AWS reconstruit son client VPN avec une CLI complète et des contrôles d’administration
Le 13 août 2026, AWS publie la version 6.0 de son client VPN, reconstruite sur OpenVPN3, avec une CLI complète et des contrôles d’administration centralisés. Les équipes qui automatisent leurs accès distants peuvent désormais scripter les connexions sans outil tiers.
13 août 2026. AWS publie la version 6.0.x de son client VPN, une refonte complète construite sur OpenVPN3. Trois changements sortent du lot : une interface en ligne de commande à parité avec le GUI, des contrôles d’administration pour centraliser la politique d’accès, et une connexion plus rapide sur tous les systèmes.
Pour les équipes qui gèrent des flottes de postes et des accès distants, cette version règle deux irritants qui traînaient depuis des années : l’impossibilité d’automatiser la connexion, et l’absence de gouvernance sur les profils distribués.
Le client de bureau était jusqu’ici le maillon faible d’AWS Client VPN : le service côté serveur était mature, mais le client restait une application graphique qu’il fallait manipuler à la main. Dans un monde où le télétravail et le zero trust poussent à scripter chaque étape de l’accès, ce décalage devenait intenable — et c’est précisément lui que la 6.0 supprime.
Une CLI à parité complète avec le GUI
La nouveauté la plus attendue est la CLI aws-vpn-client, qui offre une parité fonctionnelle totale avec l’interface graphique. Concrètement, cela signifie que l’on peut désormais scripter la connexion VPN dans un pipeline, un script de provisionnement ou un déploiement IaC, là où il fallait auparavant un outil tiers ou une intervention manuelle.
La syntaxe est sobre et prévisible :
aws-vpn-client connect --profile-name "Production-VPN"La commande rend un JSON lisible — {"status": "Connected"} — et les codes de sortie sont standardisés : 0 pour un succès, 1 pour une erreur générale, 2 pour une syntaxe invalide. C’est exactement ce qu’un script d’automatisation attend.
Le jeu de commandes couvre tout le cycle de vie du profil : connect, disconnect, import-profile, delete-profile, list-profiles, get-config, get-connection-status et list-connections. Deux commandes méritent une attention particulière pour l’exploitation :
import-profile --globalimporte un profil disponible pour tous les utilisateurs d’un poste, ce qui exige des privilèges administrateur.put-preferencerègle des préférences globales, dontenable-user-profile-management(autoriser ou non les utilisateurs finaux à importer ou supprimer des profils) etmax-connections(plafond de connexions simultanées, de 1 à 5).
L’intérêt n’est pas seulement la commodité. C’est la convergence entre le réseau et le code : une connexion VPN devient une étape testable, journalisée et reproductible d’un pipeline, au même titre qu’un terraform apply.
Des contrôles d’administration pour centraliser la politique
Le second changement corrige un défaut de gouvernance structurel. Jusqu’ici, AWS Client VPN obligeait à distribuer les profils à tous les utilisateurs, et n’importe qui pouvait les manipuler sans permissions. La 6.0 introduit de vrais contrôles d’administration :
- Profils restreints à des utilisateurs précis : on limite un profil à un périmètre donné au lieu de le rendre accessible à tout le poste.
- Profils globaux : un profil peut être déclaré disponible pour tous les utilisateurs d’une machine, géré centralement.
- Configurations imposées : l’équipe peut verrouiller les configurations VPN approuvées et empêcher les utilisateurs finaux de modifier ou d’ajouter des profils.
C’est le passage d’un client « personnel » à un client géré. Pour un RSSI ou un administrateur de parc, cela répond à une vraie question de conformité : qui peut établir une connexion VPN, avec quelle configuration, et qui peut la modifier. La réponse devient contrôlable depuis la politique, et non plus laissée au bon vouloir de chaque poste.
