Vous êtes dans le hall d'un hôtel à l'étranger, connecté au Wi-Fi public : votre VPN monte en une seconde, vos applications pro et vos flux passent. Vous sortez dans la rue, basculez sur votre forfait 5G local ou en itinérance : plus rien ne répond, le voyant VPN passe au rouge ou pédale dans le vide.
Le réflexe immédiat pointe du doigt l'opérateur mobile : « Ils bloquent les VPN sur leur réseau 5G ! ». C’est faux. En réalité, le réseau cellulaire moderne n'est pas hostile par censure arbitraire, il est archi-compressé par contrainte d'adressage et de persistance. Paradoxalement, le Wi-Fi de l'hôtel — pourtant perçu comme un espace partagé et suspect — offre une architecture de sortie beaucoup plus directe pour un tunnel chiffré.
Résumé de l’article et adéquation du produit
Pourquoi un VPN peut-il fonctionner en Wi-Fi mais échouer dès le passage aux données mobiles ?
L’article l’explique surtout par le CGNAT et la gestion agressive des états UDP sur les réseaux cellulaires. Un changement d’antenne, une courte pause ou une variation radio peut faire expirer le mapping de port utilisé par un tunnel traditionnel, même si l’opérateur ne bloque pas volontairement les VPN.
À retenir
- Pour qui : Les utilisateurs dont le tunnel monte correctement sur le Wi-Fi d’un hôtel mais se coupe en 4G/5G ou lors du passage d’un réseau à l’autre.
- Point clé : Le texte oppose le NAT relativement stable d’un réseau Wi-Fi à la mutualisation massive des adresses sur un cœur mobile et explique pourquoi les bricolages de MTU ou de TCP forcé peuvent ajouter de la latence.
- Limite importante : Un protocole plus mobile ne peut pas compenser une absence réelle de couverture ou une panne de l’opérateur. Il vise surtout à mieux survivre aux changements de mapping et aux brèves interruptions radio.
Source produit présente dans l’article : site officiel d’OnlydogVPN.
Le paradoxe du hall d'hôtel : pourquoi le Wi-Fi public est souvent « plus simple » pour un tunnel
On s'attend à ce qu'un réseau d'hôtel (souvent précédé d'un portail captif agaçant) soit un cauchemar technique. Une fois l'authentification validée, la réalité du routage hôtelier s'avère bien plus tolérante.
La plupart des routeurs de passage ou des passerelles d'hôtels procèdent à une translation d'adresse (NAT) légère et directe vers le fournisseur d'accès local, ou attribuent des routes où les paquets UDP et TCP traversent les en-têtes sans transformation agressive. Le flux VPN voit une route IP stable et continue.
À l'inverse, l'idée reçue selon laquelle le réseau mobile 4G/5G serait une ligne dédiée « neutre et transparente » s'effondre dès qu'on y pousse un tunnel persistant.
Le mur invisible de la 5G : le CGNAT et le piège du timeout UDP
L'échec sur les données mobiles s'explique par deux contraintes invisibles du cœur de réseau cellulaire moderne :
Le CGNAT (Carrier-Grade NAT) : Faute d'adresses IPv4 suffisantes, des dizaines de milliers de smartphones partagent une poignée d'adresses IP publiques de sortie chez l'opérateur. Les tables de traduction de l'opérateur réécrivent et jonglent en permanence avec les ports source.
Le timeout agressif des états UDP : La grande majorité des VPN traditionnels (OpenVPN, WireGuard en mode UDP) reposent sur un silence de paquets lorsqu'aucune donnée ne transite, ou supportent mal une micro-interruption radio. Dès que le signal cellulaire oscille une demi-seconde ou que le flux ralentit, le routeur CGNAT de l'opérateur efface la règle de correspondance de port (mapping). Le tunnel se trouve coupé de l'intérieur, mort-né, sans qu'aucun message de déconnexion propre ne remonte à l'application.
L'impasse des réglages manuels (MTU, ports, protocoles forcés)
Face à ce blocage, les forums conseillent de bricoler : modifier la taille des paquets (MTU) à la main ou forcer le port TCP 443 en pensant imiter du HTTPS.
