Le VPN sur routeur déplace le tunnel des appareils individuels vers le point d’entrée Internet : derrière lui se trouve toute la maison — téléphones, ordinateurs portables, téléviseur, box et objets connectés. Voyons quand cela se justifie, quel routeur convient et comment installer un VPN personnel sur OpenWrt.
Cet article s’adresse à ceux qui sont prêts à ouvrir l’interface web du routeur et à tout configurer une bonne fois pour toutes. Si vous avez seulement besoin d’un VPN pour le téléviseur, une solution plus simple avec les applications pour Apple TV et Android TV est présentée à la fin.
Pourquoi un VPN sur le routeur
Une application sur le téléphone protège un seul téléphone. Un routeur avec VPN protège tout ce qui est connecté au réseau domestique, et le fait de manière invisible pour les appareils eux-mêmes : ils voient un Wi-Fi ordinaire, tandis que le chiffrement et le routage se font sur le routeur.
- Le téléviseur, la console, le lecteur multimédia et les objets connectés sans client VPN obtiennent la même IP que le téléphone.
- Les ordinateurs portables et les téléphones n’épuisent pas leur batterie et n’ont pas besoin de vérifier si le tunnel est actif.
- Les invités et les nouveaux appareils sont protégés dès leur connexion au Wi-Fi.
- Les réglages vivent à un seul endroit, et non dans une dizaine d’applications.
Il y a aussi un prix à payer : la vitesse est limitée par le processeur du routeur, et le moindre problème de tunnel touche toute la maison d’un coup. Il est donc important de bien choisir le matériel et de prévoir la conduite à tenir en cas de coupure.
Quel routeur convient
MeduzaVPN fournit un paquet prêt à l’emploi pour OpenWrt, le firmware ouvert installé sur des centaines de modèles de routeurs. Le paquet est compilé pour trois plateformes sur lesquelles nous le testons ; pour les autres, des builds statiques du démon sont disponibles.
| Plateforme | Format | Appareils typiques | Vitesse attendue |
|---|---|---|---|
| x86/64 | Paquet prêt à l’emploi | Mini-PC, machines virtuelles, routeurs industriels sur Intel/AMD | Des centaines de Mbit/s et plus |
| MediaTek Filogic | Paquet prêt à l’emploi | Routeurs Wi-Fi 6 récents sur MT7981/MT7986 | Des centaines de Mbit/s |
| MT7621 | Paquet prêt à l’emploi | Routeurs grand public de 2018–2023 | Quelques dizaines de Mbit/s |
| arm64, armv7, mips | Build statique du démon | Autres plateformes OpenWrt, installation manuelle | Selon le processeur |
Mémoire et stockage
L’exigence principale porte sur l’espace de stockage. Le paquet et ses dépendances nécessitent 40 à 46 Mo. Un routeur avec 16 Mo de mémoire flash ne convient pas : il ne reste que quelques mégaoctets une fois le firmware lui-même installé. Cherchez des modèles avec 128 Mo ou plus, ou configurez l’extroot sur une clé USB si le routeur dispose d’un port. Une RAM d’au moins 256 Mo est préférable, sinon le démon et l’interface web se disputeront les ressources en cas de nombreuses connexions.
Avant d’acheter, consultez le tableau du matériel OpenWrt : ce qui compte, ce n’est pas seulement le processeur et la quantité de mémoire, mais aussi le fait que le modèle soit pris en charge par la branche de firmware actuelle. Les branches obsolètes peuvent manquer des dépendances nécessaires.
Installation du paquet sur OpenWrt
On suppose qu’OpenWrt est déjà installé et que le routeur a accès à Internet. L’installation du paquet prend quelques minutes.
- Ouvrez la page VPN pour routeur et téléchargez le paquet correspondant à votre plateforme.
- Vérifiez que l’espace libre n’est pas inférieur à 50 Mo : la section « Système → Logiciels » dans LuCI indique l’espace restant.
- Téléversez le paquet via cette même section de LuCI, ou en SSH avec la commande d’installation opkg.
- Attendez l’installation des dépendances ; au premier démarrage, le démon crée sa configuration.
- Ouvrez la nouvelle page MeduzaVPN dans le menu LuCI et effectuez la connexion par code QR.
- Choisissez une localisation et un protocole, activez la connexion et vérifiez l’IP depuis n’importe quel appareil du réseau.
Builds statiques pour les autres plateformes
Si votre routeur fonctionne sous arm64, armv7 ou mips, prenez le build statique du démon. Il ne dépend pas des bibliothèques du firmware et se lance comme un service ordinaire. Il n’y a pas de page dans LuCI dans ce cas : la connexion et le choix de la localisation se font par des commandes SSH, et les paramètres sont stockés dans un fichier de configuration. Cette voie s’adresse à ceux qui sont à l’aise avec la console.
