Ordinateur portable relié à un bâtiment par un tunnel sécurisé

Accès à distance : Bureau à distance, VPN ou zero trust (Twingate) ? Fonctionnement et mise en place

Fabrice BlanchetBlog et nouveautés

Accès à distance · Appelez le tech

Travailler de la maison sur l’ordinateur du bureau, c’est pratique. Mais mal configuré, l’accès à distance est aussi la porte d’entrée préférée des groupes de rançongiciel. Voici comment fonctionnent le Bureau à distance, le VPN classique et le VPN « zero trust », et comment les mettre en place correctement.

Le chiffre à retenir : dans les attaques traitées par l’équipe de réponse aux incidents de Sophos en 2023, le Bureau à distance (RDP) avait été détourné dans 90 % des cas, et les services d’accès à distance exposés étaient la porte d’entrée dans 65 % des cas.

Le Bureau à distance (RDP) : comment ça marche

Le Bureau à distance (Remote Desktop Protocol, ou RDP) est intégré à Windows. Il permet d’ouvrir une session sur un ordinateur du bureau depuis un autre appareil : vous voyez son écran, utilisez ses logiciels et ses fichiers, comme si vous étiez assis devant. Seule l’image de l’écran voyage sur le réseau; les données restent au bureau.

  • L’ordinateur qui reçoit la connexion doit être sous Windows Pro ou Entreprise (l’édition Famille ne peut pas être contrôlée par RDP).
  • Le service écoute par défaut sur le port 3389.
  • Pour vous connecter, utilisez Connexion Bureau à distance (mstsc), toujours inclus dans Windows. L’ancienne application « Bureau à distance » du Microsoft Store a été retirée le 27 mai 2025 au profit de la Windows App, surtout conçue pour les bureaux infonuagiques de Microsoft.

Le problème : RDP n’a jamais été conçu pour être exposé directement sur Internet. Ouvrir le port 3389 sur le routeur du bureau, c’est afficher une porte que des robots testent jour et nuit avec des mots de passe volés. Il faut donc toujours placer RDP derrière un VPN ou une solution zero trust.

1. RDP exposé sur Internet : à proscrire Employé Port 3389ouvert à tous Tout le réseau du bureau … et les robots qui testent des mots de passe volés 2. VPN classique : un tunnel vers tout le réseau Employé+ client VPN Pare-feu VPNport ouvert, à jour Tout le réseau du bureaudont l’ordinateur RDP tunnel chiffré 3. Zero trust (ex. Twingate) : une ressource à la fois Employé+ client Relais infonuagiqueidentité vérifiée Connecteursortant seulement Ordinateurautorisé seul sortant Aucun port ouvert au bureau : c’est le connecteur qui appelle vers l’extérieur. L’employé ne voit que les ressources qu’on lui a autorisées, pas le reste du réseau.
Trois architectures d’accès à distance, de la plus risquée à la plus restrictive.

Le VPN classique

Un VPN (réseau privé virtuel) crée un tunnel chiffré entre l’ordinateur de l’employé et le pare-feu du bureau. Une fois connecté, l’ordinateur se comporte comme s’il était branché au réseau du bureau : il peut joindre le serveur de fichiers, l’imprimante et le poste RDP.

Avantages : technologie éprouvée, souvent déjà incluse dans le pare-feu de l’entreprise, aucun abonnement supplémentaire.

Limites :

  • L’appareil VPN reste une porte ouverte sur Internet. Les failles des pare-feu et VPN figurent parmi les plus exploitées par les attaquants : il faut appliquer les mises à jour sans délai.
  • Une fois dans le tunnel, l’utilisateur (ou l’attaquant qui a volé son mot de passe) voit souvent tout le réseau.
  • Sans MFA, un mot de passe volé suffit.

Le zero trust (ZTNA), par exemple Twingate

L’approche « zero trust » (accès réseau à confiance zéro) part d’un principe simple : on ne fait confiance à personne par défaut, même à l’intérieur. Plutôt que d’ouvrir tout le réseau, on donne accès à une ressource précise (un ordinateur, un serveur, un port) à une personne précise, après vérification de son identité.

