VPN avec Starlink : le vrai problème que personne ne vous dit
La semaine dernière, un client m’appelle. Il a installé Starlink dans sa bicoque au fin fond de la Creuse, il est content, il a 150 Mbps dans un champ de vaches. Et là il me sort : « Marc, mon VPN Starlink déconne, je peux plus accéder à mon NAS et Netflix me prend pour un Américain. » Voilà. On y est. Le vpn starlink n’est pas un gadget de paranoïaque, c’est une nécessité que la plupart des installateurs oublient de mentionner quand ils posent l’antenne.
Autant dire que j’ai vu ce bug des dizaines de fois depuis deux ans. Pas exactement le même à chaque fois, mais le fond est toujours identique : Starlink, c’est un FAI américain. Pas un opérateur neutre qui vous veut du bien. Et ça change tout.
Starlink, c’est un tuyau génial… branché chez un Américain
Je vais être direct : Starlink, techniquement, c’est une prouesse. 150 Mbps en rase campagne, latence correcte sur les nouvelles générations de satellites, installation en vingt minutes avec l’appli. J’ai équipé trois exploitations agricoles et un camping l’an dernier, le résultat est là.
Mais mine de rien, il y a un détail que Korben rappelle dans son article sponsorisé par Surfshark, et que je confirme en atelier : Starlink est un FAI américain. Il voit passer votre trafic. Il sait ce que vous visitez. Il applique ses propres règles de routage, ses propres DNS, sa propre politique de rétention. Vous avez signé chez Elon, pas chez un petit FAI régional qui connaît votre nom.
Pour être honnête, la plupart des gens s’en fichent. Jusqu’au jour où ils tombent sur un CAPTCHA Google toutes les deux heures parce que leur IP est partagée avec quarante autres abonnés Starlink. Là, bizarrement, ils me rappellent.
Le CGNAT, ce fléau silencieux
Starlink utilise du CGNAT. Comprenez : Carrier-Grade NAT. Vous n’avez pas d’IP publique à vous. Vous partagez celle d’une grappe d’abonnés, et le FAI fait la traduction dans son coin. Résultat concret, et je l’ai encore vu vendredi chez un client :
- Des CAPTCHA à répétition sur Google, Cloudflare et compagnie
- Des services qui bloquent carrément votre IP parce qu’un voisin a abusé
- Impossible d’ouvrir un port, donc pas d’accès distant à votre NAS sans passer par un relais
- Des plateformes de streaming qui vous géolocalisent n’importe où dans le pays
Du coup, un tunnel chiffré vers un serveur VPN sérieux, c’est un peu la seule manière de récupérer une IP propre et stable. Ce n’est pas de la paranoïa, c’est de l’hygiène réseau de base en 2025.
Le routeur Starlink et le VPN : la grande incompréhension
Là, je vais m’énerver un peu. Le routeur fourni par Starlink ne gère pas nativement le VPN. Vous ne pouvez pas, depuis l’interface, dire « tout mon trafic passe par mon fournisseur VPN ». Vous avez quelques options de configuration réseau, du port forwarding limité, du bypass mode pour brancher votre propre routeur derrière. Point.
Donc quand un client me demande « comment j’active le VPN sur mon routeur Starlink », la réponse honnête est : tu ne l’actives pas. Tu installes le client sur chaque appareil, ou tu montes ton propre routeur derrière en bypass mode. C’est là que 90 % des gens abandonnent et laissent tomber. Ce qui est dommage, parce que le besoin réel ne disparaît pas.
WireGuard vs OpenVPN : mon avis tranché
L’article source cite des chiffres que je trouve crédibles, et qui collent à ce que je mesure en atelier : WireGuard ajoute 10 à 20 ms de latence, OpenVPN plutôt 30 à 50 ms. Je ne suis pas certain à 100 % que ces chiffres tiennent sur toutes les configurations Starlink, mais d’après mon expérience, l’écart est réel et il se sent sur les usages interactifs.
Sur une visio Zoom, sur du jeu en ligne, sur du SSH un peu réactif, WireGuard fait clairement la différence. OpenVPN reste utile pour la compatibilité, notamment sur de vieux routeurs ou des NAS qui n’ont pas de module WG. Du coup, mon conseil par défaut : WireGuard quand c’est possible, OpenVPN en plan B. Point barre.
Autant dire que les fournisseurs qui ne proposent que de l’OpenVPN en 2025 font un peu de la résistance. Je le dis sans détour.
