VPN d'entreprise et ZTNA : 17 solutions comparées pour l'accès à distance

Un VPN d'entreprise donne aux salariés, aux prestataires et aux sites distants un accès chiffré aux ressources internes de l'organisation : applications métier, serveurs, partages de fichiers. Le ZTNA (Zero Trust Network Access, ou accès réseau Zero Trust) poursuit le même but autrement : au lieu d'ouvrir le réseau, il ouvre une application précise, après vérification de l'identité de la personne et du poste qu'elle utilise. Ce comparatif réunit 17 solutions des deux familles, des plateformes SASE aux réseaux maillés, dont certains sont gratuits pour une petite équipe, avec des prix relevés sur les sites des éditeurs en novembre 2026.

Pour un usage personnel, masquer son adresse IP ou paraître dans un autre pays, consultez plutôt le comparatif du meilleur VPN grand public : ces services protègent une personne, ils ne sont pas faits pour ouvrir le réseau d'une entreprise à ses équipes.

Qu'est-ce qu'un VPN d'entreprise et qu'est-ce que le ZTNA ?

Le VPN (pour réseau privé virtuel) établit un tunnel à l'intérieur d'un réseau jugé peu sûr comme Internet. L'éditeur français TheGreenBow lui attribue trois fonctions : authentifier les équipements par clé, chiffrer les données et garantir qu'elles ne sont pas altérées. En entreprise, le tunnel relie un poste ou un site au réseau de l'organisation ; une fois connecté, l'utilisateur voit en général tout ce que ce réseau lui laisse voir.

Le ZTNA applique à l'accès le modèle Zero Trust. Le NIST, l'institut de normalisation américain, en a fixé les principes dans sa publication SP 800-207 : aucune confiance implicite n'est accordée à un compte ou à un appareil du seul fait de sa position sur le réseau ou de son propriétaire, et l'authentification comme l'autorisation ont lieu avant chaque session ouverte vers une ressource. Une solution ZTNA relie donc l'utilisateur à une application, pas au réseau : Zscaler présente ainsi son accès privé comme un moyen de connecter les utilisateurs aux applications privées sans VPN.

Le SASE (Secure Access Service Edge) englobe le ZTNA. La documentation de Fortinet le définit comme une architecture qui fournit en service les fonctions réseau et de sécurité : pare-feu hébergé (FWaaS), passerelle web sécurisée (SWG), ZTNA et CASB pour les applications en ligne, avec le SD-WAN pour relier les sites. Netskope distingue ainsi la convergence de la sécurité, ou SSE (Security Service Edge), de la convergence de la sécurité et du réseau, le SASE.

Ce qui distingue un VPN d'entreprise d'un VPN personnel

Un VPN grand public fait passer le trafic d'une personne par les serveurs d'un fournisseur. Un VPN d'entreprise sert d'abord à atteindre des ressources privées et se gère depuis une console : comptes des salariés, règles d'accès, appareils autorisés, journaux. TheGreenBow le résume dans un intertitre de son blog : « VPN d'entreprise ne veut pas dire Service VPN ». Les offres de ce comparatif ajoutent en général ces fonctions :

• Gestion centralisée : Proton VPN for Business met en avant la gestion centralisée des utilisateurs et l'application de la double authentification à toute l'organisation, dès son offre Essentials.

• Lien avec l'annuaire : connexion par le fournisseur d'identité de l'entreprise (SSO) et création automatique des comptes (SCIM). Chez Proton, elles arrivent avec l'offre Professional ; chez Tailscale, le SCIM commence à l'offre Standard.

• Adresse IP réservée : Proton VPN for Business et NordLayer proposent des passerelles privées avec adresse IP dédiée. Proton la présente comme un moyen d'autoriser l'accès aux ressources de l'entreprise, NordLayer comme un moyen de cacher ces ressources aux personnes extérieures au réseau.

• Contrôle des appareils : plusieurs offres vérifient l'état du poste avant de le connecter, par exemple Twingate dès l'offre Teams, NetBird dans l'offre Business ou GlobalProtect avec son profil d'informations sur l'hôte.

Les différents types de VPN d'entreprise

Quatre modèles coexistent, et un même éditeur en combine parfois plusieurs.