Avec Twingate, quatre pièces travaillent ensemble :

  • Le client, installé sur l’ordinateur ou le téléphone de l’employé, qui l’authentifie et chiffre le trafic.
  • Le connecteur, installé sur une petite machine du réseau du bureau. Il établit seulement des connexions sortantes : aucun port n’a à être ouvert sur le pare-feu.
  • Le contrôleur, hébergé par Twingate, qui gère les règles d’accès et délègue la connexion à votre fournisseur d’identité (par exemple Microsoft Entra ID ou Google), donc avec votre MFA.
  • Les relais, qui mettent client et connecteur en contact sans stocker de données.

Le trafic n’est transmis que si l’utilisateur et le connecteur sont tous deux autorisés pour cette ressource. Un attaquant qui volerait l’ordinateur d’un employé n’aurait pas, par défaut, un accès à tout le réseau.

Lequel choisir ?

CritèreRDP exposéVPN classiqueZero trust (Twingate)
Port ouvert sur InternetOui, 3389Oui, celui du VPNAucun
Accès donnéUn poste, visible de tousSouvent tout le réseauRessource par ressource
MFADifficileÀ ajouterCelle de votre compte Microsoft ou Google
Entretien—Mises à jour du pare-feu critiquesConnecteur à garder à jour
CoûtGratuit, mais risquéSouvent inclus au pare-feuAbonnement par utilisateur
VerdictÀ proscrireAcceptable s’il est bien entretenuRecommandé pour les PME

Mise en place, étape par étape

A. Préparer l’ordinateur du bureau (dans tous les cas)

  1. Vérifier l’édition : Windows 11 Pro ou Entreprise.
  2. Paramètres > Système > Bureau à distance : activer, et laisser cochée l’authentification au niveau du réseau (NLA).
  3. N’autoriser que les comptes nécessaires (bouton « Utilisateurs du Bureau à distance »), jamais un compte administrateur partagé.
  4. Protéger les comptes par un mot de passe long et unique, et activer le verrouillage après plusieurs tentatives ratées.
  5. Configurer l’ordinateur pour qu’il ne se mette pas en veille (ou utiliser le réveil à distance), et le garder à jour.
  6. Ne jamais créer de redirection du port 3389 sur le routeur.

B. Option VPN classique

  1. Utiliser la fonction VPN du pare-feu existant (IPsec, SSL VPN ou WireGuard selon le modèle) et mettre son micrologiciel à jour.
  2. Relier l’authentification VPN aux comptes de l’entreprise et exiger la MFA.
  3. Créer un groupe d’utilisateurs VPN et des règles qui limitent l’accès aux seuls postes et ports nécessaires (par exemple 3389 vers un poste précis), plutôt qu’à tout le réseau.
  4. Installer le client VPN sur des appareils gérés et protégés seulement.
  5. Activer l’alerte sur les connexions inhabituelles et surveiller les avis de sécurité du fabricant.

C. Option zero trust avec Twingate

  1. Créer le réseau Twingate de l’entreprise et le relier à votre fournisseur d’identité (Microsoft Entra ID ou Google) pour profiter de la MFA existante.
  2. Déployer le connecteur sur une petite machine du bureau toujours allumée; idéalement deux connecteurs pour la redondance.
  3. Déclarer les ressources : par exemple l’adresse interne de l’ordinateur RDP, limitée au port 3389.
  4. Créer des groupes (Comptabilité, Direction…) et leur attribuer seulement les ressources dont ils ont besoin.
  5. Installer le client Twingate sur les appareils des employés et les connecter avec leur compte de travail.
  6. Lancer Connexion Bureau à distance (mstsc) vers l’adresse interne du poste : le trafic passe automatiquement par Twingate.
  7. Fermer les anciens accès (VPN, redirections de ports) une fois la transition validée.

Et le soutien informatique ? Pour vos appels de soutien, nos techniciens n’ont besoin ni de VPN ni de port ouvert : l’accès passe par l’agent de gestion à distance installé sur chacun de vos appareils, avec journalisation de chaque intervention.

Vous voulez sécuriser l’accès à distance de votre équipe ?

Appelez le tech · 1 833 444-1041

Sources