Connexion par code QR et page dans LuCI
Le routeur n’a pas de clavier pratique, et on préfère ne pas y stocker le mot de passe du compte. La connexion fonctionne donc comme sur le téléviseur : la page MeduzaVPN dans LuCI affiche un code QR, vous le scannez avec un téléphone où l’application est installée, ou vous ouvrez le lien dans un navigateur et confirmez la connexion. Le routeur obtient sa propre clé d’accès, révocable à tout moment depuis le compte.
Sur cette page même, vous trouverez :
- l’état de la connexion, la localisation actuelle et l’IP externe ;
- le choix parmi 60+ localisations et le changement de protocole — MeduzaVPN ULTRA, WireGuard, VLESS et autres ;
- l’activation du kill switch ;
- le choix des appareils ou sous-réseaux qui passent par le tunnel ;
- le journal des derniers événements de connexion.
Le routeur est simplement un appareil supplémentaire dans le compte. Il ne consomme pas d’abonnement séparé et n’occupe pas de « créneau » : il n’y a pas de limite au nombre d’appareils. Si vous partagez le VPN avec votre famille, découvrez comment fonctionne le partage d’accès.
Kill switch et répartition du trafic
Kill switch
En cas de coupure du tunnel, le routeur peut soit laisser passer le trafic directement, soit le bloquer jusqu’au rétablissement de la connexion. Ce second mode est le kill switch. Sur le routeur, il s’applique à tout le monde ; décidez donc à l’avance : si vous avez des appareils pour lesquels un accès Internet continu est important (vidéosurveillance, maison connectée), il peut être préférable de les faire passer hors du tunnel et de n’activer le blocage que pour le reste.
Répartition par appareil
Sous OpenWrt, le trafic se répartit facilement par client. Une solution pratique consiste en deux réseaux Wi-Fi : l’un passe par le VPN, l’autre en direct. Le téléviseur et la box se connectent au premier, les appareils professionnels avec un VPN d’entreprise au second. C’est le même principe que le split tunneling dans les applications, sauf que la frontière est le réseau, et non une liste de programmes.
DNS
Vérifiez que les requêtes DNS passent elles aussi par le tunnel. Si le routeur continue d’interroger le serveur DNS du fournisseur d’accès, les sites verront l’IP du VPN, mais le fournisseur verra la liste des domaines visités. Le paquet MeduzaVPN configure le DNS dans le tunnel par défaut, mais en cas de modifications manuelles de dnsmasq, mieux vaut le revérifier.
Limites et points à retenir
- Vitesse. Le chiffrement est effectué par le processeur du routeur. Sur MT7621, le plafond pratique est de quelques dizaines de mégabits par seconde, sur Filogic et x86, des centaines. Suffisant pour la vidéo 4K, pas pour une liaison gigabit.
- Une seule localisation pour tous. Le routeur est connecté à un seul serveur. Si un appareil a besoin d’Amsterdam et un autre de Tokyo, il faudra soit basculer, soit laisser l’application active sur l’appareil concerné.
- Conditions des services. Un VPN protège la connexion et ne remplace pas l’abonnement à un service. Respectez les conditions d’utilisation de chaque service.
- Changement de protocole selon le réseau. Si un protocole est instable sur votre réseau, sur le routeur, cela se remarque immédiatement dans toute la maison. Gardez la page LuCI à portée de main pour basculer — par exemple de WireGuard vers MeduzaVPN ULTRA.
- Mises à jour. Le paquet se met à jour via opkg, comme les autres composants d’OpenWrt. Il vaut la peine de vérifier les nouvelles versions tous les quelques mois.
- Point de défaillance unique. Une erreur de configuration du routeur prive tout le monde d’Internet. Faites une sauvegarde de la configuration avant toute modification.
Alternatives au routeur
Le routeur n’est pas toujours nécessaire. Si le besoin porte uniquement sur le téléviseur ou la box, il est plus simple d’installer l’application directement sur l’appareil.
| Critère | VPN sur le routeur | Applications sur les appareils |
|---|---|---|
| Couverture | Tous les appareils du réseau, y compris sans client | iPhone, Android, macOS, Windows, Linux, Apple TV, Android TV, Fire TV |
| Vitesse | Limitée par le processeur du routeur | Limitée par la liaison et le serveur |
| Localisations | Une seule pour tous | Propre à chaque appareil |
| Configuration | Nécessite OpenWrt et une interface web | Installation depuis la boutique d’applications, connexion par code ou par compte |
| Hors du domicile | Ne fonctionne pas | Fonctionne sur n’importe quel réseau |
Pour les téléviseurs, MeduzaVPN propose des applications pour Apple TV, Android TV et Fire TV : connexion par code depuis le téléphone, choix de la localisation à la télécommande, le même serveur personnel. Beaucoup combinent les deux approches : le routeur pour les équipements sans client, les applications pour les téléphones et ordinateurs portables qui quittent la maison.
