[{"data":1,"prerenderedAt":196},["ShallowReactive",2],{"seo-verification":3,"blog-installer-openvpn-serveur-vps-ma-fr":6,"promo-bar-likely":195},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-installer-openvpn-serveur-vps-ma-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"noindex":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":27,"featuredImage":29,"bgImage":30,"posterImage":31,"relatedSolution":32,"intro":35,"sections":36,"ctaTitle":130,"ctaBody":131,"ctaButton":132,"ctaUrl":133,"relatedPosts":134},140,"installer-openvpn-serveur-vps",{"fr":10,"en":12,"ar":13,"es":14},"openvpn-on-a-vps-private-controlled-remote-access","openvpn-على-خادم-vps-وصول-عن-بعد-خاص-ومضبوط","openvpn-en-un-vps-acceso-remoto-privado","OpenVPN sur VPS : installation, sécurité et dépannage","Installez OpenVPN Server sur votre VPS : prérequis, Easy-RSA, server.conf, profils .ovpn, fail2ban, ufw et dépannage des erreurs courantes.",8,0,false,"2026-02-05T00:00:00+00:00","2026-09-30T11:20:33+00:00",{"id":17,"name":23,"slug":24,"color":25,"icon":26},"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[28],{"id":17,"name":23,"slug":24,"color":25,"icon":26},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Finstaller-openvpn-serveur-vps-poster.svg",{"categorySlug":33,"appSlug":34},"securite","openvpn-server","OpenVPN reste une référence quand il faut connecter des équipes, des prestataires ou des sites distants avec des profils contrôlés. Sur un VPS ServOrbit, vous administrez le serveur, les certificats et les règles d'accès sans passer par un VPN grand public. Ce guide couvre l'installation complète via la voie communautaire (paquet `openvpn` + Easy-RSA), la configuration du serveur et des profils clients, les réglages de sécurité essentiels et le dépannage des erreurs les plus fréquentes.",[37,41,51,54,73,76,79,82,85,88,91,123,127],{"type":38,"title":39,"body":40},"h2","Pourquoi héberger OpenVPN Server sur un VPS ?","Les solutions VPN commerciales mutualisées imposent de faire confiance à un prestataire tiers qui peut journaliser, revendre ou exposer vos données de connexion. En hébergeant OpenVPN Server sur votre propre VPS, vous êtes le seul administrateur : vous choisissez le niveau de journalisation, les utilisateurs autorisés et les protocoles de chiffrement (TLS 1.3, AES-256-GCM). C'est également la solution idéale pour interconnecter des équipes distribuées, sécuriser l'accès à vos services internes ou contourner les restrictions réseau d'un environnement d'entreprise, le tout à un coût maîtrisé.",{"type":42,"title":43,"items":44},"ul","Ce que vous pouvez faire avec OpenVPN Server",[45,46,47,48,49,50],"Sécuriser les connexions de vos collaborateurs en télétravail avec un tunnel chiffré vers votre réseau interne","Exposer vos services internes (bases de données, backoffice, outils de monitoring) uniquement via VPN, sans les ouvrir sur Internet","Interconnecter plusieurs sites ou bureaux dans un réseau privé virtuel site-à-site","Protéger vos communications sur des réseaux Wi-Fi publics ou non fiables","Gérer finement les droits d'accès par utilisateur grâce au système de certificats OpenVPN","Auditer et journaliser les connexions entrant sur vos infrastructures depuis un point centralisé sous votre contrôle",{"type":38,"title":52,"body":53},"Prérequis : serveur et réseau","Avant de commencer, vérifiez ces points sur votre VPS.\n\n**Ressources minimales :** 1 vCPU et 512 Mo de RAM suffisent pour un usage personnel ou jusqu'à 10 utilisateurs simultanés. Au-delà de 50 connexions actives, comptez 2 vCPU et 1 Go de RAM pour absorber le chiffrement sans dégradation de bande passante.