Routeur VPN sur Raspberry Pi : guide de configuration étape par étape 2026

Routeur VPN sur Raspberry Pi : configuration complète en 2026

Un routeur domestique avec un firmware d'origine a rarement la capacité de fonctionner correctement avec un VPN au niveau de l'ensemble du réseau. Si vous devez protéger le trafic de tous les appareils — téléviseur intelligent, console, ordinateur portable de l'enfant et une dizaine de gadgets IoT — vous devrez soit acheter un routeur prenant en charge des firmwares personnalisés, soit assembler un tel appareil vous-même. Le Raspberry Pi s'acquitte parfaitement de cette tâche : un ordinateur monocarte coûtant environ 6000–9000 rubles se transforme en un véritable routeur VPN, qui chiffre tout le trafic sortant et contourne les blocages sans avoir à installer des clients sur chaque appareil.

Pourquoi faire un routeur VPN précisément sur Raspberry Pi

Il existe trois scénarios où un routeur VPN séparé résout le problème mieux qu'une application sur un téléphone ou un ordinateur portable.

Appareils sans support pour les clients VPN

Les téléviseurs intelligents avec leurs firmwares, les consoles de jeux PlayStation 5 et Xbox Series X, les enceintes intelligentes et les caméras de surveillance ne permettent physiquement pas d'installer un client VPN. Le seul moyen de faire passer leur trafic par un tunnel chiffré est de les connecter à un réseau où le VPN est déjà configuré au niveau du routeur.

Fatigué de chercher des clés qui fonctionnent ?

Une clé prête à l’emploi pour v2RayTun et Hiddify

1. Inscrivez-vous et prenez une journée d’essai pour 29 ₽
2. Ouvrez le Mode furtif dans votre compte
3. Appuyez sur « Se connecter d’un geste » dans la section « Mode furtif »

Obtenir une clé

• à partir de 0,26 zł par jour
• carte ou crypto
• 14 serveurs en ligne

Un point de configuration pour tout l'appartement

Au lieu d'installer et de configurer WireGuard ou OpenVPN sur huit appareils différents, la configuration est faite une fois sur le Raspberry Pi. Un nouvel appareil se connecte simplement au Wi-Fi de ce mini-routeur et obtient automatiquement un accès sécurisé à Internet.

Flexibilité de routage

Sur Raspberry Pi, vous pouvez configurer le tunneling sélectif (split tunneling) : une partie des appareils ou des sites passe par le VPN, l'autre directement. C'est pratique si, par exemple, les services bancaires doivent fonctionner via une IP russe, tandis que les plateformes de streaming étrangères passent par un serveur VPN dans un autre pays.

Ce qu'il faut pour l'assemblage

Matériel

• Raspberry Pi 4 Model B avec 2 Go de RAM ou plus récent — le Raspberry Pi 5 offre un gain de vitesse de chiffrement notable grâce à un processeur Broadcom BCM2712 plus puissant ;
• carte microSD d'une capacité d'au moins 16 Go, classe de vitesse A2 (par exemple, SanDisk Extreme Pro) ou, de préférence, démarrage à partir d'un SSD pour la durabilité ;
• adaptateur USB Ethernet-to-USB ou deuxième interface réseau, si vous avez besoin de partager par câble avec plusieurs appareils via un commutateur ;
• alimentation de 5V/3A avec un connecteur USB-C — une puissance d'alimentation insuffisante entraîne un throttling du processeur et des coupures de connexion ;
• boîtier avec refroidissement passif ou actif : lors du chiffrement constant du trafic, la puce chauffe plus que lors d'une utilisation normale du Raspberry Pi.

Logiciel

Le choix optimal du système d'exploitation est Raspberry Pi OS Lite (64 bits) sans interface graphique : il consomme moins de ressources et réduit la charge sur le processeur, qui est déjà sollicitée par le chiffrement. Pour configurer le VPN, l'un des deux protocoles sera nécessaire :

• WireGuard — un protocole moderne avec des frais généraux minimaux, la vitesse sur Raspberry Pi 4 atteint 250–400 Mbit/s ;
• OpenVPN — un protocole plus ancien mais flexible, la vitesse sur le même matériel dépasse rarement 80–120 Mbit/s en raison d'une charge de calcul plus élevée.

