Un VPN d'entreprise est un tunnel chiffré, établi entre un site ou un poste nomade et le réseau de l'entreprise, qui permet d'accéder aux ressources internes sans les exposer sur Internet. Pour une PME, le VPN d'entreprise d'occasion est souvent la porte d'entrée la plus rentable vers un pare-feu de classe professionnelle : un FortiGate 60E ou un SonicWall TZ370 reconditionné coûte entre 100 et 450 € contre 400 à 1 200 € neuf, pour des fonctions VPN strictement identiques.
Le piège est ailleurs : un VPN n'est sûr que si le firmware est encore corrigé. Plusieurs vulnérabilités critiques sur les VPN SSL de pare-feux ont été exploitées activement ces dernières années, et un boîtier sorti du support constructeur ne reçoit plus aucun correctif. Cet article détaille les protocoles, les modèles qui valent l'achat, les débits réels à exiger et les questions à poser avant de payer.
Ce que vous devez vraiment savoir avant d'acheter
Un équipement VPN est un pare-feu ou un routeur qui termine des tunnels IPsec, SSL-VPN ou WireGuard et qui chiffre le trafic à la volée. Voici les 7 choses à savoir avant d'acheter du matériel VPN d'occasion :
- Le débit VPN est très inférieur au débit pare-feu. Un FortiGate 60F annonce 10 Gbit/s de pare-feu mais environ 6,5 Gbit/s en IPsec ; un SonicWall TZ370 passe de 3 Gbit/s à 1,3 Gbit/s en VPN. Lisez toujours la ligne « IPsec VPN throughput » de la fiche technique.
- Le SSL-VPN recule. Les éditeurs poussent désormais l'IPsec (IKEv2) ou des clients dédiés, et certains ont retiré le mode SSL-VPN de leurs petits modèles dans les versions récentes de firmware. Vérifiez que la fonction dont vous avez besoin existe encore dans la dernière version supportée par le modèle visé.
- La licence n'est pas transférable de la même façon selon les marques. Les abonnements de sécurité (IPS, filtrage web) sont liés au numéro de série et à l'ancien propriétaire. Le VPN IPsec de base fonctionne sans abonnement chez Fortinet et SonicWall ; les mises à jour de firmware, elles, peuvent exiger un contrat actif.
- Le nombre de tunnels et d'utilisateurs simultanés varie fortement. Un FortiGate 60E accepte 200 tunnels IPsec site à site ; certains SonicWall limitent les clients SSL-VPN sans licence supplémentaire.
- La date de fin de support prime sur le prix. Consultez la page « End of Life » du constructeur avant l'achat.
- Le boîtier doit être réinitialisé en configuration usine. Exigez la preuve d'un reset complet : un boîtier d'occasion qui conserve des clés pré-partagées ou des certificats de l'ancien propriétaire est un risque.
- Le chiffrement matériel compte. Les puces dédiées (SPU/NP chez Fortinet) multiplient le débit IPsec par 3 à 5 par rapport à un traitement logiciel.
Questions à poser au revendeur : quelle version de firmware est installée ? Le boîtier a-t-il été remis en configuration usine ? Quel est le relevé du nombre d'heures de fonctionnement ? Quelle est la date de fin de support ? Les alimentations et ventilateurs ont-ils été testés ?
Comparatif des modèles pour un VPN d'entreprise
Ce tableau compare les équipements VPN les plus demandés sur le marché de l'occasion. Les débits sont ceux des fiches constructeur ; les prix sont indicatifs, reconditionné, hors taxes.
| Modèle | Points forts | Limites | Prix indicatif reconditionné |
|---|---|---|---|
| FortiGate 60E / 60F | Puce SPU, ~6,5 Gbit/s IPsec (60F), 200 tunnels, FortiClient gratuit | Mises à jour de firmware liées au contrat ; 60E plus ancien | 120 à 350 € |
| SonicWall TZ370 / TZ470 | Interface simple, IPsec 1,3 Gbit/s (TZ370), GroupVPN et SSL-VPN | Licences de sécurité à renouveler ; modèles Gen6 (TZ300/400) en fin de vie | 150 à 500 € |
| Palo Alto PA-220 | GlobalProtect, politiques par application | Débit VPN limité (~500 Mbit/s), support à vérifier, licence GlobalProtect à part | 200 à 450 € |
| Cisco ISR 1100 / ISR 4321 | IPsec/IKEv2 éprouvé, VPN site à site multi-sites | Pas de pare-feu applicatif natif sans licence ; IOS-XE à jour requis | 250 à 700 € |
| Juniper SRX300 | IPsec robuste, Junos stable, bon pour le site à site | Courbe d'apprentissage Junos ; peu de clients nomades prêts à l'emploi | 180 à 400 € |
Pour aller plus loin sur les pare-feux eux-mêmes, consultez notre guide du firewall d'occasion et notre dossier pare-feu d'entreprise : UTM, NGFW et VPN.
