Créer un VPN avec sa box SFR et s’y connecter depuis Android

28 oct. 2026 · @Bob

Pourquoi un VPN chez soi ?

Avec un serveur WireGuard installé derrière votre box SFR, votre mobile Android se connecte à votre réseau domestique depuis n’importe où, comme s’il était sur votre Wi-Fi.

Accès au réseau local à distance : NAS, imprimante, Raspberry Pi, caméra, interface de la box.
Trafic chiffré sur les Wi-Fi publics (gare, hôtel, café) jusqu’à votre domicile.
IP de la maison en déplacement, pour les services qui n’acceptent que les connexions françaises.

Ce n’est pas un VPN commercial : votre trafic ressort par votre ligne SFR, sans choix de pays.

Pas de serveur VPN intégré, et une IPv4 parfois partagée

Les box SFR (Box 8, Box Plus, Box Fibre) n’intègrent pas de serveur VPN : WireGuard doit tourner sur un appareil branché derrière la box, qui se contente de lui transmettre le trafic par une redirection de port.

Point crucial chez SFR et RED by SFR : de nombreuses lignes fibre sont en IPv4 partagée (CGNAT). Dans ce cas, la redirection de ports est absente ou ne fonctionne pas, notamment en UDP. Il faut alors demander au service client une IPv4 dédiée (« fullstack »), en expliquant que vous hébergez un serveur ; la bascule prend en général moins de 48 heures.

Hébergeur du serveur	Avantages	Limites
Raspberry Pi + PiVPN	Économique (quelques watts), installation guidée en une commande	Une petite machine à maintenir à jour
Routeur GL.iNet ou similaire	Serveur WireGuard intégré, interface graphique	Achat d’un routeur (40 à 100 € environ)
NAS Synology / QNAP	Si vous en avez déjà un, paquet VPN disponible	WireGuard pas toujours proposé nativement

Cet article suit la voie la plus courante : un Raspberry Pi avec PiVPN.

Prérequis

Une box SFR avec l’accès à son interface d’administration : 192.168.1.1 sur Box 8 et Box Fibre, 192.168.0.1 sur Box Plus (adresse indiquée sous la box).
Une IPv4 dédiée : si le menu de redirection de ports est absent, demandez-la d’abord au service client.
Un Raspberry Pi (Pi 3, 4 ou 5) sous Raspberry Pi OS Lite, branché en Ethernet sur la box et allumé en permanence.
Un accès SSH au Raspberry Pi depuis votre ordinateur.
Un smartphone Android avec l’application gratuite WireGuard du Google Play Store.
Facultatif mais recommandé : un nom de domaine dynamique gratuit (DuckDNS, No-IP), l’IP publique SFR n’étant pas fixe par défaut.

Étape 1 : installer WireGuard sur le Raspberry Pi avec PiVPN

PiVPN installe et configure WireGuard en quelques questions.

Connectez-vous au Pi en SSH, puis mettez-le à jour :sudo apt update && sudo apt full-upgrade -y
Lancez l’installateur :curl -L https://install.pivpn.io | bash
Répondez aux questions de l’assistant :
- IP statique : acceptez l’adresse actuelle du Pi (vous la réserverez aussi dans la box).
- Protocole : WireGuard.
- Port : gardez 51820 ou choisissez un port moins courant, par exemple 51821.
- DNS : un DNS public, ou l’IP de la box (192.168.1.1).
- IP publique ou nom DNS : choisissez le nom DNS et saisissez votre domaine DuckDNS ou No-IP si vous en avez un.
- Mises à jour de sécurité automatiques : acceptez.
Redémarrez le Pi.
Créez le profil du téléphone :pivpn add
Nommez-le, par exemple pixel-perso : le fichier pixel-perso.conf est créé dans ~/configs.

Étape 2 : régler la box SFR

La box doit toujours donner la même IP locale au Pi, puis lui transmettre le trafic VPN. Les intitulés varient selon le modèle et la version de l’interface, mais les réglages sont les mêmes.

Ouvrez 192.168.1.1 (ou 192.168.0.1) et connectez-vous en administrateur.
Dans la partie Réseau → DHCP, réservez une adresse fixe au Raspberry Pi (par exemple 192.168.1.20) à partir de son adresse MAC.
Dans Réseau → NAT / Redirection de ports, ajoutez une règle :

Champ	Valeur
Nom	WireGuard
Protocole	UDP
Port externe	51820 (ou celui choisi dans PiVPN)
Port interne	le même
IP de destination	celle du Raspberry Pi

Activez la règle et enregistrez.
Pour le domaine dynamique, utilisez la section DynDNS de la box si votre fournisseur y figure ; sinon, installez le client de mise à jour DuckDNS ou No-IP sur le Pi.

Si le menu NAT est absent ou si la règle refuse le port choisi, votre ligne est en IPv4 partagée : demandez l’IPv4 dédiée avant d’aller plus loin.

Étape 3 : configurer WireGuard sur Android

Le QR code évite de faire transiter la clé privée par e-mail ou messagerie.

Sur le Pi, affichez le QR code du profil :pivpn -qr pixel-perso
Installez WireGuard (éditeur WireGuard Development Team) depuis le Google Play Store.
Dans l’application, appuyez sur +, puis Scanner depuis un code QR, et visez l’écran du terminal.
Nommez le tunnel, par exemple Maison, puis enregistrez.
Activez l’interrupteur du tunnel et acceptez la demande de connexion VPN d’Android.

Pour un tunnel toujours actif, ouvrez Réseau et Internet → VPN → WireGuard dans les paramètres Android et activez VPN permanent.

Étape 4 : tester en 4G/5G

Testez toujours hors du Wi-Fi de la maison : sur le réseau local, le résultat n’a aucune valeur.

Coupez le Wi-Fi du téléphone et restez en données mobiles.
Activez le tunnel dans WireGuard.
Vérifiez que le compteur Reçu de l’application augmente.
Sur le Pi, pivpn -c liste les clients connectés et leur dernier échange.
Un site « quelle est mon IP » doit afficher l’IP de votre ligne SFR.
Testez un appareil du réseau local, par exemple l’interface de la box sur http://192.168.1.1.

Dépannage et sécurité

Symptôme	Cause probable	Solution
Pas de menu de redirection de ports	IPv4 partagée (CGNAT)	Demander une IPv4 dédiée au service client
Compteur « Reçu » bloqué à 0	Règle absente, en TCP au lieu d’UDP, mauvais port, ou CGNAT	Vérifier la règle (UDP, bon port, IP du Pi), puis le type d’IPv4 de la ligne
Les ports TCP s’ouvrent mais pas l’UDP	IPv4 partagée, seule une partie des ports disponible	IPv4 dédiée nécessaire
Ça marchait puis plus rien	IP publique changée ou IP du Pi changée	Activer le DynDNS ; vérifier la réservation DHCP du Pi
Tunnel actif mais aucun site ne s’ouvre	DNS ou routage du Pi	Vérifier la ligne `DNS` du profil ; lancer `pivpn -d` (diagnostic)

Quelques règles de sécurité :

Un profil par appareil ; révoquez-le avec pivpn remove si l’appareil est perdu ou vendu.
Ne partagez jamais un fichier .conf : il ouvre l’accès à votre réseau.
Gardez le Pi à jour et passez SSH en authentification par clé.
Changez le mot de passe administrateur par défaut de la box.

Conclusion

Avec une IPv4 dédiée, un Raspberry Pi et une redirection de port, votre mobile Android dispose d’un accès chiffré et permanent à votre réseau. Pour un autre appareil, un nouveau pivpn add suffit.