Résumé de l’article
- De quoi s’agit-il ? Un équipement matériel, ou son équivalent virtuel, conçu pour assurer la terminaison et la gestion de centaines ou de milliers de connexions VPN simultanées.
- À qui est-il destiné ? Aux grandes entreprises, aux hôpitaux, aux banques et aux organismes gouvernementaux. Si votre entreprise ne compte qu’une douzaine d’employés, un routeur VPN ou un service VPN d’entreprise sera moins cher et largement suffisant.
- Ce n’est pas un produit grand public : vous ne l’utiliserez pas pour regarder Netflix ou sécuriser votre trafic BitTorrent. Il gère les connexions entrantes, et non l’anonymisation du trafic sortant.
- Bon à savoir : les concentrateurs autonomes constituent une catégorie en recul. La plupart des fournisseurs intègrent désormais la terminaison VPN aux pare-feu de nouvelle génération et aux passerelles SD-WAN.
Un concentrateur VPN est un équipement matériel, ou son équivalent logiciel, conçu pour gérer des centaines, voire des milliers, de connexions VPN simultanées.
Nous nous concentrons principalement sur les VPN grand public destinés aux utilisateurs individuels, mais à l’origine, les VPN étaient principalement conçus pour les entreprises. Le PPTP, généralement considéré comme le premier protocole VPN à avoir été largement utilisé, a été développé par un ingénieur de Microsoft, Gurdeep Singh-Pall, au milieu des années 1990 afin d’offrir aux employés un accès à distance sécurisé au réseau de leur entreprise.
Un concentrateur VPN transpose ce principe à des milliers d’utilisateurs simultanés. Vous ne l’utiliserez pas pour regarder Netflix ou sécuriser le trafic pair à pair (P2P). Mais si la cybersécurité d’entreprise vous intéresse, poursuivez votre lecture.
Comment fonctionne un concentrateur VPN ?
Les concentrateurs VPN sont, par nature, des machines spécialement conçues pour cet usage. Ils embarquent de puissants processeurs, souvent associés à une accélération cryptographique dédiée, et disposent d’un éventail volontairement limité de fonctionnalités, car leur rôle est de chiffrer, déchiffrer et authentifier le trafic aussi rapidement que possible.
Les concentrateurs hybrides plus récents vont plus loin. Le Mako 7600, par exemple, associe la terminaison VPN à des fonctionnalités de pare-feu de nouvelle génération, notamment l’inspection des paquets ainsi que la détection et la prévention des intrusions.
Les concentrateurs traditionnels, en revanche, se limitent au chiffrement et à l’authentification. Leur confier des tâches de pare-feu peut les ralentir, alors que leur rôle est précisément de maintenir une connexion rapide à faible latence pour les employés.
La logique est simple. Les grandes entreprises comptant des centaines d’employés à distance, voire davantage, doivent fournir un accès sécurisé au réseau de l’entreprise. Contrairement aux VPN grand public, qui anonymisent le trafic sortant, les concentrateurs acceptent le trafic entrant et authentifient les utilisateurs afin que seuls les utilisateurs authentifiés puissent accéder au réseau.
Ces utilisateurs exécutent un client VPN qui initie la connexion. Le concentrateur authentifie ensuite l’utilisateur, lui attribue une adresse IP afin de le situer au sein du réseau de l’entreprise et ouvre un tunnel chiffré pour permettre une communication sécurisée.
Pourquoi utiliser un concentrateur VPN (avantages et cas d’utilisation)
Seules les grandes organisations ont réellement besoin d’un concentrateur VPN. Si votre entreprise ne compte qu’une douzaine d’employés, un simple routeur VPN suffira et coûtera beaucoup moins cher.
Mais les grandes entreprises et les organismes assurant des services publics, tels que les établissements de santé, en tirent plusieurs avantages :
- Évolutivité. Les concentrateurs sont conçus pour gérer des milliers de connexions simultanément.
- Optimisation des ressources. Les administrateurs système peuvent confier au concentrateur les lourdes opérations cryptographiques, ce qui libère des ressources sur le reste du réseau.
- Gestion simplifiée. Un concentrateur constitue un point d’entrée unique. Les connexions entrantes sont donc plus simples à inspecter et à contrôler.
- Conformité. Les établissements de santé doivent respecter des réglementations telles que l’HIPAA, tandis que les administrations publiques et le secteur financier utilisent des concentrateurs pour répondre à leurs propres exigences.
Ces avantages déterminent également les principaux cas d’utilisation. Les concentrateurs sont conçus pour fournir un accès à distance à un grand nombre d’employés, et la généralisation des politiques BYOD (Bring Your Own Device, ou utilisation d’appareils personnels) n’a fait qu’accroître cette demande. Les fonctionnalités d’authentification empêchent les appareils non autorisés d’accéder au réseau.
Inconvénients et limites des concentrateurs VPN
Comme toute technologie, les concentrateurs VPN présentent des inconvénients :
- Prix. Les concentrateurs d’entreprise coûtent de quelques milliers à plusieurs dizaines de milliers, et les modèles virtuels entraînent malgré tout des frais de licence récurrents. Dans les deux cas, il s’agit d’un investissement important.
- Vitesse de connexion. Même les concentrateurs puissants peuvent devenir un goulot d’étranglement lorsque des milliers d’employés s’y connectent simultanément.
