Trois protocoles
WireGuard, OpenVPN et IPsec/IKEv2 : clés, certificats, adresses sans collision et fichiers de configuration générés par la console.
VPN (module)
Un module facultatif pour gérer les accès VPN de la machine de ToutWAF : serveurs WireGuard, OpenVPN et IPsec, leurs clients, fichiers prêts à l'emploi. Désactivé par défaut et expérimental : pas encore éprouvé en production.
Où le trouver dans la console : Menu Administration : Paramètres, onglet Modules ; la section VPN n'apparaît dans le menu que lorsque le module est activé.
À lire d'abord
Ce module est expérimental, pas encore éprouvé en production. Nous préférons le dire avant de décrire quoi que ce soit.
- Désactivé par défaut : une installation qui ne l'active jamais se comporte exactement comme avant. Rien n'est modifié sur la machine, aucune section n'apparaît dans le menu.
- Pas encore éprouvé sur un vrai serveur : la génération et la conservation de la configuration sont couvertes par des tests, mais la mise en place sur la machine (écriture des fichiers, démarrage du tunnel) n'est couverte que par des tests qui utilisent un faux système de fichiers et un faux exécuteur de commandes. Le module n'a jamais démarré de tunnel sur un vrai serveur.
- Gardez une seconde voie d'accès à la machine pendant vos essais (console sur un autre chemin, SSH, console de votre hébergeur) et commencez par une machine de test.
À quoi ça sert
Des fichiers clients prêts
Un fichier par client, remis une seule fois à la création ; pour WireGuard, aussi le texte du QR code pour l'application mobile.
Ne pas se couper la console
Avant d'appliquer, un plan liste ce qui serait écrit et démarré, avec des vérifications. Un réseau de tunnel qui contiendrait votre adresse de connexion est refusé.
Rien ne s'active par surprise
Un interrupteur dans Paramètres > Modules, réservé aux administrateurs de la plateforme, consigné dans le journal d'audit.
Ce que le module sait faire
Chaque point est décrit dans la documentation du produit ; aucun n'a été essayé sur un vrai serveur.
Serveurs et clients
Créer un serveur (protocole, nom d'hôte public, port, réseau), y ajouter des clients, les suspendre, renouveler leur clé ou les révoquer.
Connexions sortantes
Relier cette machine, en client, à un VPN existant (WireGuard, OpenVPN). Elle ne remplace jamais la route par défaut sauf option explicite, pour garder la console joignable.
Mise en place sur la machine
Un plan relu, puis « Appliquer » écrit les fichiers et démarre l'unité, par un assistant root dédié qui revalide la demande. Un changement risqué reste à l'essai 60 secondes et revient en arrière sans votre confirmation.
Une liste blanche pour root
L'assistant n'accepte que des directives connues : une configuration qui contient autre chose est refusée, quel que soit celui qui l'a générée.
État des tunnels
Une page en lecture seule montre les pairs, la dernière poignée de main et le trafic ; si l'assistant n'est pas disponible, elle le dit au lieu d'échouer en silence.
Secrets scellés
Clés, certificats et mots de passe sont scellés avec la clé maître et n'apparaissent jamais dans une liste ni dans le journal d'audit.
Ce qui existe
Génération et conservation de la configuration, et mise en place guidée sur une machine Linux.
- WireGuard, OpenVPN et IPsec/IKEv2 : serveurs, clients et fichiers.
- Connexions sortantes WireGuard et OpenVPN.
- Plan, application, arrêt et confirmation, avec garde-fous contre la coupure de la console.
- Le rôle Opérateur ne peut pas écrire : seuls Propriétaire et Administrateur modifient le module.
Ce qui n'existe pas
Dit clairement.
- L2TP/IPsec et SSL VPN figurent dans la liste, marqués « bientôt disponible » : ils ne sont pas implémentés.
- Le VPN n'ajoute ni ne vérifie aucune règle de pare-feu, ni le routage ou la traduction d'adresses pour les clients : ouvrez vous-même le port du serveur et, si le module Pare-feu est activé, autorisez-le aussi là.
- Pas de mode client IPsec, pas de tunnel sortant pour une machine sans adresse joignable, pas de téléchargement des fichiers du serveur depuis la console.
Ce qui reste à prouver
Nous préférons le dire clairement.
- Aucun tunnel n'a été démarré sur un vrai serveur ; le comportement réel de la mise en place, du retour automatique et du renouvellement de la liste de révocation n'a pas été vérifié hors tests.
- Sous Windows, rien n'est déployé : la mise en place sur la machine est réservée à Linux avec systemd.
- La liste de révocation d'un serveur OpenVPN est valable un an ; ToutWAF la renouvelle avant l'échéance, mais ce renouvellement n'a pas non plus été vu sur un vrai serveur.
- Le module ne promet pas de remplacer votre VPN actuel. Essayez-le d'abord sur une machine de test.
Cas d'usage
Préparer l'accès d'une équipe
Vous créez un serveur WireGuard et les fichiers de chaque personne, puis vous relisez le plan avant de l'appliquer sur une machine de test.
Relier la machine à un VPN existant
Une connexion sortante, sans changer la route par défaut, pour garder la console joignable.
Essayer sans risque
Vous appliquez un changement visible, vous confirmez ou vous laissez le retour automatique agir, puis vous décidez.
Ce qui est inclus, par édition
Dans cette version, ce module n'est lié à aucune licence ; cela pourrait changer.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
- VPN : serveurs WireGuard, OpenVPN et IPsec/IKEv2 avec leurs clients ; la configuration est générée et conservée, puis mise en place sur la machine à votre demande avec un plan, un garde-fou et un essai de 60 secondes (pas encore éprouvé en production : aucun tunnel n'a été démarré sur un vrai serveur)Gratuit
- Connexions sortantes de cette machine vers un VPN existant (WireGuard, OpenVPN), sans remplacer la route par défaut sans demande explicite (pas encore éprouvées en production)Gratuit
- Un interrupteur par module dans Paramètres > Modules, réservé aux administrateurs de la plateforme ; désactiver un module le masque sans rien supprimerGratuit
Chaque fonction de cette liste porte la mention « pas encore éprouvé en production ». Le plan de données, lui, ne consulte jamais la licence.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.