• VPN d'accès à distance : un client installé sur le poste ouvre un tunnel vers une passerelle de l'entreprise, souvent un pare-feu. C'est le rôle de Cisco Secure Client, de FortiClient, de GlobalProtect ou des clients de TheGreenBow. OpenVPN Access Server parle d'accès « point-to-site ».

• VPN site à site : il relie deux réseaux, par exemple un bureau et un centre de données, sans client sur chaque poste. NordLayer le propose pour connecter plusieurs bureaux ; OpenVPN le gère dans Access Server et accepte des connecteurs IPsec dans CloudConnexa.

• Réseau maillé : chaque appareil rejoint un réseau privé et communique directement avec les autres. Tailscale et NetBird décrivent un réseau de pair à pair ; chez ZeroTier, chaque appareil authentifie ses pairs et applique les règles localement.

• Accès ZTNA et plateformes SASE : l'utilisateur n'entre plus dans le réseau, il atteint les seules applications autorisées, par un connecteur ou via l'infrastructure de l'éditeur. C'est le modèle de Twingate, de Cloudflare One, de Zscaler, de Netskope, de FortiSASE et de Check Point SASE.

Comment fonctionne l'accès ZTNA ?

Les architectures se ressemblent d'un éditeur à l'autre. La documentation de Twingate décrit quatre composants :

• Le contrôleur, hébergé par l'éditeur, garde la configuration, délègue toujours l'authentification à un fournisseur d'identité et remet à chaque utilisateur la liste signée des ressources auxquelles il a droit.

• Le client, sur le poste, repère les connexions vers les ressources protégées et ignore le reste du trafic.

• Le connecteur, placé derrière le pare-feu du réseau privé, garde des connexions sortantes vers au moins un relais.

• Les relais mettent client et connecteur en relation quand la liaison directe entre eux échoue.

Cloudflare One suit le même principe avec Cloudflare Tunnel : le service cloudflared ouvre uniquement des connexions sortantes vers le réseau de Cloudflare, sans adresse IP publique. Netskope propose un accès par agent ou par navigateur, et un courtier local (Local Broker) pour les environnements sur site et industriels (OT). Les plateformes SASE ajoutent l'inspection du trafic Internet : selon la documentation de Fortinet, chaque utilisateur rejoint le point de présence situé au plus près de lui, où s'appliquent pare-feu, filtrage web ou DLP.

Quel est l'avantage d'un modèle de sécurité Zero Trust ?

D'abord, le périmètre. Un compte volé ou un poste compromis n'ouvre que les applications prévues pour lui, pas tout le réseau : Twingate parle d'accès au moindre privilège, Check Point d'un accès par application qui donne aux salariés ce dont ils ont besoin pour travailler, « No more, no less ». Ensuite, l'exposition : avec un connecteur qui ne fait que sortir, aucune passerelle n'attend de connexion depuis Internet, et Zscaler indique que les applications ne sont jamais exposées à l'Internet public.

Enfin, le contexte. L'accès peut dépendre de l'état de l'appareil, de sa localisation ou de son comportement, et pas seulement du mot de passe : Netskope dit évaluer en permanence l'identité, la posture, la localisation, l'activité et le comportement. Ces règles ne valent que ce que valent l'annuaire et l'inventaire des applications : sans eux, les accès restent aussi larges qu'avec un VPN.

Les contraintes d'un VPN classique à l'ère du cloud

La documentation de Fortinet décrit le schéma habituel : le salarié à distance se connecte en VPN au pare-feu situé dans le centre de données, qui renvoie ensuite son trafic vers Internet. Quand beaucoup d'utilisateurs font de même, ce lien sature et la latence augmente. Twingate, qui vend une alternative, ajoute d'autres griefs :

• Tout le trafic fait le détour : en tunnel complet, même les applications en ligne passent par le réseau de l'entreprise. Le tunnel partiel (split tunneling) corrige ce point ; il est proposé par Cloudflare One, Twingate, Proton VPN for Business, et par NordLayer dès l'offre Core.

