Votre équipe administre douze VPS via VPN WireGuard permanent. Les journaux VPN enregistrent chaque requête DNS personnelle du développeur en télétravail. L'audit demande qui a accédé au serveur prod le 14 mars : impossible d'isoler la session SSH dans le bruit. Le choix entre VPN et bastion n'est pas une question de mode — c'est un arbitrage entre surface réseau ouverte et qualité des traces laissées par chaque session d'administration. Un bastion avec auditd et MFA aurait une trace — une — par connexion admin.
La question : quel accès produit la preuve utile sans ouvrir plus de réseau que nécessaire ?
VPN : tunnel large, confort, surface étendue
Une fois connecté, le VPN donne accès au réseau privé complet. Forces : plusieurs services internes, équipe distante homogène, familiarité des équipes. Traces inutiles : trafic non production, connexions longues, fuites de tunnel scindé, corrélation difficile par hôte.
Risques : clé VPN compromise = réseau entier ; correctif VPN oublié.
Bastion : porte unique, journaux ciblés
Jump host SSH ou RDP ; accès production uniquement via saut. Forces : MFA centralisé, liste blanche IP sur bastion, journaux de session, principe du moindre privilège par clé. Limites : un service de plus à durcir ; pas d'accès bulk réseau sans tunnel additionnel.
| Critère | VPN | Bastion |
|---|---|---|
| Surface réseau | Large | Étroit |
| Journaux actionnables | Faibles | Forts |
| Setup équipe petite | Lourd | Léger |
| Multi-service interne | Idéal | Compléter VPN/ZT |
Zero Trust : troisième voix
BeyondCorp, Tailscale ACL, Cloudflare Access — authentification par session et par service, pas réseau plat. Compromis moderne entre VPN et bastion pour stacks cloud.
Pour durcir le premier VPS, voir Netcup : premier VPS sécurisé.
Choisir selon la taille d'équipe
Une équipe de deux développeurs qui n'administrent que SSH sur trois VPS n'a souvent pas besoin d'un VPN permanent : un bastion durci avec MFA et clés par personne suffit. Une équipe de quinze personnes accédant à bases internes, LDAP et plusieurs sous-réseaux privés bénéficiera d'un VPN ou d'une solution Zero Trust avec listes de contrôle fines. Le critère n'est pas « VPN ou bastion » en absolu — c'est quelle surface ouvrez-vous pour quel besoin réel. Revoyez ce choix à chaque embauche ou changement d'outillage : un VPN laissé ouvert « parce que ça marchait » devient vite un angle mort quand l'équipe a doublé et que personne ne filtre plus les accès inutiles.
Le sommet : moins de traces ≠ moins de journaux
Décider et avancer sans angle mort
Cartographiez qui accède à quoi — SSH seul ou réseau privé complet. Choisissez un bastion si SSH admin est le cas principal ; un VPN si plusieurs sous-réseaux privés doivent rester joignables. Appliquez MFA et clés sur le bastion, désactivez l'authentification par mot de passe sur SSH production, et alignez la rétention des journaux admin sur les besoins d'enquête et la minimisation RGPD. Consultez nos guides et l'annuaire — revoyez ce choix à chaque embauche ou changement d'outillage pour éviter un tunnel permanent devenu invisible. Un bastion journalisé bat souvent un VPN ouvert 24 h/24 pour l'audit — et pour la surface réellement exposée.
Questions fréquentes
VPN ou bastion pour administrer un VPS ?
Un bastion SSH suffit souvent pour SSH seul : un point d'entrée, MFA et journaux de session. Un VPN devient utile si plusieurs services privés ou une équipe large accèdent au réseau interne.
Quelles traces inutiles avec un VPN ?
Trafic personnel mélangé, connexion permanente, tunnel scindé mal configuré et journaux volumineux difficiles à corréler à une session admin précise.
Le bastion remplace-t-il le VPN ?
Pour l'administration SSH ou RDP, souvent oui. Pour un accès réseau privé complet (bases internes, LDAP), un VPN ou Zero Trust reste pertinent.
Que logger absolument ?
Qui, quand, quelle clé, échecs d'authentification et adresse IP source — avec une rétention alignée sur les besoins d'enquête et la minimisation RGPD.
L'accès admin idéal ouvre une porte, laisse une trace claire, et se ferme — pas un tunnel permanent où personne ne retrouve la session fautive. Revoyez trimestriellement qui a encore accès au bastion ou au VPN et supprimez les comptes des personnes parties. Pour durcir le premier serveur, voir aussi Netcup : premier VPS sécurisé si vous partez d'un VPS nu. Moins de traces utiles ne signifie pas moins de logs — au contraire, un bastion bien tenu concentre la preuve.