\n\n**Système d'exploitation :** Ubuntu 22.04 LTS ou Debian 12 (les deux sont supportés par le dépôt officiel OpenVPN). AlmaLinux 9 et Rocky Linux 9 fonctionnent aussi avec les paquets EPEL.\n\n**Port réseau :** UDP 1194 (défaut) ou TCP 443 pour passer les pare-feux restrictifs. Sur votre VPS ServOrbit, ouvrez ce port dans les règles de sécurité avant de lancer l'installation. Un seul port suffit.\n\n**Accès root :** indispensable pour créer les interfaces réseau virtuelles (`tun0`), modifier les règles `iptables` et activer le forwarding IP.\n\n**Forwarding IP :** activez-le avant de continuer :\n\n```bash\necho 'net.ipv4.ip_forward=1' >> \u002Fetc\u002Fsysctl.conf\nsysctl -p\n```",{"type":55,"title":56,"steps":57},"steps","Installer OpenVPN et Easy-RSA (voie communautaire)",[58,61,64,67,70],{"title":59,"body":60},"Mettre à jour le système et installer les paquets","```bash\napt update && apt upgrade -y\napt install -y openvpn easy-rsa\n```\nCette voie n'a pas de limite de clients et ne nécessite aucune licence commerciale. Easy-RSA gère votre autorité de certification (CA) locale.",{"title":62,"body":63},"Initialiser l'autorité de certification avec Easy-RSA","```bash\nmake-cadir \u002Fetc\u002Fopenvpn\u002Feasy-rsa\ncd \u002Fetc\u002Fopenvpn\u002Feasy-rsa\n.\u002Feasyrsa init-pki\n.\u002Feasyrsa build-ca nopass\n```\n`build-ca nopass` crée la CA sans phrase de passe — pratique en production non interactive. Pour un usage plus sensible, retirez `nopass` et stockez la phrase de passe hors du serveur.",{"title":65,"body":66},"Générer le certificat du serveur et les paramètres Diffie-Hellman","```bash\n.\u002Feasyrsa gen-req server nopass\n.\u002Feasyrsa sign-req server server\nopenssl dhparam -out \u002Fetc\u002Fopenvpn\u002Fdh.pem 2048\nopenvpn --genkey secret \u002Fetc\u002Fopenvpn\u002Fta.key\n```\nLa clé `ta.key` (TLS Auth) protège contre les attaques DoS sur le port UDP avant même la négociation TLS.",{"title":68,"body":69},"Générer un certificat client","```bash\n.\u002Feasyrsa gen-req client1 nopass\n.\u002Feasyrsa sign-req client client1\n```\nRépétez cette opération pour chaque utilisateur. Le couple `client1.crt` + `client1.key` + `ca.crt` + `ta.key` compose le profil `.ovpn` à distribuer.",{"title":71,"body":72},"Copier les fichiers nécessaires dans \u002Fetc\u002Fopenvpn","```bash\ncp pki\u002Fca.crt pki\u002Fissued\u002Fserver.crt pki\u002Fprivate\u002Fserver.key \u002Fetc\u002Fopenvpn\u002F\n```\nGardez les fichiers `pki\u002Fprivate\u002F` avec les permissions `600` : ils ne doivent être lisibles que par root.",{"type":38,"title":74,"body":75},"Configurer server.conf","Créez `\u002Fetc\u002Fopenvpn\u002Fserver.conf` avec le contenu suivant. Chaque directive est commentée.\n\n```bash\nport 1194\nproto udp\ndev tun\n\nca   \u002Fetc\u002Fopenvpn\u002Fca.crt\ncert \u002Fetc\u002Fopenvpn\u002Fserver.crt\nkey  \u002Fetc\u002Fopenvpn\u002Fserver.key\ndh   \u002Fetc\u002Fopenvpn\u002Fdh.pem\n\ntls-auth \u002Fetc\u002Fopenvpn\u002Fta.key 0\nkey-direction 0\n\nserver 10.8.0.0 255.255.255.0\nifconfig-pool-persist \u002Fvar\u002Flog\u002Fopenvpn\u002Fipp.txt\n\n# Pousser la route par défaut (full tunnel)\npush \"redirect-gateway def1 bypass-dhcp\"\npush \"dhcp-option DNS 9.9.9.9\"\npush \"dhcp-option DNS 149.112.112.112\"\n\nkeepalive 10 120\ncipher AES-256-GCM\ntls-version-min 1.2\n\nuser nobody\ngroup nogroup\npersist-key\npersist-tun\n\nstatus  \u002Fvar\u002Flog\u002Fopenvpn\u002Fopenvpn-status.log\nlog-append \u002Fvar\u002Flog\u002Fopenvpn\u002Fopenvpn.log\nverb 3\n```\n\nActivez et démarrez le service :\n\n```bash\nmkdir -p \u002Fvar\u002Flog\u002Fopenvpn\nsystemctl enable --now openvpn@server\nsystemctl status openvpn@server\n```",{"type":38,"title":77,"body":78},"Full tunnel ou split tunneling : choisir le bon mode","**Full tunnel (`redirect-gateway def1`)** : tout le trafic du client passe par le VPN. Utile pour protéger des utilisateurs sur des réseaux non fiables ou pour unifier les sorties Internet. Inconvénient : la bande passante du VPS devient le goulot d'étranglement pour tous les flux.