Points clés
- Le split tunneling modifie le routage du trafic VPN : seul le trafic sélectionné passe par le VPN. Le reste le contourne et emprunte directement le réseau local.
- Le full tunneling centralise la sécurité et la visibilité : faire transiter l’intégralité du trafic par le VPN simplifie l’inspection et la conformité, mais cela peut ralentir les échanges et surcharger la passerelle.
- Le split tunneling améliore les performances et l’évolutivité : moins de trafic dans le VPN libère de la bande passante et accélère souvent l’accès au cloud et à Internet.
- Les contrôles de sécurité se déplacent vers le terminal : dès lors que le trafic évite le tunnel, la protection des terminaux et l’accès conditionnel évitent que la sécurité soit compromise.
- La stratégie de routage doit correspondre aux exigences des politiques : les obligations réglementaires, la tolérance au risque et la capacité de l’infrastructure doivent déterminer si le split tunneling est pertinent.
Les réseaux privés virtuels (VPN) font aujourd’hui partie du quotidien des réseaux domestiques comme des réseaux d’entreprise. En résumé, ils créent un tunnel chiffré entre un terminal et un réseau distant afin de protéger le trafic et d’appliquer une politique d’accès. Il existe deux modes de routage du trafic VPN : le full tunneling et le split tunneling.
Ce guide explique ce qu’est le split tunneling VPN, comment il se compare au modèle du VPN en full tunnel, et comment chaque approche influe sur la sécurité, les performances et le contrôle opérationnel. Les risques et les avantages de chaque option sont détaillés, afin que les administrateurs informatiques et les entreprises puissent retenir une stratégie de routage à la fois efficace et conforme.
Le split tunneling VPN et ses usages
Le routage VPN détermine la façon dont le trafic d’un terminal est traité lorsque l’appareil est connecté à un VPN. Le choix entre split tunneling et full tunneling a un impact direct sur les performances, la visibilité et le contrôle de sécurité de l’ensemble des terminaux.
📌 Pourquoi comprendre le split tunneling est-il indispensable pour bâtir une stratégie de routage VPN ?
- Cela détermine quel trafic est soumis à l’inspection centralisée et à l’application des politiques.
- Cela influe sur la consommation de bande passante et sur la charge des passerelles VPN.
- Cela modifie le profil d’exposition des terminaux connectés à des réseaux non fiables.
Qu’est-ce que le split tunneling ?
Le split tunneling est un modèle de routage VPN dans lequel seul le trafic sélectionné passe par le tunnel chiffré, tandis que le reste du trafic le contourne et emprunte la connexion réseau locale.
Concrètement, cela signifie que :
- le trafic destiné aux ressources de l’entreprise, comme les sous-réseaux internes ou les services privés, transite par le VPN ;
- le trafic à destination d’Internet ou étranger à l’entreprise emprunte la connexion Internet locale de l’appareil plutôt que le tunnel ;
- les décisions de routage reposent sur la destination, l’application ou la politique en vigueur, au lieu de forcer l’ensemble du trafic à passer par le VPN.
En limitant le trafic qui entre dans le tunnel, le split tunneling réduit la charge des passerelles VPN et peut améliorer les performances de l’accès local et de l’accès à Internet. En revanche, il modifie aussi la façon dont les contrôles de sécurité s’appliquent au trafic des terminaux.
Split tunneling et full tunneling : comparaison
Dans une configuration en full tunnel, tout le trafic de l’appareil passe par le tunnel, y compris le trafic à destination d’Internet. Avec le split tunneling, en revanche, seules les destinations définies, comme des sous-réseaux internes ou des applications spécifiques, l’empruntent, tandis que le reste du trafic sort vers le réseau local.
VPN en full tunnel
- Il centralise l’inspection, la journalisation et le contrôle du trafic à la frontière du VPN.
- Maintenir l’ensemble du trafic sous des contrôles gérés simplifie considérablement la conformité.
- Il peut introduire de la latence pour le cloud et le SaaS en raison du backhauling.
VPN en split tunnel
- Les utilisateurs accèdent directement à Internet et aux applications cloud, sans que le backhaul VPN ne les ralentisse.
- Cela améliore l’UX (expérience utilisateur) sur les liaisons à bande passante limitée et à forte latence.
- Une partie de la responsabilité de la sécurité est transférée aux contrôles des terminaux et aux réseaux locaux.
Split tunneling : cas d’usage courants
Le split tunneling s’emploie surtout lorsque les utilisateurs doivent accéder à des ressources internes tout en atteignant l’Internet public, sans faire passer l’intégralité du trafic par le VPN.
On y recourt fréquemment dans les cas suivants :
- Les utilisateurs distants doivent accéder simultanément à des ressources internes et à des services cloud ou Internet.
