Configuration manuelle du VPN 2026 : meilleures options (meilleures configurations manuelles de VPN)

Si vous avez déjà googlémeilleures configurations manuelles de VPN et trouvé des dizaines d'articles avec des conseils comme « choisissez un protocole fiable » — je comprends l'irritation. Le client standard a été lancé, la case cochée, mais YouTube ne s'ouvre toujours pas. Ou la connexion tient 20 secondes et se coupe. Ce n'est pas un problème du service VPN en tant que tel — c'est le DPI de votre fournisseur qui lit le handshake et coupe le trafic. Ci-dessous — des valeurs spécifiques : MTU, ports, AllowedIPs, PersistentKeepalive. Aucun test de vitesse inventé.

Quand les auto-configurations VPN ne fonctionnent pas et qu'une configuration manuelle est nécessaire

Signes de blocage VPN par le DPI du fournisseur

Les symptômes sont bien connus si vous avez déjà été confronté à cela. L'application indique « Connecté », le ping vers le serveur est présent, mais le navigateur reste bloqué sur le chargement. Ou les pages s'ouvrent pendant 2 à 3 minutes, puis la connexion est réinitialisée. Un autre signe caractéristique — le VPN fonctionne de manière stable pendant les 10 à 30 premières secondes, puis se déconnecte. Cela signifie presque toujours une détection heuristique du DPI : le fournisseur laisse passer le début de la session, puis reconnaît la signature du protocole et coupe le canal.

Le trafic UDP de WireGuard est particulièrement facile à bloquer — plusieurs opérateurs mobiles coupent complètement les ports UDP non standards. Dans de telles conditions, WireGuard ne fonctionnera avec aucun réglage MTU. Il faut soit un protocole TCP, soit changer d'opérateur.

Pourquoi Roskomnadzor ralentit et coupe les connexions VPN

Depuis 2021, le RKN utilise activement des TSPU — des moyens techniques de lutte contre les menaces. Ce n'est pas simplement un blocage d'IP, mais bien une analyse du trafic par signatures. Le WireGuard pur a un handshake UDP unique que le TSPU reconnaît sans problème. OpenVPN sur des ports standards — aussi. C'est pourquoi « j'ai juste installé le client » a cessé de fonctionner pour de nombreux fournisseurs depuis environ 2022.

Il est important de comprendre un point ici : le TSPU réagit à la signature, et pas seulement à l'IP. Donc, changer de serveur sans changer de protocole peut ne pas aider du tout.

Ce que la configuration manuelle apporte réellement, et ce qui est un mythe

Honnêtement : la configuration manuelle aide dans des cas spécifiques. Changer le MTU élimine la fragmentation des paquets — la connexion cesse de se couper à cause d'une taille incorrecte. Changer de protocole et de port évite la détection par le DPI. L'activation de l'obfuscation masque le trafic sous un HTTPS normal.

Mais il y a des choses que les réglages ne corrigeront pas. Si l'adresse IP de votre serveur VPN est sur la liste noire du RKN ou si le fournisseur l'a bloquée séparément — aucun MTU n'aidera. Il faut changer de serveur. Et encore : changer le MTU n'« accélère pas Internet », c'est une idée reçue fréquente. Le MTU élimine seulement la fragmentation qui coupe la connexion.

Meilleurs protocoles et paramètres pour contourner les blocages

WireGuard : MTU, ports et pourquoi il est facilement détecté par le DPI

WireGuard est un protocole rapide et élégant. Mais son handshake UDP a une signature claire : le premier paquet fait toujours 148 octets, la réponse — 92 octets. Les systèmes DPI le savent et en tirent parti.

Si WireGuard fonctionne néanmoins chez votre fournisseur, le MTU correct est de 1420. Avec Internet mobile ou des coupures fréquentes, essayez 1280 ou 1360. Mettez PersistentKeepalive à 25 — c'est critique derrière un NAT. Il est préférable de définir explicitement le DNS : 1.1.1.1 ou 8.8.8.8, sinon les requêtes peuvent passer à côté du tunnel. AllowedIPs inclut obligatoirement 0.0.0.0/0 et ::/0 — sans le second, le trafic IPv6 passe à côté du VPN.

