VPN : comment une IP partagée renvoie les données au bon abonné

Un VPN peut faire sortir plusieurs abonnés par la même adresse IP. Les ports, une table de correspondance et les tunnels permettent de renvoyer chaque réponse au bon appareil, sans que cette mémoire technique soit automatiquement un historique de navigation.

Quand deux abonnés d’un VPN ouvrent la même page, le site peut voir leurs requêtes arriver depuis une seule adresse IP publique. Cela ne signifie pas que le serveur VPN les confond : pour acheminer les réponses, il associe chaque échange à une correspondance temporaire et à un tunnel vers l’appareil concerné.

Cette distinction éclaire deux questions souvent mélangées. Une adresse IP partagée peut masquer l’adresse publique d’origine aux sites consultés. Mais le fonctionnement du réseau exige tout de même que le serveur VPN garde, au moins pendant les échanges, assez d’informations pour savoir où renvoyer les paquets. Cette mémoire de connexion n’est pas, à elle seule, un historique de navigation.

Une adresse visible, plusieurs connexions

Une adresse IP sert à acheminer des paquets entre réseaux. Dans le cas classique d’IPv4, plusieurs appareils d’un même réseau domestique peuvent déjà partager l’adresse publique attribuée à la box. À l’intérieur du logement, ils ont des adresses privées ; à la sortie, la box remplace ces adresses par la sienne. Au retour, elle effectue la traduction inverse.

Un serveur VPN peut jouer un rôle comparable pour le trafic qui le traverse. L’appareil de l’abonné envoie ses données dans un tunnel chiffré jusqu’au serveur VPN. À l’intérieur du réseau VPN, le serveur peut identifier le client à l’aide de son adresse interne et des informations associées au tunnel. Pour transmettre le trafic vers Internet, il utilise ensuite son adresse IP publique.

Le site distant voit cette adresse publique, et non l’adresse publique du réseau depuis lequel l’abonné s’est connecté au VPN. Si plusieurs clients sortent par la même adresse VPN, elle ne suffit donc pas à les distinguer. Le serveur doit aussi suivre les connexions elles-mêmes.

Le port complète l’adresse

Pour une connexion TCP ou UDP, les en-têtes des paquets comprennent des numéros de port en plus des adresses IP. Un port identifie un point de communication associé à un échange. Pour joindre un site web en HTTPS, le trafic est généralement adressé au port 443 du serveur. Le navigateur utilise aussi un port côté client, appelé port source.

Imaginons, à titre pédagogique, deux clients dont les requêtes sortent par la même adresse VPN vers le même serveur web. Le VPN peut attribuer à leurs échanges des ports source distincts sur son adresse publique. Le serveur web répond à l’adresse et au port associés à chaque requête. Le VPN consulte alors sa table de correspondance pour retrouver l’adresse et le port internes du client concerné, puis lui renvoie les données dans son tunnel.

Cette traduction de l’adresse et du port s’appelle NAPT, pour « Network Address and Port Translation ». La RFC 3022 de l’Internet Engineering Task Force décrit ce mécanisme pour les réseaux IPv4 : plusieurs adresses internes et leurs ports peuvent être associés à une seule adresse externe et à des ports distincts. L’association tient compte du protocole utilisé, notamment TCP ou UDP.

Le port n’est donc pas une étiquette permanente d’un internaute. Il sert à départager des échanges en cours. Une table d’état conserve les correspondances nécessaires à l’aller et au retour ; lorsque la connexion se termine ou devient inactive, ces informations peuvent expirer. Sans cet état, le serveur ne saurait pas à quel client remettre une réponse reçue sur une adresse commune.

Du serveur VPN au bon tunnel

La traduction de l’adresse publique ne constitue qu’une partie du trajet. Une fois la réponse revenue au serveur VPN, celui-ci doit encore la transmettre au bon appareil à travers le tunnel correspondant. Il s’appuie pour cela sur les informations de réseau interne et sur le fonctionnement du protocole VPN.

Dans WireGuard, par exemple, les adresses autorisées dans les tunnels sont associées aux clés publiques des clients. Cela participe au choix de la session cryptographique utilisée pour transmettre les paquets. Les détails varient selon les protocoles et les architectures : le principe de partage d’une adresse de sortie ne signifie pas que tous les VPN réalisent chaque étape exactement de la même façon, ni que toute configuration doit utiliser une traduction d’adresses identique.

La règle utile est plus générale : une réponse doit revenir par le dispositif capable de retrouver l’échange auquel elle appartient. La RFC 3022 souligne cette contrainte pour le NAT traditionnel : le trafic d’une session doit passer par le routeur qui possède son état de traduction, ou par un dispositif partageant les informations nécessaires. Si ce chemin ou cet état disparaît, une connexion en cours peut échouer, même si l’adresse publique reste disponible.

Mémoire technique ne veut pas dire journal de navigation

Il faut distinguer deux types d’informations. La table de correspondance sert au routage : elle relie temporairement un échange externe à une connexion interne. Un journal de navigation, au sens courant, consigne l’activité d’un utilisateur, par exemple les sites visités ou les moments de connexion. Le besoin de maintenir l’état des connexions n’établit pas, à lui seul, que le fournisseur conserve ce second type de données.

Cette distinction ne permet pas pour autant de conclure à la politique d’un fournisseur particulier. La durée de conservation, les données enregistrées à d’autres fins et les pratiques de gestion relèvent de sa configuration et de ses engagements, qu’il faut examiner séparément. La mécanique réseau explique ce qu’il faut suivre pour acheminer le trafic ; elle ne certifie pas les pratiques de l’entreprise.

Enfin, une IP partagée n’équivaut pas à l’anonymat. Un site peut reconnaître une personne parce qu’elle se connecte à son compte, grâce à des cookies ou à d’autres éléments associés à son navigateur. Le VPN modifie l’adresse IP publique visible par le site, mais ne supprime pas ces autres moyens de reconnaissance. Il répond donc à une question précise, celle de l’adresse utilisée pour sortir sur Internet, sans effacer l’identité liée aux comptes ou aux traces conservées dans le navigateur.