Conclusion
Le VPN sur routeur avec OpenWrt permet de protéger toute la maison avec une seule connexion et de couvrir les équipements qui n’ont pas de client propre. Les conditions principales : 40 à 46 Mo de stockage, une plateforme prise en charge, et une bonne compréhension du comportement du réseau en cas de coupure du tunnel.
Avec la formule PERSONAL, MeduzaVPN sur routeur utilise le même serveur dédié avec sa propre IP que les applications, et un seul compte pour tous les appareils. Les abonnements bénéficient de 7 jours sans engagement et d’un remboursement possible sous 15 jours. Choisir une offre.
Questions fréquentes
Pourquoi installer un VPN sur le routeur si des applications existent pour tous les appareils ?
Le routeur chiffre le trafic de tous les appareils de la maison avec une seule connexion, y compris les équipements sans client VPN propre : téléviseurs sans applications, consoles de jeu, enceintes connectées et appareils des invités. De plus, la batterie des téléphones et des ordinateurs portables n’est pas sollicitée et il n’y a pas besoin de surveiller l’état du tunnel.
Sur quels routeurs fonctionne le paquet MeduzaVPN pour OpenWrt ?
Des paquets prêts à l’emploi sont compilés pour OpenWrt sur x86/64, MediaTek Filogic et MT7621. Pour les autres plateformes en arm64, armv7 et mips, des builds statiques du démon existent et s’installent manuellement. L’exigence commune est de 40 à 46 Mo d’espace libre et un firmware OpenWrt de branche récente.
Un routeur avec 16 Mo de mémoire flash suffit-il ?
Non. Le paquet et ses dépendances nécessitent environ 40 à 46 Mo de stockage, alors que sur les appareils avec 16 Mo de flash il ne reste que quelques mégaoctets après l’installation du firmware lui-même. Ces routeurs ne conviennent qu’à des configurations minimales ; pour un VPN personnel, mieux vaut prendre un modèle avec 128 Mo ou plus, ou ajouter une clé USB pour l’extroot.
Comment se connecter au compte sur le routeur s’il n’a ni navigateur ni clavier ?
Dans l’interface web LuCI apparaît une page MeduzaVPN qui affiche un code QR. On le scanne avec un téléphone où l’application est installée, ou on ouvre le lien sur le site, on confirme la connexion, et le routeur obtient l’accès à votre VPN personnel sans qu’aucun mot de passe ne soit saisi sur l’appareil lui-même.
Que se passe-t-il pour Internet à la maison si le VPN du routeur se coupe ?
Cela dépend du kill switch. Quand le blocage d’urgence est activé, le routeur ne laisse passer aucun trafic hors du tunnel, et les appareils restent sans Internet jusqu’au rétablissement de la connexion. S’il est désactivé, le trafic passe directement par le fournisseur. Le choix dépend de ce qui compte le plus : une protection continue ou un accès continu.
La vitesse d’Internet à la maison va-t-elle baisser ?
Oui, le chiffrement est effectué par le processeur du routeur, plus faible que celui d’un téléphone. Sur MT7621, la limite pratique est généralement de quelques dizaines de mégabits par seconde, sur Filogic et x86, des centaines. C’est suffisant pour la vidéo en streaming, mais pas pour télécharger de gros fichiers sur une liaison gigabit.
Peut-on faire passer par le VPN non pas tous les appareils, mais seulement le téléviseur ?
Oui. Sous OpenWrt, le trafic peut être réparti par appareil ou par sous-réseau : une partie des clients passe par le tunnel, une autre en direct. Une solution simple consiste à créer un réseau Wi-Fi ou un VLAN séparé pour les appareils qui ont besoin du VPN. C’est l’équivalent du split tunneling, mais au niveau de tout le réseau domestique.
Existe-t-il une alternative si le routeur ne convient pas ?
Pour les téléviseurs et les box, il existe des applications MeduzaVPN dédiées pour Apple TV, Android TV et Fire TV, avec connexion par code depuis le téléphone. Pour les autres appareils : des applications pour iPhone, Android, macOS, Windows et Linux. Un seul compte fonctionne partout, sans limite de nombre d’appareils.