TCO VPN d’entreprise : cloud vs on‑premise pour 100, 500 et 1000 utilisateurs

Introduction : pourquoi ce sujet est important et ce que vous allez apprendre

Le VPN d’entreprise reste le pilier de l’accès à distance et de la connectivité inter-bureaux, même à l’ère du Zero Trust et du SASE. Mais en réalité, c’est bien le coût total de possession, pas la technologie seule, qui définit l’architecture et le choix de la plateforme. Quel est le TCO des solutions VPN cloud et on-premise pour 100, 500 et 1000 utilisateurs en 2026, en tenant compte de la performance, du chiffrement, de la redondance, du support, de la conformité et des coûts cachés d’exploitation ? Dans ce guide, nous calculerons pas à pas le coût total de possession pour des scénarios typiques, proposerons des formules et cadres vérifiés, fournirons des instructions étape par étape pour l’évaluation et l’optimisation, illustrerons par des cas pratiques et pièges classiques. Vous obtiendrez ainsi votre propre modèle TCO fiable pour planifier budget et architecture technique.

Les bases : concepts fondamentaux du TCO et de l’architecture VPN entreprise

Qu’est-ce que le TCO pour un VPN

Le TCO (Total Cost of Ownership) correspond au coût global de possession sur une période donnée (généralement 36 à 60 mois), incluant : le CAPEX (équipement, licences perpétuelles, déploiement), l’OPEX (maintenance, support, abonnements, électricité, rack, trafic), ainsi que le coût des risques et des interruptions (pénalités SLA, perte de revenus, dégâts réputationnels et coûts de conformité). Dans les projets VPN, jusqu’à 60 % du TCO proviennent souvent de l’exploitation et du personnel, tandis que les coûts technologiques dépendent du protocole choisi, de l’architecture des tunnels et du profil de trafic.

Architectures clés et termes

• VPN d’accès distant : les utilisateurs se connectent via des clients (WireGuard, OpenVPN, IKEv2, SSTP, L2TP) à un concentrateur d’accès.
• VPN Site-à-Site : connectivité entre sites, data centers et clouds.
• Tunnel complet (full tunnel) vs tunnel fractionné (split tunnel) : dans le premier cas, tout le trafic utilisateur passe par le VPN, dans le second, seuls les sous-réseaux et applications corporatives transitent par le VPN.
• VPN Cloud : déployé dans un IaaS ou service VPN managé d’un fournisseur. Vous payez les ressources de calcul, le trafic, les IP publiques et le support.
• On-premise : infrastructure en propre dans un data center ou bureau : serveurs ou gateways matériels, liens, alimentation et exploitation à votre charge.
• Protocoles : WireGuard (moderne, performant), OpenVPN (classique éprouvé), IKEv2/IPsec (standard de facto pour S2S et clients entreprise), SSTP et L2TP pour compatibilité.

Durée de vie et amortissement

Pour le matériel on-premise, l’amortissement typique est de 3 à 5 ans. Dans le cloud, la durée dépend des mécanismes de réservation, optimisation des pics et migration possible entre instances. Lors du calcul du TCO, prévoyez un horizon de 36 mois avec un scénario à 60 mois pour la sensibilité, afin d’évaluer l’impact du renouvellement matériel et de l’évolution de la charge.

Analyse approfondie : facteurs de coût, performance et risques

Facteurs clés du TCO

• Performance et échelle : nombre de connexions simultanées, charge cryptographique, bande passante par utilisateur, pics (visioconférences, mises à jour).
• Fiabilité et disponibilité : clusters HA, active-active ou active-passive, géoredondance, RTO et RPO. Plus le SLA est élevé, plus les nœuds et liens supplémentaires sont coûteux.
• Sécurité et conformité : MFA, PKI, HSM, audits, journaux SIEM, DLP, exigences réglementaires sectorielles. Chaque contrôle augmente composants et OPEX.
• Maturité opérationnelle : automatisation (IaC), monitoring, mises à jour, tests de résilience, documentation et formation. Cela réduit les incidents mais requiert du temps d’experts.
• Trafic et routage : split tunnel vs full tunnel modifient radicalement le coût du trafic sortant (egress) dans le cloud et la capacité des liens on-premise.
• Licences et support : clients commerciaux, support éditeur, forfaits premium cloud vs open source avec expertise interne.

