Un VPN PPTP est un tunnel point à point conçu par Microsoft, dont la connexion de contrôle passe par le port TCP 1723 et les données par le protocole GRE. Windows et de nombreux routeurs savent encore le configurer, mais Apple l’a retiré de ses systèmes et son authentification n’est plus jugée sûre.
Comment fonctionne un VPN PPTP
Le protocole est décrit dans la RFC 2637, publiée en juillet 1999 par un groupe d’éditeurs dont Microsoft. Le client ouvre d’abord une connexion de contrôle TCP vers le serveur, sur le port 1723.
Les données de l’utilisateur voyagent ensuite dans une session PPP encapsulée dans une version améliorée de GRE. Le client s’authentifie avec un identifiant et un mot de passe, le plus souvent par MS-CHAPv2, et le trafic est chiffré avec MPPE.
La séparation en deux flux explique la plupart des pannes : la connexion de contrôle peut s’établir alors que les données, elles, sont bloquées en route. Le diagnostic commence donc toujours par ces deux éléments.
Ce fonctionnement le rend simple à déployer : aucun certificat n’est nécessaire, et un système Windows suffit côté client. Pour situer ce tunnel dans l’ensemble des technologies de ce type, voir le principe d’un réseau privé virtuel.
Les ports et protocoles à ouvrir pour un VPN PPTP
Deux éléments doivent traverser le pare-feu. Le premier est le port TCP 1723, pour la connexion de contrôle. Le second est le protocole IP 47, c’est-à-dire GRE.
GRE n’est pas un port : une règle de redirection qui ne concerne que TCP et UDP ne le laisse donc pas passer. Certains routeurs et pare-feu parlent de PPTP pass-through pour cette option, et tous ne la proposent pas.
Quand le GRE est bloqué, Windows affiche l’erreur 806 : un équipement entre l’ordinateur et le serveur ne laisse pas passer ces paquets. Le serveur est derrière un routeur avec NAT ? Il faut alors rediriger le port 1723 et autoriser le protocole 47 vers lui.
Sur quels appareils configurer encore un VPN PPTP
Le tableau des systèmes compatibles s’est réduit depuis 2016. Apple indique que PPTP n’est pas disponible sur iOS 10 et macOS Sierra, alors qu’il fonctionnait jusqu’à iOS 9 et OS X 10.11. Chercher un VPN PPTP sur Mac ou sur iPhone récent revient donc à passer par un logiciel tiers.
- Windows 10 et 11 : le client intégré accepte encore le type PPTP, dans les réglages VPN du système.
- macOS et iOS : plus de PPTP natif depuis macOS Sierra et iOS 10, Apple recommande L2TP sur IPsec ou IKEv2.
- Routeurs et pare-feu : la prise en charge dépend du modèle, et plusieurs distributions de pare-feu ont retiré le serveur PPTP, dont pfSense.
Sur Android et Chromebook, la présence de PPTP varie selon la version du système. Le plus fiable consiste à regarder les types de VPN proposés dans les réglages réseau de l’appareil.
Pourquoi le chiffrement PPTP n’est plus fiable
Apple écrit que PPTP n’offre pas une protection solide des données, et c’est la raison de son retrait. L’authentification MS-CHAPv2 permet de retrouver le mot de passe à partir d’une capture du trafic, et MPPE ne protège pas l’intégrité des données.
Un service gratuit qui propose encore un VPN PPTP envoie donc un signal d’alerte : le protocole est abandonné par les éditeurs, et un tunnel qui n’est pas sûr ne protège pas la connexion. Pour changer de technologie, un guide explique comment migrer vers le successeur de PPTP.
PPTP, L2TP/IPsec, IKEv2, OpenVPN : ce qui change en pratique
Les protocoles ne se distinguent pas seulement par leur sécurité, mais aussi par les ports à ouvrir et par la prise en charge native sur les appareils.
| Protocole | Ports et protocoles | Chiffrement | Prise en charge |
|---|---|---|---|
| PPTP | TCP 1723 et GRE (IP 47) | MPPE, authentification MS-CHAPv2 | Windows, pas Apple récent |
| L2TP/IPsec | UDP 500, UDP 4500 et ESP | IPsec | Windows, macOS, iOS |
| IKEv2/IPsec | UDP 500 et UDP 4500 | IPsec | Windows, macOS, iOS |
| OpenVPN | UDP ou TCP, port au choix | TLS | Application à installer |
Apple conseille L2TP sur IPsec, IKEv2 sur IPsec, Cisco IPsec ou un client SSL pour remplacer PPTP. À sécurité égale, le débit dépend surtout du fournisseur : les débits mesurés des VPN du marché donnent un ordre d’idée.
Les seuls cas où un VPN PPTP peut encore servir
PPTP reste utilisable sur un vieil équipement qui ne prend en charge aucun autre protocole, ou pour un test sur un réseau local. Dans ce cas, un mot de passe long et unique limite les risques sur MS-CHAPv2.
Il faut aussi éviter de laisser ce type de tunnel ouvert en permanence sur un réseau relié à Internet. Une connexion de test se coupe une fois la vérification terminée, et le compte utilisé pour elle ne sert à rien d’autre.
Aucune donnée sensible ne devrait y passer. Dès qu’un autre protocole est disponible sur l’équipement, il remplace PPTP sans autre démarche que de changer le type de connexion et d’ouvrir les ports correspondants.