\n\n**Split tunneling** : seul le trafic à destination de votre réseau privé (ex. `10.8.0.0\u002F24`) passe par le VPN. Le reste sort directement depuis le poste client. Pour l'activer, remplacez la ligne `redirect-gateway` par des routes spécifiques dans `server.conf` :\n\n```bash\npush \"route 192.168.1.0 255.255.255.0\"\n```\n\nCela réduit la charge sur le serveur et améliore les performances globales, mais les connexions hors VPN ne sont plus protégées.",{"type":38,"title":80,"body":81},"Créer et distribuer un profil .ovpn client","Un fichier `.ovpn` autonome embarque tous les certificats. Il se génère ainsi :\n\n```bash\ncat > \u002Ftmp\u002Fclient1.ovpn \u003C\u003C EOF\nclient\ndev tun\nproto udp\nremote \u003CIP-de-votre-VPS> 1194\nresolv-retry infinite\nnobind\npersist-key\npersist-tun\nremote-cert-tls server\ncipher AES-256-GCM\nverb 3\nkey-direction 1\n\u003Cca>\n$(cat \u002Fetc\u002Fopenvpn\u002Feasy-rsa\u002Fpki\u002Fca.crt)\n\u003C\u002Fca>\n\u003Ccert>\n$(cat \u002Fetc\u002Fopenvpn\u002Feasy-rsa\u002Fpki\u002Fissued\u002Fclient1.crt)\n\u003C\u002Fcert>\n\u003Ckey>\n$(cat \u002Fetc\u002Fopenvpn\u002Feasy-rsa\u002Fpki\u002Fprivate\u002Fclient1.key)\n\u003C\u002Fkey>\n\u003Ctls-auth>\n$(cat \u002Fetc\u002Fopenvpn\u002Fta.key)\n\u003C\u002Ftls-auth>\nEOF\n```\n\nTransférez ce fichier au client par un canal sécurisé (SCP ou un lien à usage unique). Il suffit ensuite de l'importer dans OpenVPN Connect (Windows, macOS, Android, iOS) ou NetworkManager (Linux) pour établir la connexion.",{"type":38,"title":83,"body":84},"Sécurité : fail2ban, ufw et désactivation d'IPv6","**Pare-feu ufw — n'ouvrir que ce qui est nécessaire :**\n\n```bash\nufw allow ssh\nufw allow 1194\u002Fudp\nufw enable\n```\n\nSi vous utilisez le port TCP 443 à la place d'UDP 1194, adaptez la règle.\n\n**fail2ban pour le port OpenVPN :**\n\nCréez `\u002Fetc\u002Ffail2ban\u002Fjail.d\u002Fopenvpn.conf` :\n\n```bash\n[openvpn]\nenabled  = true\nport     = 1194\nprotocol = udp\nfilter   = openvpn\nlogpath  = \u002Fvar\u002Flog\u002Fopenvpn\u002Fopenvpn.log\nmaxretry = 5\nbantime  = 3600\n```\n\nCréez ensuite le filtre `\u002Fetc\u002Ffail2ban\u002Ffilter.d\u002Fopenvpn.conf` :\n\n```bash\n[Definition]\nfailregex = .*TLS Error: TLS key negotiation failed.*\u003CHOST>.*\n            .*VERIFY ERROR:.*\u003CHOST>.*\n```\n\nActivez :\n\n```bash\nsystemctl restart fail2ban\nfail2ban-client status openvpn\n```\n\n**Désactiver IPv6 si inutile :** une interface IPv6 non protégée peut contourner votre tunnel. Si votre infrastructure n'a pas besoin d'IPv6 :\n\n```bash\necho 'net.ipv6.conf.all.disable_ipv6=1' >> \u002Fetc\u002Fsysctl.conf\necho 'net.ipv6.conf.default.disable_ipv6=1' >> \u002Fetc\u002Fsysctl.conf\nsysctl -p\n```",{"type":38,"title":86,"body":87},"Performance : MTU et choix du cipher","**MTU et fragmentation :** le chiffrement OpenVPN ajoute des en-têtes. Par défaut, la MTU du tunnel (`tun-mtu`) est 1500, mais l'encapsulation UDP peut provoquer de la fragmentation sur certains réseaux. Pour éviter cela, ajoutez dans `server.conf` :\n\n```bash\ntun-mtu 1400\nmssfix 1360\n```\n\nSi vous observez des transferts lents ou des coupures sur des connexions avec une MTU basse (réseaux mobiles, certains VPN d'entreprise), réduisez `tun-mtu` à 1300.