Modèles de charge 2026 : évolutions

• Plus de visioconférence et applications interactives, donc pics plus élevés de bande passante et sensibilité accrue au jitter.
• Adoption étendue de WireGuard grâce à sa meilleure performance par cœur et chiffrement simplifié.
• Renforcement des exigences d’audit : conservation des logs de connexion 180–365 jours, corrélation avec EDR et IdP, MFA par défaut.
• Expansion des topologies hybrides : certains utilisateurs passent par SASE, d’autres via VPN d’entreprise (pour accès aux systèmes de second niveau notamment).

Approche orientée risques

Intégrez dans le TCO le coût des événements : une coupure du concentrateur VPN de 2 heures en journée coûte souvent des dizaines de milliers de dollars en perte de productivité. Si l’entreprise vend des services en ligne, la perte de transactions gonfle ce montant. Incluez-le comme un coût attendu : probabilité d’incident multipliée par le dommage. Les mesures architecturales (HA, active-active) réduisent probabilité et/ou impact, mais augmentent le TCO de base. L’optimum est à trouver en équilibre.

Méthode 1. Cadre du TCO : formules, structure et étapes

Structure des coûts

• CAPEX : matériel (serveurs, NIC, HSM), licences perpétuelles, déploiement et migration.
• OPEX : instances cloud, trafic egress, IP, rack et électricité, liens (DIA), support éditeur, abonnements (MFA), redondance, monitoring et SIEM.
• PeopleEx : ETP pour exploitation (NOC, sécurité réseau), astreinte, formation et documentation.
• RiskEx : pertes attendues dues aux interruptions et incidents de sécurité, pénalités de conformité.

Formules

TCO = (CAPEX/durée) + OPEX + PeopleEx + RiskEx. Pour homogénéiser, on convertit le CAPEX en amortissement mensuel. Unit Economics : CPUU coût par utilisateur par mois = TCO / nombre d’utilisateurs. CPGb coût par capacité Gbps = (coût mensuel ressources) / capacité fournie. CPConn coût par connexion simultanée = (coût) / nombre max connexions simultanées.

Paramètres de charge

• Concurrence : 20–40 % d’utilisateurs actifs en même temps (en moyenne 30 % pour les cols blancs). Prévoyez un facteur 1,5–2 sur ce chiffre pour couvrir les pics.
• Profil de trafic : split tunnel 10–20 Go par utilisateur/mois ; full tunnel 40–80 Go. Base retenue : 15 Go et 60 Go respectivement.
• Débit pic par utilisateur actif : 2–5 Mbit/s pour travail de bureau, 5–8 Mbit/s pour visioconférence HD. Pour les calculs, pris 5 Mbit/s pour les pics et 2,5 Mbit/s de marge (50 %).

Checklist des hypothèses d’entrée

• Nombre d’utilisateurs, SLA attendu (ex. 99,9 %), exigences réglementaires.
• split vs full tunnel, part Mac/Windows/Linux, clients mobiles.
• Protocoles : WireGuard par défaut, OpenVPN/IKEv2 pour compatibilité.
• Géographie et latence : localisation des utilisateurs et applications.
• Existence de liens et data centers.
• Niveau d’automatisation et compétences de l’équipe.

Méthode 2. Calcul du TCO : 100, 500 et 1000 utilisateurs (cloud vs on-premise)

Hypothèses générales de comparaison

• Horizon : 36 mois. Devise : USD pour neutralité (conversion au taux local au déploiement).
• MFA : 1 dollar par utilisateur/mois (souvent inclus dans licence entreprise, ici compté en plus pour le projet VPN).
• SIEM et audit : 150–300 dollars par mois selon l’échelle (peu de logs mais conservation et corrélation nécessaires).
• Coût personnel : 100 000 dollars annuels fully loaded par ETP sécurité réseau (8333 dollars par mois). Part inférieure de FTE dans le cloud grâce à moins d’infrastructures physiques.
• WireGuard comme protocole principal pour la bande passante ; OpenVPN et IKEv2 pour compatibilité.
• Concurrence : 30 % d’utilisateurs actifs simultanément ; facteur pic 2x sur la capacité.

