Le protocole PPTP (Point-to-Point Tunneling Protocol), développé par Microsoft dans les années 1990, a longtemps servi de standard pour les connexions VPN. Ses failles cryptographiques connues et l’évolution des menaces réseau l’ont rendu obsolète. Plusieurs protocoles VPN l’ont remplacé, chacun répondant à des contextes techniques différents.
Pourquoi le protocole PPTP est devenu obsolète
PPTP repose sur le chiffrement MPPE et le protocole d’authentification MS-CHAPv2, dont les vulnérabilités sont documentées depuis plus de dix ans. Le trafic PPTP peut être intercepté et déchiffré par des outils accessibles, ce qui le rend inapte à protéger des données sensibles sur un réseau public.
A lire en complément : Qui réalise les audits ISO 27001 ?
Microsoft a officialisé la dépréciation de PPTP et de L2TP dans un article publié le 11 octobre 2024, intitulé PPTP and L2TP deprecation: A new era of secure connectivity. L’éditeur y précise que la dépréciation n’est pas une suppression immédiate : les connexions sortantes depuis les clients Windows restent prises en charge, mais ces protocoles ne font plus l’objet d’un développement actif et pourront disparaître des futures versions de Windows Server.
Cette annonce a clarifié le signal : les administrateurs qui utilisent encore PPTP sur leurs serveurs RRAS doivent planifier une migration vers des protocoles plus récents.
A découvrir également : Qu'est-ce que la conformité RGPD ?
SSTP et IKEv2 : les remplaçants natifs sur Windows Server
Dans l’écosystème Microsoft, les deux protocoles recommandés pour remplacer PPTP et L2TP sur un serveur RRAS (Routing and Remote Access Service) sont SSTP (Secure Socket Tunneling Protocol) et IKEv2 (Internet Key Exchange version 2).
SSTP pour traverser les pare-feu
SSTP encapsule le trafic VPN dans une connexion HTTPS sur le port TCP 443. Ce choix technique lui confère un avantage concret : il passe à travers la quasi-totalité des pare-feu et proxys d’entreprise, puisque le port 443 est rarement bloqué.
La contrepartie est une dépendance au protocole TCP, qui peut dégrader les performances en cas de perte de paquets (le phénomène de « TCP over TCP »). SSTP reste principalement lié à Windows, ce qui limite son usage dans les environnements mixtes.
IKEv2 pour la mobilité
IKEv2, associé à IPsec pour le chiffrement, gère nativement la reconnexion automatique lors d’un changement de réseau (passage du Wi-Fi au réseau mobile, par exemple). Cette capacité, appelée MOBIKE, en fait le protocole le mieux adapté aux appareils mobiles.
Il fonctionne sur UDP (ports 500 et 4500), ce qui le rend plus performant que SSTP dans la plupart des scénarios, mais aussi plus facile à bloquer par un pare-feu restrictif.
WireGuard : le protocole VPN moderne hors écosystème Microsoft
WireGuard n’est pas le remplaçant natif de PPTP dans l’infrastructure Windows Server, mais il s’est imposé comme le protocole VPN de référence pour les déploiements récents, en particulier sur Linux.
Sa base de code réduite (quelques milliers de lignes, contre plusieurs dizaines de milliers pour OpenVPN) facilite l’audit de sécurité. Son approche cryptographique repose sur des primitives modernes fixées par les développeurs, sans négociation de cipher suite, ce qui élimine une catégorie entière de mauvaises configurations.
WireGuard présente toutefois des limites qu’il faut connaître avant de le déployer :
- Il ne dissimule pas son trafic. Un pare-feu d’entreprise, un réseau Wi-Fi public filtrant ou une infrastructure restrictive peuvent identifier et bloquer le trafic WireGuard. OpenVPN sur TCP/443 ou une fonction d’obfuscation servent alors de solution de repli.
- Il ne fournit pas nativement de gestion dynamique des adresses IP ni d’attribution d’IP par utilisateur. Ces fonctions doivent être gérées par des outils complémentaires côté serveur.
- Son intégration dans les environnements Windows Server RRAS n’est pas native. Il convient davantage aux serveurs Linux ou aux appliances dédiées.
OpenVPN et IPsec : deux alternatives selon le contexte réseau
OpenVPN sur les réseaux restrictifs
OpenVPN reste le protocole VPN le plus polyvalent pour les environnements où le trafic est filtré. Configuré en mode TCP sur le port 443, il se fond dans le trafic HTTPS standard et devient difficile à distinguer d’une navigation web classique.
Sa configuration est plus complexe que celle de WireGuard, et ses performances brutes sont inférieures. En revanche, OpenVPN fonctionne sur la majorité des systèmes d’exploitation et dispose d’un écosystème mature de clients et de documentation.
IPsec en site-à-site
IPsec, souvent associé à IKEv2 pour les VPN d’accès distant, reste aussi le standard pour les tunnels VPN entre sites (site-to-site). La plupart des routeurs professionnels et des pare-feu supportent IPsec nativement, ce qui en fait le choix par défaut pour interconnecter deux réseaux d’entreprise sans logiciel client supplémentaire.
Quel protocole VPN choisir pour remplacer PPTP
Le remplacement de PPTP ne se résume pas à un protocole unique. Le choix dépend de l’infrastructure existante et du cas d’usage.
- Sur un serveur Windows RRAS, SSTP ou IKEv2 sont les successeurs directs recommandés par Microsoft.
- Pour un déploiement sur Linux ou une appliance dédiée, WireGuard offre les meilleures performances et une configuration simplifiée.
- Sur un réseau filtrant (Wi-Fi public, pays appliquant de la censure réseau), OpenVPN en mode TCP/443 reste le choix le plus fiable pour maintenir la connexion.
- Pour les tunnels site-à-site entre équipements réseau, IPsec demeure le protocole standard.
Le point commun entre tous ces protocoles : ils corrigent les failles structurelles de PPTP en utilisant des algorithmes de chiffrement modernes et des mécanismes d’authentification robustes. Conserver PPTP en production expose le trafic réseau à des attaques documentées. La migration vers l’un de ces protocoles n’est plus une option technique, c’est une nécessité de sécurité.
