OpenVPN pour l'industrie : le VPN qui simplifie l'accès distant OT

· 10 minutes de lecture
10 min read
Équipe Eziwan
Équipe Eziwan
Infrastructure IoT

Les techniciens industriels passent en moyenne 2,3 heures en déplacement pour chaque intervention sur un équipement distant. Un VPN fiable change radicalement l'équation. Mais tous les VPN ne se valent pas — et OpenVPN reste la référence robuste et universelle pour les environnements OT.

Les critères d'un VPN industriel​

En usine ou sur un site isolé, un VPN doit répondre à des contraintes que l'on ne rencontre pas en bureautique :

  • Traversée des pare-feux et des NAT opérateurs : sur une liaison 4G, l'adresse est privée et derrière le NAT de l'opérateur. Le VPN doit savoir s'établir en sortant uniquement, sans port entrant.
  • Reconnexion après coupure réseau : la supervision SCADA tourne en continu ; le tunnel doit se rétablir vite après une bascule de SIM.
  • Sécurité auditée et révocable : chiffrement fort, authentification mutuelle, révocation individuelle des accès pour la conformité NIS2 / IEC 62443.
  • Simplicité de déploiement : pas de configuration réseau manuelle sur chaque site.

OpenVPN : le standard éprouvé​

OpenVPN est un protocole open-source mûri depuis plus de 20 ans, devenu un standard de fait pour l'accès distant sécurisé. Il s'appuie sur la pile TLS/SSL et coche toutes les cases industrielles.

La cryptographie d'OpenVPN​

  • Chiffrement : AES-256-GCM (AEAD — chiffrement authentifié)
  • Authentification : certificats X.509, en TLS mutuel (chaque extrémité prouve son identité)
  • Intégrité : SHA-256
  • Transport : UDP 1194 ou TCP 443 (configurable)

L'atout décisif : la traversée des pare-feux​

C'est là qu'OpenVPN fait la différence sur le terrain : il peut encapsuler le tunnel dans TLS sur le port TCP 443 — le même port que le HTTPS. Résultat, il passe là où les autres protocoles sont bloqués : pare-feu d'opérateur, proxy d'entreprise, inspection de paquets (DPI). Côté site, aucune IP publique ni port entrant ne sont nécessaires : la gateway initie la connexion en sortant.

Performance sur matériel industriel​

Voici un repère mesuré sur le Gateway Eziwan (processeur ARM Cortex-A7, 1 GHz) :

ProtocoleDébit chiffréReconnexionTraversée pare-feu
OpenVPN (AES-256-GCM)~45 MbpsRapide (persist-tun)Excellente — TCP 443
IPSec IKEv2 (AES-256)~90 MbpsQuasi transparente (MOBIKE)Moyenne (NAT-T)
L2TP / PPTPVariableLenteVariable

En pratique, un débit de quelques Mbps suffit très largement pour la collecte Modbus, la télémétrie MQTT et l'accès à distance à un automate. Le critère décisif n'est pas le débit brut mais la fiabilité de l'établissement du tunnel — et c'est précisément le point fort d'OpenVPN.

Déploiement en topologie hub-and-spoke industrielle​

Pour une flotte de sites industriels, la topologie hub-and-spoke est la plus courante :

Chaque site a son Gateway Eziwan avec un certificat X.509 unique. Le concentrateur (hébergé chez Eziwan ou dans votre infrastructure) maintient les connexions de tous les sites.

Configuration sur le Gateway Eziwan​

Via l'interface cloud Eziwan, la configuration se résume à :

  1. Nommer le tunnel (vpn-paris-usine-01)
  2. Sélectionner le concentrateur (vpn.eziwan.com ou votre propre endpoint)
  3. Définir le réseau local à annoncer (192.168.1.0/24)
  4. Activer le tunnel

Eziwan génère automatiquement le certificat client et configure le concentrateur. Pas de PKI à gérer manuellement, pas de certificat à renouveler à la main.

