VPN et réseau Tor : ce qui les distingue, et quand les combiner

Un VPN chiffre votre trafic jusqu'à un serveur unique qui connaît votre adresse IP et voit tout ce qui en sort ; Tor le fait transiter par trois relais indépendants dont aucun ne voit à la fois qui vous êtes et ce que vous consultez. Le VPN est plus rapide et couvre tout le système, Tor anonymise mieux mais ne transporte que du TCP, ralentit fortement et ne protège pas ce qui sort en clair du relais de sortie.

Sommaire

Deux outils, deux modèles de confiance

Un VPN crée un tunnel chiffré entre votre machine et un serveur du fournisseur. Votre opérateur ne voit plus qu'un flux chiffré vers une adresse IP unique ; les sites que vous visitez voient l'adresse du serveur VPN. Le point à retenir : ce serveur, lui, voit tout. Votre IP réelle d'un côté, vos destinations de l'autre. Vous n'avez pas supprimé l'intermédiaire capable de vous observer, vous l'avez remplacé. Le FAI cède la place au fournisseur de VPN, et la politique de journalisation de ce dernier devient votre seule garantie.

Tor (The Onion Router) fait le pari inverse : ne faire confiance à personne en particulier. Le trafic traverse trois relais choisis parmi les 7 000 à 9 000 que compte le réseau selon les jours (metrics.torproject.org publie le décompte quotidien). Le premier relais connaît votre IP mais pas votre destination, le dernier connaît la destination mais pas votre IP, celui du milieu ne connaît ni l'une ni l'autre. Les relais sont opérés par des bénévoles, le logiciel est maintenu par l'association Tor Project, et l'architecture est décrite dans l'article de Dingledine, Mathewson et Syverson présenté à USENIX Security en 2004.

Tor n'est donc pas un VPN, même si les deux changent l'adresse IP vue par le site distant. Le VPN protège une connexion entière, Tor protège une identité, au prix de la performance.

Critère	VPN	Tor
Nombre de sauts	1 (le serveur du fournisseur)	3 relais : garde, milieu, sortie
Qui voit votre IP et vos destinations	Le fournisseur de VPN, seul	Personne seul : la garde voit l'IP, la sortie voit la destination
Trafic transporté	Tout (TCP, UDP, ICMP selon le tunnel)	TCP uniquement, via un proxy SOCKS5
Protocoles et ports typiques	WireGuard UDP 51820, OpenVPN UDP 1194, IKEv2 UDP 500 et 4500	SOCKS local 9050 (démon) ou 9150 (Tor Browser), relais souvent en 9001 ou 443
Latence ajoutée	Quelques ms à quelques dizaines de ms	Souvent 300 ms à plus d'une seconde
Coût	Abonnement (les offres gratuites se financent autrement)	Gratuit, réseau bénévole
Blocages côté sites	Rares, sauf plages d'hébergeurs connues	Fréquents : la liste des relais de sortie est publique

Comment un circuit Tor est construit

Au démarrage, le client télécharge le consensus, un annuaire signé par les autorités de répertoire qui liste les relais et leurs clés. Il choisit un relais de garde (guard), qu'il conservera plusieurs mois pour limiter les occasions de tomber un jour sur un relais malveillant, puis un relais intermédiaire et un relais de sortie. Un circuit sert une dizaine de minutes pour les nouvelles connexions (paramètre MaxCircuitDirtiness, 10 minutes par défaut), après quoi le client en ouvre un autre.

Le chiffrement en oignon donne son nom au réseau. Le client négocie une clé de session distincte avec chacun des trois relais grâce à l'échange ntor, fondé sur Curve25519, puis chiffre chaque paquet trois fois en AES en mode compteur, une couche par relais. Chaque relais retire sa couche et transmet au suivant sans savoir ce qui reste dessous. Les données circulent dans des cellules de taille fixe, 512 octets dans la spécification historique, ce qui rend la taille des messages moins bavarde pour un observateur.

