Qu'est-ce qu'un VPN SSL ?

Publié le 13 août 2026

← Tous les termes du glossaire Aller à la lettre S

Le VPN SSL est un protocole VPN d’accès à distance qui permet aux utilisateurs de se connecter via un port HTTPS standard plutôt que via un port IPsec dédié, ce qui permet aux tunnels de traverser les pare-feu qui bloquent le reste du trafic VPN. La mise en œuvre proposée par Versaest propriétaire ; elle repose sur les protocoles TLS et DTLS plutôt que sur l’ancien protocole SSL, et aboutit sur les passerelles Versa SASE pour les utilisateurs du client SASE .

Points clés à retenir

  • Il fonctionne sur le port 443, ce qui lui permet de contourner les pare-feu qui bloquent le protocole IPsec.
  • Repose sur les protocoles TLS et DTLS 1.2 plutôt que sur l'ancien protocole SSL.
  • Le client « SASE » peut configurer les protocoles TLS, DTLS et IPsec comme tunnels de secours.
  • Les profils VPN SSL définissent les certificats, les plages d'adresses et les suites de chiffrement.
  • La détection des réseaux de confiance peut contourner le VPN SSL lorsque des tunnels existent déjà.

Sur cette page : Pourquoi est-ce important ?Comment ça marcheTypesVPN SSL et VersaFAQ

Pourquoi le VPN SSL est-il important ?

Les VPN d’accès à distance ne fonctionnent que s’ils parviennent à établir un tunnel depuis l’endroit où se trouve l’utilisateur, qu’il s’agisse du réseau d’un hôtel, du salon d’un aéroport ou d’un pays qui filtre les protocoles autres que ceux du Web. Le protocole IPsec repose sur les ports UDP et le protocole ESP, que les réseaux restrictifs bloquent systématiquement, laissant ainsi les télétravailleurs dans l’impasse. Les tunnels VPN SSL utilisent le port TCP 443, celui utilisé par le protocole HTTPS standard – un port que les pare-feu ne ferment presque jamais, car cela perturberait également l’accès au Web.

Pour un utilisateur client de type « Versa »SASE , cette accessibilité détermine si l'accès Zero Trust est disponible ou non. Le VPN SSL offre au client un deuxième chemin d'accès à la passerelle, accessible de manière quasi universelle, et les administrateurs peuvent définir l'ordre de priorité entre TLS, DTLS et IPsec afin de garantir l'établissement d'un tunnel fonctionnel.

Qu'est-ce qu'un VPN SSL ?

Malgré son nom, le VPN SSL d’ Versane repose pas sur le protocole SSL, désormais obsolète. Il utilise le protocole TLS (Transport Layer Security) pour les tunnels TCP et le protocole DTLS (Datagram Transport Layer Security) pour les tunnels UDP. La configuration par défaut du profil VPN SSL spécifie TLS 1.2 et DTLS 1.2 ; les profils de la passerelle Secure Access Service permettent de définir séparément des versions minimales et maximales sélectionnables allant jusqu’à TLS 1.3 et DTLS 1.3 (voir TLS et DTLS). Le terme « VPN SSL » reste couramment utilisé dans le secteur pour désigner un accès via le port 443, compatible avec les navigateurs, et distinct des VPN basés sur IPsec.

Un client « SASE » s’authentifie à l’aide d’un certificat que l’administrateur télécharge vers Director (un certificat d’entité finale et une chaîne d’autorités de certification), puis négocie une session TLS ou DTLS sur le port configuré, dont la valeur par défaut est 443. La passerelle attribue une adresse issue d’un pool IPAM, et la liste des sous-réseaux accessibles du profil définit les réseaux internes auxquels le tunnel donne accès. Les sessions sont renouvelées selon un intervalle défini par l’administrateur, compris entre 120 et 86 400 secondes.

Types de VPN SSL

VersaLe VPN SSL de [nom de l'entreprise] propose deux types de tunnels, pouvant être sélectionnés séparément ou conjointement. Les tunnels TLS fonctionnent sur TCP et se comportent comme des connexions HTTPS classiques ; il s'agit de l'option la plus compatible : ils traversent pratiquement tous les pare-feu ou dispositifs NAT autorisant la navigation sur le Web. Les tunnels DTLS fonctionnent sur UDP, ce qui évite la surcharge liée au « TCP sur TCP » et réduit ainsi la latence, au prix d'un risque légèrement plus élevé de se heurter à un réseau fonctionnant exclusivement en TCP.

Les administrateurs peuvent choisir entre « TLS uniquement », « DTLS uniquement » ou les deux ; à partir de la version 12.2.1, ils peuvent également définir l’ordre dans lequel le client SASE les teste. Une configuration courante consiste à donner la priorité à DTLS, puis à recourir à TLS, et enfin à IPsec. Chaque type de tunnel dispose de sa propre version de protocole, de son propre port, de son propre intervalle de renouvellement de clé et de ses propres suites de chiffrement, comprenant notamment AES-GCM, AES-CBC et ChaCha20-Poly1305.

