Tunnel WireGuard, GRE ou EOIP : lequel choisir ?

À quoi sert un tunnel IP ?

Un tunnel IP fait passer le trafic d'un réseau à travers un autre, comme dans un tuyau. Il sert à deux choses principales :

• Relier des sites : deux datacenters, un bureau et un serveur, plusieurs routeurs, comme s'ils étaient sur le même réseau.
• Exposer des adresses IP protégées : votre serveur reste chez vous ou chez un autre hébergeur, mais le public passe par des adresses IP situées derrière un réseau filtré contre les attaques DDoS.

Le choix du protocole dépend de trois questions : avez-vous besoin de chiffrement, de quelle couche réseau parle-t-on, et quel matériel avez-vous de l'autre côté ?

WireGuard : le choix par défaut

WireGuard est un VPN moderne, intégré au noyau Linux depuis la version 5.6. Il fonctionne en couche 3 (il transporte des paquets IP) et chiffre tout le trafic avec des algorithmes récents : ChaCha20, Poly1305 et Curve25519.

Ses points forts :

• une configuration courte, avec une paire de clés de chaque côté ;
• de bonnes performances, même sur du matériel modeste ;
• des clients pour Linux, Windows et macOS.

Choisissez WireGuard si vous voulez un tunnel chiffré sans vous poser de question, pour relier des serveurs ou donner un accès sécurisé à une équipe.

GRE : simple et universel

GRE (Generic Routing Encapsulation) encapsule des paquets IP dans d'autres paquets IP. C'est aussi de la couche 3, mais sans chiffrement. En contrepartie, c'est le protocole le plus répandu : presque tous les routeurs et systèmes savent le monter.

Choisissez GRE pour une interconnexion réseau classique, sur une infrastructure de confiance, ou quand l'équipement d'en face ne connaît que GRE. Si les données sont sensibles, ajoutez un chiffrement au niveau de l'application (HTTPS, TLS, SSH).

EOIP : relier des réseaux MikroTik en Ethernet

EOIP (Ethernet over IP) est un protocole propre à MikroTik. Il transporte des trames Ethernet, c'est-à-dire de la couche 2 : vos deux réseaux distants se comportent comme s'ils étaient branchés sur le même commutateur.

EOIP ne chiffre pas par lui-même, mais il se combine avec IPsec pour chiffrer le trafic de bout en bout.

Choisissez EOIP si vous avez des routeurs MikroTik des deux côtés et que vous avez besoin d'un vrai réseau Ethernet partagé (VLAN, protocoles de couche 2).

Le comparatif en résumé

• WireGuard : couche 3, chiffré, Linux / Windows / macOS. Pour un accès sécurisé entre sites et équipes.
• GRE : couche 3, non chiffré, la plupart des équipements réseau. Pour une interconnexion IP classique.
• EOIP : couche 2, chiffrement IPsec en option, routeurs MikroTik. Pour étendre un réseau Ethernet.

Et la protection anti-DDoS ?

Le protocole ne protège pas des attaques à lui seul. Ce qui compte, c'est où arrive le trafic public. Avec un tunnel IP, les attaques frappent les adresses IP de l'hébergeur du tunnel, filtrées en amont, et seul le trafic légitime descend dans le tunnel vers votre serveur.

Chez VexCloud, les tunnels arrivent à Equinix PA6 à Paris, derrière un filtrage en deux couches : nos trois fournisseurs d'IP transit (Gcore, Netrix et EASIO-COM) pour les attaques volumétriques, puis un script XDP maison au niveau du noyau Linux.

Combien ça coûte ?

Le Tunnel IP VexCloud se compose dans un configurateur :

• bande passante : 0,50 € par Mbps, facturée au 95e percentile (voir notre explication du 95e percentile) ;
• IPv4 : 1 € par adresse et par mois ;
• IPv6 : gratuites, jusqu'à 254 ;
• IPsec pour EOIP : en option et gratuit.

Le premier palier, 5 Mbps avec une IPv4, revient à 3,50 € par mois.