Côté application, Tor s'expose comme un proxy SOCKS5 (RFC 1928) sur 127.0.0.1:9050 pour le démon tor, ou 9150 pour Tor Browser. Une seule commande suffit pour vérifier qu'une sortie passe bien par le réseau :

Tor ne transporte que du TCP. Une visioconférence en UDP, un jeu en ligne, une requête DNS classique en UDP 53 ne passent pas par le circuit : soit l'application les envoie hors Tor, soit elles échouent. Tor Browser désactive WebRTC pour cette raison.

curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip
Réponse attendue : {"IsTor":true,"IP":"..."} où l'IP est celle du relais de sortie du circuit courant
L'option --socks5-hostname (socks5h) fait résoudre le nom de domaine par Tor ; avec --socks5 tout court, la requête DNS part en clair chez votre FAI

Tor over VPN, VPN over Tor : ce que chaque montage change

Deux empilements existent et ils n'ont pas les mêmes effets. Dans le nom, la couche citée en premier est celle qui passe par-dessus l'autre.

Tor over VPN (on se connecte au VPN, puis on lance Tor) : le FAI voit un tunnel VPN, pas une connexion vers un relais de garde. Le fournisseur de VPN voit que vous parlez à Tor mais pas le contenu ; la garde voit l'IP du VPN à la place de la vôtre. C'est le montage utile quand le réseau local bloque Tor, ou quand vous ne voulez pas que l'opérateur sache que vous l'utilisez. Certains fournisseurs commercialisent des serveurs dédiés sous les noms « Tor over VPN » ou « Onion over VPN ». Le relais de sortie, lui, ne change rien : il voit toujours ce qui sort.

VPN over Tor (Tor d'abord, puis le VPN à travers le circuit) : le site distant voit l'IP du VPN, ce qui contourne les blocages visant les sorties Tor, et le fournisseur de VPN ne voit qu'une IP de sortie Tor. En contrepartie, le VPN devient un point de sortie fixe, lié à un compte et souvent à un paiement, ce qui annule le bénéfice de la rotation des circuits. Et comme Tor ne porte que du TCP, WireGuard (UDP seulement) ne fonctionne pas ; il faut OpenVPN en mode TCP, dont les performances à travers Tor sont médiocres.

La position du Tor Project sur son site de support est nette : il ne recommande pas d'ajouter un VPN à Tor, sauf pour un utilisateur avancé qui sait exactement ce que chaque couche révèle. Le besoin le plus fréquent est de cacher l'usage de Tor à son FAI ; pour ce cas, les bridges (voir plus bas) répondent mieux qu'un abonnement.

Ce que ni Tor ni un VPN ne protègent

Le relais de sortie déchiffre la dernière couche d'oignon. Si le site est en HTTP, l'opérateur de ce relais lit vos requêtes et peut les modifier, exactement comme un attaquant en position d'homme du milieu. Le chiffrement TLS reste indispensable ; Tor Browser active le mode HTTPS uniquement par défaut depuis sa version 11.5. Le VPN a la même faiblesse, déplacée sur le serveur du fournisseur.

Un adversaire qui observe à la fois l'entrée et la sortie (un transitaire de backbone, un acteur étatique) peut corréler volumes et horaires des flux sans rien déchiffrer. Tor n'a jamais prétendu résister à cet observateur global, la publication de 2004 l'écrit noir sur blanc. Un VPN, à un seul saut, y résiste encore moins.

Les fuites viennent souvent de l'application, pas du tunnel. Cas classique : un script lancé avec curl --socks5 au lieu de --socks5-hostname. La connexion TCP passe bien par Tor, mais la résolution du nom est faite localement et le FAI voit la requête A pour example.org partir de votre IP. Même famille de problème avec un VPN sans kill switch : à la coupure du tunnel, le trafic repart par l'interface par défaut sans que rien ne prévienne. Et ni l'un ni l'autre n'agit sur ce que le navigateur envoie de lui-même : cookies, empreinte du navigateur, compte sur lequel vous êtes resté connecté.