• L'infrastructure pèse sur l'équipe : d'après Twingate, il faut acheter des boîtiers, revoir la segmentation du réseau, puis surveiller les failles, appliquer les correctifs et faire les mises à jour.

• L'expérience des utilisateurs : toujours selon Twingate, le client VPN doit être activé et désactivé, parfois en choisissant un serveur, et les sites web peuvent s'afficher dans la langue du pays du serveur.

VPN ou ZTNA : que choisir pour l'accès à distance ?

Le VPN garde sa place pour joindre un réseau entier : administration de serveurs, protocoles anciens, liaison entre sites, ou recherche d'un client IPsec certifié. TheGreenBow, qui met en avant une certification Critères Communs, juge ainsi ses clients particulièrement adaptés aux opérateurs d'importance vitale, aux entités essentielles ou importantes, aux administrations et aux collectivités. Le ZTNA convient mieux quand les utilisateurs, les prestataires et les applications sont dispersés, et que chacun ne doit voir que ce qui le concerne.

Les deux cohabitent souvent. Twingate indique pouvoir fonctionner à côté d'un VPN existant, sans changer l'infrastructure, ce qui permet une migration par équipe. Netskope réunit dans un même client le ZTNA et un accès bidirectionnel pour les applications anciennes. Cisco Secure Client et FortiClient portent à la fois le VPN et le ZTNA dans un seul agent.

Les plateformes SASE et SSE

Ces plateformes ajoutent à l'accès privé la sécurité de la navigation et des applications en ligne. Elles visent les entreprises qui veulent remplacer à la fois le VPN et une partie des équipements de sécurité du siège.

Cloudflare One

Cloudflare One Site officiel Voir la fiche

Adossé au réseau Anycast mondial de Cloudflare, Cloudflare One rassemble le ZTNA, une SWG (passerelle web sécurisée), un CASB et des outils contre les fuites de données (DLP). Les ressources internes s'y relient par Cloudflare Tunnel, en connexions sortantes uniquement. L'accès sans agent et le SSH ou le VNC dans le navigateur sont inclus dès l'offre gratuite.

Tarifs : offre gratuite pour 50 utilisateurs au plus, que Cloudflare recommande aux structures de moins de 50 utilisateurs et aux preuves de concept d'entreprise, avec un support limité aux forums et au serveur Discord et des journaux gardés 24 heures au plus. À l'usage (Pay-as-you-go), Cloudflare publie un tarif de 7 $ par mois et par utilisateur, facturé chaque mois, sans plafond d'utilisateurs. Le contrat, facturé à l'année, est sur devis. Hors contrat, CASB et DLP restent limités. Autres pistes : les alternatives à Cloudflare One.

Zscaler

Zscaler Site officiel Voir la fiche

La plateforme de Zscaler, fondée sur le Zero Trust Exchange, se vend par abonnement. Son accès privé, ZPA, relie les utilisateurs aux applications privées sans VPN ; la navigation et les applications SaaS sont protégées par ZIA. ZPA est inclus dans l'offre groupée Plateforme Zscaler et vendu seul (ZPA Platform), mais l'offre Plateforme Essentials ne le couvre que pour 5 % des utilisateurs : pour retirer un VPN, c'est la ligne à vérifier en priorité.

Tarifs : aucun montant sur la page d'abonnements ; la FAQ de Zscaler lie le prix à l'effectif, à la taille du déploiement et aux modules ajoutés, et la page d'abonnements propose de solliciter une démo. Autres pistes : les alternatives à Zscaler.

Netskope

Netskope Site officiel Voir la fiche

Netskope réunit sur sa plateforme Netskope One un CASB, une passerelle web sécurisée, la prévention des pertes de données (DLP) et l'accès Zero Trust, présentés comme SSE ou, avec le SD-WAN, comme SASE. Son module Netskope One Private Access est la base de ce que l'éditeur appelle l'Universal ZTNA : il vise à remplacer le VPN, mais aussi le contrôle d'accès au réseau (NAC) et le bureau virtuel (VDI), y compris pour des appareils IoT et OT. Le trafic passe par le cloud de l'éditeur ou par un courtier local.

Tarifs : pas de montant sur les pages produit, qui proposent ateliers pratiques, démonstrations et un essai gratuit de 14 jours de Netskope Private Access.

