Configurer WireGuard VPN pour télétravailler en sécurité

Introduction : pourquoi WireGuard pour le télétravail ?

Le télétravail est devenu la norme pour de nombreuses PME en Drôme et Ardèche. Mais travailler depuis un café ou depuis chez soi sur une connexion personnelle expose vos données professionnelles à des risques considérables : interception du trafic, usurpation d'identité, vol de données sensibles.

Un VPN (Virtual Private Network) crée un tunnel sécurisé entre votre appareil et votre serveur, chiffrant l'intégralité de votre trafic. Parmi les solutions disponibles, WireGuard s'impose comme le meilleur choix pour 2026 : plus rapide qu'OpenVPN, plus moderne, avec seulement 4 000 lignes de code auditable (contre 100 000 pour OpenVPN). Selon l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information), les protocoles cryptographiques modernes comme ceux utilisés par WireGuard offrent un bon niveau de confiance pour les usages professionnels.

Prérequis et matériel nécessaire

Avant de commencer, assurez-vous de disposer :

• Un serveur dédié ou VPS : chez Hetzner, OVH ou Scaleway (environ 5 € HT/mois). Je recommande au minimum 1 vCPU et 512 Mo RAM pour 1-10 utilisateurs.
• Un accès root ou sudo à ce serveur via SSH (terminal).
• Les clients WireGuard pour vos ordinateurs (Windows, macOS, Linux) et téléphones (iOS, Android).
• Un port UDP disponible (par défaut 51820) qui ne doit pas être bloqué par votre pare-feu.
• Connaissances basiques du terminal Linux : savoir naviguer en ligne de commande et éditer un fichier texte.

Étapes 1-5 : Configurer le serveur WireGuard

Étape 1 : Installer WireGuard sur votre serveur

Connectez-vous à votre serveur en SSH et exécutez :

sudo apt update && sudo apt install wireguard wireguard-tools

Sur RedHat/CentOS, utilisez yum install wireguard-tools à la place.

Étape 2 : Générer les clés publique et privée du serveur

WireGuard utilise la cryptographie asymétrique : chaque pair dispose d'une clé privée (secrète) et d'une clé publique (partageable). Créez un répertoire sécurisé :

sudo mkdir -p /etc/wireguard
sudo chmod 700 /etc/wireguard
cd /etc/wireguard
sudo wg genkey | tee privatekey | wg pubkey > publickey

Votre serveur dispose maintenant d'une paire de clés. Gardez privatekey strictement confidentiel.

Étape 3 : Créer le fichier de configuration serveur

Créez le fichier wg0.conf (l'interface WireGuard) :

sudo nano /etc/wireguard/wg0.conf

Collez ce contenu (en remplaçant YOUR_PRIVATE_KEY par le contenu de privatekey) :

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = YOUR_PRIVATE_KEY
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Sauvegardez avec Ctrl+O, Entrée, puis Ctrl+X.

Étape 4 : Activer le routage IPv4

Pour que votre serveur route le trafic entre clients VPN et Internet :

sudo sysctl -w net.ipv4.ip_forward=1

Pour que ce paramètre persiste après reboot :

echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Étape 5 : Démarrer et activer WireGuard

Lancez le service :

sudo systemctl start wg-quick@wg0
sudo systemctl enable wg-quick@wg0

Vérifiez le statut :

sudo wg show

Vous devriez voir votre interface wg0 active avec sa clé publique.

Étapes 6-10 : Connecter vos clients

Étape 6 : Générer les clés de votre premier client

Pour chaque client (ordinateur, téléphone), créez une paire de clés unique :

wg genkey | tee client1_privatekey | wg pubkey > client1_publickey

Stockez ces fichiers en sécurité (ou directement dans le fichier serveur à l'étape suivante).

Étape 7 : Ajouter le client à la configuration serveur

Éditez votre fichier de config :

sudo nano /etc/wireguard/wg0.conf

Allez à la fin du fichier et ajoutez (en remplaçant CLIENT1_PUBLIC_KEY par la clé publique du client) :

[Peer]
PublicKey = CLIENT1_PUBLIC_KEY
AllowedIPs = 10.0.0.2/32

Sauvegardez et appliquez les modifications :

sudo wg-quick down wg0
sudo wg-quick up wg0

Étape 8 : Créer le fichier de configuration client

Sur votre machine cliente, créez un fichier client1.conf (à placer dans le dossier WireGuard de votre système) :

[Interface]
PrivateKey = CLIENT1_PRIVATE_KEY
Address = 10.0.0.2/24
DNS = 1.1.1.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = votre.serveur.com:51820
AllowedIPs = 0.0.0.0/0

Remplacez :

• CLIENT1_PRIVATE_KEY par la clé privée du client
• SERVER_PUBLIC_KEY par la clé publique du serveur (de l'étape 2)
• votre.serveur.com par l'adresse IP publique ou le domaine de votre serveur

Étape 9 : Importer la configuration sur le client

Selon votre système :

• Windows/macOS : Téléchargez l'application WireGuard officielle, puis importez le fichier client1.conf.
• Linux : Placez le fichier dans /etc/wireguard/ et lancez sudo wg-quick up client1.
• Mobile (iOS/Android) : Créez un QR code avec qrencode -t ansiutf8 < client1.conf, puis scannez-le dans l'appli WireGuard.

