Marie Fontaine
Un VPN d’entreprise protège une liaison, mais ne définit pas à lui seul qui peut atteindre chaque ressource. Le bon choix dépend des flux à sécuriser, du niveau de segmentation attendu et de la capacité de l’équipe à exploiter les accès dans la durée.
VPN distant, site-à-site, ZTNA et SASE : quatre périmètres
Le VPN d’accès distant crée un tunnel entre le poste d’un collaborateur et une passerelle de l’entreprise. Il peut transporter tout le trafic du poste, en mode full tunnel, ou seulement certains flux, en split tunnel. Il ne donne pas nécessairement accès à tout le réseau : les routes, pare-feu, groupes et listes de contrôle peuvent limiter l’utilisateur à quelques sous-réseaux ou applications. L’affirmation inverse décrit une mauvaise configuration, pas une propriété du VPN.
Le VPN site-à-site relie deux réseaux par leurs passerelles, par exemple un siège et une agence. Il répond à un besoin d’interconnexion stable, pas directement à l’authentification de chaque salarié. Le ZTNA autorise plutôt l’accès à une ressource définie selon l’identité, l’appareil et la politique. Le NIST SP 800-207 précise qu’aucune confiance implicite ne doit découler de la localisation réseau et que l’utilisateur comme l’appareil sont authentifiés et autorisés avant la session.
Le SASE est un cadre plus large. Le NIST SP 800-215 le décrit comme la convergence, fournie depuis le cloud, de fonctions réseau et de sécurité. Il peut réunir SD-WAN, accès distant, ZTNA, passerelle web sécurisée, pare-feu en tant que service ou contrôle des usages cloud. SASE n’est donc pas un synonyme de VPN ni un produit unique.
| Architecture | Besoin principal | Contrôle par application | Interconnexion de sites | Étendue du chantier |
|---|---|---|---|---|
| VPN distant | Utilisateurs vers SI privé | Variable selon la segmentation | Pas son objectif principal | Limitée à modérée |
| VPN site-à-site | Réseau vers réseau | Faible sans contrôle complémentaire | Forte | Modérée |
| ZTNA | Utilisateur vers ressource | Forte | Pas son objectif principal | Modérée |
| SASE | Réseau et sécurité distribués | Forte | Possible dans une architecture plus large | Large |
Choisir à partir des flux et des risques
Le recensement doit distinguer les applications internes, les services SaaS, l’administration technique, les échanges entre sites et les partenaires. Une usine qui relie deux réseaux n’a pas le même besoin qu’une équipe utilisant surtout des applications web. Un VPN distant reste cohérent pour accéder à un progiciel interne ou administrer un environnement privé, à condition de filtrer les droits. Le site-à-site convient aux flux réguliers entre implantations. Le ZTNA devient pertinent lorsque l’entreprise veut masquer le réseau et publier des applications précises. Le SASE se justifie quand plusieurs sites, utilisateurs mobiles et services cloud nécessitent une politique commune.
L’ANSSI, dans ses recommandations sur le nomadisme numérique publiées en version 2.0 en 2023, préconise un VPN IPsec ou TLS configuré à l’état de l’art et une authentification mutuelle. Elle privilégie le full tunnel pour les postes nomades. Elle documente aussi le split tunnel pour certains services cloud, mais demande alors une analyse de risque et des mesures compensatoires locales. Le choix doit donc partir des données et des menaces, pas d’une promesse commerciale.
| Contrôle indispensable | Preuve attendue |
|---|---|
| Limiter chaque accès au besoin métier | Matrice utilisateurs, appareils, ressources et flux |
| Vérifier identité et état du terminal | MFA, certificat, conformité et règle de quarantaine |
| Détecter et révoquer rapidement | Journaux exportables, alertes testées et procédure de retrait |
Ces contrôles s’intègrent dans une stratégie de cybersécurité d’entreprise, dont l’accès distant n’est qu’une composante.
Exigences à inscrire dans le cahier des charges
L’identité doit rester la source de vérité. La solution doit se fédérer avec l’IdP de l’entreprise par un protocole documenté, prendre en charge le SSO et appliquer le MFA aux connexions distantes comme aux comptes d’administration. Le SSO réduit le nombre d’authentifications, mais ne remplace pas le second facteur. L’ANSSI recommande une authentification multifacteur forte et cite notamment les jetons FIDO2/U2F. La désactivation d’un compte dans l’annuaire doit couper les accès sans attendre une opération manuelle dans chaque console.