FortiSASE

FortiSASE Site officiel Voir la fiche

Service SASE de Fortinet livré dans le cloud, FortiSASE combine un pare-feu hébergé (FWaaS), une passerelle web sécurisée (SWG) et le ZTNA, avec des réglages proches de ceux d'une FortiGate : antivirus, contrôle applicatif, DLP, filtres DNS et web, IPS, inspection SSL. Le trafic arrive par l'agent FortiClient, par IPsec depuis un site, ou sans agent, en proxy. L'accès privé vise les applications de l'entreprise protégées par une FortiGate.

Tarifs : abonnement fondé sur le nombre d'utilisateurs, sans montant dans la documentation. Autres pistes : les alternatives à FortiSASE.

Check Point SASE

Check Point SASE Site officiel Voir la fiche

Check Point SASE, anciennement Harmony SASE, réunit accès à Internet, accès privé Zero Trust, sécurité des applications SaaS et SD-WAN. L'éditeur le dit hybride : la protection de la navigation se fait sur l'appareil, dans le navigateur et dans le cloud. Son accès privé relie tout utilisateur ou tout site à toute ressource, vérifie en continu l'état des appareils et ouvre un accès sans agent aux appareils non gérés.

Tarifs : pas de montant sur la page produit, qui propose d'échanger avec un expert ou de demander une démonstration.

Les accès Zero Trust et les réseaux maillés

Ces outils se concentrent sur la connexion : relier des postes, des serveurs et des réseaux. Leurs grilles sont publiques, et Twingate comme NetBird ont une offre gratuite ouverte à une petite équipe.

Twingate

Twingate Site officiel Voir la fiche

Chez Twingate, l'accès Zero Trust repose sur un connecteur logiciel placé dans le réseau privé et sur un client installé sur les postes ; la liaison directe entre les deux est tentée en priorité, avec des relais en secours. La vérification des postes commence à l'offre Teams, le provisionnement par l'annuaire et l'accès juste-à-temps à l'offre Business, et le filtrage DNS s'ajoute en option.

Tarifs : Starter gratuit pour 5 utilisateurs et 50 ressources au plus. Teams revient à 5 $, Business à 10 $, par mois et par utilisateur payés à l'année (15 % de remise), avec des plafonds de 100 et de 500 utilisateurs. Essai de 14 jours ; Enterprise sur devis. Autres pistes : les alternatives à Twingate.

Tailscale

Tailscale Site officiel Voir la fiche

Tailscale relie les appareils en maillage de pair à pair : le tailnet, bâti sur le protocole WireGuard. L'éditeur le présente comme une plateforme de connectivité qui remplace le VPN, le SASE et le PAM (accès à privilèges). Chaque appareil rejoint le réseau, et les droits d'accès suivent l'identité. Le SCIM et les intégrations de posture avec les outils MDM et EDR commencent à l'offre Standard ; Premium ajoute les journaux de flux et l'accès juste-à-temps.

Tarifs : offre Personal gratuite pour 6 utilisateurs au plus, destinée aux particuliers et limitée à un usage non commercial. Standard revient à 8 $, Premium à 18 $, par mois et par utilisateur, sans plafond d'utilisateurs. Enterprise sur devis. Un compte créé avec le domaine de l'entreprise démarre par un essai de 14 jours de l'offre Enterprise.

NetBird

NetBird Site officiel Voir la fiche

NetBird remplace le VPN par un réseau de pair à pair fondé sur WireGuard, avec SSO, double authentification, contrôles de posture et segmentation par groupes. Il fonctionne sous Linux, Windows et macOS, sur mobile, dans des conteneurs Docker et sur des routeurs. Son dépôt est sous licence BSD-3, à l'exception de trois composants serveur, management, signal et relay, placés sous AGPLv3, et la plateforme peut être hébergée sur vos serveurs.

Tarifs : dans le cloud, offre Free pour 5 utilisateurs et 100 machines au plus. Team revient à 6 €, Business à 12 €, par mois et par utilisateur, seuls les utilisateurs actifs étant facturés. Enterprise sur devis. Les contrôles de posture et l'intégration MDM et EDR commencent à l'offre Business.

