VPN IKEv2/IPsec : MOBIKE et compatibilité 2026

IKEv2 négocie la connexion, IPsec protège les données

IKEv2 et IPsec sont souvent présentés ensemble, mais ils n’ont pas le même rôle. IKEv2 (Internet Key Exchange version 2) établit le tunnel : il négocie les paramètres de sécurité et permet aux deux extrémités de s’authentifier. IPsec protège ensuite le trafic qui circule dans ce tunnel. Dans les configurations courantes, c’est ESP (Encapsulating Security Payload) qui transporte les données chiffrées.

Cette distinction est utile quand vous comparez des offres ou configurez un routeur. La mention « IKEv2 » seule ne décrit pas toute la protection : vérifiez que le service fournit bien IKEv2 avec IPsec et demandez quelles méthodes d’authentification il accepte. IKEv2 est défini dans la RFC 7296, publiée comme Internet Standard en 2014. Il a notamment simplifié l’échange initial par rapport à IKEv1.

Sur un appareil, vous pouvez utiliser un client intégré au système ou une application du fournisseur. Le client intégré évite d’installer un logiciel supplémentaire, mais il faut saisir et conserver correctement les paramètres de connexion. Une application peut, elle, gérer les serveurs et les profils à votre place. Le filtre de cette page sert à repérer les offres qui annoncent IKEv2/IPsec ; il ne garantit pas que toutes proposent les mêmes réglages ou la même méthode d’authentification.

Compatibilité : le client natif dépend de votre système

IKEv2 est intéressant si vous souhaitez vous connecter sans installer d’application. Windows propose un client IKEv2 intégré, et les versions modernes de macOS ainsi que les appareils iPhone et iPad disposent également d’une prise en charge native. Les versions documentées comprennent Windows 7 et ultérieur, iOS/iPadOS 9 et ultérieur, et macOS 11 et ultérieur. Pour un appareil ancien ou une version modifiée par un fabricant, vérifiez les options réellement affichées avant de choisir une offre.

Sur Android, la prise en charge native dépend davantage de la version et les informations disponibles ne concordent pas sur un minimum unique. Vérifiez les réglages VPN de votre téléphone et la documentation de sa version. Si le client intégré ne propose pas IKEv2, une application dédiée, comme celle fondée sur strongSwan, peut être nécessaire. Ne choisissez donc pas un abonnement pour un téléphone Android sans confirmer que le client et la méthode d’authentification proposés fonctionnent ensemble.

Linux ne dispose pas d’un parcours natif aussi uniforme. strongSwan est une implémentation courante, et LibreSwan est une autre possibilité. Sur un routeur OpenWrt, strongSwan permet de mettre en place un accès nomade, mais la configuration demande des notions de certificats, de profils et de réseau. Si vous utilisez un routeur, vérifiez à la fois la compatibilité IKEv2/IPsec et les fonctions de mobilité du serveur : celles-ci ne sont pas automatiquement activées parce que le téléphone les prend en charge.

Le basculement Wi-Fi–réseau mobile dépend de MOBIKE

IKEv2 a été conçu pour fonctionner avec MOBIKE, mécanisme défini dans la RFC 4555. MOBIKE permet de modifier les adresses IP associées aux échanges IKE et au tunnel IPsec sans repartir de zéro. En pratique, cela peut aider un téléphone à garder sa session VPN lorsqu’il quitte un réseau Wi-Fi et passe sur le réseau mobile, ou lorsqu’il change de point d’accès.

Le point décisif est le support effectif de MOBIKE par le serveur ou la passerelle, en plus de celui du client. IKEv2 seul ne promet pas une transition sans coupure. Les implémentations diffèrent : certaines ne répondent qu’aux demandes de mobilité et ne peuvent donc pas initier le changement. Des contraintes de NAT et de chemin réseau peuvent aussi empêcher les réponses de revenir correctement. Un routeur qui annonce IKEv2 n’est donc pas nécessairement adapté à un tunnel mobile itinérant.

Avant de compter sur cette fonction pour un appel ou une connexion professionnelle, testez votre configuration : lancez le VPN en Wi-Fi, désactivez le Wi-Fi, puis vérifiez si le tunnel revient et si les applications reprennent leur activité. Faites aussi l’essai dans le sens inverse et avec le serveur que vous utiliserez réellement. Si le tunnel se déconnecte puis se reconnecte, vous pouvez perdre quelques secondes, même si l’appareil finit par rétablir la session. Demandez au fournisseur ou à l’administrateur si MOBIKE est pris en charge des deux côtés.

