Créer un VPN derrière sa Livebox Orange et s’y connecter depuis Android

28 oct. 2026 · @Bob

Pourquoi un VPN chez soi ?

Avec un serveur WireGuard installé derrière votre Livebox, votre mobile Android se connecte à votre réseau domestique depuis n’importe où, comme s’il était sur votre Wi-Fi.

Accès au réseau local à distance : NAS, imprimante, Raspberry Pi, caméra, interface de la Livebox.
Trafic chiffré sur les Wi-Fi publics (gare, hôtel, café) jusqu’à votre domicile.
IP de la maison en déplacement, pour les services qui n’acceptent que les connexions françaises.

Comme avec toute box, ce n’est pas un VPN commercial : votre trafic ressort par votre ligne Orange, sans choix de pays.

La différence avec la Freebox : pas de serveur VPN intégré chez Orange

Les Livebox grand public (Livebox 5, 6, 7, Livebox S) n’ont pas de serveur VPN : il faut donc héberger WireGuard sur un appareil branché derrière la box. Chez Orange, seules les Livebox Pro peuvent faire office de serveur ou de client VPN depuis leur interface.

La Livebox n’est pas un obstacle pour autant : le support Orange confirme qu’un serveur WireGuard fonctionne derrière une Livebox de particulier. Son seul rôle est de laisser passer le trafic VPN vers votre serveur.

Hébergeur du serveur	Avantages	Limites
Raspberry Pi + PiVPN	Économique (quelques watts), installation guidée en une commande	Une petite machine à maintenir à jour
Routeur GL.iNet ou similaire	Serveur WireGuard intégré, interface graphique	Achat d’un routeur (40 à 100 € environ)
NAS Synology / QNAP	Si vous en avez déjà un, paquet VPN disponible	WireGuard pas toujours proposé nativement

Cet article suit la voie la plus courante : un Raspberry Pi avec PiVPN.

Prérequis

Une Livebox (4, 5, 6, 7 ou S) avec l’accès à son interface d’administration sur 192.168.1.1 et son mot de passe admin (étiquette sous la box).
Un Raspberry Pi (un Pi 3, 4 ou 5 suffit) sous Raspberry Pi OS Lite, branché en Ethernet sur la Livebox et allumé en permanence.
Un accès SSH au Raspberry Pi depuis votre ordinateur.
Un smartphone Android avec l’application gratuite WireGuard du Google Play Store.
Facultatif mais recommandé : un nom de domaine dynamique gratuit (DuckDNS, No-IP), car l’IP publique d’une ligne Orange grand public peut changer.

Étape 1 : installer WireGuard sur le Raspberry Pi avec PiVPN

PiVPN est un script qui installe et configure WireGuard en répondant à quelques questions.

Connectez-vous au Pi en SSH, puis mettez-le à jour :sudo apt update && sudo apt full-upgrade -y
Lancez l’installateur PiVPN :curl -L https://install.pivpn.io | bash
Répondez aux questions de l’assistant :
- IP statique : acceptez l’adresse actuelle du Pi (vous la figerez aussi dans la Livebox à l’étape 2).
- Protocole : choisissez WireGuard.
- Port : remplacez 51820 par un port moins courant, par exemple 51821 ; certaines Livebox 7 posent problème avec le port par défaut.
- DNS : choisissez un DNS public, ou l’IP de la Livebox (192.168.1.1).
- IP publique ou nom DNS : choisissez le nom DNS et saisissez votre domaine DuckDNS ou No-IP si vous en avez un.
- Mises à jour de sécurité automatiques : acceptez.
Redémarrez le Pi à la fin de l’installation.
Créez un profil pour votre téléphone :pivpn add
Donnez-lui un nom explicite, par exemple pixel-perso. Un fichier pixel-perso.conf est créé dans ~/configs.

Étape 2 : régler la Livebox

La Livebox doit faire deux choses : toujours donner la même IP locale au Pi, et lui transmettre le trafic VPN. L’ordre compte : d’abord le bail statique, ensuite la règle NAT, sinon le Pi n’apparaît pas dans la liste.