Configuration manuelle (pour les puristes)​

Si vous préférez tout contrôler, voici le profil OpenVPN côté site distant :

client
dev tun
proto udp
remote vpn.votre-infra.com 1194
remote-cert-tls server
cipher AES-256-GCM
auth SHA256
keepalive 10 60          # ping 10 s, restart après 60 s
persist-tun
# routes terrain poussées par le serveur : 10.10.0.0/16, 192.168.0.0/16
<ca>...</ca>
<cert>...</cert>
<key>...</key>

Le keepalive 10 60 est important en 4G : les NAT des opérateurs ferment les connexions UDP inactives après 30–60 secondes. Ce ping régulier évite la reconnexion.

Sécurité renforcée pour les environnements OT​

Segmentation réseau OT/IT​

OpenVPN avec Eziwan permet une segmentation stricte :

  • Le tunnel n'expose que les sous-réseaux explicitement routés (directives route)
  • Le trafic OT (Modbus, DNP3) ne sort jamais sur Internet — il passe uniquement dans le tunnel chiffré
  • Les automates ne peuvent pas initier de connexions vers Internet
  • Chaque technicien a son propre certificat avec ses propres autorisations

Authentification par certificat X.509​

Contrairement aux VPN basés sur un simple mot de passe, OpenVPN s'appuie sur des certificats X.509 en TLS mutuel. Résultat :

  • Pas d'attaque par force brute sur un mot de passe
  • Pas de phishing d'identifiants
  • Révocation immédiate d'un accès : ajout du certificat dans la CRL côté concentrateur

Zero Trust et audit log​

Eziwan logge chaque connexion VPN avec :

  • Heure de connexion/déconnexion
  • IP source
  • Identifiant du Gateway et du technicien
  • Volume de données transférées

Ces logs sont consultables depuis la plateforme cloud et exportables pour vos audits de sécurité.

Cas d'usage : accès distant à un automate Siemens S7​

Scénario typique : votre automate S7-1200 est sur le réseau 192.168.1.0/24 du site de Lyon. Vous êtes au bureau à Paris.

Sans Eziwan : déplacement terrain, ou configuration d'un port forwarding risqué sur le routeur du site (HTTPS 443 → port 102 S7 — exposition directe sur Internet).

Avec Eziwan :

  1. VPN OpenVPN actif en permanence entre le site Lyon et votre bureau
  2. Depuis TIA Portal, vous entrez 192.168.1.10 (IP locale de l'automate)
  3. La connexion passe dans le tunnel chiffré — l'automate répond comme si vous étiez en local
  4. Aucun port ouvert sur Internet, aucune exposition

Temps de configuration : 15 minutes. Coût d'un déplacement évité : 450 €.

Comparatif final : quel VPN choisir ?​

CritèreOpenVPNIPSec (IKEv2)L2TP / PPTP
Traversée pare-feu⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Reconnexion rapide⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Sécurité / chiffrement⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Simplicité config⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Certifications (FIPS)⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Compatibilité legacy⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐

Pour la majorité des déploiements industriels, OpenVPN est le choix par défaut : universel, auditable, et capable de passer tous les pare-feux. IPSec (IKEv2) prend le relais dans les environnements régulés (FIPS 140-2) ou lorsqu'une reconnexion totalement transparente lors du failover Dual SIM est requise. Eziwan supporte les deux.

Conclusion​

OpenVPN n'est pas le protocole le plus récent, mais c'est le plus robuste et le plus universel : chiffrement AES-256-GCM, authentification mutuelle par certificat, et surtout une traversée des pare-feux inégalée grâce au transport TCP 443. Pour l'industrie, son avantage le plus précieux reste sa capacité à établir un tunnel depuis n'importe quel réseau 4G, sans aucun port exposé.

Le Gateway Eziwan active OpenVPN par défaut sur tous les nouveaux déploiements. En 15 minutes, votre site industriel est accessible à distance de manière sécurisée, sans aucun port ouvert sur Internet.

