Pourquoi un tunnel VPN, d'abord
La raison la plus fréquente pour laquelle un opérateur MikroTik met en place un tunnel VPN n'est pas la sécurité en tant que telle : c'est l'absence d'IP publique. La plupart des connexions internet grand public ou professionnelles, en particulier via un fournisseur d'accès mobile ou une box partagée, n'attribuent qu'une adresse IP privée derrière un CGNAT. Impossible, dans ce cas, de joindre directement le routeur depuis l'extérieur pour l'administrer ou l'utiliser comme point d'accès à un service. Un VPN résout ce problème en montant un tunnel sortant, initié par le routeur lui-même, vers une infrastructure qui possède, elle, une vraie IP publique.
WireGuard : plus simple, mais seulement sur RouterOS 7
WireGuard est un protocole VPN moderne, intégré nativement à RouterOS depuis la version 7. Sa configuration est plus courte (une poignée de lignes), ses performances sont généralement meilleures, et sa surface d'attaque est plus réduite grâce à un code plus simple. Sa seule vraie limite : il n'existe pas sur RouterOS 6, uniquement à partir de RouterOS 7.
L2TP/IPsec : plus ancien, disponible partout
L2TP/IPsec est disponible depuis longtemps sur RouterOS, y compris sur RouterOS 6. Sa configuration est plus longue et implique plus de paramètres (secret IPsec, profil PPP, pool d'adresses), mais c'est l'option de référence pour tout routeur qui n'a pas encore été mis à jour vers RouterOS 7.
Comment trancher
La question à se poser en premier n'est pas "lequel est le meilleur protocole" dans l'absolu, mais "quelle version de RouterOS tourne sur mon routeur". Sur RouterOS 7, WireGuard est presque toujours le choix le plus simple et le plus performant. Sur RouterOS 6, L2TP/IPsec reste la seule option viable tant qu'une mise à jour vers RouterOS 7 n'a pas été faite, sachant qu'une telle mise à jour mérite d'être testée avec précaution sur un routeur qui n'est pas encore en production.
En résumé
- Le vrai déclencheur : gérer un routeur MikroTik à distance sans IP publique
- WireGuard : plus simple, plus rapide, mais RouterOS 7 uniquement
- L2TP/IPsec : plus ancien, disponible aussi sur RouterOS 6
- Le choix dépend d'abord de la version de RouterOS installée, pas d'une préférence