Le split tunneling est un mécanisme de réseau informatique qui permet à un utilisateur d'accéder en même temps, en utilisant des connexions réseau identiques ou différentes, à des domaines de sécurité(en) dissemblables, comme un réseau public (par exemple, Internet) et un réseau local ou un réseau étendu. Cet type de connexion est généralement facilité par l'utilisation simultanée d'un contrôleur d'interface réseau LAN (NIC), d'une carte réseau radio, d'une carte réseau LAN sans fil (WLAN) et d'une application logicielle client VPN sans devoir utiliser un contrôle d'accès.
Tous les VPN n'offrent pas de mécanisme de split tunneling ; parmi ceux qui offrent cette fonctionnalité, on trouve notamment Private Internet Access (PIA), ExpressVPN, Proton VPN et Surfshark[1].
Le type de split tunneling est parfois spécifié en fonction de sa configuration :
Un tunnel split-inclusif est configuré pour canaliser uniquement le trafic destiné à un ensemble spécifique de destinations.
Un tunnel split-exclusif est configuré pour accepter tout le trafic Internet sauf celui destiné à un ensemble spécifique de destinations[2],[3],[4].
Avantages
L'un des avantages de l'utilisation du split tunneling est de réduire les goulots d'étranglement et de conserver la bande passante, car toute la partie du trafic Internet qui n'a pas besoin de passer par le serveur VPN évite d'y passer.
Un autre avantage est apporté dans le cas où un utilisateur qui travaille sur le site d'un fournisseur ou d'un partenaire, a besoin d'accéder aux ressources du réseau sur les deux réseaux. Le split tunneling évite alors à cet utilisateur d'avoir à se connecter et à se déconnecter en permanence.
Inconvénients
Parmi les inconvénients, il y a le risque que certains utilisateurs ayant activé le split tunneling contournent les règles de sécurité au niveau de la passerelle Internet de l'entreprise[5]. Par exemple, si filtrage de contenu ou Web est en place, il s'agit généralement d'un élément contrôlé au niveau de la passerelle, et non du PC client.
Dans le split tunneling « inverse », tous les datagrammes entrent par défaut dans le tunnel, à l'exception des adresses IP de destination explicitement autorisées par la passerelle VPN. Les critères permettant aux datagrammes de sortir de l'interface réseau locale (en dehors du tunnel) peuvent varier d'un fournisseur à l'autre (c'est-à-dire : port, service, etc.)
Cette variante permet de garder le contrôle des passerelles réseau vers un dispositif de politique centralisé tel que le terminateur VPN. On peut y ajouter des technologies d'application de politique de point de terminaison telles qu'un pare-feu d'interface sur le pilote d'interface réseau du périphérique de point de terminaison, un objet de stratégie de groupe ou un agent anti-malware. À bien des titres, ces compléments relèvent du contrôle d'accès au réseau (NAC)[6].
Split tunneling dynamique (DST)
Dans le split tunneling « dynamique », les adresses IP à inclure ou à exclure sont calculées à la volée à partir d'une liste de règles ou de politiques de noms de domaine[7].
Réseau à double pile IPv6
Le contenu IPv6 interne peut être hébergé et présenté aux sites via une plage d'adresses locales unique au niveau VPN, tandis que le contenu IPv4 et IPv6 externe est accessible via des routeurs de site.
(en) Rob Cameron et Neil R. Wyler, Juniper(r) Networks Secure Access SSL VPN Configuration Guide, (ISBN978-0-080-55663-5), p. 241
(en) Steve Kaplan et Andy Jones, Citrix Access Suite 4 Advanced Concepts: The Official Guide, 2nd edition, McGraw-Hill Education, (ISBN978-0-071-50174-3)