Étape 10 : Répéter pour chaque utilisateur

Vous devez générer une paire de clés unique pour chaque client (chaque ordinateur, téléphone, etc.). Ne réutilisez jamais les mêmes clés. Répétez les étapes 6-9 pour chaque nouvel utilisateur, en incrémentant les noms (client2, client3, etc.).

Vérifier votre connexion VPN

Une fois connecté :

• Ouvrez un terminal et exécutez wg show sur le serveur : vous devez voir votre client dans la liste des "peers" avec un "transfer" non-nul.
• Sur le client, rendez-vous sur whatismyipaddress.com : l'IP doit être celle de votre serveur, pas votre ISP local.
• Testez la latence : ping 10.0.0.1 depuis le client doit retourner une réponse rapide (< 100 ms généralement).

Mon expérience terrain auprès de mes clients

J'ai mis en place une vingtaine de configurations WireGuard pour des PME en Drôme et Ardèche depuis 2024. Parmi mes clients : un cabinet d'experts-comptables de Valence, un atelier d'artisanat textile en Ardèche, et plusieurs agences web.

Ce que j'observe concrètement :

• Performance inégalée : Un responsable IT de Valence m'a confié que ses collaborateurs en télétravail voient une meilleure réactivité avec WireGuard qu'avec leur ancien OpenVPN.
• Configuration plus simple qu'il n'y paraît : Les utilisateurs sans bagage technique peuvent suivre ce tutoriel s'ils prennent le temps de lire chaque étape. En cas de doute, une session téléassistance suffit.
• Zéro incident de sécurité lié au VPN : Aucun de mes clients WireGuard n'a signalé de compromission de credentials ou d'accès non autorisé. C'est le fruit de la robustesse du protocole et du fait que chaque utilisateur dispose de sa propre clé.
• Maintenance réduite : Une fois configuré, WireGuard demande peu d'entretien. Contrairement à OpenVPN, il n'y a pas de certificats à renouveler annuellement.

Troubleshooting : résoudre les problèmes courants

🔴 Le client ne peut pas se connecter au serveur

Causes possibles :

• Pare-feu bloquant le port 51820 : Vérifiez que le port UDP 51820 est ouvert sur votre serveur : sudo ufw allow 51820/udp (pour UFW) ou l'équivalent chez votre hébergeur.
• DNS pas à jour : Si vous utilisez un domaine, attendez la propagation DNS (jusqu'à 24h) ou testez avec l'IP publique directement.
• Configuration client erronée : Vérifiez que l'adresse Endpoint et le port correspondent exactement à votre serveur.

🔴 Le client est connecté mais n'a pas accès à Internet

Causes possibles :

• Routage IPv4 non activé : Assurez-vous que net.ipv4.ip_forward=1 est bien appliqué sur le serveur avec sysctl net.ipv4.ip_forward.
• Règles iptables mal configurées : Vérifiez qu'aucune règle n'entre en conflit : sudo iptables -L -n.
• Interface réseau mal nommée : Si vous avez adapté eth0 en ens3, vérifiez que c'est cohérent partout dans le fichier wg0.conf.

🔴 Perte de connexion intermittente

Causes possibles :

• Timeout sur le client : Si votre client est derrière un NAT agressif, ajoutez une ligne PersistentKeepalive = 25 dans la section [Peer] du fichier client.
• Ressources serveur insuffisantes : Pour 10+ utilisateurs simultanés, vérifiez que votre serveur a au minimum 1 vCPU et 1 Go RAM. Sinon, les paquets peuvent être perdus.

🔴 L'IP du client en VPN s'affiche incorrectement

Causes possibles :

• Cache navigateur ou DNS : Videz le cache : Ctrl+Maj+Suppr sur Firefox/Chrome, puis rechargez.
• Tâche en arrière-plan réutilisant l'ancienne connexion : Fermez les applications non essentielles et laissez 10 secondes après la connexion au VPN avant de tester.

🔴 La configuration cliente refuse de s'importer

Causes possibles :

• Espaces ou caractères invisibles : Assurez-vous que le fichier .conf ne contient pas de retours à la ligne invisibles. Réencodez en UTF-8 simple si besoin.
• Permissions insuffisantes : Sur Linux, le fichier doit être readable : chmod 600 client1.conf.

Questions fréquentes (FAQ)