Modélisation de capacité

• 100 utilisateurs : 30 actifs. Pic 30 × 5 Mbit/s × 2 = 300 Mbit/s (full tunnel). En split, 40 % de charge : environ 120 Mbit/s.
• 500 utilisateurs : 150 actifs. Pic 150 × 5 × 2 = 1500 Mbit/s (1,5 Gbit/s full). Split ~ 600 Mbit/s.
• 1000 utilisateurs : 300 actifs. Pic 300 × 5 × 2 = 3000 Mbit/s (3 Gbit/s full). Split ~ 1200 Mbit/s.

Cloud : coûts mensuels

Composants : instances de calcul (HA 2–6 nœuds), trafic egress (0,06 $ par Go avec remises), IP et disque (20–80), support fournisseur (300–800), exploitation (0,2–0,6 ETP), MFA (1 par utilisateur), SIEM (50–300). Optimisation envisagée sur instances et proximité régionale.

100 utilisateurs

• Instances : 2 × c-class moyenne à 68 = 136.
• Trafic : split 1,5 To ≈ 92 ; full 6 To ≈ 369.
• IP et disque : 20.
• Support : 300.
• Exploitation : 0,2 ETP ≈ 1667.
• MFA : 100.
• SIEM et audit : 50.

Total cloud 100 : split ≈ 2398/mois (≈ 24 par utilisateur), full ≈ 2675 (≈ 26,8 par utilisateur).

500 utilisateurs

• Instances : split 400, full 600 (plus de nœuds et/ou classes).
• Trafic : split 7,5 To ≈ 461 ; full 30 To ≈ 1843.
• IP et disque : 50.
• Support : 500.
• Exploitation : 0,4 ETP ≈ 3333.
• MFA : 500.
• SIEM : 150.

Total cloud 500 : split ≈ 5361 (≈ 10,7 par utilisateur), full ≈ 6943 (≈ 13,9).

1000 utilisateurs

• Instances : split 700, full 900.
• Trafic : split 15 To ≈ 922 ; full 60 To ≈ 3686.
• IP et disque : 80.
• Support : 800.
• Exploitation : 0,6 ETP ≈ 5000.
• MFA : 1000.
• SIEM : 300.

Total cloud 1000 : split ≈ 7802 (≈ 7,8 par utilisateur), full ≈ 11766 (≈ 11,8).

On-premise : coûts mensuels

Composants : serveurs/appliances (amortissement sur 36 mois), liens DIA (2 lignes pour résilience), rack et électricité, support constructeur, exploitation (0,4–1,0 ETP), MFA, SIEM, pièces de rechange. Stack open source sur serveurs standards supposé ; licences commerciales utilisateur à ajouter si utilisées.

100 utilisateurs

• Serveurs : 2 × 2500 = 5000, amortissement 139/mois (incluant 2000 NIC et accessoires, total 139).
• Liens DIA : 2 × 500 Mbit/s ≈ 1200.
• Rack et électricité : 480.
• Support : 100.
• Exploitation : 0,4 ETP ≈ 3333.
• MFA : 100.
• SIEM et audit : 150.
• Réserve et frais divers : 100.

Total on-premise 100 : ≈ 5479/mois (≈ 54,8 par utilisateur).

500 utilisateurs

• Serveurs : 2 × 4000 = 8000 plus accessoires, amortissement ≈ 166.
• Liens DIA : 2 × 1 Gbit/s ≈ 2400.
• Rack et électricité : 500.
• Support : 200.
• Exploitation : 0,6 ETP ≈ 5000.
• MFA : 500.
• SIEM : 250.
• Réserve : 150.

Total on-premise 500 : ≈ 9166 (≈ 18,3 par utilisateur).

1000 utilisateurs

• Serveurs : 3 × 5000 = 15000 plus accessoires, amortissement ≈ 300.
• Liens DIA : 2 × 2 Gbit/s ≈ 4000.
• Rack et électricité : 600.
• Support : 300.
• Exploitation : 1,0 ETP ≈ 8333.
• MFA : 1000.
• SIEM : 400.
• Réserve : 200.