Critères de sélection selon votre usage
PME de moins de 20 postes. Un FortiGate 60E ou un SonicWall TZ370 suffit : 10 à 20 télétravailleurs en IPsec ou SSL-VPN consomment rarement plus de 200 Mbit/s cumulés. Priorité à la simplicité de configuration et à la disponibilité d'un client VPN gratuit.
PME de 20 à 100 postes. Visez un FortiGate 80F/100F ou un SonicWall TZ470/TZ570 : l'inspection IPS en parallèle du VPN divise le débit par 2 à 4, il faut donc dimensionner sur le débit « threat protection » et non sur le débit brut. Prévoyez un second boîtier en haute disponibilité si le VPN est critique.
ETI et multi-sites. Privilégiez un FortiGate 200F ou un Cisco ISR 4331 en concentrateur, avec des boîtiers plus modestes sur chaque agence. Un maillage IPsec site à site se dimensionne sur le nombre de tunnels (n × (n−1) / 2 en maillage complet), pas seulement sur le débit.
Ce que garantit itandoffice.com
Chaque pare-feu et routeur VPN est testé avant mise en vente : mise sous tension 48 h (burn-in), contrôle des alimentations et ventilateurs, vérification de tous les ports, remise en configuration usine avec effacement des clés et certificats, puis installation d'un firmware supporté lorsque la licence le permet. Le matériel bénéficie de la garantie satisfait ou remboursé 30 jours.
Le stock est physiquement en France, disponible immédiatement, avec livraison rapide en Europe (France, Belgique, Luxembourg, Suisse, Royaume-Uni, Allemagne, Pays-Bas, Espagne, Italie, Portugal) et, sur demande, dans le reste du monde. Les prix sont de 30 à 70 % inférieurs au neuf.
TCO sur 3 ans, exemple 20 postes : un FortiGate 60F neuf avec bundle de protection représente environ 1 000 à 1 300 € sur 3 ans (matériel + abonnement). Un 60E reconditionné à 200 € environ, sans abonnement, revient à 200 € pour le VPN seul, soit une économie d'environ 80 %. Si vous souhaitez l'IPS et le filtrage web, ajoutez l'abonnement : l'économie reste de 30 à 50 %. Retrouvez nos références dans la collection firewall et, pour la partie routage, dans la collection Cisco.
FAQ — Les 5 questions les plus posées
Peut-on utiliser un pare-feu d'occasion pour un VPN d'entreprise ?
Oui, à condition que le modèle soit encore dans sa période de support et que le firmware puisse être mis à jour. Les fonctions IPsec de base ne dépendent pas d'un abonnement. Le point critique est la disponibilité des correctifs de sécurité.
IPsec ou SSL-VPN : lequel choisir ?
L'IPsec (IKEv2) est le choix par défaut pour le site à site et de plus en plus pour les nomades. Le SSL-VPN est plus simple à déployer, mais plusieurs éditeurs le déprécient et il a concentré de nombreuses vulnérabilités critiques. Privilégiez l'IPsec avec authentification multifacteur.
Quel débit VPN prévoir pour 20 télétravailleurs ?
Comptez 5 à 10 Mbit/s par utilisateur actif, soit 100 à 200 Mbit/s en simultané. Tout pare-feu récent dépasse largement ce besoin ; c'est le débit avec IPS activé qui devient limitant.
Faut-il renouveler la licence d'un boîtier d'occasion ?
Pas pour établir un tunnel VPN. En revanche, les mises à jour du firmware et des signatures IPS peuvent exiger un contrat actif selon la marque. Demandez au revendeur quelle version est installée et ce qu'il est possible de mettre à jour.
Comment sécuriser un VPN reconditionné ?
Remettez le boîtier en configuration usine, installez la dernière version supportée, désactivez l'administration depuis Internet, activez l'authentification multifacteur et appliquez les recommandations de l'ANSSI sur l'IPsec et l'administration sécurisée.
Conclusion
Un VPN d'entreprise d'occasion est un excellent investissement lorsque le modèle est encore supporté, que le débit IPsec réel couvre vos usages et que le boîtier est livré remis à zéro. Un FortiGate 60E, un SonicWall TZ370 ou un Cisco ISR d'occasion couvre la plupart des PME pour 80 % de moins que le neuf. Consultez notre sélection de pare-feux et équipements VPN, ou notre guide complet du matériel informatique d'occasion.