VPN bloqué ? 12 façons de bloquer un VPN et ce qui vient à bout de chacune

Pourquoi mon VPN est-il bloqué ?

Votre VPN est bloqué parce que quelque chose, entre vous et le serveur, a reconnu la connexion. Ce quelque chose peut examiner cinq éléments différents, et la parade dépend de celui qui est en cause. La plupart des guides alignent les six mêmes astuces (changer de serveur, changer de port, essayer un autre protocole, activer l'obfuscation, passer par un proxy, utiliser Tor) sans dire quel blocage chacune déjoue vraiment. C'est ainsi qu'on finit par changer de port pendant une heure face à un filtre qui n'a jamais regardé les ports.

Voici la définition sur laquelle repose cette page. Un blocage de VPN est toute règle qui empêche un tunnel VPN de s’établir ou de transporter du trafic, et la plupart s’appuient sur l’un de ces cinq éléments : le port, la poignée de main, la forme du trafic, l’adresse du serveur ou l’adresse que voit un site web. Les 12 méthodes ci-dessous couvrent ces cinq éléments, plus trois qui sortent de ce cadre : les listes blanches, les coupures d’internet et les retraits des boutiques d’applications. Chaque ligne cite un cas documenté.

Deux tableaux suivent. Le premier classe les 12 méthodes selon ce qui en vient à bout. Le second prend le cas le plus difficile du moment, la Russie fin septembre 2026, où les filtres ont changé deux fois en un seul mois. Vient ensuite ce que Le VPN a modifié sur son propre réseau en réponse. Le relevé daté des pannes de septembre se trouve dans notre dossier sur la vague de blocages VPN de septembre 2026 en Russie. Cette page traite des mécanismes et ne le reprend pas.

Comment les réseaux bloquent-ils les VPN, et qu'est-ce qui vient à bout de chaque blocage ?

Douze lignes, cinq types de réponse. La parade que la plupart des guides mettent en avant, changer de port, ne vient à bout que d’une seule ligne. L’obfuscation en déjoue cinq, celles qui jugent l’apparence du trafic. Une autre adresse de serveur en déjoue trois, et toutes trois regardent la destination du trafic. L’une ne remplace jamais l’autre : un déguisement ne fait rien contre une liste d’adresses, et une nouvelle adresse ne fait rien contre une signature de poignée de main. Deux lignes, les listes blanches et les coupures d’internet, mettent en échec tous les VPN jamais conçus.

Gardez la ligne 4 en tête quand un fournisseur vous promet un VPN « indétectable ». Quand des chercheurs de l’université du Michigan et de l’université d’État de l’Arizona ont fait tourner leur méthode de détection sur un routeur qui acheminait 20 % du trafic d’un FAI, elle a repéré 34 des 41 configurations que des fournisseurs vendaient comme obfusquées. L’obfuscation est un problème de conception, pas une case à cocher, et notre guide de l’obfuscation VPN présente les principales approches.

Comment contourner un blocage de VPN sur un Wi-Fi, à l'école ou au travail ?

Les réseaux gérés bloquent les VPN de l'une des deux premières façons du tableau. Les installations bon marché n'ouvrent que les ports web (ligne 1). Les pare-feu d'entreprise identifient les applications et peuvent bloquer tous les tunnels d'un coup (ligne 2).

Face à un filtre de ports, un VPN sur TCP 443 se connecte en général, car une règle qui ne regarde que les ports ne le distingue pas d’une page web. Les configurations OpenVPN de Le VPN fonctionnent sur TCP 443, TCP 80 et UDP 53. Face au contrôle des applications, l’obfuscation passe parfois, mais ce n’est pas la bonne question pour commencer. Sur un réseau d’école ou d’entreprise, l’administrateur a décidé que les VPN n’y étaient pas autorisés, et passer outre la règle peut enfreindre les conditions que vous avez signées. Demandez une exception, ou passez sur les données mobiles pour ce qui relève du privé.

Le Wi-Fi d’un hôtel ou d’un café, c’est autre chose : le blocage y est en général l’effet secondaire d’une configuration bâclée, pas une politique. Si WireGuard refuse de se connecter, le réseau rejette probablement l’UDP. Essayez un protocole qui passe par TCP 443.

Pourquoi les sites web détectent-ils encore mon VPN, et un VPN peut-il contourner un bannissement d'IP ?

Quand le VPN se connecte et que le site web vous refuse quand même, c'est le site qui bloque (ligne 9). Il voit l'adresse du serveur VPN et la vérifie. Des bases d'adresses IP commerciales vendent précisément cette vérification. La base Anonymous IP de MaxMind marque les adresses qu'elle relie à des fournisseurs de VPN anonymes, et marque les adresses de centres de données comme appartenant à un hébergeur, ce qui attrape les serveurs VPN qu'elle ne sait pas nommer. Un site qui bloque ces deux marqueurs bloque la plupart des serveurs VPN sans jamais examiner votre trafic.