Ce que le VPN avec Starlink change vraiment au quotidien
Reprenons. Vous avez donc une connexion Starlink, un routeur qui ne gère pas le VPN, du CGNAT par défaut, et un FAI américain qui voit tout. Le VPN Starlink n’est pas là pour « cacher des choses louches ». Il est là pour remettre de la normalité dans votre réseau.
Concrètement, voici ce que je constate après installation d’un tunnel correct chez mes clients :
- Disparition quasi totale des CAPTCHA récalcitrants, parce que l’IP de sortie est propre
- Géolocalisation cohérente sur les services de streaming et les banques
- Accès distant sécurisé à votre NAS ou votre domotique sans ouvrir de port
- Trafic chiffré même sur les réseaux Wi-Fi publics quand vous êtes en déplacement
Mine de rien, ce dernier point est sous-estimé. J’ai un client commercial qui trimballe son antenne Starlink dans son camping-car. Il se connecte depuis des aires d’autoroute, des campings, des bornes douteuses. Sans tunnel, il envoie ses identifiants de messagerie en clair sur à peu près tout ce qui traîne. Avec WireGuard monté sur son laptop, le sujet disparaît.
Une anecdote qui résume tout
L’an dernier, un artisan m’appelle en panique. Sa banque en ligne le bloque systématiquement depuis qu’il est passé à Starlink. Vérification faite en dix minutes : son IP publique tombait dans une plage réputée pour du spam, à cause du CGNAT et d’un voisin indélicat. Histoire de régler ça proprement, je lui ai monté un tunnel WireGuard vers un serveur européen. Le lendemain, plus de blocage. Coût de l’opération : une heure de main-d’œuvre et un abonnement à dix balles par mois.
Ce n’est pas de la magie. C’est du réseau basique qu’on aurait dû lui expliquer à l’installation.
Quel VPN choisir pour Starlink, et comment je procède
Je ne vais pas vous faire un comparatif de dix marques. Ce n’est pas mon métier et je n’ai pas testé la moitié de ce qui existe. Par contre, ce que je sais, c’est ce que je monte chez mes clients, et ce qui tient dans le temps.
D’abord, exigez WireGuard. Si le fournisseur ne l’a pas, passez. Ensuite, regardez la présence de serveurs en Europe si vous êtes en France, pour éviter de traverser l’Atlantique à chaque requête. Enfin, vérifiez que le client tourne sur votre routeur perso, parce que sur le routeur Starlink vous n’aurez rien. C’est con, mais c’est comme ça.
Pour être honnête, l’article de Korben est sponsorisé par Surfshark, donc prenez la recommandation avec les pincettes habituelles. Ceci dit, Surfshark fait partie de ceux qui proposent WireGuard correctement, et leurs serveurs européens tiennent la charge. Je ne suis pas certain qu’ils soient les meilleurs sur tous les points, mais pour un usage Starlink classique, ça fait le boulot.
Ma procédure type, en trois étapes
Quand j’installe chez un client avec Starlink, voilà comment je procède. Je passe le routeur Starlink en bypass mode et je branche un routeur à moi derrière, sur lequel je peux monter le client WireGuard une fois pour toutes. Ça évite de configurer chaque appareil à la main. Ensuite, je crée deux profils : un « tout tunnelisé » pour le boulot, un « split tunneling » pour les usages locaux qui n’ont pas besoin de sortir par le VPN. Enfin, je documente tout sur une fiche A4 que je laisse au client, parce que dans six mois il aura oublié comment ça marche.
Autant dire que ça prend une demi-journée. Mais après, on n’en parle plus pendant deux ans.
Ce qu’il faut retenir avant de sauter le pas
Le VPN Starlink n’est pas un luxe de geek. C’est la réponse technique à trois problèmes concrets : le CGNAT qui vous colle une IP pourrie, le routeur Starlink qui refuse de gérer le tunnel, et un FAI américain qui voit passer absolument tout votre trafic. Tant que ces trois points existent, le débat est clos.
Après, il y a la question du coût. Un abonnement VPN correct, c’est dix à quinze euros par mois. Une heure de technicien, c’est souvent plus. Donc à un moment, il faut arrêter de se poser la question et installer le borde. WireGuard de préférence, OpenVPN en secours, et un routeur perso derrière le Starlink pour ne pas s’arracher les cheveux.
Si vous voulez lire l’article qui m’a servi de point de départ, il est ici : Pourquoi utiliser un VPN avec Starlink. Gardez en tête le contexte sponsorisé, mais les constats techniques sont justes. Et si vous avez un doute sur votre configuration actuelle, testez votre IP publique et regardez ce qu’elle raconte. Souvent, ça suffit à comprendre pourquoi votre banque vous prend pour un robot.
Source : article original