\n\n**Choix du cipher :** `AES-256-GCM` est recommandé pour les noyaux Linux modernes, qui bénéficient des instructions matérielles AES-NI (vérifiez avec `grep -m1 'aes' \u002Fproc\u002Fcpuinfo`). Pour des serveurs très contraints en CPU, `AES-128-GCM` divise le coût de chiffrement par deux sans réduction de sécurité significative pour des usages courants.\n\n**UDP ou TCP :** UDP 1194 est le mode par défaut et le plus performant. TCP 443 est utile pour contourner les pare-feux d'entreprise restrictifs, mais introduit le problème du « TCP over TCP » (retransmissions redondantes) qui dégrade les performances en cas de perte de paquets.",{"type":38,"title":89,"body":90},"Dépannage : erreurs courantes","**TLS Error: TLS key negotiation failed**\n\nCette erreur apparaît quand le client ne peut pas atteindre le serveur sur le port configuré. Vérifiez que le port est ouvert (`ss -ulnp | grep 1194`), que la règle firewall est active et que la clé `ta.key` est identique côté serveur (`key-direction 0`) et côté client (`key-direction 1`).\n\n**Routes non appliquées après connexion**\n\nSi le trafic ne passe pas par le tunnel malgré une connexion établie, vérifiez que le forwarding IP est actif (`cat \u002Fproc\u002Fsys\u002Fnet\u002Fipv4\u002Fip_forward` doit retourner `1`) et qu'une règle NAT est en place :\n\n```bash\niptables -t nat -A POSTROUTING -s 10.8.0.0\u002F24 -o eth0 -j MASQUERADE\n```\n\nRemplacez `eth0` par l'interface principale de votre VPS (`ip route get 8.8.8.8` pour l'identifier).\n\n**Connexions qui tombent régulièrement**\n\nSi le tunnel se déconnecte toutes les 2 minutes, vérifiez le `keepalive` dans `server.conf` (`keepalive 10 120` : ping toutes les 10 s, timeout à 120 s). Côté client, ajoutez `ping-restart 60` dans le profil `.ovpn` pour forcer une reconnexion propre avant le timeout serveur.\n\n**VERIFY ERROR: depth=0, error=certificate is not yet valid**\n\nL'horloge du serveur ou du client est décalée. Synchronisez NTP : `timedatectl set-ntp true`.",{"type":92,"title":93,"headers":94,"rows":98},"comparison","OpenVPN vs WireGuard : lequel choisir ?",[95,96,97],"Critère","OpenVPN","WireGuard",[99,103,107,111,115,119],[100,101,102],"Protocole","TLS\u002FSSL (OpenSSL)","ChaCha20-Poly1305 (cryptographie moderne)",[104,105,106],"Performances","Bonnes, légèrement plus lentes","Très élevées, moins de latence",[108,109,110],"Configuration","Fichiers .conf détaillés, courbe d'apprentissage","Plus simple, clés publiques\u002Fprivées",[112,113,114],"Compatibilité","Tout OS, pare-feux restrictifs (TCP 443)","Excellent sur Linux, moins universel",[116,117,118],"Révocation de certificat","CRL intégrée, gestion fine par utilisateur","Suppression de la clé publique uniquement",[120,121,122],"Cas d'usage idéal","Équipes, site-à-site, environnements d'entreprise","Accès personnel, mobilité, performances",{"type":124,"title":125,"body":126},"tip","VPS ServOrbit comme serveur OpenVPN privé","Un VPS ServOrbit avec accès root, IPv4 dédiée et choix d'OS est le support idéal pour un serveur OpenVPN : vous gardez le contrôle total des certificats, des logs et des règles d'accès. Le template OpenVPN Server est disponible dans le Marketplace pour une mise en route rapide, ou suivez ce guide pour une installation manuelle complète via la voie communautaire. Pour démarrer : \u003Ca href=\"\u002Fvps-cloud\">\u002Fvps-cloud\u003C\u002Fa>.",{"type":124,"title":128,"body":129},"La