Pourquoi un VPN grand public ne convient pas à l'industrie​

La popularité des VPN grand public (NordVPN, Proton VPN et consorts) crée une confusion fréquente chez les décideurs : « nous avons déjà un VPN ». Or ces services répondent à un besoin radicalement différent — anonymiser la navigation d'une personne — et il leur manque tout ce qui fait un VPN industriel :

  • Pas de site-à-site : ils connectent un utilisateur vers Internet, pas un réseau de machines vers une plateforme de supervision.
  • Pas de certificats machine : l'authentification est liée à un compte personnel, impossible à déployer sur un routeur en armoire électrique.
  • Pas de traversée CGNAT maîtrisée : sur un lien 4G industriel, l'équipement est derrière le NAT de l'opérateur ; seul un tunnel initié en sortie par l'équipement (OpenVPN sur UDP 1194 ou TCP 443) fonctionne de façon fiable.
  • Pas de journalisation d'audit : aucune trace exploitable pour un audit NIS2 ou IEC 62443.
  • Pas de segmentation : impossible de limiter un prestataire à un seul automate.

Le rôle d'un VPN industriel est précis : chiffrer les flux entre les sites et le cloud, authentifier chaque extrémité par certificat X.509, et transporter Modbus, S7 ou OPC-UA sans jamais les exposer sur Internet. C'est une brique d'infrastructure, pas un service d'anonymisation.

Checklist de déploiement d'un VPN industriel OpenVPN​

  1. Sens de connexion : tunnel initié par la gateway du site, aucun port entrant ouvert sur le pare-feu.
  2. Transport : UDP 1194 par défaut, repli TCP 443 pour traverser les réseaux les plus restrictifs.
  3. Cryptographie : AES-256-GCM, TLS 1.2 minimum, algorithmes dépréciés désactivés (DES, RC4, MD5).
  4. Authentification : certificat X.509 unique par équipement — jamais de clé partagée entre sites.
  5. Comptes utilisateurs : MFA obligatoire, un compte nominatif par technicien, aucun compte partagé.
  6. Moindre privilège : accès par équipement et par plage horaire, pas d'accès « réseau entier » permanent.
  7. Révocation : procédure testée (départ d'un prestataire, perte d'un équipement) et rotation planifiée des certificats.
  8. Journalisation : chaque session tracée (qui, quand, quel équipement, durée) et journaux exportables pour audit.

FAQ​

WireGuard est-il plus sécurisé qu'OpenVPN pour un déploiement industriel ? WireGuard a une surface d'attaque nettement plus faible (~4000 lignes de code vs ~100 000 pour OpenVPN), ce qui réduit le risque de vulnérabilité exploitable. Cependant, OpenVPN a un historique d'audit de sécurité beaucoup plus long et est plus facilement auditable par les organismes de certification. Pour les environnements nécessitant une certification FIPS 140-2, IPSec/IKEv2 reste la référence. Pour la majorité des déploiements industriels, OpenVPN et WireGuard sont tous deux des choix solides.

L2TP/PPTP sont-ils encore utilisables dans un environnement industriel ? Non. PPTP est cryptographiquement cassé depuis 2012 — ne pas utiliser. L2TP seul est aussi non sécurisé (pas de chiffrement natif) ; L2TP/IPSec est acceptable mais plus complexe qu'OpenVPN/IKEv2. Si votre équipement existant ne supporte que L2TP/PPTP, planifiez le remplacement — ce n'est pas une configuration sécurisée pour des réseaux OT industriels.

Comment le VPN résiste-t-il aux coupures 4G intermittentes ? OpenVPN avec keepalive 10 60 et persist-tun tente de se reconnecter automatiquement dès que la connectivité revient. Avec IPSec/IKEv2 + MOBIKE, le tunnel survit même au changement d'adresse IP publique (lors d'un failover Dual SIM). Dans les deux cas, le temps de reconnexion est de 5 à 30 secondes — acceptable pour la supervision, insuffisant pour la régulation temps réel.

Pour aller plus loin​

Vous déployez des accès distants sur des sites industriels ? Contactez notre équipe pour une démo technique.

Ressources complémentaires​