OpenVPN : TCP/UDP, port 443, tls-crypt contre le DPI

OpenVPN sur TCP 443 avec la directivetls-crypt — est l'une des options les plus résistantes. Le port 443 — c'est HTTPS, le fournisseur ne peut pas le bloquer sans casser tout Internet pour ses abonnés. Et tls-crypt chiffre le handshake lui-même, empêchant le DPI de lire la signature d'OpenVPN.

UDP est plus rapide, mais il est plus facile à bloquer. Si le fournisseur coupe l'UDP — passez au TCP 443. Oui, ce sera un peu plus lent, mais cela fonctionnera. Pour la config :proto tcp,port 443,tls-crypt ta.key. Je recommande le Cipher AES-256-GCM — plus rapide que l'AES-256-CBC, l'accélération matérielle est même présente sur les téléphones.

VLESS/XRay et Shadowsocks : obfuscation sous un trafic HTTPS normal

Ce sont les meilleures options contre un DPI sévère. VLESS avec Reality imite une connexion TLS vers un site réel — par exemple, microsoft.com. Le DPI voit un HTTPS légitime et laisse passer. Shadowsocks-2022 chiffre le trafic de telle manière qu'il est statistiquement indistinguable de données aléatoires — il n'y a rien à détecter.

La complexité est supérieure à celle de WireGuard. Un client XRay est nécessaire (v2rayNG sur Android, Shadowrocket sur iOS) et une configuration correctement générée avec UUID, publicKey et shortId. Mais la stabilité dans des conditions de DPI actif — est incomparablement meilleure. Certains services, y compris NvoVPN, prennent en charge VLESS/Reality — cela vaut la peine de vérifier si les protocoles standards ne fonctionnent pas.

AmneziaWG et obfuscation contre l'inspection profonde des paquets

AmneziaWG est un WireGuard avec ajout de paquets junk au début de la session. L'objectif est simple : casser la signature du handshake que lit le DPI. Les paramètres Jc, Jmin, Jmax, S1, S2, H1–H4 sont définis dans la config et randomisent les premiers paquets.

Fonctionne bien contre le TSPU. Le client Amnezia est disponible pour Android, iOS, Windows, macOS — et peut importer des configurations WireGuard standard avec ajout de paramètres d'obfuscation. Si le WireGuard pur ne fonctionne pas, AmneziaWG est la première chose à essayer sans changement radical de protocole.

IKEv2 : quand il est approprié, et quand il est inutile

IKEv2 est un protocole stable, il supporte bien le changement de réseau (de Wi-Fi à mobile et vice versa). Il est intégré dans iOS et Android sans applications supplémentaires. Mais contre le DPI, il est pratiquement sans défense : la signature sur UDP 500/4500 est bien connue, et les fournisseurs le bloquent sans effort.

Utilisez IKEv2 là où les VPN ne sont pas bloqués : réseaux d'entreprise, voyages dans des pays sans censure stricte. En Russie, avec un DPI actif, il y a peu d'utilité.

Configuration manuelle étape par étape sur différents appareils

Android : WireGuard et Amnezia — importation de la configuration et modification des paramètres

Application WireGuard depuis Google Play ou F-Droid. Ajoutez le tunnel manuellement ou scannez le code QR de la configuration. Champs clés :Endpoint — IP:port du serveur ;Allowed IPs — écrivez 0.0.0.0/0, ::/0 (tout le trafic via le VPN) ;DNS — 1.1.1.1 ;MTU — 1420, en cas de problèmes, changez à 1280 ;Keepalive persistant — 25.

Pour AmneziaWG — application distincte Amnezia VPN. Vous importez la configuration via un fichier ou un lien amnezia://. Les paramètres d'obfuscation (Jc, Jmin, Jmax) sont déjà inscrits dans la configuration par le fournisseur — il n'est pas nécessaire de les modifier manuellement si le service génère lui-même les configurations.

iPhone/iOS : profils dans les applications et restrictions du VPN système

iOS ne permet pas de changer le MTU au niveau système — c'est une restriction stricte d'Apple. Le client VPN intégré prend en charge IKEv2, L2TP et Cisco IPSec. Pour WireGuard, une application du App Store est nécessaire. Pour VLESS — Shadowrocket (payant, 2,99 $) ou Streisand.

