VPN OpenVPN : compatibilité, ports et limites

Ce que filtre cette page, et ce qu’OpenVPN apporte

Le tableau ne conserve que les offres qui prennent en charge OpenVPN. Il vous permet donc de comparer les appareils, les serveurs, les notes et les tarifs des VPN compatibles, plutôt que de mélanger des protocoles qui ne fonctionneraient pas sur votre équipement. Vérifiez tout de même la configuration proposée : certains fournisseurs passent par leur application, d’autres vous donnent un profil à importer dans un client OpenVPN.

OpenVPN est un protocole open source, lancé en 2001, qui s’appuie notamment sur TLS pour établir et protéger la connexion. Il sépare le canal de contrôle, qui sert à négocier la session et à vérifier l’identité du serveur, du tunnel qui transporte vos données. Cette architecture et sa longue disponibilité expliquent sa présence sur de nombreux systèmes et équipements, y compris des routeurs.

Sa compatibilité est son argument le plus concret. Si votre routeur ne propose pas WireGuard ou IKEv2, mais accepte OpenVPN, vous pouvez faire passer par le VPN les appareils connectés à ce routeur. C’est aussi un choix cohérent si votre entreprise vous remet déjà un profil OpenVPN. Pour un téléphone récent ou un ordinateur utilisé sur un réseau ordinaire, cette polyvalence ne suffit pas à en faire le meilleur choix par défaut.

OpenVPN 2.6 : des réglages plus modernes, sans miracle garanti

La version 2.6 a fait évoluer les paramètres par défaut et la façon dont le trafic peut être traité. Dans une nouvelle configuration par défaut, OpenVPN limite les chiffrements du canal de données aux modes AEAD AES-256-GCM et ChaCha20-Poly1305. Ces chiffrements authentifient et chiffrent les données dans une même opération. Cela modernise la configuration de départ, mais ne permet pas de conclure que toutes les anciennes configurations ont été automatiquement modifiées : le profil fourni par votre VPN compte aussi.

Autre changement : la prise en charge de Data Channel Offload, souvent abrégé en DCO. Sur les systèmes compatibles, une partie du traitement du canal de données peut être déplacée vers le noyau, au lieu de rester entièrement dans l’espace utilisateur. OpenVPN indique que cela peut augmenter le débit possible, mais ne donne pas de gain chiffré valable pour tous les appareils. Votre processeur, votre système, le serveur et les paramètres de connexion pèsent aussi dans le résultat.

DCO est disponible sur FreeBSD, Linux et Windows, mais son activation dépend de la configuration. Il fonctionne avec des chiffrements AEAD et des tunnels de niveau 3, et certaines options, comme la compression, peuvent empêcher son utilisation. Le client peut alors le désactiver ou fonctionner sans. Ne choisissez donc pas un abonnement en vous attendant à une accélération précise grâce à OpenVPN 2.6 : considérez DCO comme une amélioration potentielle, pas comme une promesse de vitesse.

UDP ou TCP : choisir le transport et le port

OpenVPN utilise UDP par défaut, généralement sur le port 1194. C’est le choix à privilégier si votre réseau l’autorise : il évite d’ajouter le contrôle de fiabilité de TCP au transport déjà géré par le tunnel. Dans la pratique, commencez par UDP et ne changez de mode que si la connexion échoue ou si un pare-feu bloque ce trafic. Le port seul ne garantit pas qu’un réseau laissera passer la connexion.

TCP est une solution de repli lorsqu’un réseau filtre UDP. Il peut notamment être configuré sur le port 443, généralement utilisé par le trafic HTTPS. Un hôtel, une école ou un réseau d’entreprise peut ainsi laisser passer la connexion alors qu’il bloque le port 1194. Il faut toutefois que le fournisseur VPN propose cette configuration, ou que vous puissiez l’activer sur votre propre serveur.

Cette solution a un coût : OpenVPN sur TCP peut être plus lent que sur UDP. Si TCP gère les retransmissions et que le tunnel doit lui aussi récupérer des pertes, les deux couches peuvent se gêner. Dans certaines conditions, ce phénomène de « TCP meltdown » dégrade fortement les performances. TCP 443 est donc un dépannage utile, pas le réglage à conserver partout. Et le port 443 ne rend pas OpenVPN invisible : l’inspection approfondie des paquets peut reconnaître le protocole et le bloquer, quel que soit le port.

