VPN WireGuard sur Raspberry Pi : la solution légère pour une PME

Un salarié en télétravail qui se connecte depuis chez lui, et voilà le réseau de l’entreprise exposé à une ligne internet que personne ne surveille. Pour sécuriser ce genre d’accès sans acheter du matériel professionnel, beaucoup de PME commencent par monter son propre VPN sur un VPS. Mais un Raspberry Pi fait aussi très bien le travail, pour une fraction du prix.

Pourquoi un Raspberry Pi plutôt qu’un VPS pour un petit réseau

Un Raspberry Pi 4 coûte une soixantaine d’euros, carte SD comprise. Pas d’abonnement mensuel, pas de facture qui revient chaque mois sur le compte de l’entreprise.

Contrairement à un VPS loué chez un hébergeur, le Pi reste physiquement chez vous, branché derrière votre box. Il voit tout le trafic qui sort de votre réseau local, ce qui simplifie la configuration du pare-feu : une seule machine à surveiller, pas un serveur distant dont vous ne contrôlez jamais totalement l’environnement.

L’inconvénient, et je ne le cache pas : si votre connexion internet tombe, votre VPN tombe avec elle. Un VPS, lui, reste joignable même quand votre box redémarre. Pour une équipe de trois ou quatre personnes qui se connectent deux heures par jour, ce risque reste gérable. Pour un usage permanent et critique, ce n’est plus le même calcul.

Pi VPN WireGuard : ce que l’installation demande vraiment en temps

WireGuard s’installe en quelques commandes sur Raspberry Pi OS. Comptez une demi-journée la première fois, pas plus, si vous suivez une procédure pas à pas : génération des clés, configuration de l’interface, ouverture du port UDP sur la box.

Le piège classique, c’est l’adresse IP publique qui change régulièrement chez les opérateurs grand public. Sans un service de DNS dynamique configuré en amont, vos salariés perdent la connexion dès que la box redémarre et change d’IP. C’est l’étape qu’on oublie le plus souvent, et c’est elle qui fait perdre une journée entière à la dépanner après coup.

Une fois réglé, le fonctionnement au quotidien demande peu d’attention. Ajouter un nouveau salarié prend cinq minutes : une paire de clés à générer, un fichier de configuration à envoyer.

Les limites d’un Raspberry Pi face à plusieurs télétravailleurs

Le Pi 4 encaisse sans problème cinq à dix connexions simultanées pour de la navigation et de l’accès à des fichiers partagés. Au-delà, ou si vos salariés transfèrent de gros volumes de données en continu, la carte SD et le processeur montrent leurs limites.

Je ne recommanderais jamais un Raspberry Pi pour une équipe de vingt personnes qui travaillent toutes en VPN huit heures par jour. Le débit chute, les connexions se coupent, et vous passez plus de temps à redémarrer le boîtier qu’à en profiter. Dans ce cas, un VPS avec de la bande passante dédiée reste le choix raisonnable.

Sécuriser l’accès : pare-feu, clés et mises à jour

WireGuard chiffre le trafic par défaut, mais ça ne dispense pas de régler le pare-feu du Pi correctement. Fermez tous les ports sauf celui nécessaire au VPN. N’autorisez l’accès SSH au boîtier que depuis le réseau local, jamais depuis l’extérieur : c’est la porte d’entrée que les attaquants automatisés scannent en premier.

Les clés privées WireGuard ne se partagent jamais par mail ou par messagerie instantanée. Un fichier de configuration intercepté donne un accès direct à votre réseau interne. Transmettez-le en main à main, ou via un canal déjà chiffré.

Les mises à jour du système, elles, se gèrent en automatique sur un Pi dédié à cet usage. C’est un détail qu’on néglige trop souvent sur ce type de petit boîtier qu’on installe une fois et qu’on oublie. Pour éviter les failles connues qui traînent des mois sans correctif, consultez notre article sur comment protéger votre entreprise contre les failles de sécurité dans vos outils.

Sauvegarder la configuration pour ne pas tout refaire en cas de panne

Une carte SD, ça s’use et ça finit par lâcher, souvent sans prévenir. Le jour où ça arrive, sans sauvegarde, vous reconfigurez tout à zéro : clés, règles de pare-feu, liste des utilisateurs autorisés.

La solution la plus simple reste d’exporter le dossier de configuration WireGuard vers un espace de stockage externe, à chaque modification. Ce n’est pas différent, dans la logique, de ce qu’on applique à n’importe quelle donnée sensible de l’entreprise. Si vous n’avez pas encore de méthode claire pour ça, notre guide sur comment sécuriser ses sauvegardes cloud pose les bonnes bases.

Raspberry Pi ou VPS : lequel choisir selon la taille de l’équipe

Pour trois à cinq télétravailleurs occasionnels, le Raspberry Pi gagne sur le prix et sur la simplicité de contrôle : tout reste chez vous, rien ne dépend d’un tiers. Pour une équipe plus large, ou un usage permanent qui ne tolère aucune coupure, le VPS reste le choix qui tient la route.

La vraie question n’est pas celle du matériel, c’est celle du temps que vous êtes prêt à consacrer à surveiller l’installation. Un Pi qui tourne sans supervision pendant six mois n’est pas un Pi sécurisé, c’est un Pi qu’on a oublié.