PiVPN : héberger son propre VPN sur Raspberry Pi avec WireGuard ou OpenVPN

Réponse immédiate. PiVPN est un script libre qui transforme un Raspberry Pi en serveur VPN domestique, avec WireGuard (choix par défaut) ou OpenVPN. En 2026, le projet n’est pas abandonné mais maintenu « au mieux » par un bénévole : sa dernière version publiée date du 13 septembre 2025. Il reste la voie la plus simple pour joindre son réseau domestique depuis l’extérieur.

Ce qu’un VPN chez soi permet de reprendre en main, et ses limites

Un VPN (réseau privé virtuel) crée un tunnel chiffré entre un appareil et un serveur. Les offres commerciales placent ce serveur chez un prestataire : vous lui confiez tout votre trafic. Avec PiVPN, le serveur est un Raspberry Pi posé chez vous. Le tunnel aboutit dans votre propre réseau.

Concrètement, cela permet trois choses. Joindre depuis l’extérieur les services que vous hébergez (un partage de fichiers, une domotique locale, un serveur multimédia) sans les exposer un par un sur Internet. Chiffrer votre trafic quand vous êtes sur un Wi-Fi public que vous ne maîtrisez pas. Et ne dépendre d’aucun prestataire VPN pour ces deux usages : les clés sont générées et stockées sur votre matériel.

Les limites sont tout aussi nettes. Le trafic qui ressort vers Internet part de votre box : votre fournisseur d’accès le voit comme d’habitude, et les sites visités voient votre adresse personnelle. Un VPN domestique n’est donc pas un outil d’anonymat. Pour comparer avec les services commerciaux, lisez notre dossier sur le fonctionnement d’un VPN et la rubrique VPN.

PiVPN en 2026 : où en est le projet ?

L’histoire récente du projet mérite d’être connue avant d’installer quoi que ce soit, car elle conditionne la confiance qu’on peut lui accorder.

Le dépôt officiel n’est pas archivé et la documentation affiche en tête un avertissement : le projet est maintenu « au mieux » (best-effort). Notre lecture : PiVPN reste utilisable et suivi pour les correctifs de compatibilité, mais aucune nouvelle fonction importante n’est à attendre. Un point de vigilance : la FAQ du projet liste encore Bullseye et Bookworm comme versions de Raspberry Pi OS prises en charge, alors que le correctif pour Trixie a bien été intégré.

Ce statut a une conséquence pratique rassurante, écrite dans la note de version 4.6.1 : une installation existante continue de fonctionner, car WireGuard et OpenVPN sont mis à jour par le gestionnaire de paquets du système, pas par PiVPN.

WireGuard ou OpenVPN : lequel choisir ?

WireGuard est un protocole VPN récent qui fonctionne dans le noyau Linux. Son projet le décrit comme plus simple et plus rapide qu’IPsec et OpenVPN. OpenVPN est plus ancien, repose sur des certificats et reste très répandu. PiVPN propose les deux, et peut même les installer ensemble.

Pour un usage domestique, WireGuard est le choix le plus simple : c’est celui que PiVPN met en avant et celui que suit le tutoriel ci-dessous. OpenVPN garde un intérêt si un appareil ou un routeur que vous utilisez ne connaît que lui.

Prérequis

• Un Raspberry Pi. La FAQ de PiVPN cite les modèles 1, 2, 3, 4, 5 et Zero. Un modèle relié par câble Ethernet est préférable pour un service qui tourne en permanence. Notre guide pour choisir un Raspberry Pi serveur détaille les options.
• Raspberry Pi OS Lite, l’édition sans bureau graphique, recommandée par le projet PiVPN et par Raspberry Pi pour les serveurs.
• Une adresse locale fixe pour le Raspberry Pi. La documentation Raspberry Pi recommande une réservation DHCP dans l’interface de la box, c’est-à-dire l’attribution permanente d’une adresse à l’appareil.
• Une adresse publique joignable. Si votre fournisseur partage une même adresse publique entre plusieurs abonnés (CGNAT, fréquent en 4G et 5G), la redirection de port est inefficace : il faut lui demander une adresse publique dédiée.
• Un nom de domaine dynamique (DDNS) si votre adresse publique change régulièrement, comme la FAQ de PiVPN le conseille.
• Un accès SSH (terminal à distance) au Raspberry Pi.

Installer PiVPN avec WireGuard, étape par étape

Version décrite : PiVPN 4.11.1 (branche principale du dépôt), sur Raspberry Pi OS Lite basé sur Debian 13 « Trixie ».