Un autre point : iOS tue agressivement le VPN en arrière-plan lors de l'économie de batterie. Ce n'est pas un bug de configuration — c'est une politique du système. Solution partielle : dans les paramètres VPN, désactivez « Se connecter à la demande » et gardez l'application active. Ou configurez le VPN sur le routeur — alors l'iPhone passe simplement par lui, sans problèmes en arrière-plan.

Windows : clients et configuration via WireGuard/OpenVPN GUI

Le client officiel WireGuard pour Windows se télécharge sur wireguard.com. Vous créez un nouveau tunnel, insérez la configuration au format texte. Les champs sont les mêmes : Interface (PrivateKey, Address, DNS, MTU) et Peer (PublicKey, Endpoint, AllowedIPs, PersistentKeepalive).

OpenVPN GUI — client standard open source. Vous placez le fichier .ovpn dans C:\Program Files\OpenVPN\config\, et le lancez avec des droits d'administrateur. Si TCP 443 est nécessaire — cela doit être inscrit dans le fichier .ovpn par votre fournisseur.

macOS : configuration et contournement des restrictions système

WireGuard est disponible sur le Mac App Store. Il fonctionne de manière similaire à Windows — import de la configuration via un fichier ou QR. Sur macOS Ventura et plus récent, la fonction VPN intégrée prend en charge IKEv2 via les paramètres système, mais cela ne suffira pas pour contourner le DPI.

Pour VLESS sur macOS — client Hiddify ou Nekoray. Les deux peuvent travailler avec des configurations XRay et prennent en charge Reality.

Routeurs (Keenetic, OpenWrt) : VPN pour tout le réseau

Configurer un VPN sur le routeur est la meilleure solution pour les Smart TV, consoles et tout appareil sans client propre. Tout le trafic du réseau passe automatiquement par le tunnel.

Keenetic prend en charge WireGuard nativement depuis le firmware 3.3. Allez dans « Autres connexions » → WireGuard → ajoutez la configuration. Je recommande un MTU de 1280 pour les routeurs — avec une marge pour l'encapsulation. Sur OpenWrt, installez le paquetluci-proto-wireguard, configurez via l'interface web ou directement dans /etc/config/network.

Smart TV et Apple TV : configuration via le routeur ou client distinct

Sur Smart TV (Samsung, LG), il n'y a pas de client VPN natif. La seule option correcte est de configurer le VPN sur le routeur. Apple TV avec tvOS 17+ prend en charge les profils de configuration, mais c'est plutôt IKEv2 — pour un contournement sérieux du DPI, cela ne suffit pas. Mieux vaut aussi passer par le routeur.

Réglage fin de la vitesse et de la stabilité

Ajustement du MTU via ping pour éliminer la fragmentation

Voici une méthode que peu de gens expliquent correctement. Sur Windows, ouvrez l'invite de commande et exécutez :

ping -f -l 1400 8.8.8.8

Le drapeau-f interdit la fragmentation,-l définit la taille du paquet. Si vous obtenez « Le paquet doit être fragmenté » — réduisez la taille. Vous avez trouvé la taille maximale à laquelle le ping passe sans fragmentation — ajoutez 28 (c'est pour les en-têtes IP + UDP). Le nombre obtenu est votre MTU optimal.

Sur Linux et macOS, la commande est différente :ping -D -s 1400 8.8.8.8. La logique est la même.

Je souligne à nouveau : cela n'accélère pas la connexion. Le MTU élimine simplement la fragmentation, qui fait que les paquets se perdent et que la connexion se coupe.

Choix du port : 443, 53, 80 et pourquoi c'est important

Le port 443 — c'est de l'or. C'est HTTPS, et le fournisseur ne peut physiquement pas le bloquer sans que tout Internet pour les abonnés cesse de fonctionner. La plupart des blocages sont contournés précisément par lui.

