Un tunnel chiffré, deux protocoles
Windows et Android prennent en charge WireGuard et OpenVPN. Sur Windows, WireGuardNT utilise UDP, Curve25519 et ChaCha20-Poly1305 ; OpenVPN 3 Core avec DCO utilise UDP/IPv4 sur le port 1194.
Sur Android, WireGuard utilise UDP/51820 et OpenVPN UDP/1194. Les extensions de navigateur utilisent une protection limitée au navigateur et ne sont pas décrites comme un tunnel système.
Sources et références
Kill switch
Sur Windows, le coupe-circuit WFP bloque avant la connexion et maintient le blocage après un échec jusqu’à une déconnexion explicite. Sur Android, il dépend des options système VPN permanent et Bloquer les connexions sans VPN.
Sur Chrome, le kill switch bloque les nouvelles requêtes Web jusqu’à la vérification de la connexion, avec des exceptions nécessaires à l’API et aux sites exclus. Les comportements exacts des autres extensions seront documentés avec leurs fiches officielles.
DNS et IPv6
Les applications natives dirigent les DNS fournis par la configuration dans le tunnel. Windows ajoute un blocage DNS IPv4 hors tunnel pour les ports 53 et 853 avec OpenVPN ; un DNS-over-HTTPS sur le port 443 n’est pas couvert par ce filtre spécifique si le kill switch est désactivé.
Windows et Android utilisent une configuration double pile lorsqu’elle est validée ; sinon IPv6 est bloqué pendant le tunnel. Le transport vers le serveur VPN reste actuellement en IPv4.
WebRTC et navigateurs
Chrome applique par défaut disable_non_proxied_udp pour limiter le contournement par WebRTC. Ce réglage global peut dégrader certains appels et ne couvre pas les pages privilégiées ou le comportement d’autres extensions.
Une adresse locale affichée parmi les candidats ICE ne prouve pas, à elle seule, qu’un trafic est sorti sur Internet hors du chemin prévu. Le test doit observer le réseau et la configuration effective.
Jusqu’à 5 appareils
Le compte peut enregistrer jusqu’à 5 appareils. Le nom de l’appareil, une clé ou un certificat public, son adresse VPN interne et son serveur attribué sont utilisés pour préparer et révoquer l’accès.
Les clés privées restent sur l’appareil. Supprimer ou révoquer un appareil rend ses identifiants inutilisables et libère une place.