Kill switch sous Linux : pourquoi votre VPN fuit en silence (et comment verrouiller vos fuites)

Le scénario est familier pour quiconque utilise Linux en mobilité : vous travaillez dans un train ou un café, votre machine bascule du réseau Wi-Fi local au partage de connexion 4G de votre téléphone, et la connexion hésite une demi-seconde. Dans votre barre d'état, l'application VPN affiche fièrement un voyant vert avec l'option « Kill Switch » cochée. Vous pensez être couvert.

Pourtant, sous le capot, vos paquets viennent de partir en clair sur le réseau local.

Sous Linux, la promesse du coupe-circuit parfait se heurte souvent à une réalité brutale. Loin d'être une barrière physique inviolable, la majorité des kill switches fournis par les clients commerciaux ne sont que des béquilles logicielles réactives. Pire : ils échouent précisément au moment où vous en avez le plus besoin.

L'illusion du bouton « Kill Switch » sur les distributions Linux

Pour comprendre la supercherie, il faut observer la manière dont le noyau Linux gère ses tables de routage.

Sur beaucoup d'applications commerciales portées à la va-vite sous Linux, le kill switch n'est rien d'autre qu'un script en espace utilisateur. Ce processus surveille passivement l'état du tunnel : s'il s'aperçoit que la connexion est tombée, il tente d'envoyer une commande pour couper la route. C'est un mécanisme purement réactif.

Le piège est mécanique. Lorsqu'un démon VPN plante ou qu'un changement de réseau brutal survient, le système d'exploitation n'attend pas les instructions de votre client VPN. Le noyau supprime immédiatement l'interface virtuelle (tun0 ou wg0) devenue muette et réactive instantanément la route par défaut via votre carte réseau physique (wlan0 ou eth0).

Pendant la fraction de seconde où l'application réalise que le tunnel a disparu, la fenêtre de fuite est grande ouverte. Vos requêtes DNS, vos jetons d'authentification et vos connexions actives s'échappent en clair. Le bouton était coché, l'interface graphique semblait rassurante, mais le système a court-circuité l'application sans le moindre avertissement.

Pourquoi les solutions artisanales (scripts iptables/UFW) deviennent un calvaire au quotidien

Conscients de cette faille, les utilisateurs avancés se tournent vers la méthode forte : écrire leurs propres règles de pare-feu avec iptables ou nftables. La logique est saine : on configure le noyau pour qu'il interdise formellement tout paquet sortant qui ne transiterait pas par l'interface chiffrée ou vers l'IP unique du serveur distant.

Sur une station fixe de bureau, l'approche est irréprochable. Mais dès que vous fermez l'ordinateur portable pour partir en déplacement, la méthode artisanale vire au cauchemar opérationnel :

• Les portails captifs : Impossible de valider la page de connexion de l'hôtel ou de la gare sans devoir désactiver manuellement votre pare-feu en ligne de commande, vous exposant sans protection sur un réseau ouvert.
• L'instabilité du routage : Un saut du Wi-Fi à l'Ethernet change vos interfaces physiques et vos métriques, rendant vos règles statiques obsolètes ou bloquant purement et simplement toute connexion sans raison apparente.
• Les conflits DNS : Les interactions complexes entre NetworkManager et systemd-resolved finissent régulièrement par laisser fuiter des requêtes vers les serveurs DNS de votre box au lieu du tunnel.

S'improviser administrateur système à chaque changement de point d'accès n'est pas une solution viable pour travailler sereinement.

Le vrai problème sous Linux : la fragilité des protocoles face aux micro-coupures

En réalité, l'obsession du kill switch révèle un angle mort majeur : pourquoi votre VPN passe-t-il son temps à décrocher ?

La plupart des services s'appuient sur des implémentations conventionnelles d'OpenVPN ou de WireGuard. Ces protocoles sont rigides : dès qu'un réseau local subit une congestion, que des paquets sont abandonnés ou que l'adresse IP locale change, la session se brise et impose une renégociation complète de clés.

Le résultat est désastreux : un kill switch agressif combiné à un protocole fragile transforme votre machine en sapin de Noël. Internet se coupe toutes les dix minutes dès que le signal faiblit, figeant vos visioconférences et vos transferts.

Ce dont un système Linux a besoin, ce n'est pas d'un coupe-circuit hystérique qui passe son temps à paralyser votre travail, mais d'une architecture capable de maintenir le tunnel ouvert même quand le réseau physique vacille. Le coupe-circuit ne doit être qu'un rempart de dernier recours, pas le mode de fonctionnement normal de votre journée.

L'approche intégrée : résilience HTTP/3 et étanchéité native sans friction

C'est ici qu'intervient une ingénierie plus moderne, incarnée par OnlydogVPN^↗. Plutôt que de bricoler des couches logicielles disparates ou de délaisser son client Linux avec une interface bâclée, ce service prend en charge le problème à la racine grâce à une refonte complète du transport réseau.

Au lieu d'utiliser des tunnels rigides faciles à désynchroniser, cette solution repose sur un protocole moderne articulé autour de HTTP/3 et d'une obfuscation de flux native. En adoptant les mécanismes de transport les plus récents, la connexion bénéficie d'une tenue de route exceptionnelle :

• Tolérance aux instabilités : Sa capacité de reprise automatique sur réseau faible ou dégradé est 60 % plus efficace que celle des protocoles classiques. Le tunnel survit aux changements d'antennes 4G ou aux micro-coupures du Wi-Fi sans forcer une renégociation visible ni détruire l'interface réseau.
• Discrétion absolue : Le trafic emprunte l'apparence d'une navigation web moderne chiffrée, traversant les pare-feux stricts sans éveiller l'attention des systèmes de filtrage locaux qui provoquent habituellement les déconnexions forcées.
• Verrouillage sans friction : Grâce à une intégration soignée et des scénarios pré-réglés en un clic, le routage et le filtrage DNS restent strictement verrouillés au niveau système, sans exiger de scripts manuels ni bloquer la machine lors des accès aux réseaux publics.

Le résultat change le quotidien : le tunnel absorbe les secousses du réseau en silence au lieu de céder la place à une coupure brutale, tout en maintenant une étanchéité parfaite en arrière-plan.

Guide d'arbitrage : comment vérifier et garantir l'étanchéité de votre machine

Pour savoir où se situe votre installation actuelle, ne vous fiez jamais à une interface graphique. Testez-la :

1. Lancez un terminal et démarrez une commande de ping continu vers une adresse externe (ping 1.1.1.1).
2. Pendant que le trafic défile sous VPN, tuez brutalement le processus du démon VPN en ligne de commande via un signal d'arrêt forcé (killall -9 sur le binaire du tunnel).
3. Observez : Si le ping continue d'émettre ne serait-ce qu'une seconde avec votre IP réelle ou si l'interface physique prend le relais, votre kill switch est une illusion réactive.

Pour arbitrer votre configuration :

• Sur une machine fixe ou un serveur dédié : un jeu de règles manuelles minimaliste sous nftables reste une solution fonctionnelle et maîtrisée.
• Sur un poste nomade (PC portable, télétravail, déplacements fréquents) : bannissez les clients tiers qui se contentent d'émuler un interrupteur cosmétique. Privilégiez un outil conçu pour éviter les coupures à la source, doté d'un protocole résilient et d'une intégration système étanche dès le premier paquet.

La vraie sécurité sous Linux ne consiste pas à accepter des coupures incessantes : elle consiste à s'appuyer sur un tunnel qui tient debout, quoi que fasse votre connexion physique.