- Point de défaillance unique. Étant donné qu’un concentrateur constitue le point d’accès unique au réseau, une panne matérielle peut priver simultanément tous les employés à distance d’accès au réseau. Si le concentrateur est compromis, c’est également l’accès à l’ensemble du réseau qui est exposé. C’est pourquoi la plupart des déploiements utilisent deux concentrateurs en haute disponibilité, selon une configuration active/active ou active/passive avec basculement.
Protocoles de chiffrement utilisés par les concentrateurs VPN
Cette technologie utilise des protocoles quelque peu différents de ceux couramment employés par les VPN grand public.
IPsec joue un rôle central. On le retrouve souvent associé au L2TP (L2TP/IPsec), où le L2TP établit le tunnel et IPsec assure le chiffrement, en particulier sur les systèmes plus anciens. Les concentrateurs peuvent également utiliser IPsec seul.
IKEv2/IPsec constitue aujourd’hui une solution de référence, aussi bien pour l’accès à distance que pour les tunnels site à site. Il établit rapidement la connexion, la rétablit efficacement lorsqu’un ordinateur portable passe d’un réseau à l’autre et constitue le choix par défaut dans la plupart des déploiements actuels.
Les protocoles SSL/TLS permettent aux utilisateurs de se connecter via un navigateur. Les employés à distance n’ont pas besoin d’installer un client VPN distinct, c’est pourquoi on parle souvent de VPN sans client, ou clientless VPN.
Le PPTP est l’un des protocoles VPN les plus anciens et ne devrait plus être utilisé pour de nouveaux déploiements. Microsoft a ensuite ajouté MPPE (Microsoft Point-to-Point Encryption) pour chiffrer le trafic PPTP. Cette combinaison reste largement compatible avec les systèmes anciens, mais elle n’est pas sécurisée.
L’authentification MS-CHAPv2 dont dépend le PPTP est considérée comme compromise depuis plus de dix ans, et Microsoft recommande depuis longtemps de migrer vers d’autres solutions. Si vous trouvez encore une configuration PPTP/MPPE sur un concentrateur aujourd’hui, considérez-la comme une option de compatibilité avec les anciens systèmes, et non comme une protection sur laquelle vous pouvez compter. Pour une analyse plus détaillée, consultez notre guide comparatif des protocoles VPN.
Concentrateur VPN vs routeur VPN, client VPN et VPN site à site
Pour éviter toute confusion, voici en quoi les concentrateurs VPN diffèrent des autres technologies VPN.
| Technologie | Description | Échelle habituelle | Sens du trafic |
|---|---|---|---|
| Concentrateur VPN | Équipement matériel dédié ou équipement virtuel | Des centaines à des milliers de tunnels | Entrant (assure la terminaison des connexions) |
| Routeur VPN | Routeur standard avec fonctionnalité VPN intégrée | Généralement jusqu’à environ 50 connexions | Entrant et sortant |
| Client VPN | Logiciel installé sur l’appareil de l’utilisateur | Un appareil | Sortant (initie les connexions) |
| VPN site à site | Configuration réseau et non équipement physique | Deux emplacements fixes ou plus | Entre les sites |
Les routeurs VPN et les concentrateurs sont assez similaires en ce qu’ils gèrent tous deux les connexions VPN entrantes. La principale différence réside dans leur capacité : un routeur VPN est un routeur standard intégrant une fonctionnalité VPN et capable de gérer généralement jusqu’à environ 50 connexions, tandis qu’un concentrateur peut en gérer des milliers.
Un client VPN fonctionne en quelque sorte à l’inverse d’un concentrateur. Il s’exécute sur l’appareil de l’utilisateur et chiffre le trafic sortant, que le concentrateur reçoit ensuite. Un client est un logiciel, tandis qu’un concentrateur est généralement un équipement matériel.
Enfin, un VPN site à site est une configuration réseau plutôt qu’un équipement. Il établit un tunnel sécurisé entre deux emplacements, par exemple entre deux succursales d’une même entreprise. Un concentrateur VPN peut être l’équipement chargé d’assurer la terminaison d’une connexion site à site.
Les concentrateurs VPN sont-ils encore utilisés en 2026 ?
Oui, mais les équipements autonomes constituent une catégorie en recul, et il est important de le savoir avant d’envisager un achat.
La gamme dédiée Cisco VPN 3000 Concentrator, autrefois la référence de toute cette catégorie de produits, a été abandonnée il y a des années, Cisco ayant intégré la terminaison VPN à ses plateformes de pare-feu.
La plupart des grands fournisseurs ont suivi la même voie : ce qui était autrefois un concentrateur dédié est désormais une fonctionnalité d’un pare-feu de nouvelle génération ou d’une passerelle SD-WAN.
Des fournisseurs spécialisés comme Mako Networks vendent toujours des concentrateurs dédiés, qui restent courants dans le commerce de détail, le secteur de la santé et d’autres entreprises multisites.
À plus long terme, la tendance est à l’abandon de ce modèle. Les architectures Zero Trust Network Access (ZTNA) et SASE authentifient chaque requête adressée à chaque application plutôt que d’accorder à un utilisateur l’accès à l’ensemble du réseau via une seule passerelle, ce qui répond directement au problème du point de défaillance unique mentionné ci-dessus.
Si vous concevez aujourd’hui une infrastructure plutôt que d’assurer la maintenance d’une infrastructure existante, c’est cette comparaison qu’il faut privilégier.