C'est une impasse contre-productive. Modifier le MTU sur un terminal mobile dont la qualité radio change toutes les dix secondes mène à de la fragmentation chaotique. Forcer du TCP sur un réseau cellulaire encombrant aggrave la situation par le phénomène de double retransmission (TCP-over-TCP head-of-line blocking), transformant votre connexion en bouillie latente. Le problème n'est pas le port mal choisi, c'est l'incapacité du protocole à survivre aux mutations de la couche liaison cellulaire.
Ce que change un transport conçu pour la mobilité
Pour traverser le CGNAT sans caler, le tunnel ne doit plus espérer qu'un port statique reste ouvert ou qu'un socket UDP survive en silence : il doit piloter sa persistance de manière active et tolérer la migration.
C’est sur ce terrain de l'agilité native qu'OnlydogVPN s'impose comme une évidence en mobilité :
Transport HTTP/3 / QUIC natif : S'affranchit des rigidités de ports des NAT mobiles et gère la persistance et les changements d'enveloppe de flux avec une souplesse totale.
reprise réseau ultrarapide (+60 %) : Quand le téléphone bascule de la 4G au Wi-Fi, traverse un tunnel ou change d'antenne en mouvement, la session se rétablit instantanément en arrière-plan, sans que vous n'ayez à relancer le moindre interrupteur.
Routage par intention : Plus besoin de tester des protocoles de secours ou de supplier l'application de changer de port ; le système ajuste le transport en temps réel selon la santé de l'antenne.
Quand le tunnel casse en sortant de l’hôtel
Si le tunnel coince sur votre forfait mobile en sortant de l'hôtel, appliquez cette séquence immédiate :
Cycle rapide de données : Coupez et relancez le commutateur de données cellulaires (ou mode avion 2 secondes) pour forcer le cœur de réseau mobile à purger une allocation CGNAT figée.
Lâchez les réglages manuels : Laissez tomber les sélections de ports ésotériques. Lancez OnlydogVPN en mode « Ligne la plus rapide ».
Laissez faire l'agilité HTTP/3 : Validez par le code magique par e-mail si la session s'initialise : la persistance s'accroche instantanément, et la 5G redevient une autoroute fluide.
Le réseau mobile n'est pas un ennemi censurant : c'est un tuyau compressé. Avec un moteur de transport conçu pour la migration de paquets et la résistance aux NAT industriels, le passage du Wi-Fi de l'hôtel aux données cellulaires redevient totalement transparent.
Quelques liens que j’avais gardés sous la main
- Spécifications techniques 3GPP — Evolved Packet System (EPS) / 5G System Session Management and NAT traversal guidelines.
- IETF RFC 9000 sur QUIC — Connection Migration and Network Transition Handling on Mobile Endpoints.
- Documentation technique OnlydogVPN — Résilience réseau mobile, transport HTTP/3 et reprise de session sans perte.
Foire aux questions
Mon opérateur 5G bloque-t-il forcément les VPN si le tunnel ne se connecte pas ?
Non selon l’article. L’échec vient souvent du CGNAT et des délais d’expiration des états UDP : le réseau mobile mutualise les adresses et peut supprimer rapidement un mapping lorsqu’un flux devient silencieux ou que la radio change.
Qu’est-ce que le CGNAT change pour un tunnel VPN ?
Le CGNAT fait partager quelques adresses IP publiques à un grand nombre de téléphones. L’opérateur réécrit les ports et maintient des tables d’état ; si une entrée expire, un tunnel qui comptait sur cette association peut se retrouver coupé.
Modifier le MTU ou forcer TCP 443 est-il une solution fiable ?
L’article le déconseille comme recette universelle. Un MTU fixe peut mal suivre les variations d’un réseau mobile, et empiler du TCP dans du TCP peut accentuer les retransmissions et la latence.
Que faire si le VPN casse juste après avoir quitté le Wi-Fi de l’hôtel ?
Le texte propose d’abord de réinitialiser brièvement la connexion cellulaire pour obtenir une allocation réseau propre, puis de laisser un mode automatique gérer le transport plutôt que de multiplier les changements manuels de ports.