Ouvrez 192.168.1.1 et connectez-vous avec le compte admin.
Ouvrez Paramètres avancés → Réseau → DHCP. Dans Baux DHCP statiques, choisissez le Raspberry Pi et attribuez-lui son adresse actuelle (par exemple 192.168.1.20).
Toujours dans Réseau, ouvrez l’onglet NAT/PAT et créez une règle personnalisée :

Champ	Valeur
Application / service	WireGuard
Port interne	51821
Port externe	51821
Protocole	UDP
Appareil	le Raspberry Pi

Enregistrez. Laissez le pare-feu de la Livebox sur Moyen.
Sans domaine dynamique, notez l’IP publique affichée dans l’interface de la Livebox. Avec DuckDNS ou No-IP, configurez la mise à jour sur le Pi ou dans l’onglet DynDNS de la Livebox, selon le fournisseur.

Pas de DMZ nécessaire : une seule règle UDP suffit et expose beaucoup moins votre réseau.

Étape 3 : configurer WireGuard sur Android

Le plus simple est le QR code : il évite de faire transiter la clé privée par e-mail ou messagerie.

Sur le Pi, affichez le QR code du profil :pivpn -qr pixel-perso
Installez WireGuard (éditeur WireGuard Development Team) depuis le Google Play Store.
Dans l’application, appuyez sur +, puis Scanner depuis un code QR, et visez l’écran de votre terminal SSH.
Nommez le tunnel, par exemple Maison, puis enregistrez.
Activez l’interrupteur du tunnel et acceptez la demande de connexion VPN d’Android.

Une icône de clé apparaît dans la barre d’état. Pour un tunnel toujours actif, ouvrez Réseau et Internet → VPN → WireGuard dans les paramètres Android et activez VPN permanent.

Étape 4 : tester en 4G/5G

Testez toujours hors du Wi-Fi de la maison : sur le réseau local, le tunnel semble marcher même si la redirection de port est fausse.

Coupez le Wi-Fi du téléphone et restez en données mobiles.
Activez le tunnel dans WireGuard.
Vérifiez que le compteur Reçu de l’application augmente : la preuve que le Pi répond.
Sur le Pi, la commande pivpn -c liste les clients connectés et leur dernier échange.
Ouvrez un site « quelle est mon IP » : il doit afficher l’IP de votre ligne Orange.
Testez un appareil du réseau local, par exemple l’interface de la Livebox sur http://192.168.1.1.

Dépannage et sécurité

Symptôme	Cause probable	Solution
Compteur « Reçu » bloqué à 0	Règle NAT absente, en TCP au lieu d’UDP, ou mauvais port	Vérifier la règle NAT/PAT : UDP, même port que PiVPN, vers l’IP du Pi
Toujours 0 malgré une règle correcte	Port 51820 filtré sur certaines Livebox 7	Passer à un autre port (51821 ou plus), dans PiVPN et dans la Livebox
Le Pi n’apparaît pas dans NAT/PAT	Pas de bail DHCP statique	Créer le bail statique d’abord, puis la règle
Ça marchait puis plus rien	IP publique Orange changée	Utiliser un domaine dynamique (DuckDNS, No-IP)
Règles NAT invisibles dans l’interface	Bug d’affichage connu sur Livebox 6/7	Redémarrer la box ; en dernier recours, réinitialiser après avoir noté ses réglages
Tunnel actif mais aucun site ne s’ouvre	DNS ou routage du Pi	Vérifier la ligne `DNS` du profil ; relancer `pivpn -d` (diagnostic)

Quelques règles de sécurité :

Un profil par appareil ; révoquez-le avec pivpn remove si l’appareil est perdu ou vendu.
Ne partagez jamais un fichier .conf : il ouvre l’accès à votre réseau.
Gardez le Pi à jour et désactivez la connexion SSH par mot de passe au profit d’une clé.
Changez le mot de passe admin par défaut de la Livebox.

Conclusion

Sans serveur VPN intégré, la Livebox demande un appareil de plus, mais le résultat est le même qu’avec une Freebox : un accès chiffré et permanent à votre réseau depuis votre mobile Android. Pour ajouter un portable ou une tablette, il suffit d’un nouveau pivpn add.