Si le fournisseur de services VPN que vous utilisez prend en charge les deux protocoles, il est presque toujours préférable de choisir WireGuard pour le routeur — la différence de vitesse se fait sentir même lors de la diffusion de vidéos en 4K sur plusieurs appareils simultanément.

Préparation du Raspberry Pi

Installation du système d'exploitation

Téléchargez Raspberry Pi Imager depuis le site officiel de la Raspberry Pi Foundation, choisissez l'image Raspberry Pi OS Lite (64 bits) et écrivez-la sur la carte mémoire ou le SSD. Dans les paramètres de l'Imager (icône d'engrenage), activez immédiatement SSH, définissez un nom d'utilisateur et un mot de passe, ainsi que les paramètres Wi-Fi, si vous prévoyez de vous connecter sans fil à ce stade.

Première connexion et mise à jour du système

Après le démarrage, connectez-vous via SSH :

ssh pi@raspberrypi.local

Mettez à jour le système et redémarrez l'appareil :

sudo apt update && sudo apt full-upgrade -ysudo reboot

Configuration de l'adresse IP statique

Le routeur a besoin d'une adresse prévisible sur le réseau local. Ouvrez le fichier de configuration dhcpcd :

sudo nano /etc/dhcpcd.conf

Et ajoutez à la fin :

interface eth0static ip_address=192.168.1.2/24static routers=192.168.1.1static domain_name_servers=1.1.1.1 8.8.8.8

Configuration de WireGuard sur Raspberry Pi

Installation du paquet

sudo apt install wireguard wireguard-tools -y

Génération des clés

wg genkey | tee privatekey | wg pubkey > publickey

La clé privée reste sur l'appareil, la clé publique est transmise au fournisseur de services VPN ou utilisée lors de la configuration de votre propre serveur.

Fichier de configuration du client

Créez un fichier /etc/wireguard/wg0.conf avec le contenu suivant, en remplaçant les valeurs par les données fournies par votre fournisseur VPN :

[Interface]PrivateKey = ваш_приватный_ключAddress = 10.0.0.2/32DNS = 1.1.1.1[Peer]PublicKey = публичный_ключ_сервераEndpoint = адрес_сервера:51820AllowedIPs = 0.0.0.0/0, ::/0PersistentKeepalive = 25

Démarrage et autostart

sudo systemctl enable wg-quick@wg0sudo systemctl start wg-quick@wg0

Pour vérifier que le tunnel est actif, utilisez la commande sudo wg show — cela affichera l'état de la connexion, le volume de données transférées et le temps du dernier handshake.

Transformons le Raspberry Pi en point d'accès

Installation de hostapd et dnsmasq

sudo apt install hostapd dnsmasq -ysudo systemctl unmask hostapd

Configuration de hostapd

Dans le fichier /etc/hostapd/hostapd.conf définissez les paramètres du réseau :

interface=wlan0driver=nl80211ssid=VPN-Home-Routerhw_mode=gchannel=7wmm_enabled=0macaddr_acl=0auth_algs=1ignore_broadcast_ssid=0wpa=2wpa_passphrase=надёжный_пароль_16_символовwpa_key_mgmt=WPA-PSKwpa_pairwise=TKIPrsn_pairwise=CCMP

Configuration de dnsmasq pour la distribution des adresses

Dans /etc/dnsmasq.conf ajoutez :

interface=wlan0dhcp-range=192.168.4.2,192.168.4.100,255.255.255.0,24hdhcp-option=3,192.168.4.1dhcp-option=6,1.1.1.1

Configuration du routage via iptables

Pour que tout le trafic du réseau sans fil passe par le tunnel WireGuard, activez le transfert de paquets et configurez le NAT :

echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.confsudo sysctl -psudo iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADEsudo iptables -A FORWARD -i wlan0 -o wg0 -j ACCEPTsudo iptables -A FORWARD -i wg0 -o wlan0 -m state --state RELATED,ESTABLISHED -j ACCEPTsudo netfilter-persistent save

Après cela, tout appareil connecté au réseau «VPN-Home-Router» enverra automatiquement tout le trafic via le tunnel chiffré — sans installation d'applications clientes.