Le port 53 (DNS) est également souvent laissé passer sans inspection — les fournisseurs ont besoin que les requêtes DNS fonctionnent. Le port 80 (HTTP) est pire : le trafic n'est pas chiffré et est plus facile à inspecter. Les ports UDP sont généralement plus facilement bloqués que TCP 443 — gardez cela à l'esprit lors du choix.

PersistentKeepalive contre les coupures derrière NAT

Derrière NAT (surtout derrière CGNAT des opérateurs mobiles), la session WireGuard se ferme si le trafic ne passe pas pendant un certain temps. PersistentKeepalive 25 envoie un paquet vide toutes les 25 secondes — l'enregistrement NAT ne périme pas, la connexion est maintenue. Sans ce paramètre, derrière CGNAT, le VPN se reconnectera constamment.

Split tunneling : autoriser uniquement les sites nécessaires dans le VPN

Si vous avez besoin d'un VPN uniquement pour YouTube, Instagram, Twitter/X et Telegram — il n'est pas nécessaire de faire passer tout le trafic par lui. Le split tunneling permet de diriger uniquement des IP ou des domaines spécifiques dans le tunnel, tandis que les banques et les services locaux passent directement.

Dans WireGuard, cela se fait via AllowedIPs — au lieu de 0.0.0.0/0, vous inscrivez des sous-réseaux spécifiques. Mais établir manuellement une liste d'IP pour YouTube est une tâche ardue. Il est plus simple d'utiliser des applications prenant en charge le routage par domaine (Amnezia, Hiddify), où vous pouvez définir une liste de domaines pour le tunnel.

Mesurez la vitesse réelle via Speedtest ou Fast.com avant et après la configuration. Pas de « trois fois plus rapide » inventé — regardez vos chiffres dans votre propre réseau.

Diagnostic : que faire si le VPN ne fonctionne toujours pas

Le VPN se connecte, mais les sites ne s'ouvrent pas

« Connecté, mais ne fonctionne pas » — la plainte la plus fréquente. C'est presque toujours l'une des trois raisons : MTU incorrect (les paquets sont fragmentés et perdus), le DPI coupe le trafic selon la signature du protocole, ou toute la plage d'adresses n'est pas inscrite dans AllowedIPs.

Liste de contrôle dans l'ordre : premièrement — vérifiez AllowedIPs, il doit y avoir à la fois 0.0.0.0/0 et ::/0. Deuxièmement — essayez MTU 1280. Troisièmement — si rien ne fonctionne, changez le protocole en VLESS ou OpenVPN TCP 443. Cet ordre d'actions fonctionne dans 90 % des cas.

Fuites DNS et WebRTC — comment vérifier

Une fuite DNS signifie que les requêtes de noms de domaine passent par le fournisseur, et non par le tunnel. Votre fournisseur voit quels sites vous visitez. Vous pouvez vérifier sur dnsleaktest.com — si les adresses de votre fournisseur s'affichent et non celles du serveur VPN, il y a une fuite.

Les fuites WebRTC sont pertinentes pour les navigateurs : l'extension WebRTC Control ou uBlock Origin (configuration dans ses paramètres) les bloque. Vérification — browserleaks.com. Si votre IP réelle est visible là-bas, activez le blocage WebRTC dans le navigateur.

Fuites IPv6 contournant le tunnel

C'est un problème dont la plupart des articles ne parlent pas. Si votre fournisseur attribue une adresse IPv6 et que ::/0 n'est pas inscrit dans AllowedIPs, tout le trafic IPv6 passe directement en dehors du VPN. Les sites prenant en charge IPv6 verront votre adresse réelle.

La solution est simple : ajoutez ::/0 dans AllowedIPs. Ou, si le serveur VPN ne prend pas en charge le tunneling IPv6, désactivez complètement l'IPv6 sur l'adaptateur réseau. Sur Windows, cela se fait dans les propriétés de l'adaptateur → décochez « IP version 6 ».