Le guide principal évoque le split tunneling à travers l'exemple de la banque en ligne, dont les mesures de sécurité peuvent être déclenchées par une connexion VPN suspecte. Cette page détaille le mécanisme technique complet, les différentes façons dont il peut être configuré, et les cas d'usage où il apporte un vrai bénéfice plutôt qu'une simple complexité supplémentaire.
Ce qu'un VPN fait normalement, sans split tunneling
Par défaut, un client VPN correctement configuré applique ce que l'on appelle un "full tunnel" : la totalité du trafic réseau de l'appareil est redirigée vers l'interface virtuelle créée par le VPN, chiffrée, puis acheminée vers le serveur distant avant de rejoindre sa destination finale. Cela signifie qu'aucune application, aucun service en arrière-plan, aucune requête ne sort de l'appareil sans passer par ce tunnel. C'est la configuration la plus protectrice, mais aussi la plus rigide.
Ce que change le split tunneling
Le split tunneling introduit une exception à cette règle : il permet de désigner certaines applications, certains sites, ou certaines plages d'adresses IP qui continueront à communiquer directement avec Internet, en dehors du tunnel chiffré, pendant que le reste du trafic continue de passer par le VPN normalement. Techniquement, cela revient à modifier sélectivement la table de routage de l'appareil pour certains flux identifiés, plutôt que d'appliquer une règle unique à l'ensemble du trafic sortant.
Cette sélection peut se faire de plusieurs façons selon l'implémentation du fournisseur : par application (désigner un logiciel précis, par exemple un client de jeu ou une application bancaire), par adresse IP ou plage d'adresses (exclure un service interne d'entreprise), ou par nom de domaine dans certaines implémentations plus récentes.
Pourquoi cette fonctionnalité existe
Le cas d'usage le plus souvent cité est celui des services bancaires ou financiers : de nombreuses institutions déclenchent des vérifications de sécurité supplémentaires, voire un blocage temporaire de compte, lorsqu'une connexion provient d'une adresse IP associée à un VPN ou change fréquemment de localisation apparente. Exclure spécifiquement l'application ou le site bancaire du tunnel VPN, tout en gardant le reste de la navigation protégée, évite ce déclenchement sans sacrifier la protection globale de l'appareil.
Un autre cas d'usage fréquent concerne la performance : certains usages, comme le streaming vidéo en haute définition ou le jeu en ligne compétitif, sont sensibles à la latence supplémentaire introduite par le chiffrement et le détour géographique via un serveur VPN. Router ces flux spécifiques en direct, tout en gardant le reste du trafic protégé, permet de conserver de bonnes performances pour ces usages précis sans renoncer entièrement à la protection VPN pour le reste de l'appareil.
Un troisième cas concerne l'accès simultané à des ressources locales et distantes : accéder à une imprimante ou un serveur de fichiers sur le réseau local tout en restant connecté à un VPN peut poser un problème si le VPN redirige tout le trafic, y compris celui destiné au réseau local lui-même. Le split tunneling permet de conserver un accès direct au réseau local pendant que la navigation générale reste protégée par le VPN.
Le compromis que le split tunneling introduit
Le split tunneling améliore la flexibilité et la performance, mais il introduit mécaniquement une réduction de la protection sur les flux exclus du tunnel. Toute application ou destination configurée pour sortir directement du VPN expose son trafic aux mêmes risques que si aucun VPN n'était utilisé : visibilité par le réseau local, exposition de l'adresse IP réelle pour ce flux précis, absence de chiffrement supplémentaire au-delà de ce que le protocole applicatif natif (HTTPS, par exemple) fournit déjà. Ce compromis est acceptable lorsqu'il est délibéré et limité à des cas précis, mais il devient un risque si la liste des exceptions grossit sans discernement au fil du temps, jusqu'à réduire significativement la portion de trafic réellement protégée.