C’est pourquoi l’obfuscation n’aide pas face aux sites web. Stealth WireGuard déguise le trajet entre votre appareil et le serveur, mais le site voit toujours l’adresse du serveur, la même que celle qu’utilise WireGuard classique. Pour un site ordinaire, un serveur dont le site n’a pas signalé l’adresse peut aider, et le résultat peut changer d’une semaine à l’autre. Les services de streaming fixent leurs propres règles : la page d’aide de Netflix indique qu’un VPN peut déclencher son erreur de proxy, et que les VPN ne sont pas pris en charge pour les événements en direct ni pour les offres avec publicité. Un abonnement au service reste toujours nécessaire.

Un bannissement d’IP fonctionne de la même manière. Un VPN change l’adresse que voit un site, donc un bannissement lié à l’adresse de votre domicile ne s’applique pas tant que vous êtes connecté. Un bannissement de votre compte suit en revanche le compte, et les sites qui refusent toutes les adresses d’hébergeurs vous refusent quel que soit le serveur choisi. Certains sites vérifient aussi des signaux qu’un VPN ne modifie pas, comme le pays de votre compte, de votre carte de paiement ou de votre numéro de téléphone, si bien qu’un VPN seul peut ne pas suffire à passer ce contrôle.

Comment la Russie bloque-t-elle les VPN en 2026 ?

La Russie utilise huit des douze lignes à la fois : la ligne 3 et les lignes 6 à 12. Les boîtiers de filtrage, appelés TSPU, sont installés dans les réseaux des FAI russes et reçoivent leurs règles du régulateur, de façon centralisée. Trois constats déterminent tout le reste.

Les premiers paquets décident. Des chercheurs de l’université de Paderborn ont mesuré le filtrage russe du trafic QUIC depuis trois villes russes en mars et avril 2026. Dès que le premier paquet d’un flux déclenche un blocage, le filtre rejette tout ce qui circule sur la même paire d’adresses et de ports pendant 420 secondes, et chaque nouveau paquet relance le compteur. Seul le trafic qui sort de Russie est filtré. Une application qui réessaie sans cesse sur la même connexion entretient elle-même son blocage, et c’est pourquoi se déconnecter et changer de serveur marche mieux que de marteler le bouton de reconnexion. L’article portait sur QUIC. Dans nos propres captures de sessions bloquées basées sur WireGuard, la première salve passait et chaque tentative suivante disparaissait. Nous n’avons pas encore mesuré combien de temps dure ce blocage.

Les adresses sont notées. Un développeur de VPN a expliqué à Meduza en août que le régulateur note les serveurs sur environ 50 critères, les bloque au-delà de 25 points et accorde beaucoup de poids au volume de trafic. Un serveur très sollicité accumule les points plus vite.

Sur mobile, c’est la liste qui l’emporte. En mode liste blanche, un relevé bénévole publié en avril a compté 63 126 adresses joignables chez un grand opérateur. Même vers celles-ci, l’UDP sur les ports 443, 53 et 51820 restait sans réponse. Kommersant a publié des données de Vigo montrant qu’en juillet 2026, seules 30,5 % des sessions mobiles du district fédéral central se déroulaient sans restriction, et 12 % dans les régions frontalières de Briansk, Koursk et Belgorod.

Sur les quatre types de tunnel du tableau, deux fonctionnaient encore sur une ligne fixe fin septembre, Stealth WireGuard avec nos leurres actuels et les proxys déguisés en HTTPS depuis des adresses propres, le second seulement en mode dégradé. Sur mobile, nos tests internes ont confirmé que Stealth WireGuard se connecte. Sous la liste blanche elle-même, rien ne fonctionne. La ligne sur le DNS compte plus qu’il n’y paraît. Les deux vagues de septembre ont commencé par des applications incapables de charger leur liste de serveurs, et une application qui cherche ses serveurs par un résolveur public reçoit à la place la réponse du résolveur national.

Rien de tout cela ne rend une connexion invisible. Le réseau voit toujours que vous êtes connecté à un serveur à l’étranger. Aucune loi russe ne sanctionne l’usage d’un VPN en tant que tel, mais les règles bougent sans cesse, et notre tableau du droit russe sur les VPN indique qui chaque règle vise.

Qu'est-ce que Le VPN a changé en septembre 2026 ?

Quand les vagues de septembre ont frappé, nos applications récupéraient déjà leurs paquets leurres auprès de nos serveurs. Pendant ces vagues, nous avons testé notre configuration actuelle depuis la Russie et confirmé en interne que Stealth WireGuard se connecte et transporte le trafic sur les réseaux mobiles comme sur l'internet fixe. Les tests ont aussi montré ce qui fait la différence : déplacer un serveur sur un nouveau port n'a rien changé, alors que la forme du paquet leurre a été déterminante. Voici ce que nous faisons tourner aujourd'hui.

