Comment WireGuard peut-il afficher un handshake récent alors qu’aucun trafic utile ne revient ?
WireGuard : transfert bloqué malgré un handshake réussi — pourquoi vos paquets partent dans le vide et comment en sortir
L’écran sous vos yeux affiche un voyant vert rassurant. Dans l’application WireGuard, la mention indique « Actif », le dernier échange (*Latest handshake*) s'est produit il y a tout juste quelques secondes, et le compteur d’envoi affiche fièrement plusieurs kilo-octets transmis. Pourtant, lorsque vous ouvrez votre navigateur, rien ne charge. Vos onglets tournent indéfiniment, vos messages restent en attente d'expédition et le compteur d’octets reçus reste désespérément bloqué à zéro.
Face à ce silence radio, le réflexe immédiat consiste à accuser sa box, à redémarrer son Wi-Fi ou à réinstaller le profil de configuration. C’est une fausse piste. Vous êtes tombé dans le piège le plus classique et le plus déroutant de cette technologie : l'illusion d'une liaison active qui ne transporte absolument rien.
Résumé de l’article et adéquation du produit
Comment WireGuard peut-il afficher un handshake récent alors qu’aucun trafic utile ne revient ?
L’article rappelle qu’un handshake confirme surtout l’échange cryptographique entre pairs ; il ne prouve pas que les routes, la taille des paquets ou le chemin de retour fonctionnent. Il propose donc de vérifier séparément MTU, AllowedIPs, maintien de la translation UDP et DNS.
Points clés et contexte
- À retenir : Un indicateur de handshake ne suffit pas à valider l’accès Internet : le plan de contrôle peut fonctionner alors que le plan de données reste mal routé.
- Pour qui : Les utilisateurs qui administrent un profil WireGuard et voient des octets envoyés, peu ou pas d’octets reçus et des applications qui restent bloquées.
- Adéquation du produit : L’article présente OnlydogVPN comme une solution gérée pour les personnes qui ne veulent pas maintenir elles-mêmes MTU, keepalive et tables de routage sur chaque réseau.
- Limite importante : La page ne fournit aucune source externe et son affirmation selon laquelle trois causes couvriraient « 95 % » des cas n’est pas vérifiée. Les valeurs MTU et keepalive doivent être adaptées au contexte plutôt que traitées comme universelles.
Sources et portée : Aucun lien externe n’est présent dans l’article d’origine ; les valeurs de configuration et les affirmations de fréquence sont donc rapportées comme des pistes du texte, pas comme des règles universelles.
L'illusion du voyant vert : une poignée de main n'est pas une connexion
Pour comprendre ce blocage, il faut dissiper une confusion fondamentale entretenue par l'interface. Un *handshake* réussi ne signifie pas que vous avez accès à Internet ; il signifie uniquement que deux machines ont validé mutuellement leurs clés cryptographiques.
Contrairement aux protocoles historiques qui négocient une véritable session avec le serveur (comme un appel téléphonique où l’on attend que le correspondant décroche et confirme qu'il entend), ce système fonctionne de manière totalement silencieuse et sans état persistant (*stateless*). Votre appareil envoie une signature chiffrée, le serveur distant la reconnaît et renvoie un accusé de réception cryptographique.
La poignée de main est bouclée. Mais à cet instant précis, le serveur n’a pas encore confirmé s'il est capable d'acheminer vos données vers le web, ni si la route du retour est praticable. Vos paquets partent bien de votre ordinateur ou de votre téléphone, mais ils disparaissent dans le vide sitôt la frontière franchie.
Les trois coupables silencieux : MTU, routage et fermeture de port
Lorsque ce scénario se produit, l'absence totale de message d'erreur complique la tâche. Dans 95 % des situations réelles, le blocage provient de trois mécanismes invisibles :
1. **Le trou noir de la MTU (paquets trop volumineux) :**
Chaque paquet de données qui circule sur Internet possède une taille maximale autorisée (la MTU). Lorsque vous activez un tunnel chiffré, celui-ci ajoute ses propres en-têtes de sécurité, ce qui réduit l'espace disponible pour vos données. Si votre configuration impose une taille standard alors que votre connexion mobile (4G/5G) ou votre box applique un plafond plus bas, les petites requêtes passent sans encombre, mais dès qu'une page web tente de charger un élément lourd, le routeur intermédiaire détruit le paquet en silence sans avertir personne.
1. **Le verrouillage strict d’AllowedIPs côté serveur :**
Ce protocole s'appuie sur un routage par clé cryptographique (*Cryptokey Routing*). Si l'adresse IP interne attribuée à votre appareil n'est pas explicitement inscrite dans la liste blanche de la configuration du serveur distant, ce dernier applique une consigne stricte : il accepte vos requêtes entrantes mais détruit immédiatement toute réponse au lieu de vous la réexpédier.