documentation officielle","Pour la configuration avancée, les options propres à l'outil et les changements de version, référez-vous à la \u003Ca href=\"https:\u002F\u002Fopenvpn.net\u002Fcommunity-docs\u002Fhow-to.html\" target=\"_blank\" rel=\"noopener noreferrer\">documentation officielle de OpenVPN Community\u003C\u002Fa>. Ce guide couvre la mise en ligne sur VPS ServOrbit ; la documentation éditeur reste la référence pour les réglages fins.","Déployez OpenVPN Server en quelques minutes sur un VPS Cloud ServOrbit","Commandez votre VPS Cloud, installez OpenVPN Server en 1 clic via le Marketplace et reprenez le contrôle total sur la sécurité de vos connexions dès aujourd'hui.","Lancer mon VPS Cloud","\u002Fvps-cloud",[135,154,176],{"id":136,"slug":137,"slugs":138,"title":142,"excerpt":143,"readTime":144,"views":145,"isPinned":19,"noindex":19,"publishedAt":146,"updatedAt":147,"category":148,"categories":149,"featuredImage":29,"bgImage":30,"posterImage":151,"relatedSolution":152},141,"installer-wireguard-vps",{"fr":137,"en":139,"ar":140,"es":141},"wireguard-on-a-vps-a-fast-lean-and-private-vpn","wireguard-على-خادم-vps-شبكة-vpn-سريعة-ومبسطة-وخاصة","wireguard-en-un-vps-vpn-rapido-y-privado","WireGuard sur VPS : VPN rapide, sobre et privé","Déployez WireGuard sur VPS ServOrbit : tunnels rapides, configuration lisible, QR codes clients et accès distant privé.",7,2,"2026-02-04T00:00:00+00:00","2026-11-08T01:13:12+00:00",{"id":17,"name":23,"slug":24,"color":25,"icon":26},[150],{"id":17,"name":23,"slug":24,"color":25,"icon":26},"\u002Fblog\u002Fcovers\u002Finstaller-wireguard-vps-poster.svg",{"categorySlug":33,"appSlug":153},"wireguard-server",{"id":155,"slug":156,"slugs":157,"title":161,"excerpt":162,"readTime":17,"views":163,"isPinned":19,"noindex":19,"publishedAt":164,"updatedAt":165,"category":166,"categories":171,"featuredImage":29,"bgImage":30,"posterImage":173,"relatedSolution":174},39,"deployer-avec-caddy",{"fr":156,"en":158,"ar":159,"es":160},"deploy-your-applications-with-caddy-on-a-vps","انشر-تطبيقاتك-باستخدام-caddy-على-خادم-vps","desplegar-con-caddy","Caddy en reverse proxy sur VPS : guide complet","Installez et configurez Caddy comme reverse proxy sur votre VPS : HTTPS automatique Let's Encrypt, multi-apps, sécurité et dépannage des erreurs courantes.",4,"2026-05-12T00:00:00+00:00","2026-09-25T23:43:04+00:00",{"id":167,"name":168,"slug":169,"color":170,"icon":169},3,"Déploiement","deploiement","bg-success\u002F10 text-success",[172],{"id":167,"name":168,"slug":169,"color":170,"icon":169},"\u002Fblog\u002Fcovers\u002Fdeployer-avec-caddy-poster.svg",{"categorySlug":169,"appSlug":175},"caddy",{"id":177,"slug":178,"slugs":179,"title":183,"excerpt":184,"readTime":17,"views":185,"isPinned":19,"noindex":19,"publishedAt":186,"updatedAt":187,"category":188,"categories":189,"featuredImage":29,"bgImage":30,"posterImage":191,"relatedSolution":192},142,"deployer-avec-haproxy-vps",{"fr":178,"en":180,"ar":181,"es":182},"haproxy-on-a-vps-load-balancing-and-high-availability","haproxy-على-خادم-vps-موازنة-الأحمال-والتوافر-العالي","haproxy-en-un-vps-balanceo-de-carga","HAProxy sur VPS : load balancing et haute disponibilité","Installez HAProxy sur VPS pour répartir le trafic, surveiller les backends et préparer une architecture web plus résiliente.",1,"2026-02-03T00:00:00+00:00","2026-10-13T14:10:29+00:00",{"id":167,"name":168,"slug":169,"color":170,"icon":169},[190],{"id":167,"name":168,"slug":169,"color":170,"icon":169},"\u002Fblog\u002Fcovers\u002Fdeployer-avec-haproxy-vps-poster.svg",{"categorySlug":193,"appSlug":194},"infra","haproxy",true,1794270740397]