Aller au contenu principal
Dualbuy VPN
Commencer

SSTP, L2TP/IPsec, OpenVPN ou WireGuard sur MikroTik : lequel choisir ?

· · 4 min de lecture

Comparaison pratique des quatre protocoles VPN pris en charge par RouterOS : ports, passage des pare-feu, version de RouterOS requise et cas d'usage de chacun.

RouterOS peut se connecter à un serveur VPN avec plusieurs protocoles. Tous protègent votre trafic, mais ils diffèrent par les réseaux qu'ils traversent, les versions de RouterOS qui les prennent en charge et la charge qu'ils imposent au processeur du routeur. Voici comment choisir.

SSTP

SSTP enveloppe le tunnel dans du TLS sur TCP, en général sur le port 443 : pour un pare-feu, cela ressemble à du HTTPS ordinaire. C'est donc le meilleur choix sur les réseaux restrictifs (bureaux, hôtels, opérateurs mobiles) qui bloquent ou brident l'UDP. En contrepartie, il y a un peu de surcharge, car TCP transporte un trafic qui peut lui-même être du TCP. Il est disponible dans toutes les versions de RouterOS.

L2TP/IPsec

L2TP avec IPsec utilise les ports UDP 500 et 4500. Il est intégré à toutes les versions de RouterOS ainsi qu'à Windows, macOS, iOS et Android : aucun logiciel supplémentaire. Il peut être capricieux derrière certains équipements NAT, et un réseau qui bloque l'UDP le bloquera. Sur les modèles dotés de l'accélération matérielle IPsec, il ménage aussi le processeur.

OpenVPN

OpenVPN est très répandu et repose sur TLS. Sous RouterOS 6, il ne fonctionne qu'en TCP ; RouterOS 7 a ajouté l'UDP. RouterOS prend en charge moins d'options que le logiciel OpenVPN standard : il convient surtout si vous utilisez déjà OpenVPN ailleurs et voulez une configuration familière.

WireGuard

WireGuard est moderne, léger et rapide, et fonctionne en UDP. Il exige RouterOS 7 ou plus récent. C'est le bon choix pour la vitesse et la faible surcharge quand l'UDP est autorisé. Une limite chez Dualbuy : WireGuard donne à votre appareil une connexion VPN, mais l'accès d'administration par ports (Winbox, Webfig, SSH, API) n'est pas disponible avec lui.

Recommandations rapides

  • Le réseau bloque l'UDP, ou vous ne savez pas ce qu'il bloque : SSTP.
  • Un routeur plus ancien sous RouterOS 6, ou une solution intégrée partout : L2TP/IPsec ou SSTP.
  • RouterOS 7, UDP autorisé et la vitesse avant tout : WireGuard.
  • Vous utilisez déjà OpenVPN et voulez la même configuration partout : OpenVPN.
  • Il vous faut Winbox, Webfig, SSH ou l'API depuis l'extérieur : SSTP, L2TP/IPsec ou OpenVPN.

Vérifier votre version de RouterOS

Exécutez cette commande dans le terminal du routeur et lisez la ligne version :

/system resource print

Quel que soit votre choix, le débit dépend autant du processeur du routeur que du protocole, car le chiffrement est logiciel sur la plupart des modèles. Si votre but est l'accès à distance, lisez comment joindre un MikroTik sans IP publique. Un seul abonnement inclut les quatre protocoles : consultez les forfaits.

À lire aussi