Total on-premise 1000 : ≈ 15133 (≈ 15,1 par utilisateur).

Conclusion de la comparaison de base

• Pour les trois échelles, le cloud en split tunnel est moins cher que l’on-premise, surtout pour 100 et 500 utilisateurs.
• Le full tunnel cloud reste compétitif jusqu’à 1000 utilisateurs grâce aux économies sur les ETP et l’absence de liens DIA en datacenter, mais coûte sensiblement plus cher en trafic egress.
• On-premise ne l’emporte que si les liens DIA et data centers sont déjà payés, avec une forte expertise interne et une charge admins n’excédant pas 0,2–0,3 ETP. Alors, son TCO pour 1000 utilisateurs peut descendre à 9–11 $ par utilisateur/mois.

Scénarios alternatifs de sensibilité

• Si les liens DIA sont déjà en place (coût nul) : on-premise 1000 utilisateurs descend à ≈ 11133 (≈ 11,1 par utilisateur).
• Si le coût ETP est plus élevé (ex. 140 000 $ par an) : le cloud devient proportionnellement moins cher, car la part ETP y est plus faible.
• Si on ajoute les licences VPN commerciales (20–40 $ par utilisateur/an) : cloud et on-premise augmentent, mais sur les volumes 500–1000, l’effet est plus marqué sur l’on-premise à cause aussi des liens DIA.
• Si le coût du trafic egress cloud est plus élevé (0,09 $ par Go) : le full tunnel à 1000 utilisateurs rajouterait ≈ 1843 $ au trafic, se rapprochant du coût on-premise.

Méthode 3. Dimensionnement technico-économique : comment bien calibrer l’infrastructure

Performance des protocoles

• WireGuard : scalabilité linéaire sur CPU, 1–2 Gbit/s par vCPU sur hôtes modernes avec accélération crypto. Excellent pour forte densité utilisateurs.
• OpenVPN : 200–400 Mbit/s par cœur avec AES-NI et optimisations. Utile pour compatibilité, moins efficace.
• IKEv2/IPsec : stable pour S2S, performances proches de WireGuard sur matériel avec accélération dédiée.

Dimensionnement pas à pas

1. Définissez la concurrence et le débit pic par utilisateur actif.
2. Calculez la capacité pic (actifs × pic × marge).
3. Choisissez le protocole. WireGuard préféré pour les clients mainstream, IKEv2/IPsec pour S2S, OpenVPN pour anciens clients.
4. Choisissez les instances : commencez avec 2 vCPU puis montez à 4–8 vCPU en testant performances crypto et changements de contexte.
5. Prévoyez HA : au moins 2 nœuds active-active, 3–4 nœuds par région pour 500+ utilisateurs.
6. Vérifiez MTU et MSS, surtout en double encapsulation et S2S, cause courante de baisse de performance.
7. Mettez en place limites sur handshakes et rate limiting contre DoS via flood UDP.

Observabilité et expérience utilisateur

• Collectez métriques : sessions actives, handshake répétés, latence aux applications, PLR, bande passante par utilisateur. Visualisez dans Grafana.
• Activez détection d’anomalies : pics egress, pays inhabituels, tentatives multiples de connexion — automatiser playbooks SOC.
• Testez dégradations : coupure d’un nœud, perte d’une région, montée brutale de charge de 30–50 %.

Méthode 4. Création d’un calculateur TCO : éléments et modèles

Modèle des données d’entrée

• Utilisateurs, part d’actifs, split vs full tunnel, gigaoctets par utilisateur.
• Protocoles et parts par client.
• Liste des régions, latences, exigences HA et DR.
• Tarifs instances/liens/rack/électricité, salaires ETP.

Champs calculés

• Capacité pic, nombre de nœuds par région, coût total instances.
• Trafic egress et coût associé.
• Amortissement CAPEX et OPEX.
• Personnel, parts d’ETP et astreinte.
• RiskEx : probabilité × impact sur 2–3 scénarios clés.