- Les contraintes de bande passante du concentrateur VPN imposent de réduire le trafic dans le tunnel.
- Les performances d’accès aux ressources locales doivent être préservées pour éviter de pénaliser les utilisateurs.
Il convient moins bien lorsque :
- l’ensemble du trafic doit faire l’objet d’une inspection et d’une journalisation de sécurité centralisées ;
- des exigences réglementaires ou contractuelles imposent un contrôle centralisé des flux de données.
Pour les administrateurs informatiques, cela explique pourquoi les performances évoluent une fois le split tunneling activé. Cela montre aussi pourquoi la capacité du VPN se remplit plus vite que prévu et pourquoi certains contrôles de sécurité ne s’appliquent plus dès que le trafic quitte le tunnel.
Split tunneling : points de vigilance en matière de sécurité
Le split tunneling modifie l’endroit où le trafic est inspecté ainsi que les contrôles appliqués. Cela a un impact direct sur la sécurité des terminaux dans les environnements gérés, ce qui en fait un élément déterminant de votre stratégie de routage VPN.
Les risques de sécurité liés au split tunneling sont notamment les suivants :
- Le filtrage centralisé des malwares et les contrôles d’inspection réseau peuvent ne plus s’appliquer.
- Les appareils de l’entreprise peuvent se retrouver exposés à des réseaux non fiables, avec très peu de visibilité.
- Une exposition à deux réseaux peut apparaître, ce qui complique l’application des politiques et la visibilité.
Parmi les stratégies de mitigation :
- n’appliquer le split tunneling qu’à certains utilisateurs, rôles ou destinations ;
- s’appuyer sur les contrôles de sécurité des terminaux pour protéger le trafic hors VPN ;
- recourir à des politiques d’accès conditionnel pour restreindre l’accès aux applications sensibles.
Pour les administrateurs informatiques, cela signifie que le split tunneling ne doit jamais être considéré comme un réglage par défaut. Il exige des limites claires, des contrôles solides sur les terminaux et une bonne compréhension des protections perdues lorsque le trafic quitte le tunnel.
Aligner la stratégie sur les politiques et l’expérience utilisateur
Les entreprises doivent déterminer si le split tunneling correspond à la façon dont leurs collaborateurs travaillent, et pas seulement à la conception du réseau. Ce choix influe sur la couverture de sécurité, les performances et le niveau de friction ressenti par les utilisateurs au quotidien.
Les facteurs à prendre en compte :
- Quelle importance l’inspection centralisée du trafic revêt-elle dans le modèle de sécurité de l’entreprise ?
- Les utilisateurs peuvent-ils accéder régulièrement à l’Internet public ou à des services cloud tout en étant connectés au VPN ?
- L’infrastructure VPN peut-elle absorber de façon fiable l’intégralité du trafic dans une configuration en full tunnel ?
- Quels contrôles de sécurité des terminaux restent efficaces lorsque le trafic ne passe pas par le VPN ?
Split tunneling VPN : autres éléments à considérer
- Notez que certains clients VPN prennent en charge un split tunneling dynamique, fondé sur l’application, la destination ou la politique en vigueur.
- Le comportement du split tunneling varie selon le client VPN, la plateforme et l’implémentation du fournisseur.
- Les gains de performances ne justifient pas toujours le risque supplémentaire dans les environnements sensibles ou réglementés.
- Le trafic hors tunnel nécessite généralement des outils de journalisation et de visibilité distincts.
Problèmes fréquents liés au split tunneling
- Du trafic contourne les contrôles de façon inattendue : vérifiez le périmètre de la politique de split tunneling et les définitions de routage.
- Le trafic local reste lent malgré le split tunneling : contrôlez les chemins de routage locaux et assurez-vous que la résolution DNS fonctionne comme prévu.
- Des violations de politiques surviennent : assurez-vous que les contrôles des terminaux appliquent bien les protections requises au trafic hors tunnel.
- Les utilisateurs ne comprennent pas la connectivité : fournissez une documentation claire sur le comportement de routage attendu.
Intégrez le split tunneling VPN à votre stratégie de routage VPN
Le split tunneling VPN modifie la façon dont le trafic est routé, inspecté et protégé dès que des appareils se connectent à un réseau distant. Vous pouvez y recourir pour réduire la charge du VPN et améliorer les performances, mais il limite aussi la part du trafic que les administrateurs peuvent inspecter et journaliser.
Pour les administrateurs informatiques, choisir entre split tunneling et full tunneling relève d’une décision de politique, à trancher au moment de configurer un VPN. Ce choix doit refléter les besoins de conformité, la posture de sécurité du réseau et la capacité de votre infrastructure. De plus, il faut bien identifier les protections qui s’appliquent encore lorsque le trafic quitte le tunnel.
Sujets connexes :