1. **Le port UDP refermé par votre routeur ou votre opérateur :**
En déplacement, sur les réseaux Wi-Fi publics, dans les hôtels ou via les forfaits mobiles soumis au partage d'adresses (CGNAT), les routeurs nettoient agressivement leurs tables de connexion. Si aucun paquet n'est échangé pendant quelques dizaines de secondes, la porte d’entrée referme son accès UDP. Le tunnel croit toujours être en ligne, mais plus rien ne peut rentrer de l'extérieur.
Le protocole de dépannage rapide : trois tests à exécuter
Avant d'abandonner votre configuration, trois ajustements manuels permettent souvent de débloquer le flux :
- **Ajustez la MTU à la baisse :** Ouvrez votre fichier de configuration et fixez manuellement `MTU = 1280` sous la section `[Interface]`. Il s'agit du seuil de compatibilité universel garanti. Si vos pages se remettent à charger, vous étiez victime de fragmentation de paquets.
- **Forcez le maintien de ligne :** Ajoutez la ligne `PersistentKeepalive = 25` dans la section `[Peer]`. Cela oblige votre équipement à envoyer un micro-signal régulier toutes les 25 secondes, empêchant les pare-feux d'hôtel et les antennes cellulaires d'oublier votre canal de retour.
- **Testez l'adresse IP directe :** Essayez d'ouvrir `1.1.1.1` directement dans votre barre d'adresse. Si la page s'affiche mais que les noms de domaine comme *google.fr* échouent, le routage fonctionne : c’est simplement l’adresse de votre serveur de noms (`DNS = ...`) qui est injoignable ou filtrée.
L'impasse de la maintenance manuelle
Ces manipulations démontrent une réalité cruelle : administrer soi-même un tunnel brut relève d'un travail d'ingénieur réseau. Devoir éditer des fichiers texte, recalculer des octets de paquets selon que l'on passe de sa box fibre au Wi-Fi d'un train, et surveiller des compteurs de transfert n'a rien d'une expérience normale pour sécuriser ses appareils du quotidien.
C’est précisément là que réside la valeur d'un service abouti comme **OnlyDogs VPN**. Plutôt que de contraindre l'utilisateur à subir la rigidité de configurations manuelles et les pannes invisibles des ports UDP nus, cette application déploie une architecture moderne en HTTP/3 avec camouflage intégré du trafic.
La différence à l'usage est immédiate : vous ne vous battez plus contre des tables de routage ou des paquets perdus. Le système adapte automatiquement son transport, découvre le meilleur chemin en temps réel et résiste aux limitations des pare-feux stricts.
Surtout, sa mécanique de récupération sur réseau dégradé ou lors d'un passage instantané du Wi-Fi à la 4G se montre jusqu'à 60 % plus rapide que les protocoles conventionnels. Dès qu'une perturbation survient, la liaison se rétablit d'elle-même sans jamais vous laisser face à une connexion figée et un compteur d'octets muet.
Bricoler son réseau ou exiger un service qui fonctionne
Configurer des fichiers WireGuard à la main reste une excellente solution pour relier deux serveurs d'entreprise ou accéder à son laboratoire personnel. Mais pour protéger un ordinateur portable sous Windows ou Mac, ou naviguer sereinement sur iPhone et Android, cette maintenance artisanale devient vite une charge mentale inutile.
En remplaçant les réglages ésotériques par des scénarios d'intention limpides (« Vitesse maximale », « Protection renforcée », « Streaming ») et en supprimant la contrainte des mots de passe complexes grâce à un accès instantané par code magique par e-mail, ce service rétablit la bonne priorité.
Un outil de protection réseau n'est pas conçu pour vous faire admirer un statut cryptographique théorique dans une fenêtre d'administration : il doit simplement faire circuler vos données, sans accroc, dès la première seconde.
Questions fréquentes
Que prouve réellement un handshake WireGuard récent ?
Il montre que les pairs ont pu effectuer l’échange cryptographique décrit dans l’article. Il ne confirme pas à lui seul que la route vers Internet, le retour des paquets ou le DNS fonctionnent correctement.
Pourquoi des paquets peuvent-ils partir mais ne jamais revenir ?
Le texte cite notamment une MTU inadaptée, une configuration AllowedIPs qui ne correspond pas à l’adresse attendue et une translation UDP qui a expiré dans un routeur ou un réseau intermédiaire.
À quoi sert PersistentKeepalive dans le scénario décrit ?
L’article l’utilise pour envoyer périodiquement un petit paquet et maintenir ouverte une association NAT/UDP sur les réseaux qui oublient rapidement les flux inactifs.
Comment distinguer un problème de routage d’un problème DNS ?
Le principe proposé est de tester d’abord si une destination IP peut être jointe, puis de comparer avec une requête par nom. Si l’IP fonctionne mais pas le nom, le diagnostic se déplace vers la résolution DNS.