Un réseau peut bloquer un VPN dès qu'il reconnaît son trafic. Cette page montre ce qui trahit un tunnel, ce que le mode furtif et Bloquer QUIC y changent, et ce qu'ils ne peuvent pas cacher.
Comment un réseau détecte un VPN
Le chiffrement cache ce qu'il y a dans un tunnel, pas le tunnel lui-même. Un filtre réseau qui pratique l'inspection approfondie des paquets (DPI) ne peut pas lire le trafic de vos utilisateurs, mais il en voit la forme : des paquets qui vont et viennent dans une seule longue connexion ne ressemblent en rien aux requêtes séparées d'un navigateur. Cela suffit pour reconnaître le tunnel et le rejeter.
Un réseau peut aussi sonder un serveur qu'il soupçonne : il s'y connecte et regarde comment il répond.
Mode furtif : votre serveur ressemble à un serveur web
Les applications se connectent à votre serveur via TLS, comme les navigateurs à un site web, et tout ce qui n'est pas une application VpnHood reçoit le refus d'un serveur web. En mode furtif, chaque connexion ouverte par un appareil obtient en plus sa propre connexion à votre serveur. Ainsi, pour un réseau qui l'observe, le trafic garde la forme de ce que vos utilisateurs font chaque jour :
Navigation web. Une page ouvre quelques connexions à la fois. Chacune envoie une petite requête, rapporte une réponse plus grande et se termine, puis plus rien ne circule pendant que l'utilisateur lit.
Téléchargements. Un fichier arrive par une seule connexion qui reste active jusqu'à la fin, avec bien plus de données entrantes que sortantes.
Rien de tout cela n'est simulé : il s'agit de la vraie navigation et des vrais téléchargements de vos utilisateurs, transportés une connexion à la fois. Sans le mode furtif, le même trafic passe par un long tunnel.
Bloquer QUIC : comment rendre le trafic VPN plus difficile à détecter
Le mode furtif a besoin d'une connexion TCP à terminer sur l'appareil. De nombreux sites web et applications vidéo utilisent plutôt QUIC, qui fonctionne sur UDP : en mode furtif, leur trafic passe donc toujours en paquets, dans un long tunnel qu'un filtre réseau peut reconnaître et rejeter.
Avec Bloquer QUIC activé, l'application rejette ce trafic sur l'appareil, avant qu'il n'entre dans le tunnel. La plupart des navigateurs et des applications de streaming passent alors à TCP, que le mode furtif peut transporter, mais une application qui fonctionne uniquement avec QUIC n'obtient aucune connexion. Ce réglage est désactivé par défaut et l'application ne l'affiche qu'en mode furtif. Un serveur qui ne transporte pas QUIC l'active pour ses utilisateurs. Il s'agit du QUIC des applications de vos utilisateurs, pas de celui du réglage de protocole de l'application.
Ce que le mode furtif ne peut pas cacher
Le mode furtif est une ressemblance, pas une garantie. L'UDP circule toujours sous forme de paquets, tout comme le QUIC si Bloquer QUIC n'est pas activé, et un nouveau serveur a un certificat auto-signé, contrairement à un site web. Éviter le blocage de l'adresse IP de votre serveur explique comment combler ces failles. Le mode furtif masque aussi ce qu'est le trafic, pas où il va : un réseau peut toujours voir le trafic d'un appareil aller vers une seule adresse, et bloquer cette adresse.
Nous utilisons des cookies Google Analytics pour analyser l'utilisation de notre site. Vous pouvez les accepter ou les refuser. Politique de confidentialité