1. Installez Raspberry Pi OS Lite avec Raspberry Pi Imager. Dans l’onglet de personnalisation, créez votre utilisateur et activez SSH. C’est vous qui choisissez le nom d’utilisateur et le mot de passe.
2. Connectez-vous depuis votre ordinateur, en remplaçant les deux valeurs :
   TerminalCopier

   ssh <username>@<ip address>

3. Mettez le système à jour, comme le recommande la documentation Raspberry Pi :
   TerminalCopier

   sudo apt update
   sudo apt full-upgrade

4. Réservez l’adresse locale du Raspberry Pi dans l’interface de votre box (réservation DHCP). La commande hostname -I affiche l’adresse actuelle.
5. Récupérez et lancez l’installeur. La méthode la plus courte, documentée par PiVPN, exécute directement le script téléchargé :
   TerminalCopier

   curl -L https://install.pivpn.io | bash

   Si vous préférez lire le script avant de l’exécuter, ce que nous conseillons pour tout programme lancé avec des droits d’administration, la documentation propose de cloner le dépôt :

   TerminalCopier

   git clone https://github.com/pivpn/pivpn.git
   bash pivpn/auto_install/install.sh

6. Répondez aux questions de l’installeur. Il met à jour les paquets, demande notamment l’interface réseau à utiliser, puis le protocole : gardez WireGuard. Il propose aussi de modifier le port et le serveur DNS transmis aux clients. La documentation indique qu’on peut valider toutes les questions avec Entrée pour obtenir une configuration fonctionnelle. Indiquez votre adresse publique ou votre nom DDNS quand il vous est demandé.
7. Ouvrez le port sur la box. Dans l’interface de votre box, redirigez le port UDP choisi (51820 dans la documentation PiVPN) vers l’adresse locale du Raspberry Pi.
8. Créez un premier accès :
   TerminalCopier

   pivpn add

   Donnez un nom au client. Le fichier .conf est placé dans le dossier configs de votre répertoire personnel.

9. Installez le profil sur l’appareil. Sur téléphone, installez l’application WireGuard, puis affichez un code QR sur le Raspberry Pi avec pivpn -qr et scannez-le. Sur ordinateur, copiez le fichier .conf (avec scp sous macOS et Linux, WinSCP sous Windows) et importez-le dans l’application WireGuard.

Vérifier que tout fonctionne

1. Coupez le Wi-Fi de votre téléphone pour passer en données mobiles, puis activez le tunnel dans l’application WireGuard.
2. Sur le Raspberry Pi, lancez pivpn -c : le client doit apparaître dans la liste des clients connectés.
3. Depuis le téléphone, ouvrez un service de votre réseau local par son adresse locale. S’il répond, le tunnel fonctionne.

Si ça ne marche pas

• Lancez le diagnostic intégré avec pivpn -d. Il vérifie le transfert IP, les règles de pare-feu et l’état du service, et propose de corriger les erreurs signalées.
• Adresse publique changée. Comparez l’adresse enregistrée dans /etc/pivpn/wireguard/setupVars.conf (ligne pivpnHOST) avec celle que renvoie curl -s https://checkip.amazonaws.com. Si elles diffèrent souvent, passez par un nom DDNS.
• Aucun paquet n’arrive. Vérifiez que votre fournisseur n’utilise pas de CGNAT. Si deux routeurs se suivent (box puis routeur personnel), il faut une redirection de port sur chacun.
• Le tunnel s’établit mais rien ne s’affiche. La FAQ de PiVPN évoque un problème de MTU (taille maximale des paquets) : partez de la valeur par défaut, 1420, et baissez-la de 10 en 10 dans la section [Interface] du fichier client jusqu’à trouver celle qui fonctionne.
• Redémarrer le service WireGuard : sudo systemctl restart wg-quick@wg0.

Gérer les accès au quotidien

Retirer un profil dès qu’un appareil est perdu ou revendu est la règle d’hygiène la plus utile : c’est ce qui garantit que vous seul décidez qui entre dans votre réseau.

Et avec OpenVPN ?

Le déroulé est le même, en choisissant OpenVPN à l’étape du protocole. Les différences tiennent à la gestion des clients. pivpn add demande une phrase de passe pour la clé du client et produit un fichier .ovpn dans le dossier ovpns. L’option pivpn add nopass crée un profil sans phrase de passe, utile pour un routeur. Pour couper un accès, la commande est pivpn revoke, et pivpn list affiche les certificats valides et révoqués. Côté appareils, la documentation PiVPN renvoie vers OpenVPN Connect sur Android et iOS, OpenVPN GUI sous Windows et Tunnelblick sur Mac.

Les deux protocoles peuvent cohabiter : relancez l’installation, puis gérez chacun avec pivpn wg et pivpn ovpn. Relier le Raspberry Pi comme client à un VPN commercial est un autre usage, qui ne relève pas de l’auto-hébergement.

Et si PiVPN s’arrêtait ?

PiVPN n’est qu’un assistant d’installation. Ce qui fait le travail, ce sont WireGuard et OpenVPN, deux logiciels libres distribués par Debian. Une installation existante continue donc de recevoir leurs mises à jour de sécurité via sudo apt full-upgrade. Pour une nouvelle installation sans PiVPN, la page d’installation de WireGuard indique pour Debian :

# apt install wireguard

La génération des clés se fait ensuite comme dans le guide de démarrage rapide du projet :

wg genkey | tee privatekey | wg pubkey > publickey

La configuration manuelle demande en plus le routage et les règles de pare-feu que PiVPN écrit à votre place. C’est plus exigeant, mais c’est aussi la garantie de ne dépendre d’aucun script tiers. Pour aller plus loin dans l’hébergement de vos propres services, voyez la rubrique Raspberry Pi et notre mémo des commandes Raspberry Pi OS.

Questions fréquentes

Dernière vérification : 27/09/2026