ZeroTier

ZeroTier Site officiel Voir la fiche

ZeroTier est une plateforme de réseau défini par logiciel : chaque appareil authentifie ses pairs et applique les règles localement, sans boîtier central. Elle s'installe sur les serveurs, les routeurs et les appareils existants, pour un VPN ou un petit SD-WAN. Son offre Enterprise peut être hébergée chez vous, y compris sur un réseau isolé d'Internet.

Tarifs : facturation par appareil. L'offre gratuite Personal ne vaut que pour un usage non commercial (10 appareils, un réseau). Essential coûte 18 $ par mois avec 10 appareils inclus, puis 2 $ par appareil ; Scale 179 $ par mois avec 100 appareils, puis 1,80 $ par appareil. Enterprise, sur devis, vise les parcs à partir de 500 appareils. Pour Essential, la page tarifs mentionne tantôt une assistance par tickets avec engagement de délai, tantôt une assistance communautaire.

Les VPN d'entreprise clés en main

Ces services gardent le fonctionnement d'un VPN, par passerelles, mais l'éditeur héberge les serveurs et fournit la console. Ils conviennent aux PME qui veulent un accès administré sans équipement à installer.

NordLayer

NordLayer Site officiel Lire le test

NordLayer, de Nord Security, la société de NordVPN, propose des passerelles partagées dans plus de 40 pays et, dès l'offre Core, des passerelles privées avec adresse IP dédiée, pour filtrer l'accès aux ressources par adresse. S'y ajoutent la protection web, le contrôle d'accès et, sur Premium, le raccordement de sites. Lite exclut passerelle privée, pare-feu dans le cloud, vérification des postes et tunnel partiel.

Tarifs : Lite revient à 8 $, Core à 11 $, Premium à 14 $, par mois et par utilisateur payés à l'année ; en paiement mensuel, NordLayer publie 10 $, 14 $ et 18 $. En Core comme en Premium, un serveur à IP dédiée est obligatoire, pour 40 $ de plus chaque mois. Minimum de 5 utilisateurs, remboursement possible pendant 14 jours, taxes en sus.

Proton VPN for Business

Proton VPN for Business Site officiel Lire le test

Offre d'entreprise de Proton, société née en Suisse en 2014, Proton VPN for Business comprend la gestion centralisée des utilisateurs, la double authentification imposée à l'organisation, le filtre NetShield (logiciels malveillants, hameçonnage), le VPN permanent et le tunnel partiel. L'offre Professional ajoute SSO et SCIM, segmentation du réseau et passerelles privées avec adresses IP dédiées dans plus de 20 pays.

Tarifs : en paiement annuel, Proton publie un tarif de 6,99 $ pour Essentials et de 9,99 $ pour Professional, par mois et par utilisateur, avec 2 utilisateurs au minimum et un essai gratuit de 14 jours. La page tarifs permet aussi d'afficher les prix en euros ou en francs suisses. En Professional, au moins une adresse IP dédiée est requise et facturée en plus, 39,99 $ par mois sur un an d'après le tarif publié : le total publié pour 2 utilisateurs est ainsi de 719,64 $ par an, contre 167,76 $ en Essentials.

Les clients et serveurs VPN à déployer soi-même

Ces logiciels s'appuient sur une infrastructure que vous gérez : pare-feu de l'éditeur, serveur VPN auto-hébergé ou passerelle compatible. Ils intéressent les organisations déjà équipées, ou celles qui doivent garder la main sur l'hébergement.

Cisco Secure Client

Cisco Secure Client Site officiel Voir la fiche

Agent de Cisco pour les postes de travail, qui inclut AnyConnect, il associe le VPN AnyConnect et l'accès ZTNA, et réunit d'autres modules dans un seul client, dont la protection des terminaux Cisco Secure Endpoint et Cisco Umbrella Roaming, qui protège l'utilisateur même déconnecté du VPN. Les agents se gèrent depuis une console dans le cloud, et Cisco renvoie vers Cisco Secure Access pour l'accès aux applications privées.

