VPN SSL

Un VPN SSL (parfois appelé VPN TLS, le nom “SSL” étant resté par habitude — voir TLS / SSL) établit un tunnel chiffré au-dessus d’une connexion HTTPS classique, sur le port 443. Contrairement à IPsec ou WireGuard, qui opèrent au niveau réseau, un VPN SSL s’appuie sur les mêmes fondations que n’importe quel site web sécurisé — ce qui change fondamentalement sa facilité de déploiement et ses cas d’usage.

Deux modes d’usage

• Mode portail web (clientless) : l’utilisateur se connecte via son navigateur à une page HTTPS qui donne accès à des applications internes précises (un intranet, un webmail, une application métier) sans installer aucun logiciel — le VPN reste invisible, chaque application accédée passe par une passerelle web.
• Mode tunnel complet : un petit client logiciel (souvent installé à la volée depuis le portail) établit un tunnel réseau complet, comparable dans son usage final à un VPN IPsec ou WireGuard — l’utilisateur accède alors à l’ensemble du réseau interne autorisé, pas seulement à une application web.

Pourquoi c’est simple à déployer

Le VPN SSL utilise le port 443, déjà ouvert sortant sur quasiment tous les réseaux (hôtels, aéroports, réseaux d’entreprise restrictifs) puisque c’est celui de tout site HTTPS — contrairement à IPsec, qui utilise des ports et protocoles souvent bloqués par des pare-feux restrictifs (UDP 500/4500, protocole ESP), ou à WireGuard, qui nécessite l’ouverture explicite d’un port UDP dédié. C’est la principale raison pour laquelle les VPN SSL restent très utilisés pour l’accès nomade grand public/entreprise, malgré des protocoles plus modernes disponibles par ailleurs.

Solutions courantes

Des appliances comme Fortinet FortiGate (SSL VPN), Cisco AnyConnect, Palo Alto GlobalProtect, ou des solutions libres comme OpenVPN (qui, malgré son nom, fonctionne au-dessus de TLS et non du protocole SSL/TLS natif d’un navigateur) proposent ce type d’accès.

VPN SSL vs les autres VPN

	VPN SSL	IPsec	WireGuard
Port	443 (TCP/UDP)	UDP 500/4500 + ESP	UDP dédié
Traversée de pare-feu restrictif	Très bonne	Souvent bloquée	Bonne si le port est ouvert
Mode clientless (portail web)	Oui	Non	Non
Performance	Correcte	Bonne	Très bonne
Complexité de configuration	Faible à moyenne	Élevée	Faible

Point de vigilance

Le mode “clientless” est pratique mais élargit la surface d’attaque du portail web lui-même : une faille dans l’interface d’authentification d’un VPN SSL expose potentiellement l’ensemble des utilisateurs sans qu’aucun tunnel n’ait même besoin d’être établi — plusieurs failles critiques largement exploitées ces dernières années (Fortinet, Pulse Secure) ont ciblé précisément ces portails, exposés directement sur Internet par nature. Maintenir ces équipements à jour est particulièrement critique.