La posture du terminal doit pouvoir contrôler au minimum l’identité de la machine, les correctifs, le chiffrement du disque et l’état des protections attendues. Un poste non conforme doit être refusé ou placé en quarantaine. Ce signal reste un indice, pas une preuve d’absence de compromission. L’ANSSI souligne elle-même les limites d’un agent de conformité lorsqu’un attaquant dispose de droits élevés.
La segmentation doit relier groupes et rôles aux seules ressources requises, y compris derrière un VPN. Les comptes d’administration, prestataires et utilisateurs ordinaires doivent suivre des politiques distinctes. Les journaux doivent inclure identité, appareil, ressource, décision, horodatage et action d’administration, puis être exportables vers le système de supervision. Le NIST SP 800-207 associe explicitement décisions d’accès, état des actifs et journaux à l’architecture Zero Trust. La CNIL recommande pour le télétravail le VPN avec authentification à deux facteurs, les mises à jour, la limitation des services exposés et la consultation des journaux d’accès.
Déploiement, exploitation et réversibilité
Un pilote doit reproduire les cas difficiles : changement de réseau, perte de connexion, poste non conforme, révocation d’un compte, accès d’un prestataire et indisponibilité d’une passerelle. Les mesures utiles sont le taux de connexion réussie, la latence par application, les refus justifiés, le délai de révocation et la charge du support. Un test de restauration et un scénario de fonctionnement dégradé évitent qu’une panne du service d’accès bloque toute l’entreprise.
La réversibilité se négocie avant le contrat. L’entreprise doit pouvoir exporter les règles, groupes, journaux et inventaires dans des formats documentés, récupérer ou révoquer ses certificats, supprimer les connecteurs et conserver une période de coexistence. Le contrat doit préciser les délais d’export, la suppression des données, l’assistance à la sortie, les frais éventuels et le devenir des journaux. Des interfaces standard pour l’identité et les événements réduisent la dépendance, sans la supprimer.
Le VPN ou le ZTNA ne protège pas d’un poste déjà compromis, d’une validation MFA trompeuse ni d’une erreur d’habilitation. La prévention du phishing et de ses techniques d’usurpation reste nécessaire. Les sauvegardes doivent aussi rester isolées des accès utilisateurs : une sauvegarde cloud d’entreprise correctement organisée traite un risque que le tunnel chiffré ne couvre pas.
FAQ
Un VPN d’entreprise donne-t-il accès à tout le réseau ?
Non. Le tunnel fournit un chemin chiffré, tandis que les règles réseau décident des destinations accessibles. Un déploiement peut limiter un groupe à une application, un port ou un sous-réseau. Si tous les utilisateurs atteignent tout le SI, il faut revoir la segmentation et les habilitations.
Le ZTNA remplace-t-il toujours le VPN ?
Non. Le ZTNA convient bien aux accès individuels vers des applications définies, mais un VPN reste adapté à certains protocoles, à l’administration ou à des applications anciennes. Le VPN site-à-site répond encore à l’interconnexion de réseaux. Une architecture hybride peut être une étape durable si ses politiques sont cohérentes.
Faut-il choisir le full tunnel ou le split tunnel ?
Le full tunnel facilite l’application de contrôles centralisés, mais augmente la bande passante et la dépendance aux passerelles. Le split tunnel peut réduire la latence vers des services SaaS, au prix d’une exposition et d’une supervision plus complexes. La décision doit être prise flux par flux après analyse de risque, avec pare-feu local, protection du poste et journalisation.
SSO et MFA désignent-ils la même chose ?
Non. Le SSO permet de réutiliser une session d’identité entre plusieurs services. Le MFA exige plusieurs facteurs pour établir ou renforcer cette session. Le cahier des charges doit vérifier les deux, ainsi que la révocation centralisée depuis l’IdP.
Quels éléments vérifier pendant une démonstration fournisseur ?
Il faut demander une révocation en direct, un refus pour poste non conforme, une règle limitée à une seule ressource et l’export d’un journal exploitable. Il faut aussi tester la haute disponibilité et obtenir un exemple complet de procédure de sortie. Une liste de fonctions affichée dans une brochure ne démontre ni leur intégration ni leur exploitabilité.