VPN ou accès réseau zero trust : comparer pour le travail à distance
Le VPN donne accès à un réseau, le ZTNA donne accès à une application après vérification. Les deux approches comparées sur les mêmes critères, avec les cas où l'une ou l'autre se justifie.
Le travail à distance a mis à rude épreuve les accès réseau des organisations. Beaucoup ont déployé un VPN en urgence ; certaines se demandent s’il faut passer à une approche d’accès réseau zero trust (ZTNA). La comparaison entre VPN ou ZTNA est utile si elle porte sur les mêmes critères, sans promesse commerciale. La voici, en restant au niveau des principes : les produits varient.
Deux modèles d’accès
- VPNl’utilisateur rejoint le réseau, puis accède à ce que le réseau autorise
- ZTNAl’utilisateur est vérifié, puis n’accède qu’à l’application autorisée
Dans le VPN classique, une fois connecté, le poste se comporte comme s’il était dans les locaux. Dans l’approche zero trust, décrite notamment par le NIST dans sa publication SP 800-207 (2020), la position dans le réseau ne donne aucune confiance : chaque demande d’accès est évaluée selon l’identité, l’état de l’appareil et le contexte.
Comparaison sur sept critères
| Critère | VPN | ZTNA |
|---|---|---|
| Étendue de l’accès | Large : le réseau, sauf segmentation soignée | Ciblé : application par application |
| Risque en cas de compte compromis | Déplacement possible dans le réseau | Limité aux applications accordées |
| Vérification de l’appareil | Possible, souvent limitée à la connexion | Au cœur du modèle, vérifiée en continu ou à chaque accès |
| Expérience utilisateur | Connexion explicite, parfois lente | Souvent transparente, accès direct à l’application |
| Applications anciennes ou protocoles particuliers | Bien couverts | Variable selon la solution |
| Implementation | Rapide pour un premier déploiement | Plus longue : exige l’inventaire des applications et des règles d’accès |
| Exploitation | Maintenance des équipements et des correctifs | Gestion des politiques d’accès ; service souvent hébergé par un tiers |
Forces et limites de chaque approche
- simple à comprendre et à déployer ;
- couvre presque tous les protocoles ;
- maîtrise possible en interne.
- accès étendu si le compte est compromis ;
- équipements exposés à Internet, à maintenir à jour ;
- vérification de l’appareil souvent faible.
- moindre privilège par application ;
- vérification de l’identité et de l’appareil ;
- applications non exposées directement.
- demande un inventaire propre des applications ;
- dépendance possible à un fournisseur de service ;
- couverture inégale des usages anciens.
Comment choisir
- Inventorier les applications à atteindre à distance et leurs protocoles.
- Classer le risque : quelles applications portent des données sensibles ou des fonctions critiques ?
- Vérifier l’identité d’abord. Authentification multifacteur et gestion des comptes comptent plus que le choix de l’outil.
- Procéder par étapes. Placer d’abord les applications web et les plus sensibles derrière un accès par application, et garder le VPN pour les usages restants.
- Examiner l’hébergement et la réversibilité d’une solution ZTNA fournie en service : lieu de traitement des journaux, sortie du contrat.
Le choix d’un outil ne remplace ni l’authentification forte, ni les mises à jour, ni la journalisation. Le meilleur ZTNA mal configuré protège moins qu’un VPN bien tenu.
Notre lecture
Pour une petite organisation avec peu d’applications, un VPN bien tenu avec authentification forte reste raisonnable. Pour une organisation avec beaucoup d’applications, de prestataires externes ou de données sensibles, une approche par application réduit nettement la surface d’attaque. Dans tous les cas, la décision se prend sur la base de l’inventaire et du risque. Voir notre expertise cybersécurité et conformité et la démarche de diagnostic.
- NIST, SP 800-207, Zero Trust Architecture, 2020.
- ANSSI, recommandations relatives à l’interconnexion d’un système d’information à Internet et à la sécurisation des accès distants.
Questions fréquentes
Le ZTNA remplace-t-il le VPN ?
Pas toujours. Le ZTNA couvre bien les applications web et les applications modernes. Certains usages anciens, comme des protocoles réseau spécifiques, demandent encore un VPN ou une passerelle adaptée.
Qu'est-ce que le zero trust ?
Un principe d'architecture décrit notamment dans la publication NIST SP 800-207 : aucune confiance implicite accordée sur la seule position dans le réseau ; chaque accès est vérifié selon l'identité, l'état de l'appareil et le contexte.
Un VPN est-il dangereux ?
Un VPN bien configuré, à jour et protégé par une authentification forte reste utile. Le risque tient surtout à l'accès étendu qu'il donne si un compte ou l'équipement est compromis, et aux failles des équipements non mis à jour.