Côté administrateur : reconnaître et régler le trafic Tor

La liste des relais de sortie est publique. Le Tor Project la publie à l'adresse https://check.torproject.org/torbulkexitlist, une IP par ligne, ce qui permet de la charger dans un ipset ou une règle de pare-feu en quelques lignes de script. Un administrateur qui voit des connexions depuis ces adresses sait qu'il ne pourra pas en identifier l'auteur ; bloquer ou non relève de la politique du site, pas d'une contrainte technique. Un VPN se repère moins bien : ses plages appartiennent à des hébergeurs, sous le même ASN que des milliers de serveurs légitimes.

Côté relais, la politique de sortie par défaut refuse déjà plusieurs ports, dont le 25 (SMTP), pour ne pas servir de relais à spam. L'exploitant d'un relais choisit ce qu'il laisse sortir dans son fichier torrc, et le client dispose aussi de quelques réglages qui changent le comportement du circuit :

Les adresses .onion, enfin, ne passent par aucun relais de sortie : le service et le client se rejoignent à l'intérieur du réseau sur un point de rendez-vous. Depuis l'abandon des adresses v2 en octobre 2021, une adresse .onion valide compte 56 caractères avant le suffixe.

ExitNodes {fr} StrictNodes 1 : force la sortie par un relais déclaré en France (pratique pour un test, mauvais pour l'anonymat puisque le choix se réduit)
UseBridges 1 avec un transport obfs4 ou Snowflake : masque la signature Tor face à un FAI ou un pays qui bloque les relais publics listés dans le consensus
SocksPort 9050 et ControlPort 9051 : les deux ports locaux à surveiller sur une machine qui n'est pas censée faire tourner Tor

Testez vos connaissances

Quiz rapide Question 1 sur 3

Dans un circuit Tor standard, quel relais connaît votre adresse IP réelle ?

Questions fréquentes

Tor est-il plus sûr qu’un VPN ?

Pour l'anonymat, oui : aucun relais ne voit à la fois votre IP et votre destination. Pour sécuriser une connexion sur un Wi-Fi public, un VPN suffit et coûte bien moins en latence. Les deux laissent passer en clair, au point de sortie, tout ce que le site lui-même ne chiffre pas en TLS.

Un VPN suffit-il pour être anonyme ?

Non. Le fournisseur connaît votre IP, votre moyen de paiement et vos destinations. Sa politique de non-journalisation est une promesse contractuelle, pas une propriété du protocole. Un VPN vous rend pseudonyme vis-à-vis des sites, pas vis-à-vis du fournisseur.

Faut-il activer un VPN avant de lancer Tor Browser ?

Seulement si vous devez cacher l'usage de Tor à votre FAI ou contourner un blocage. Le Tor Project préfère les bridges pour ce cas. Ailleurs, le VPN ajoute un intermédiaire qui sait que vous utilisez Tor, sans rien améliorer côté sortie.

Pourquoi les sites me demandent-ils un CAPTCHA quand je passe par Tor ?

Parce que la liste des relais de sortie est publique et que quelque 2 000 sorties portent le trafic de millions d'utilisateurs, robots compris. Beaucoup de CDN appliquent un traitement plus strict à ces adresses. Ce n'est pas une panne de Tor, c'est un choix du site.

Tor fonctionne-t-il pour le torrent ou la VoIP ?

Mal ou pas du tout. Tor ne transporte que du TCP ; la VoIP et la plupart des clients BitTorrent utilisent UDP. Un client torrent mal configuré annonce en plus votre vraie IP au tracker, ce qui annule toute protection. Pour ces usages, le VPN est le bon outil.

Mon fournisseur propose « Onion over VPN », de quoi s’agit-il ?

D'un serveur VPN qui relaie lui-même votre trafic vers un relais de garde Tor, sans rien installer sur votre machine. Vous obtenez un montage Tor over VPN clé en main, mais avec un navigateur ordinaire, donc sans les protections anti-empreinte de Tor Browser. À réserver aux cas où installer Tor est impossible.