VPN site à site au Maroc : relier son siège et ses agences en toute sécurité
Une agence à Agadir qui doit accéder à l'ERP du siège à Casablanca, un entrepôt à Tanger qui imprime ses bons de livraison sur le serveur central, des caméras à consulter depuis la direction : dès qu'une entreprise a plusieurs sites, il faut les relier. Le VPN site à site est la solution la plus répandue pour le faire à travers Internet, de manière chiffrée.
TL;DR
- Un VPN site à site crée un tunnel chiffré permanent entre les pare-feu de deux sites, transparent pour les utilisateurs.
- IPsec reste le standard pour relier des équipements de marques différentes ; WireGuard est plus simple et rapide ; OpenVPN est très souple.
- Le VPN opérateur (VPN IP / MPLS) est une alternative gérée par l'opérateur, plus chère mais avec engagement de service.
- Au-delà de quelques sites, le SD-WAN simplifie la gestion et la redondance.
- Planifiez des plages d'adresses IP différentes par site dès le départ.
Les options pour relier des sites
| Option | Principe | Pour qui |
|---|---|---|
| VPN IPsec | Tunnel chiffré standard entre deux pare-feu, via Internet | La plupart des PME multi-sites, équipements hétérogènes |
| WireGuard | Protocole récent, léger et rapide | Environnements maîtrisés (pfSense, Linux), petits sites |
| OpenVPN | VPN basé sur TLS, très configurable | Cas particuliers, réseaux en conflit d'adressage |
| VPN opérateur (VPN IP, MPLS) | Réseau privé fourni par l'opérateur entre vos sites | Entreprises qui veulent un engagement de service opérateur |
| SD-WAN | Tunnels automatisés sur plusieurs liens, pilotés par une console | Réseaux de 5 sites et plus, ou applications sensibles à la qualité |
Choisir la topologie
En étoile (hub and spoke)
Chaque agence est reliée au siège, qui centralise les serveurs et l'accès aux autres sites. Simple à gérer, c'est le schéma le plus courant. Le siège devient toutefois un point critique : il doit être redondé.
Maillé (full mesh)
Chaque site est relié à tous les autres. Utile quand les agences échangent beaucoup entre elles (téléphonie, partage de fichiers), mais le nombre de tunnels augmente vite. Des technologies comme le DMVPN ou le SD-WAN créent ces liaisons à la demande.
Bien configurer un tunnel IPsec
- IKEv2 plutôt que IKEv1, plus robuste et plus simple à maintenir.
- Chiffrement moderne : AES-GCM ou AES-256 avec SHA-256 ou plus, et des groupes Diffie-Hellman récents. Évitez DES, 3DES et MD5.
- Authentification : clé partagée longue et unique par tunnel, ou certificats pour les réseaux plus importants.
- Paramètres identiques des deux côtés : c'est la première cause de tunnels qui ne montent pas entre deux marques différentes.
- Détection de pair mort (DPD) pour relancer le tunnel automatiquement.
- Règles de filtrage sur le trafic du tunnel : un VPN ne doit pas ouvrir tout le réseau de l'agence vers tout le siège.
Les erreurs à éviter
- Même plage IP sur tous les sites (le fameux 192.168.1.0/24 par défaut) : les sites ne peuvent pas se joindre sans NAT complexe. Attribuez une plage par site dès le départ.
- Un seul lien Internet au siège : si la ligne du siège tombe, toutes les agences sont coupées. Voir double connexion Internet.
- Tout le trafic Internet des agences passe par le siège sans raison : cela sature la ligne du siège. Laissez les agences sortir localement, avec un filtrage équivalent.
- Aucune supervision : un tunnel tombé n'est souvent découvert que quand les utilisateurs se plaignent.
- Des pare-feu d'agence non mis à jour : chaque équipement exposé sur Internet est une porte d'entrée possible.
VPN site à site et télétravail : deux sujets différents
Le VPN site à site relie des réseaux entre eux. Le VPN d'accès distant (ou le ZTNA) connecte un utilisateur isolé. Les deux se configurent souvent sur le même pare-feu, mais avec des règles distinctes. Pour les accès distants, le ZTNA offre un contrôle plus fin (voir pare-feu nouvelle génération).
Ce que fait IPBRIDGE
IPBRIDGE est revendeur Fortinet, pfSense (Netgate), Ubiquiti et Avaya au Maroc : nous fournissons le matériel et les licences, et nous assurons l'installation, la configuration et le suivi.
IPBRIDGE relie les sites des entreprises au Maroc : plan d'adressage, choix entre VPN IPsec, WireGuard, VPN opérateur ou SD-WAN, configuration sur FortiGate ou pfSense, redondance des liens et supervision des tunnels. Nous intervenons sur site à Casablanca, Rabat, Tanger, Kénitra, Marrakech, Agadir et Essaouira.
À lire aussi : réseau multi-sites au Maroc.
Services liés : Réseau informatique d'entreprise · Cybersécurité
FAQ
Un VPN site à site est-il sûr ?
Oui, avec des algorithmes de chiffrement modernes, une authentification forte et des règles de filtrage sur le trafic du tunnel. Le chiffrement protège les données en transit ; les règles limitent ce que chaque site peut atteindre.
Faut-il une adresse IP fixe sur chaque site ?
C'est préférable, au moins au siège. Sans IP fixe, on peut utiliser un nom DNS dynamique ou laisser l'agence initier la connexion vers le siège.
Peut-on relier un FortiGate et un pfSense ?
Oui, en IPsec, à condition d'aligner exactement les paramètres de phase 1 et de phase 2 des deux côtés.
VPN Internet ou VPN opérateur ?
Le VPN sur Internet est moins cher et rapide à déployer. Le VPN opérateur apporte un engagement de service et une qualité plus prévisible, mais coûte plus cher. Les deux peuvent être combinés, l'un servant de secours à l'autre.
Quel débit prévoir ?
Il dépend des applications : un ERP web consomme peu, la téléphonie demande surtout une latence stable, les transferts de fichiers et la vidéosurveillance demandent du débit montant au site qui envoie.
En résumé
Un bon VPN site à site repose sur un plan d'adressage propre, un protocole moderne correctement configuré, des liens redondants et une supervision. Bien conçu, il fait de vos sites un seul réseau d'entreprise, sûr et transparent pour les utilisateurs.
Demander mon bilan IT gratuit · 📞 +212 771 929102
Un point de départ, sans engagement
Le bilan IT gratuit de 30 minutes vous donne un état des lieux de votre parc, les risques classés par gravité et une feuille de route chiffrée.
© 2026 IPBRIDGE — Infogérance, cybersécurité et téléphonie IP au Maroc