des bibliothèques du firmware et se lance comme un service ordinaire. Il n’y a pas de page dans LuCI dans ce cas : la connexion et le choix de la localisation se font par des commandes SSH, et les paramètres sont stockés dans un fichier de configuration. Cette voie s’adresse à ceux qui sont à l’aise avec la console.

Connexion par code QR et page dans LuCI

Le routeur n’a pas de clavier pratique, et on préfère ne pas y stocker le mot de passe du compte. La connexion fonctionne donc comme sur le téléviseur : la page MeduzaVPN dans LuCI affiche un code QR, vous le scannez avec un téléphone où l’application est installée, ou vous ouvrez le lien dans un navigateur et confirmez la connexion. Le routeur obtient sa propre clé d’accès, révocable à tout moment depuis le compte.

Sur cette page même, vous trouverez :

• l’état de la connexion, la localisation actuelle et l’IP externe ;
• le choix parmi 60+ localisations et le changement de protocole — MeduzaVPN ULTRA, WireGuard, VLESS et autres ;
• l’activation du kill switch ;
• le choix des appareils ou sous-réseaux qui passent par le tunnel ;
• le journal des derniers événements de connexion.

Le routeur est simplement un appareil supplémentaire dans le compte. Il ne consomme pas d’abonnement séparé et n’occupe pas de « créneau » : il n’y a pas de limite au nombre d’appareils. Si vous partagez le VPN avec votre famille, découvrez comment fonctionne le partage d’accès.

Kill switch et répartition du trafic

Kill switch

En cas de coupure du tunnel, le routeur peut soit laisser passer le trafic directement, soit le bloquer jusqu’au rétablissement de la connexion. Ce second mode est le kill switch. Sur le routeur, il s’applique à tout le monde ; décidez donc à l’avance : si vous avez des appareils pour lesquels un accès Internet continu est important (vidéosurveillance, maison connectée), il peut être préférable de les faire passer hors du tunnel et de n’activer le blocage que pour le reste.

Répartition par appareil

Sous OpenWrt, le trafic se répartit facilement par client. Une solution pratique consiste en deux réseaux Wi-Fi : l’un passe par le VPN, l’autre en direct. Le téléviseur et la box se connectent au premier, les appareils professionnels avec un VPN d’entreprise au second. C’est le même principe que le split tunneling dans les applications, sauf que la frontière est le réseau, et non une liste de programmes.

DNS

Vérifiez que les requêtes DNS passent elles aussi par le tunnel. Si le routeur continue d’interroger le serveur DNS du fournisseur d’accès, les sites verront l’IP du VPN, mais le fournisseur verra la liste des domaines visités. Le paquet MeduzaVPN configure le DNS dans le tunnel par défaut, mais en cas de modifications manuelles de dnsmasq, mieux vaut le revérifier.

Limites et points à retenir

• Vitesse. Le chiffrement est effectué par le processeur du routeur. Sur MT7621, le plafond pratique est de quelques dizaines de mégabits par seconde, sur Filogic et x86, des centaines. Suffisant pour la vidéo 4K, pas pour une liaison gigabit.
• Une seule localisation pour tous. Le routeur est connecté à un seul serveur. Si un appareil a besoin d’Amsterdam et un autre de Tokyo, il faudra soit basculer, soit laisser l’application active sur l’appareil concerné.
• Services géolocalisés. Tous les appareils reçoivent l’IP de la localisation choisie, et certains services afficheront un catalogue, une devise et une langue étrangers. Utilisez la répartition du trafic pour ces cas.
• Changement de protocole selon le réseau. Le fournisseur d’accès peut se mettre à perturber un protocole ; sur le routeur, cela se remarque immédiatement dans toute la maison. Gardez la page LuCI à portée de main pour basculer — par exemple de WireGuard vers MeduzaVPN ULTRA.
• Mises à jour. Le paquet se met à jour via opkg, comme les autres composants d’OpenWrt. Il vaut la peine de vérifier les nouvelles versions tous les quelques mois.
• Point de défaillance unique. Une erreur de configuration du routeur prive tout le monde d’Internet. Faites une sauvegarde de la configuration avant toute modification.

Alternatives au routeur

Le routeur n’est pas toujours nécessaire. Si le besoin porte uniquement sur le téléviseur ou la box, il est plus simple d’installer l’application directement sur l’appareil.

Pour les téléviseurs, MeduzaVPN propose des applications pour Apple TV, Android TV et Fire TV : connexion par code depuis le téléphone, choix de la localisation à la télécommande, le même serveur personnel. Beaucoup combinent les deux approches : le routeur pour les équipements sans client, les applications pour les téléphones et ordinateurs portables qui quittent la maison.

Conclusion

Le VPN sur routeur avec OpenWrt permet de protéger toute la maison avec une seule connexion et de couvrir les équipements qui n’ont pas de client propre. Les conditions principales : 40 à 46 Mo de stockage, une plateforme prise en charge, et une bonne compréhension du comportement du réseau en cas de coupure du tunnel.

Le VPN personnel de MeduzaVPN sur routeur utilise le même serveur dédié avec sa propre IP que les applications, et un seul compte pour tous les appareils. Les abonnements bénéficient de 7 jours sans engagement et d’un remboursement possible sous 15 jours. Choisir une offre.

Questions fréquentes