OpenVPN : comment l'utiliser et quand le choisir

• Les appareils qui ne parlent qu'OpenVPN : firmwares de routeur (OpenWrt, Merlin, DD-WRT), NAS (Synology, QNAP), serveurs Linux, vieux systèmes. Hiddify ne s'y installe pas et AnyConnect n'y a pas de client.
• Les installations sans surveillance, connectées dès le démarrage : la configuration tient en un seul fichier, que les réglages VPN du système peuvent lancer au démarrage sans aucune intervention.
• L'usage quotidien sur téléphone et ordinateur : AnyConnect ne demande aucun import et Hiddify gère mieux les pertes de paquets ; tous deux sont plus pratiques au quotidien. OpenVPN essaie d'abord l'UDP et bascule automatiquement en TCP quand l'UDP est bloqué, il reste donc connecté ; sur ces réseaux, AnyConnect est plus rapide.
• Un même compte fonctionne avec les trois ; inutile d'en choisir un seul.

Choisissez votre système et suivez les captures. Le bouton à droite lance la vidéo, et chaque capture s'agrandit d'un clic.

• Pas de vidéo pour iPhone et iPad : installez l'appli officielle OpenVPN Connect depuis le tableau de la page OpenVPN de ce site, connectez-vous et cliquez sur le drapeau d'une région pour télécharger son fichier .ovpn, puis ouvrez-le ou importez-le dans le client et connectez-vous.
• Outre OpenVPN Connect, Windows peut utiliser OpenVPN GUI et macOS Tunnelblick ; tous lisent le même profil.
• Les profils Windows, macOS, Android et iOS ont les identifiants intégrés : rien à saisir. Seul Linux demande l'e-mail et le mot de passe de votre compte du site à la première connexion.
• Un fichier par région ; téléchargez-en autant qu'il vous en faut.

• Routeur OpenWrt : installez luci-app-openvpn, envoyez le .ovpn, activez-le, et tout le réseau local passe par la ligne. Un routeur sous le firmware de ce site s'en dispense : connectez-vous simplement avec le compte.
• NAS Synology : Panneau de configuration (Control Panel) → Réseau (Network) → Interface réseau (Network Interface) → Créer (Create) → VPN → OpenVPN (en important un fichier .ovpn). Ne cochez « Utiliser la passerelle par défaut sur le réseau distant » (Use default gateway on remote network) que si le trafic sortant du NAS doit passer par la ligne ; laissez-la décochée si vous voulez seulement que le NAS soit joignable.
• NAS QNAP : QVPN → VPN Client (client VPN) → Add (ajouter) → OpenVPN, puis importez le fichier.
• Bureau Linux : Paramètres réseau (Network settings) → VPN → Importer depuis un fichier (Import from file). En ligne de commande (installez d'abord le paquet openvpn sous Debian/Ubuntu) : openvpn --config <file> Pour un lancement au démarrage, placez le fichier dans /etc/openvpn/client/ et activez l'unité systemd correspondante.

Connecté depuis la Chine, tout le trafic sort vers l'étranger, et les sites chinois ralentissent à cause du détour. Ce site propose un outil « Chine en direct » : téléchargez-le, double-cliquez, et les IP chinoises passent en direct tandis que tout le reste passe par la ligne. Il est commun aux méthodes Cisco et OpenVPN. Le réseau local est déjà en direct, rien à faire de ce côté.

Hors de Chine, ignorez cet outil : il fait contourner la ligne aux sites chinois, l'inverse de ce qu'il faut pour regarder des vidéos chinoises.

Pour des règles plus fines (par domaine, par appli), passez par le routeur ou les règles de routage de Hiddify.

1. Essayez le profil d'une autre région. Si une autre région se connecte, c'est ce serveur-là qui est momentanément injoignable.
2. Lisez le journal. AUTH_FAILED signifie de mauvais identifiants ou un compte expiré ; un délai dépassé en UDP suivi d'une connexion réussie en TCP signifie que votre réseau restreint l'UDP : ça marche, simplement plus lentement ; TLS handshake failed / TLS key negotiation failed (échec de la poignée de main / de la négociation de clés TLS) à la fois en UDP et en TCP signifie que le serveur est injoignable depuis ce réseau : changez de réseau ou de région ; après un changement de mot de passe, retéléchargez le profil, le mot de passe de l'ancien n'est plus valable.
3. Changez de réseau. Si la connexion fixe échoue, essayez une fois les données mobiles, et inversement ; sur les réseaux de campus et de bureau qui bloquent l'UDP, OpenVPN bascule en TCP et se connecte quand même, mais lentement ; si c'est trop lent, passez à AnyConnect, qui passe par TLS.
4. Mettez à jour le client. Les anciens clients OpenVPN ne comprennent pas les réglages de chiffrement récents et affichent des erreurs d'import ou des échecs de connexion.
5. Après l'expiration du compte, le serveur met fin à la session ; reconnectez-vous après le renouvellement, le profil reste valable.

Le profil contient vos identifiants : c'est le compte lui-même. Ne l'envoyez à personne et ne le publiez nulle part. S'il fuit, changez votre mot de passe sur le site : les anciens fichiers cessent aussitôt de fonctionner, puis retéléchargez-le.

La poignée de main elle-même est chiffrée : sans la clé contenue dans votre profil, personne ne peut même en entamer une, et les serveurs sont donc invisibles aux scanners. C'est aussi pourquoi les anciens clients doivent être mis à jour : les versions d'OpenVPN antérieures à 2.5 ne prennent pas en charge cette poignée de main.

Le chiffrement est en AES-256-GCM, d'une robustesse comparable à celle d'AnyConnect.