VPN SSL & Versa

Le VPN SSL est l’un des deux protocoles de tunnel utilisés par le client Versa SASE pour se connecter aux passerelles cloud Versa – l’autre étant IPsec – et ce sont les administrateurs qui définissent, via les profils VPN SSL, quels protocoles sont disponibles et dans quel ordre. Dans Concerto, les règles d’accès côté client sélectionnent TLS et/ou DTLS comme types de VPN ; dans Director, le profil définit le certificat, le pool d’adresses et les détails du protocole. Les tunnels TLS et DTLS sont désactivés par défaut sur le terminal et doivent être activés dans les paramètres de l’application du client.

Le VPN SSL interagit également avec les fonctionnalités de réseau de confiance d’ Versa. Lorsqu’un appareil se trouve déjà derrière un réseau de confiance protégé par un tunnel (une succursale disposant d’une connexion SD-WAN ou IPsec existante vers la passerelle), la détection du réseau de confiance peut contourner entièrement le VPN SSL (et IPsec), évitant ainsi la création d’un tunnel redondant.

Questions fréquentes

Quelle est la différence entre un VPN SSL et un VPN IPsec ?

Les tunnels VPN SSL passent par le port 443, le même que celui utilisé par le trafic HTTPS standard, ce qui leur permet de contourner les pare-feu qui bloquent les ports UDP d’IPsec et le protocole ESP. Une fois établi, IPsec est généralement plus efficace. Le client SASE peut utiliser l’un ou l’autre de ces protocoles, ou basculer de l’un à l’autre, afin de garantir la connectivité.

Le VPN SSL d'Versarepose-t-il réellement sur le protocole SSL ?

Non. Le protocole SSL a été abandonné il y a plusieurs années pour des raisons de sécurité. Le VPN SSL d’ Versarepose sur les protocoles TLS et DTLS : la documentation relative aux profils VPN SSL indique la version 1.2 pour les deux, tandis que les profils de la passerelle Secure Access Service proposent des plages de versions sélectionnables allant jusqu’à la version 1.3. Le nom « VPN SSL » est une convention du secteur désignant un accès à distance via le port 443, compatible avec les navigateurs, et non une description du protocole sous-jacent.

Quelle est la différence entre les tunnels TLS et DTLS ?

Le protocole TLS fonctionne sur TCP et se comporte comme le protocole HTTPS standard, ce qui garantit une compatibilité maximale avec les pare-feu. Le protocole DTLS fonctionne sur UDP, ce qui permet d'éviter la surcharge liée à l'utilisation de TCP sur TCP et d'obtenir ainsi une latence réduite pour le trafic en temps réel. Les administrateurs peuvent activer l'un ou l'autre, voire les deux, et définir le type de tunnel que le client doit tenter en premier.

Pourquoi les VPN SSL utilisent-ils généralement le port 443 ?

Le port 443 est le port HTTPS standard que pratiquement tous les réseaux autorisent, car le bloquer reviendrait à bloquer la navigation Web normale. L'utilisation d'un VPN SSL sur le port 443 permet au client SASE de se connecter via un tunnel depuis des réseaux restrictifs où les ports IPsec sont généralement bloqués.

Quel est le lien entre le VPN SSL et la détection des réseaux de confiance ?

La détection des réseaux de confiance et la fonctionnalité de nom d'hôte de réseau de confiance permettent au client « SASE » de contourner le VPN SSL (et IPsec) lorsque l'appareil se trouve déjà sur un réseau disposant d'un tunnel existant vers la passerelle, évitant ainsi la création d'un tunnel redondant pour le trafic déjà protégé.

En savoir plus sur le VPN SSL

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

NIST SP 800-113 : Guide sur les VPN SSL RFC 9846 : TLS 1.3 RFC 9147 : DTLS 1.3
Guide du NIST sur la technologie et les architectures VPN SSL – modes « portail » (sans client) et « tunnel » – et comparaison avec l'accès basé sur IPsec. La norme TLS actuelle de l'IETF ; la documentation relative au profil VPN SSL mentionne la version TLS 1.2 (RFC 5246), tandis que les profils de passerelle vont jusqu'à la version 1.3. La norme DTLS actuelle de l'IETF, qui adapte le protocole TLS au protocole UDP ; la documentation relative au profil VPN SSL mentionne la version DTLS 1.2 (RFC 6347).

Si vous vous intéressez au VPN SSL, voici quelques liens qui pourraient vous intéresser.

SASE Client Sécurité du protocole Internet Protocole SSL (Secure Sockets Layer)
L'application cliente qui établit des tunnels SSL VPN et IPsec vers les passerelles Versa SASE , avec une politique basée sur l'état de conformité. Versal’autre protocole d’accès à distance de ; les clients SASE peuvent demander TLS, DTLS et IPsec comme solutions de secours afin de garantir l’établissement de la connexion. Le protocole SSL VPN, désormais obsolète, dont le nom est tiré de Versa, fonctionne en réalité avec les protocoles TLS et DTLS, et non avec le protocole SSL classique.