Une source d'incohérence si mal comprise
Un piège fréquent consiste à activer le split tunneling pour un cas précis, puis à oublier progressivement quelles applications ou destinations ont été exclues du tunnel. L'utilisateur peut alors croire que l'intégralité de son trafic est protégée par le VPN, alors qu'une partie continue de sortir directement depuis des mois, sans qu'aucune alerte ne le signale, l'application VPN affichant simplement un statut "connecté" qui ne précise pas l'étendue réelle de la couverture. Documenter et revoir périodiquement la liste des exceptions configurées permet d'éviter cette dérive silencieuse.
Split tunneling et kill switch : deux mécanismes à ne pas confondre
Le split tunneling et le kill switch répondent à des logiques presque opposées : le premier autorise délibérément certains flux à sortir du tunnel en continu, tandis que le second cherche à bloquer tout trafic non protégé en cas de défaillance imprévue du tunnel. Un kill switch au niveau système, dans sa forme la plus stricte, peut d'ailleurs entrer en conflit avec un split tunneling actif, puisqu'il est conçu pour bloquer tout trafic hors tunnel, y compris celui volontairement exclu par la configuration de split tunneling. Vérifier la compatibilité et le comportement réel de ces deux fonctionnalités combinées, plutôt que de les activer séparément sans test, évite des surprises au moment où l'une des deux devrait réellement se déclencher.
Le cas particulier du split tunneling inversé
Certaines implémentations proposent une logique inversée par rapport au modèle décrit plus haut : plutôt que de désigner les applications qui sortent du tunnel, on désigne celles qui doivent obligatoirement y passer, tout le reste du trafic étant acheminé directement par défaut. Cette approche convient à un usage très ciblé, par exemple lorsqu'une seule application (un client de messagerie professionnelle, un outil d'accès à distance) doit impérativement être protégée, sans qu'il soit nécessaire de réfléchir à chaque nouvelle application installée sur l'appareil. Le compromis est inverse de celui du modèle classique : la protection par défaut est minimale, et seule une liste explicite bénéficie du tunnel, ce qui convient mal à un objectif de confidentialité générale mais peut correspondre à un besoin professionnel précis.
Split tunneling et VPN d'entreprise
Dans un contexte professionnel, le split tunneling est souvent configuré non pas par l'utilisateur final mais par l'administrateur réseau de l'organisation, dans le cadre d'une politique de sécurité définie centralement. L'objectif y est généralement différent de l'usage personnel : router le trafic destiné aux ressources internes de l'entreprise (intranet, serveurs internes, outils métier) à travers le tunnel VPN professionnel, tout en laissant le trafic Internet grand public (navigation générale, services de streaming personnels) sortir directement, pour ne pas surcharger l'infrastructure VPN de l'entreprise avec un trafic sans rapport avec l'activité professionnelle. Cette configuration relève d'une politique définie par l'organisation, pas d'un choix individuel, et mérite d'être comprise différemment d'un split tunneling personnel activé sur un VPN grand public.
Comment configurer un split tunneling de façon cohérente
La bonne pratique consiste à partir d'une liste d'exceptions volontairement restreinte, limitée aux cas identifiés comme nécessaires (une application bancaire précise, un service interne d'entreprise, un usage sensible à la latence), plutôt que d'exclure largement par précaution. Il est également utile de vérifier, après configuration, que le trafic des applications exclues sort bien directement (via un test d'adresse IP effectué depuis cette application spécifique) et que le reste du trafic continue de passer normalement par le tunnel, plutôt que de supposer que la configuration fonctionne comme prévu sans vérification.
Ce qu'il faut retenir
Le split tunneling n'est ni une faille de sécurité ni une fonctionnalité à activer par défaut : c'est un outil de compromis, utile dans des cas précis et documentés, qui réduit délibérément la couverture du VPN sur un périmètre choisi. Son utilité dépend entièrement de la rigueur avec laquelle il est configuré et suivi dans le temps, faute de quoi il peut transformer une protection que l'on croit totale en une protection partielle sans que rien ne le signale à l'utilisateur.