Instructions étape par étape

1. Rassemblez une base pour 1 mois en pilote : activité utilisateurs, gigaoctets, débits pics.
2. Appliquez coefficients de croissance (saisonnalité, recrutements, nouvelles applis).
3. Calculez 2 scénarios : split tunnel 100 % et full tunnel 100 % — bornes supérieures et inférieures.
4. Ajoutez HA et DR au calcul des nœuds.
5. Détaillez les ETP : administration, automatisation, support utilisateurs de 1er niveau.
6. Faites un test de charge et ajustez le dimensionnement.
7. Constituez modèle final TCO sur 36 mois et l’unité économique par utilisateur.

Méthode 5. Mise en œuvre cloud : guide étape par étape

Objectifs et critères

• SLA 99,9 %, RTO 15 minutes.
• Split tunnel par défaut, full tunnel pour rôles privilégiés et politiques spécifiques.
• MFA et intégration IdP (SAML/OIDC).

Étapes

1. Choisissez régions d’instances proches des utilisateurs.
2. Déployez 2–4 nœuds WireGuard/OpenVPN en active-active, connectez load balancers (L4/UDP-aware).
3. Automatisez configuration via IaC et templates clients.
4. Configurez routes split tunnel et politiques par groupes (RH, Dev, Finance).
5. Intégrez MFA et définissez rotation des clés/certificats.
6. Activez centralisation des logs dans SIEM, alertes sur anomalie.
7. Effectuez test de charge puis mise en production progressive (canary).

Checklist

• Tests de récupération sur panne de nœud ou de région.
• Procédures de rotation et révocation de clés.
• Documentation pour support L1/L2.
• Contrôle régulier du trafic egress et des réductions Reserved/Committed.

Méthode 6. Mise en œuvre on-premise : guide étape par étape

Objectifs et critères

• Faible latence aux systèmes internes, maîtrise des liens.
• Flexibilité pour déployer HSM/PKI et respecter normes sectorielles.

Étapes

1. Sélectionnez data center et établissez 2 connexions DIA indépendantes.
2. Achetez 2–3 serveurs supportant AES-NI, NIC 10G, alimentation redondante.
3. Déployez WireGuard/IKEv2 sur hyperviseurs ou bare metal, configurez active-active.
4. Implémentez routage split tunnel, et si besoin route-based IPsec vers clouds externes.
5. Intégrez MFA, IdP, logs centralisés, HSM/TPM pour stockage clefs.
6. Mettez en place monitoring et sauvegardes des configs.
7. Testez résilience : perte d’un lien DIA, panne d’un nœud, dégradation des routes.

Checklist

• Licences commerciales et open source, conditions de support et délais d’approvisionnement.
• SLA avec fournisseurs de liens, accords sur les temps de réparation.
• Procédures d’urgence : stock NIC, serveur de secours, compatibilité firmware vérifiée.

Méthode 7. Optimisation du TCO : 12 leviers d’économie

• Split tunnel par défaut et full tunnel uniquement pour certains rôles. Économise le trafic egress et la capacité des liens.
• WireGuard comme protocole de base : meilleure performance par cœur, moins de CPU, moins de nœuds.
• Géolocalisation des nœuds : réduire le RTT augmente l’efficacité et diminue les Mbit/s pics nécessaires.
• Réductions Reserved/Committed sur instances cloud et egress.
• Mise à l’échelle automatique en heures de pointe.
• Routage direct du trafic SaaS (local breakout) plutôt que tout renvoyer vers le datacenter.
• Clients unifiés avec configs par groupes et politiques.
• Tests continus de performance, tuning MSS/MTU.
• Réduction des ETP via IaC, GitOps et modules de déploiement prêts à l’emploi.
• Agrégation des logs et rétention intelligente (métadonnées plus longues, logs détaillés plus courts avec archivage à froid).
• Achat de liens avec burst possible et SLA sur jitter/latence.
• Réglage approprié du keepalive pour ne pas garder de connexions actives inutilement.