Tarifs : pas de montant sur la page produit ; Cisco met en avant son contrat Cisco Security Enterprise Agreement pour l'achat de ses logiciels de sécurité.

FortiClient

FortiClient Site officiel Voir la fiche

FortiClient est l'agent de Fortinet pour les postes, décrit par l'éditeur comme une solution de sécurité des terminaux tout-en-un : accès à distance en VPN, ZTNA, antivirus, filtrage web, analyse des vulnérabilités. Il fonctionne sous Windows, macOS, Linux, iOS et Android, avec des fonctions qui varient selon le système, et se pilote depuis la console FortiClient EMS, face aux pare-feu FortiGate. La version 8.0.1 ne prend en charge que l'IPsec IKEv2 pour le VPN.

Tarifs : la licence s'applique dans EMS, qui propose des modèles gratuits et payants. La version 8.0.1 ne comprend pas de nouvelle version de l'agent gratuit limité au VPN : Fortinet indique que la version 7.4.3 de cet agent reste utilisable. Aucun montant dans la documentation, qui renvoie vers un commercial de Fortinet.

GlobalProtect

GlobalProtect Site officiel Voir la fiche

GlobalProtect est le client d'accès à distance de Palo Alto Networks : il s'appuie sur les pare-feu de nouvelle génération de l'éditeur ou sur Prisma Access, son service SASE, pour protéger les salariés mobiles. Il accepte LDAP, SAML, Kerberos, RADIUS, TACACS+ et les certificats, la double authentification, et vérifie l'état du poste avant la connexion grâce au profil d'informations sur l'hôte (HIP). Il se déploie avec ou sans client installé.

Tarifs : pas de montant sur la page produit.

TheGreenBow

TheGreenBow Site officiel Voir la fiche

Éditeur français de clients VPN, actif depuis 1998 d'après son site, TheGreenBow vend la gamme Endpoint Secure Connection : elle fonctionne sous Windows, Linux, macOS et Android, prend en charge IPsec (IKEv1 et IKEv2) et OpenVPN selon l'édition, et s'utilise avec toute passerelle VPN IPsec ou OpenVPN, avec certificats, jetons et cartes à puce. L'éditeur indique avoir obtenu en 2013 une certification Critères Communs EAL3+ et un agrément Diffusion Restreinte OTAN et UE pour son client Windows.

Tarifs : aucun montant sur la fiche produit du site ; essai gratuit de 30 jours.

OpenVPN

OpenVPN Site officiel Voir la fiche

L'éditeur OpenVPN Inc. propose deux solutions aux entreprises. Access Server, d'abord, se déploie sur un cloud public, sur votre matériel ou dans votre centre de données, y compris hors connexion, et gère l'accès à distance comme le site à site, avec SAML, LDAP ou RADIUS. CloudConnexa, ensuite, est le service géré dans le cloud, avec des règles d'accès Zero Trust, du filtrage DNS et de la détection d'intrusion.

Tarifs : la licence d'Access Server se calcule sur les connexions ouvertes en même temps. Gratuite pour 2 connexions au plus ; au-delà, 7 $ par mois et par connexion en facturation annuelle, selon l'exemple de la page, soit 70 $ mensuels pour 10 connexions ; essai de 14 jours. CloudConnexa est gratuit pour 5 sièges, puis coûte 7 $ (Essential) ou 9,50 $ (Premium) par mois et par siège, payés à l'année ; un siège correspond à un utilisateur activé ou à un connecteur.

WireGuard

WireGuard Site officiel Voir la fiche

WireGuard est un protocole et un logiciel VPN libres. Il fait passer les paquets IP dans UDP par une interface réseau configurée avec une clé privée et les clés publiques des pairs. Publié d'abord pour le noyau Linux, il fonctionne aussi sous Windows, macOS, BSD, iOS et Android. La distribution des clés et le déploiement des configurations sont hors de son périmètre : c'est ce qu'ajoutent des services comme Tailscale ou NetBird, qui reposent sur lui.

Tarifs : logiciel libre ; les composants du noyau sont publiés sous licence GPLv2, comme le noyau Linux, et les autres projets sous MIT, BSD, Apache 2.0 ou GPL.

Quel est le prix d'un VPN pour entreprise ?