Réseaux filtrés : ce que TCP 443 ne peut pas faire

OpenVPN est identifiable par inspection approfondie des paquets. Si le réseau bloque activement ce protocole, changer le port ne suffit pas forcément. Ne comptez pas sur TCP 443 pour contourner une politique de sécurité stricte, ni pour masquer votre usage à l’administrateur du réseau. Sur un Wi-Fi public, un réseau scolaire ou une connexion professionnelle, respectez les règles locales : une tentative de contournement peut être bloquée ou consignée.

Certains administrateurs utilisent aussi tls-crypt, qui protège davantage le canal de contrôle et peut rendre le trafic moins facile à reconnaître. Ce réglage doit être pris en charge des deux côtés, serveur et client. Il ne transforme pas OpenVPN en protocole indétectable et ne garantit pas le passage d’un pare-feu. Si une connexion passe en TCP 443, pensez également à la sécurité du serveur : ouvrir un port sur Internet doit être prévu et contrôlé par des règles de pare-feu, pas laissé sans restriction par commodité.

Pour un réseau qui bloque seulement UDP, essayez dans cet ordre :

• connectez-vous en UDP avec le port proposé par le fournisseur ;
• si UDP échoue, vérifiez si le service propose OpenVPN en TCP 443 ;
• si le protocole reste bloqué, n’interprétez pas les tentatives répétées comme une preuve qu’un autre port réglera le problème.

Routeurs, appareils et mise en route

OpenVPN convient bien à un routeur lorsque son micrologiciel ou l’interface du fabricant prend explicitement ce protocole en charge. Avant l’achat ou la configuration, cherchez la liste des VPN compatibles dans la documentation du modèle exact. Les capacités varient selon le routeur et son logiciel : la présence d’OpenVPN sur un autre modèle de la même marque ne suffit pas. Sur un routeur compatible, un seul tunnel peut couvrir plusieurs appareils du réseau domestique, sans installer l’application sur chacun.

Sur ordinateur et mobile, les applications du fournisseur sont souvent le chemin le plus simple. OpenVPN n’est pas intégré par défaut à Windows comme un client système : il faut installer une application adaptée ou utiliser celle du VPN. Un profil importé peut demander davantage de manipulations, notamment la sélection du serveur et la gestion des certificats. Si votre entreprise vous fournit un profil et une procédure, suivez-les plutôt que de remplacer les paramètres vous-même.

Dans l’ensemble de notre comparaison VPN, les 22 offres de 22 fournisseurs couvrent aussi des services qui ne figurent pas dans ce filtre. Les prix de cette comparaison complète commencent à 0,74 € par mois, et non nécessairement à ce tarif parmi les seules offres compatibles OpenVPN. Pour situer les notes à l’échelle de toute la catégorie, le meilleur score de notre comparaison complète est 7,6/10, attribué à Ivacy VPN. Les prix ont été synchronisés le 31 octobre 2026 ; vérifiez les conditions affichées pour distinguer tarif promotionnel et renouvellement.

OpenVPN ou WireGuard : quel choix pour votre usage ?

Pour une connexion à domicile sans blocage particulier, WireGuard est souvent un choix plus direct si votre appareil et votre fournisseur le prennent en charge. Il demande généralement moins de réglages côté utilisateur et peut être préférable sur téléphone lorsque la consommation de batterie et la réactivité comptent. Il n’existe pas ici de mesure indépendante permettant de promettre un écart de vitesse valable pour votre connexion : faites un essai sur votre propre appareil si ces critères sont décisifs.

Choisissez OpenVPN lorsque sa compatibilité résout un problème concret : routeur qui ne propose pas d’autre protocole, profil d’entreprise déjà établi, appareil inhabituel ou réseau qui bloque UDP mais laisse passer TCP 443. Préférez UDP dans les conditions normales, puis essayez TCP seulement si nécessaire. Si vous utilisez un téléphone ou un ordinateur récent et que WireGuard fonctionne sans restriction, gardez OpenVPN comme solution de secours plutôt que de le sélectionner par habitude.