Contourner les blocages : quand un seul VPN ne suffit pas

Dans les régions avec une filtration active du trafic par le protocole DPI (Deep Packet Inspection), le fournisseur peut identifier et bloquer même les connexions WireGuard par des étiquettes caractéristiques des paquets. Dans de tels cas, l'obfuscation du trafic aide :

• WireGuard + enveloppe d'obfuscation — par exemple, l'outil wireguard-go avec un plugin d'obfuscation masque le tunnel sous un trafic HTTPS normal ;
• Shadowsocks en combinaison avec VPN — le trafic passe d'abord par un proxy Shadowsocks, ce qui cache le fait même d'utiliser le protocole VPN ;
• changement du port Endpoint en 443 — parfois, il suffit de déplacer le serveur VPN du port 51820 au 443 pour que le trafic ne se distingue visuellement pas du HTTPS normal.

Si le service VPN que vous utilisez fournit des configurations prêtes avec obfuscation (souvent, ce sont des serveurs distincts avec la mention «obfuscated» ou «stealth» dans la liste des emplacements), il est plus simple de les utiliser plutôt que de configurer manuellement l'enveloppe sur le Raspberry Pi.

Vérification du fonctionnement et diagnostic

Vérification des fuites DNS et de l'IP réelle

Après avoir connecté un appareil au réseau du routeur, ouvrez un navigateur sur celui-ci et allez sur un service de vérification de l'adresse IP et des fuites DNS. L'adresse affichée doit appartenir au serveur VPN, et non à votre fournisseur d'accès Internet.

Mesure de la vitesse

Comparez la vitesse avant et après l'activation du tunnel VPN via iperf3 dans le réseau local, ainsi que via un test de vitesse normal dans le navigateur. Une baisse de 15 à 30 % par rapport à la vitesse de base de l'Internet est un indicateur normal pour WireGuard sur Raspberry Pi 4 ; une baisse de plus de 50 % indique une surcharge du processeur ou des problèmes du côté du serveur VPN.

Surveillance de la température

vcgencmd measure_temp

Sous une charge de chiffrement constante, la température de la puce Raspberry Pi 4 sans refroidissement actif peut dépasser 70 °C, ce qui entraîne un throttling. Si les relevés restent constamment au-dessus de ce seuil, il est conseillé d'ajouter un ventilateur dans le boîtier.

Autostart et tolérance aux pannes

Script de vérification de la connexion

Pour que le tunnel se rétablisse automatiquement après une panne du fournisseur, ajoutez dans crontab une vérification toutes les 5 minutes :

*/5 * * * * ping -c1 10.0.0.1 > /dev/null || systemctl restart wg-quick@wg0

Kill switch en cas de rupture du VPN

Pour que les appareils ne « tombent » pas sur Internet ouvert lors de la rupture du tunnel, ajoutez une règle bloquant le trafic sortant via l'interface principale en l'absence de connexion WireGuard active :

sudo iptables -A FORWARD -i wlan0 -o eth0 -j DROP

Cette règle permet au trafic du réseau sans fil de passer uniquement par l'interface wg0, et non directement sur Internet — si le tunnel tombe, les appareils perdent simplement la connexion, sans basculer sur une connexion non sécurisée.

Erreurs typiques lors de l'assemblage d'un routeur VPN

• Alimentation faible — économiser sur un adaptateur d'origine conduit souvent à un fonctionnement instable du module Wi-Fi précisément au moment d'une forte charge sur le chiffrement ;
• Utilisation d'une carte microSD bon marché
• Ignorer le MTU
• Une seule bande Wi-Fi pour deux fréquences

Quand le Raspberry Pi n'est pas la meilleure option

Pour les appartements avec une connexion Internet à une vitesse supérieure à 500 Mbit/s et un grand nombre d'appareils fonctionnant simultanément, le Raspberry Pi 4 peut devenir un goulot d'étranglement : le processeur ne parvient tout simplement pas à chiffrer le trafic à cette vitesse. Dans ce cas, il est plus judicieux d'envisager un routeur basé sur un mini-PC x86 ou des solutions prêtes à l'emploi avec accélération matérielle du chiffrement. Mais pour un réseau domestique avec une vitesse typique de 100 à 300 Mbit/s et une dizaine d'appareils connectés, le Raspberry Pi 4 ou 5 fonctionne sans limitations visibles et reste l'un des moyens les plus abordables de protéger tout le trafic de l'appartement d'un seul coup, sans avoir à configurer un VPN sur chaque appareil individuel.