1. Des leurres modifiables de notre côté. Stealth WireGuard envoie désormais des paquets leurres avant la poignée de main, et leur forme est un réglage que les applications récupèrent sur nos serveurs. Quand un réseau apprend à reconnaître une forme, nous la changeons côté serveur, sans attendre l'examen d'une boutique d'applications.
2. Aucune forme WireGuard sur le réseau. Les messages de la poignée de main portent des octets aléatoires supplémentaires et des en-têtes masqués, si bien que les messages fixes de 148 et 92 octets de WireGuard, qui rendent le WireGuard simple facile à reconnaître, n'apparaissent jamais.
3. Une deuxième interface sur chaque serveur. Depuis le 28 septembre, la nouvelle génération tourne à côté de la première sur chaque serveur du réseau, avec les mêmes clés. Les applications les plus récentes s'y connectent sans nouvelle configuration, les autres y passeront dans leurs prochaines versions, et celles qui restent sur la première génération continuent de se connecter. Basculer tout le monde d'un coup aurait coupé tous ceux qui n'avaient pas fait la mise à jour.
4. Remplacer ce qui est signalé, garder ce qui est propre. Chaque adresse de serveur est désormais vérifiée dans des listes noires publiques, dont Spamhaus, Barracuda, DroneBL et AbuseIPDB. Une adresse qui atterrit sur une liste dont l'hébergeur ne la fera pas retirer est remplacée, et l'emplacement garde son nom. Plusieurs emplacements ont changé d'adresse rien que pendant la dernière semaine de septembre, certains parce que l'ancienne adresse était signalée, d'autres parce que l'ancien serveur était mis hors service. Une adresse propre avec un long historique vaut la peine d'être gardée, alors nous ne changeons pas d'adresse pour le plaisir.
5. Des déménagements invisibles pour les clients. Quand un emplacement passe à une nouvelle adresse, nous mettons à jour la liste de serveurs que téléchargent les applications et le nom DNS de l'emplacement, si bien que les clients n'ont rien à changer. Au Royaume-Uni, les noms d'emplacement pointent vers un groupe de serveurs et la réponse change toutes les minutes. Chaque adresse du groupe est testée de nouveau toutes les heures, et celle qui échoue en sort d'elle-même.

Les leurres définis par le serveur sont présents dans les applications iPhone, iPad et Apple TV à partir de la version 3.2.1 (24 septembre). L’application Mac utilise la nouvelle interface à partir de la 3.4.0 (28 septembre, en téléchargement direct ; l’édition du Mac App Store suivra après l’examen d’Apple), et les applications iPhone, iPad, Apple TV et Apple Vision Pro y passeront dans leurs prochaines versions. Si Stealth WireGuard échoue là où il fonctionnait, mettez d’abord l’application à jour, puis essayez un autre serveur.

Ce que tout cela ne fait pas : venir à bout de la liste blanche mobile ou d’une coupure d’internet, les lignes 10 et 11. Rien n’y parvient. L’objectif est plus modeste, et honnête. Partout où un réseau laisse encore le trafic sortir du pays, un serveur Le VPN doit pouvoir être joint, avec des serveurs dans plus de 100 emplacements au choix.

Qu'est-ce qui va changer ensuite ?

• La règle russe sur l'hébergement. La loi « Antifraud 2.0 », signée le 26 juin 2026, interdit aux hébergeurs russes de servir des services qui donnent accès à des ressources bloquées, services VPN compris (Xakep, Pravo.ru), et un projet de troisième paquet publié le 30 septembre exclurait les contrevenants de l'hébergement russe pendant un an. Selon la manière dont la règle sera appliquée, les lignes 7 et 8 changeraient.
• La redevance russe sur le trafic mobile. Le 23 septembre, la BBC, citée par Meduza, a rapporté que le gouvernement discutait de nouveau d'une facturation du trafic international au-delà de 50 Go par mois sur les réseaux 5G. Une source chez un opérateur a indiqué que la date de lancement et le prix restaient inconnus, et une version antérieure du projet l'avait fixée à environ 150 roubles par Go (Meduza). Un VPN n'échappe pas à une redevance prélevée sur tout le trafic qui sort du pays.
• Un filtre à apprentissage automatique. Le plan de numérisation de Roskomnadzor, rapporté en janvier 2026, réserve 2,27 milliards de roubles à un filtre de trafic fondé sur l'apprentissage automatique, que des experts s'attendent à voir tourné contre les VPN (Xakep). Aucune preuve indépendante de son utilisation n'existe encore, et le comportement observé en juin, décrit à la ligne 6, n'a besoin d'aucun réseau de neurones.
• Les leurres. Un leurre qui fonctionne aujourd'hui chez un opérateur peut être appris le mois prochain. Nous le changerons de notre côté le moment venu, et la prochaine version pour Vision Pro apportera la mise à jour au casque.

Pour vérifier d’où votre trafic semble provenir une fois connecté, utilisez notre test d’adresse IP.