Choisissez soigneusement l’authentification

IKEv2/IPsec peut s’appuyer sur des certificats, sur EAP ou, dans certaines configurations, sur une clé prépartagée (PSK) et un nom d’utilisateur avec mot de passe. Les certificats sont généralement le choix le plus robuste parmi ces options, à condition de les installer et de les renouveler correctement. EAP peut convenir si le serveur et le client le prennent en charge. Vérifiez ce point avant de sélectionner un profil, notamment si vous souhaitez utiliser le client intégré de Windows, d’Apple ou de votre routeur.

Une PSK courte ou réutilisée sur de nombreux appareils est un mauvais choix pratique : si elle circule entre plusieurs utilisateurs, il devient difficile de la changer sans reconfigurer chaque client. Les faiblesses connues des configurations PSK d’IKEv1 rappellent aussi qu’un secret peu complexe est à éviter. Elles ne permettent pas, à elles seules, de conclure que toutes les PSK IKEv2 sont vulnérables de la même façon. Préférez un certificat ou EAP lorsque le service le propose, et n’utilisez pas un secret partagé facile à deviner.

Les certificats demandent une vérification supplémentaire sur mobile : leur nom doit correspondre au nom de serveur (FQDN) que le client utilise. Un nom absent du champ SAN (Subject Alternative Name) peut faire échouer la connexion sur iOS ou Android sans message explicite. Si vous configurez vous-même un serveur, faites émettre un certificat correspondant exactement au nom utilisé par les appareils. Ne contournez pas un avertissement de certificat pour faire fonctionner le profil.

Ports et réseaux : vérifiez ce que le pare-feu laisse passer

IKE utilise généralement UDP 500 pour établir la connexion. Quand la traversée du NAT est nécessaire, NAT-T transporte les échanges IKE et ESP dans UDP 4500. Sans NAT-T, ESP circule directement comme protocole IP numéro 50 ; ce n’est pas un port TCP ou UDP. Cette différence explique pourquoi une règle qui autorise seulement UDP 500 ne suffit pas toujours.

Un réseau d’hôtel, d’entreprise ou de transport peut bloquer UDP 500, UDP 4500 ou ESP. Dans ce cas, le tunnel peut échouer même si le profil et le mot de passe sont corrects. Si vous administrez une passerelle, vérifiez les règles de pare-feu et le chemin entre le client et le serveur. Si vous êtes sur un réseau que vous ne contrôlez pas et qu’IKEv2 ne passe pas, une autre technologie autorisée par ce réseau sera parfois nécessaire. Ne partez pas du principe qu’IKEv2 masque le trafic ou contourne les blocages.

Quand retenir une offre IKEv2/IPsec

IKEv2/IPsec convient bien si vous voulez utiliser le client intégré d’un iPhone, d’un Mac ou d’un PC Windows, ou si votre routeur le prend en charge et que vous préférez configurer vous-même le tunnel. Pour la mobilité, retenez une offre seulement après avoir vérifié MOBIKE ou effectué un test de changement de réseau. Si votre usage dépend d’une reconnexion immédiate pendant un appel, cette vérification compte plus que la simple présence du protocole dans la liste.

• Vérifiez l’appareil : confirmez la disponibilité du client, la version du système et la méthode d’authentification acceptée.
• Vérifiez le serveur : demandez si MOBIKE est pris en charge et si le serveur accepte les changements d’adresse du client.
• Vérifiez le réseau : IKEv2 ne convient pas à un accès qui bloque ses flux UDP ou ESP.
• Vérifiez les identifiants : privilégiez certificats ou EAP si disponibles, plutôt qu’une PSK courte et partagée.

Pour situer les tarifs, l’ensemble de notre comparatif VPN compte 22 offres chez 22 fournisseurs, avec des prix à partir de 0,74 € par mois ; les tarifs ont été synchronisés le 31 octobre 2026. Ces chiffres concernent le comparatif complet, pas uniquement les offres affichées par ce filtre. Comparez ensuite les conditions propres à chaque offre IKEv2/IPsec et ne déduisez pas la prise en charge de MOBIKE de la seule compatibilité avec le protocole.