La refonte OpenVPN3 et la compatibilité
La refonte technique n’est pas cosmétique. Le client est reconstruit sur OpenVPN3, ce qui accélère l’établissement de la connexion sur tous les systèmes d’exploitation supportés. Le GUI et la CLI peuvent tourner en même temps : les connexions persistent indépendamment de l’interface qui les a lancées, ce qui évite la coupure classique quand on ferme une fenêtre.
Le point décisif pour une migration est la rétrocompatibilité : la 6.0 reste entièrement compatible avec les endpoints Client VPN existants. Aucun changement côté endpoint n’est requis, ce qui réduit la mise à niveau à un simple déploiement du client.
Les plateformes couvertes sont Windows (x64/ARM), macOS (x64/ARM) et Linux (x64). Aucun coût supplémentaire n’est facturé au-delà de la tarification standard d’AWS Client VPN.
Ce que cela change en pratique
Pour une équipe qui opère AWS Client VPN à l’échelle, la 6.0 redessine deux flux de travail.
Le premier est l’onboarding automatisé. Avec import-profile et connect, le déploiement d’un nouveau poste peut intégrer la connexion VPN dans un script de provisioning, sans clic manuel :
aws-vpn-client import-profile --profile-name "Prod" --config-path /opt/vpn/prod.ovpn
aws-vpn-client connect --profile-name "Prod"Le second est le durcissement du parc. En désactivant enable-user-profile-management et en imposant des profils globaux, on retire aux utilisateurs finaux la capacité d’ajouter leurs propres configurations — ce qui ferme la porte aux profils non approuvés et aux fuites de configuration.
Ces deux flux se combinent avec les outils de gestion de parc existants. Un profil importé via import-profile --global se prête au déploiement par image système ou par outil de gestion de postes (MDM), et la connexion se déclenche ensuite à la demande, sans clic utilisateur. La CLI rend enfin le client VPN compatible avec les pratiques d’Infrastructure as Code que l’équipe applique déjà au reste de son parc — un poste provisionné par script peut établir sa connexion VPN dans la foulée, dans le même pipeline.
Ce qui manque encore
Malgré la refonte, trois limites restent à connaître avant de tout basculer sur la CLI.
- Les secrets passent par un fichier en clair. L’option
--auth-user-passattend le chemin d’un fichier contenant l’identifiant (ligne 1), le mot de passe (ligne 2) et un éventuel code MFA (ligne 3). Pour l’automatisation, c’est fonctionnel, mais la gestion du secret reste à votre charge : rien n’intègre nativement un gestionnaire de secrets ou un jeton SSO. - Pas de client ARM64 sous Linux. La 6.0 couvre Windows (x64/ARM), macOS (x64/ARM) et Linux (x64 uniquement). Les postes Linux sur puces ARM devront encore passer par un client tiers.
- La télémétrie est active par défaut. La préférence
enable-telemetryest àtrueà l’installation. Pour un parc sensible, c’est un point à traiter explicitement dans la politique de déploiement.
Aucune de ces limites ne remet en cause la mise à niveau ; elles bornent simplement ce que la CLI sait faire aujourd’hui.
Verdict
AWS Client VPN n’était pas mauvais, mais il était resté en retrait sur deux attentes structurantes : l’automatisation et la gouvernance. La 6.0 comble les deux d’un coup, sans rupture de compatibilité.
Si vous exploitez déjà AWS Client VPN, mettez à niveau le client vers la 6.0.x sans attendre : la compatibilité des endpoints est garantie, et vous gagnez immédiatement la CLI et les contrôles d’administration.
Si vous automatisez vos accès distants, adoptez la CLI dans vos pipelines de provisioning et vos scripts — import-profile et connect remplacent avantageusement la manipulation manuelle, avec des codes de sortie propres.
Si la conformité est un sujet, activez les préférences d’administration (enable-user-profile-management à false, profils globaux) pour centraliser la politique d’accès plutôt que de la déléguer aux postes.
En résumé, la 6.0 ne change pas ce que AWS Client VPN fait, mais la manière dont une équipe peut l’exploiter : elle transforme un client graphique en un composant pilotable par le code, au prix d’un simple déploiement de client.