IKEv2 vs OpenVPN : deux architectures, un arbitrage stratégique

Architecture et logique interne

IKEv2/IPsec : négociation dédiée, data plane kernel

IKEv2/IPsec repose sur deux couches distinctes :

• IKEv2 (UDP 500/4500) : négociation cryptographique, authentification, Perfect Forward Secrecy.
• IPsec ESP (protocole 50) : chiffrement et authentification du trafic en kernel-space.

Implications structurelles :

• Overhead d’environ 30 octets par paquet.
• Performances stables grâce à l’absence de context switching userspace/kernel.
• Stack imposée par l’OS : adaptation limitée.
• Cycles de mise à jour dépendants d’Apple, Microsoft ou des distributions Linux.

Verdict opérationnel :
IKEv2 excelle dans un réseau propre. Dès qu’UDP 500/4500 est filtré, il n’a plus aucune marge de manœuvre : son architecture ne lui permet tout simplement pas de s’adapter.

OpenVPN : TLS userspace, flexibilité totale

OpenVPN encapsule le trafic dans un tunnel TLS 1.3 en userspace, sur UDP ou TCP, avec AES-GCM ou ChaCha20.

Implications :

• Contrôle total : ports custom, cipher suites, MTU, keepalive, fragmentation.
• Portabilité absolue sur tous OS et routeurs.
• Overhead d’environ 50–60 octets.
• Charge CPU plus élevée sur architectures mobiles ARM.
• Fonctionnement sur n’importe quel port (443, 80, 53…), avec obfuscation possible via stunnel ou obfs4.

Verdict opérationnel :
OpenVPN passe partout : s’il existe un port disponible, il l’exploitera.

Mobilité et stabilité réseau

IKEv2 : MOBIKE, continuité sub-200 ms

IKEv2 intègre MOBIKE (RFC 4555), qui maintient les tunnels VPN lors d’un changement d’adresse IP — bascule Wi-Fi → 4G, changement de cellule, réseau captif.

Résultat en conditions réelles :

• Reprise de connexion en 50–200 ms.
• Zéro interruption perceptible.
• Applications temps réel (VoIP, visioconférence, streaming) maintenues.

Limitations :

• Dépend strictement d’UDP 500 et 4500.
• Ports non modifiables.
• Déconnexion prolongée (>5–10 minutes) → renégociation complète.

Vérité terrain :
Lorsque IKEv2 est bloqué, le tunnel ne se rétablit jamais et aucun message d’erreur exploitable n’apparaît. L’utilisateur pense à un problème réseau ; l’administrateur cherche au mauvais endroit.

OpenVPN : reconnexion plus lente, mais fonctionne partout

Lors d’un changement d’adresse IP, OpenVPN doit effectuer un nouveau handshake TLS complet.

Temps de reprise :

• OpenVPN UDP : 800–1500 ms
• OpenVPN TCP : 1200–2500 ms

Moins rapide qu’IKEv2, mais beaucoup plus robuste lorsque le réseau est hostile.

Capacités de contournement :

• Ports configurables : 443, 80, 53, ou tout port non standard.
• Mode TCP → mimétisme HTTPS.
• Obfuscation via stunnel, obfs4, Shadowsocks pour contourner la DPI.

Vérité terrain :
1 à 2 secondes de reconnexion, mais un fonctionnement assuré derrière 95 % des firewalls où IKEv2 échoue silencieusement.

3. Performance et overhead

Desktop x86 : différence négligeable

• Avec AES-NI, les deux saturent un cœur CPU entre 800 et 1200 Mbps.
• Différence <10 %, imperceptible en usage réel.

Déploiement, compatibilité, firewalls

IKEv2 : intégration native, rigidité réseau

Support natif : iOS/macOS, Windows, Android 11+, Linux (StrongSwan/libreswan).

Atouts entreprise :

• Déploiement silencieux via MDM ou GPO.
• Administration native OS.

Limites structurelles :

• Ports figés : UDP 500 et 4500.
• Aucun fallback TCP.
• Implémentations Apple/Microsoft non auditables.
• Filtrage opaque dans de nombreux réseaux d’entreprise ou hotspots.

Verdict opérationnel :
Si le réseau filtre IPsec, IKEv2 est condamné et rien ne l’indique clairement à l’utilisateur.

OpenVPN : universalité, ports libres, résistance aux restrictions

Forces décisives :

• UDP ou TCP sur n’importe quel port.
• TCP 443 → mimétisme HTTPS.
• Obfuscation possible contre DPI.
• Paramétrage fin sur tous OS.

Inconvénients :

• Installation d’un client tiers.
• Overhead supérieur.

Verdict opérationnel :
Si le VPN doit fonctionner dans un environnement imprévisible ou hostile (DPI actif, réseaux d’entreprise, hôtels, censure) : OpenVPN TCP 443.

• OpenVPN : totalement open source, audits réguliers OSTIF/QuarksLab/Trail of Bits.
• IKEv2 : StrongSwan/libreswan open source, mais implémentations Apple/Microsoft fermées.

Cas d’usage et décision

Matrice décisionnelle

• Mobilité, roaming : IKEv2 — MOBIKE, reprise <200 ms, autonomie mobile.
• Firewall restrictif / censure : OpenVPN TCP 443 — mimétisme HTTPS.
• Entreprise / MDM : IKEv2 — intégration native, déploiement silencieux.
• Infrastructure hétérogène : OpenVPN UDP — client universel, ports libres.
• Performance brute : WireGuard — kernel minimaliste, roaming natif.

La décision centrale

IKEv2 excelle lorsque le réseau coopère.
OpenVPN excelle lorsqu’il ne coopère pas.

Le choix n’est donc pas une question de performance, mais de terrain : celui de vos utilisateurs, celui des firewalls qu’ils traversent, et celui que vous ne maîtrisez pas.

C’est précisément là que se joue la fiabilité d’un VPN.