Trois façons de vendre coexistent. Les plateformes SASE (Zscaler, Netskope, FortiSASE, Check Point SASE) n'affichent aucun montant, pas plus que les clients liés à un pare-feu (Cisco Secure Client, FortiClient, GlobalProtect) : il faut passer par une démonstration, l'éditeur ou un revendeur. Les services en ligne affichent un prix mensuel par utilisateur, souvent plus bas en paiement annuel. Enfin, OpenVPN Access Server facture les connexions simultanées et ZeroTier les appareils.

Prenons une équipe de 20 personnes, sans option ni taxe. D'après les grilles relevées, le mois coûte 0 $ chez Cloudflare One, sous le seuil de 50 utilisateurs, 100 $ chez Twingate Teams, 120 € chez NetBird Team, 139,80 $ chez Proton VPN Essentials, 160 $ chez Tailscale Standard et 160 $ chez NordLayer Lite. Les prix de Twingate, de Proton et de NordLayer supposent un paiement à l'année, et le périmètre diffère d'une offre à l'autre : rapprochez-les à fonctions égales.

Service cloud ou serveur auto-hébergé

La plupart des solutions comparées sont des services en ligne : le trafic, ou au moins la coordination, passe par l'infrastructure de l'éditeur. Les plateformes SASE font transiter le trafic par leurs points de présence pour l'inspecter. Twingate garde son contrôleur dans son cloud ; d'après sa documentation, ses relais ne conservent que l'identifiant anonyme de chaque connecteur, et la connexion directe est tentée d'abord.

Si vos règles internes imposent de tout garder chez vous, plusieurs solutions s'y prêtent : OpenVPN Access Server, NetBird, la version Enterprise de ZeroTier, et WireGuard, à configurer vous-même. Les clients VPN comme FortiClient, GlobalProtect, Cisco Secure Client ou TheGreenBow se connectent aussi à des passerelles que vous exploitez. Le responsable de la sécurité ou de la conformité doit trancher ce point avant toute comparaison de prix.

Comment choisir : les fonctionnalités à comparer

• Le besoin réel : accès à quelques applications internes, accès complet au réseau, liaison entre sites, ou filtrage de toute la navigation. Quelques applications internes se règlent avec un accès Zero Trust ; le filtrage de toute la navigation demande une plateforme SASE.

• L'annuaire : vérifiez que la solution se branche sur votre fournisseur d'identité (Microsoft Entra ID, Okta, Google Workspace) et à quelle offre le SSO et le SCIM sont inclus.

• Les seuils de l'offre : minimum d'utilisateurs (2 chez Proton, 5 chez NordLayer), plafonds (100 utilisateurs pour Twingate Teams), facturation par connexion ou par appareil.

• Les journaux : leur durée de conservation varie. Chez Cloudflare One, elle passe de 24 heures en offre gratuite à 30 jours à l'usage et à 6 mois sous contrat, avec envoi vers un SIEM.

• Les postes et les systèmes : Linux, mobiles, serveurs, routeurs. FortiClient, par exemple, ne propose pas les mêmes modules sous Linux ou iOS que sous Windows.

• Les sites distants : liaison site à site, connecteurs IPsec, SD-WAN.

Déployer sans couper l'accès des équipes

Commencez par l'inventaire : quelles applications, quels serveurs et quels protocoles les équipes utilisent à distance, et qui en a besoin. Rattachez ensuite les accès aux groupes de votre annuaire, plutôt qu'à des personnes. Démarrez avec un groupe réduit et quelques ressources sensibles, en gardant l'ancien VPN en parallèle, puis étendez service par service.

Les offres gratuites et les périodes d'essai facilitent ce pilote : offre gratuite chez Cloudflare One, Twingate, NetBird et CloudConnexa, essai de 14 jours chez Twingate, Tailscale (offre Enterprise), Netskope (Private Access), Proton VPN for Business et OpenVPN Access Server, de 30 jours chez TheGreenBow, remboursement possible pendant 14 jours chez NordLayer. Pendant cette période, suivez le nombre de sollicitations du support et le confort de connexion ressenti, en particulier en visioconférence et sur les applications anciennes.