Linux et VPN WireGuard : installer un client sécurisé en 10 minutes

Vous travaillez depuis votre salon ou un café, et votre connexion passe en clair sur un Wi-Fi public ? C’est le moment de regarder du côté de WireGuard, le protocole VPN qui tient aujourd’hui dans un seul fichier de configuration et quelques lignes de commande.

Avant d’aller plus loin : si vous gérez déjà plusieurs postes dans une petite structure, la question du serveur se pose vite. Nous avons détaillé ce choix dans notre article sur monter un vpn maison sur vps, pensé pour une PME en télétravail. Ici, on reste sur l’essentiel : le client Linux, celui que vous installez sur votre propre machine.

Pourquoi WireGuard s’impose face aux VPN historiques

OpenVPN tourne encore sur beaucoup de machines, mais il traîne un code source de plusieurs dizaines de milliers de lignes. WireGuard en compte environ 4 000. Moins de code, c’est moins de surface d’attaque, et des audits de sécurité plus rapides à mener sérieusement.

Côté performance, la différence se sent dès la première connexion. Le tunnel se négocie en une poignée de millisecondes, là où IPsec ou OpenVPN demandent souvent plusieurs secondes de handshake. Sur un linux vpn wireguard correctement configuré, le débit perdu reste minime, même sur une connexion mobile.

Je ne vois plus de raison sérieuse de démarrer un nouveau projet VPN personnel avec autre chose. OpenVPN garde sa place pour les environnements déjà en place, lourds à migrer. Pour un poste neuf, WireGuard gagne, et ce n’est même pas discutable.

Installer le client linux vpn wireguard : les paquets à connaître

Sur une distribution récente, l’installation se résume à une commande. Sur Debian ou Ubuntu : apt install wireguard. Sur Fedora, le paquet est déjà dans les dépôts officiels depuis plusieurs versions. Sur Arch, il fait partie du noyau lui-même.

Pas de compilation, pas de module tiers à bricoler. C’est justement ce qui a convaincu les mainteneurs du noyau de l’intégrer directement : un code compact, lisible, qui ne demande pas des jours de calibrage pour fonctionner correctement.

Une fois le paquet posé, vérifiez que l’interface wg0 apparaît bien avec ip link. Si rien ne s’affiche, le module noyau n’est pas chargé : un modprobe wireguard suffit sur la plupart des configurations.

Générer et échanger les clés sans se tromper

WireGuard fonctionne par paire de clés, une publique et une privée, exactement comme SSH. La commande wg genkey produit la clé privée, que vous ne partagez jamais. La clé publique, elle, part vers le serveur.

L’erreur classique : copier la clé privée dans le fichier de configuration public, ou inverser les deux côtés. Le tunnel ne monte pas, et le message d’erreur ne dit pas grand-chose. Prenez l’habitude de nommer vos fichiers privatekey et publickey dès la génération, ça évite la confusion deux semaines plus tard.

Le fichier de configuration, souvent /etc/wireguard/wg0.conf, rassemble l’adresse IP du tunnel, la clé privée locale, puis un bloc [Peer] avec la clé publique du serveur et son adresse. Quatre lignes, pas plus, pour un tunnel qui tient.

Vérifier que le tunnel tient vraiment la route

La commande wg show affiche l’état réel de la connexion : dernier handshake, octets transmis, pair connecté. C’est elle qui dit si le tunnel fonctionne, pas l’absence de message d’erreur.

Si le dernier handshake remonte à plus de deux ou trois minutes, quelque chose bloque : un pare-feu qui filtre le port UDP choisi, une route mal définie, ou une horloge système décalée de plus de quelques secondes, ce que WireGuard n’apprécie pas du tout.

Testez aussi votre adresse IP publique depuis le terminal, avant et après activation du tunnel. Si elle ne change pas, le trafic ne passe pas par le VPN, même si wg show affiche une connexion active. C’est un cas réel, qui arrive surtout quand la table de routage garde une ancienne règle par défaut.

Du poste individuel au VPN d’équipe : quand passer à un VPS

Un client WireGuard sur un seul poste reste simple à superviser. Le jour où trois ou quatre collègues doivent rejoindre le même réseau, la gestion manuelle des clés devient vite ingérable, surtout sans personne dédiée aux réglages réseau.

C’est là qu’un serveur dédié prend tout son sens, avec une distribution légère et un pare-feu correctement posé dès l’installation du serveur Linux. Avant d’ouvrir un VPN à plusieurs personnes, pensez aussi à vérifier les autres accès exposés : un VPN solide ne compense pas un outil mal protégé contre les failles de sécurité ailleurs sur le réseau.

Pour un usage strictement personnel, le client seul suffit, et il tient en quelques minutes d’installation. Dès que plusieurs personnes dépendent du même tunnel, c’est l’organisation du serveur qui compte, pas le client.