Erreurs fréquentes : à éviter dans le TCO et l’architecture

• Ignorer la concurrence et les pics : calculer sur moyenne sans marge conduit à surcharge et interruptions.
• Mauvais choix de protocole : utiliser OpenVPN là où WireGuard ou IKEv2 sont mieux adaptés engendre nœuds et coûts excessifs.
• Full tunnel sans justification : multiplie le trafic egress et les coûts réseau.
• Manque de HA ou redondance de liens : économiser quelques dollars fait perdre des milliers en interruptions.
• Sous-estimer l’exploitation : les ETP et astreintes coûtent toujours plus qu’attendu. La documentation et automatisation sont rentables.
• Licence commerciale sans analyse TCO : payer un utilisateur double le TCO parfois là où open source et expertise suffisent.
• Géographie inadaptée : nœuds loin des utilisateurs augmentent latence et surcoût de bande passante.

Outils et ressources : que privilégier en pratique

Stack protocoles et serveurs

• WireGuard pour accès utilisateur performant et S2S.
• OpenVPN pour compatibilité anciens clients et proxys spécifiques.
• strongSwan/Libreswan pour IKEv2/IPsec, surtout S2S et BGP-over-IPsec.
• SoftEther comme option multiprotocole avec NAT traversal avancé.

Gestion et automatisation

• Infrastructure as Code : Terraform/Ansible pour déploiement nœuds et politiques.
• CI/CD configurations : GitOps, revue règles de routage et ACL.
• Monitoring : Prometheus, Grafana, exporters WireGuard/OpenVPN.
• Sécurité : PKI, intégration IdP (AD/Entra, Okta, Keycloak), MFA par défaut.
• Journaux : centralisation SIEM, normalisation formats, suivi tentatives infructueuses et anomalies géographiques.

Option rapide pour pilotes et PoC

Pour valider une hypothèse, tester split vs full tunnel, mesurer charge réelle et acquérir une base sans longs cycles d’achat, le service vpn.how est idéal. C’est un serveur VPN personnel (pas partagé, IP dédiée client), support WireGuard, OpenVPN, IKEv2, L2TP, SSTP, choix selon besoin, géographie serveurs couvre Moscou, Saint-Pétersbourg, Amsterdam, Francfort, Londres, New York, San José, Chicago, Singapour, Sydney, Madrid, Helsinki, Stockholm, Varsovie, Copenhague, Stavanger ; paiements par cartes russes (incluant Tinkoff et Ozon), SBP, USDT/BTC ; tarifs dès 490 roubles/jour et 2490 roubles/mois avec remises longue durée ; démarrage en 5 minutes après paiement. C’est un excellent outil pour pilotes et PoC : déploiement rapide, collecte métriques, test compatibilité clients et politiques de routage. Pour la production long terme, mieux vaut migrer vers infrastructure propre (cloud ou on-premise) ou solutions certifiées comme ГОСТ-VPN, selon exigences sécurité et conformité.

Cas pratiques et résultats : comment les chiffres influencent le choix

Cas 1 : 100 utilisateurs, équipe dev distribuée

Objectif : accès sécurisé à Git, CI, staging. Exigences : split tunnel, SLA 99,9 %, WireGuard. Résultat : cloud 2398 $/mois (24 $/utilisateur), on-premise 5479 $ (54,8). Choix : cloud avec 2 nœuds et IaC. De pilote à production en 2 semaines. Économie de 55 % vs on-premise. ROI automatisation (Ansible + CI/CD configs) en 3 mois grâce à réduction ETP de 0,3 à 0,2.

Cas 2 : 500 utilisateurs, fintech, filtrage complet du trafic

Objectif : full tunnel via circuits d’entreprise, inspection et journalisation. Résultat : cloud 6943 $/mois, on-premise 9166. Surprise : egress très augmenté mais ETP plus lourd chez on-premise toujours. Choix : hybride. 60 % utilisateurs split (SaaS direct), 40 % full via cloud avec inspection. Coût réduit à ≈ 5600 $/mois.

Cas 3 : 1000 utilisateurs, industrie, faible latence MES

Objectif : accès aux applis internes data center avec latence minimale. Pilote : cloud avec nœuds proches usines montre bonne performance, mais egress full tunnel partie utilisateurs fait grimper facturation. Résultat : on-premise avec liens DIA déjà payés et rack baisse TCO à 11 $/utilisateur. Choix : on-premise WireGuard et IKEv2 pour S2S, modèle hybride pour les itinérants.

FAQ : questions approfondies

1. Peut-on calculer le TCO sans inclure les interruptions et risques de sécurité ?

Techniquement oui, mais c’est un repère trompeur : un arrêt lors d’un pic peut effacer l’économie annuelle entre deux choix. Intégrez au moins deux scénarios de risque avec probabilité et évaluation de dégâts.

2. Quelle importance a le choix du protocole sur le TCO ?

Essentielle. WireGuard supporte la charge sur moins de cœurs CPU, réduisant directement coût des nœuds et consommation. À partir de 500+ utilisateurs, les économies peuvent atteindre 20–30 % sur la puissance de calcul.

3. Le split tunnel est-il sûr pour les entreprises ?

Oui, avec politiques de routage correctes, MFA obligatoire, contrôle des terminaux (MDM/EDR), inspection ciblée du trafic corporate. Le full tunnel reste pertinent pour utilisateurs privilégiés, admins et exigences fortes de conformité.

4. Qu’est-ce qui influence le plus le TCO cloud : la puissance de calcul ou le trafic egress ?

Jusqu’à 500 utilisateurs, calcul et ETP dominent. Au-delà, en full tunnel, le trafic egress devient comparable voire supérieur, surtout sans réductions ni routage SaaS direct.

5. Quand le on-premise l’emporte-il ?

Quand les liens DIA et le rack sont déjà payés et que la team interne peut absorber une augmentation de charge de 0,2–0,3 ETP. Aussi en cas de besoins de modules matériels ou d’isolation stricte pour la conformité.

6. Comment évaluer le nombre de nœuds nécessaire ?

Basez-vous sur les pics Mbps et ciblez une utilisation nœud à 60–70 %, multipliez par facteur HA. Testez en pilote, ajoutez 20 % de marge pour pics.

7. Qu’en est-il d’IPv6 ?

IPv6 améliore stabilité et perf en mobilité mais complique routage et politiques. Assurez-vous que clients, serveurs, ACL et SIEM gèrent bien le dual-stack.

8. Comment intégrer les licences clients VPN commerciales ?

Compte comme coût additionnel utilisateur/mois, comparez à open source + support interne. Souvent justifiée par compatibilité et meilleure télémétrie.

9. Peut-on mélanger les protocoles ?

Oui, courant. WireGuard par défaut, OpenVPN pour compatibilité, IKEv2 pour S2S et certains mobiles. Intégrez parts dans le calcul TCO.

10. Comment détecter rapidement un surcoût egress ?

Vérifiez le volume Go/utilisateur/mois. Si en full tunnel la moyenne dépasse 80–100 Go sans raison, analysez routes SaaS et cachez contenu, appliquez split tunnel aux applis non critiques.

Conclusion : résumé et prochaines étapes

Le coût de possession d’un VPN d’entreprise dépend moins du fournisseur que de l’architecture, du protocole et de la maturité opérationnelle. Sur 36 mois, le cloud en split tunnel est moins cher que l’on-premise jusqu’à 1000 utilisateurs grâce à une part ETP réduite et pas d’investissement CAPEX. Le full tunnel cloud nécessite rigueur sur egress et routage SaaS, sinon le TCO s’envole. On-premise est avantageux si liens et équipe sont en place et sous fortes contraintes d’isolation. Le meilleur chemin est d’extraire ces hypothèses en pilote, collecter métriques puis figer un TCO sur architecture production avec SLAs et processus clairs. Vos prochaines étapes : 1) en 1–2 semaines, monter un pilote, mesurer concurrence, capacité pic et egress réels ; 2) construire un calculateur TCO selon la méthode du guide ; 3) choisir stratégie split par défaut, WireGuard comme protocole de base et HA obligatoire ; 4) planifier optimisation grâce à automatisation, monitoring et localisation judicieuse des nœuds. Ainsi, vous aurez un budget maîtrisé, risques gérés et expérience stable utilisateurs, faisant du VPN un outil transparent, rentable et efficace.