Tailscale vs OpenVPN : VPN mesh WireGuard pour accès à distance simple

Tailscale permet d’accéder à vos serveurs depuis n’importe où en 10 minutes, sans ouvrir de ports ni gérer d’IP dynamique. Contrairement à OpenVPN, la configuration se fait en quelques clics et chaque machine reçoit une IP fixe dans un réseau privé maillé sécurisé par WireGuard.

Ce que vous allez obtenir

• Accès distant sécurisé à toutes vos machines depuis n’importe où
• IP fixe privée pour chaque appareil (fini les problèmes d’IP dynamique)
• SSH simplifié sans exposer le port 22 sur Internet
• Accès au LAN (NAS, routeur) via subnet router
• Sortie Internet “comme à la maison” en déplacement (exit node)

Prérequis

Élément	Détail
Compte	Gratuit sur tailscale.com (Google, Microsoft ou email)
OS supportés	Linux, Windows, macOS, iOS, Android
Accès admin	Droits sudo/admin pour l’installation
Temps estimé	10–15 minutes pour l’installation de base

Glissez pour voir

Chemin rapide

1. Installation — 5 min
2. Connexion SSH — 2 min
3. Subnet router — 5 min (optionnel)
4. Exit node — 3 min (optionnel)
5. Checklist sécurité — 5 min

---

Pourquoi Tailscale plutôt qu’OpenVPN ?

Jusqu’à récemment, j’utilisais OpenVPN pour accéder à mon homelab à distance. Ça fonctionnait bien, tant que mon FAI me fournissait une IP fixe. Puis des travaux dans la rue ont tout changé : mon IP publique change maintenant régulièrement et mon fournisseur ne propose plus d’IP fixe.

Face à ce problème, j’ai testé Tailscale. Contrairement à OpenVPN, Tailscale gère automatiquement les changements d’IP et crée un réseau privé où chaque machine dispose d’une IP fixe interne, même si l’IP publique change.

Critère	OpenVPN	Tailscale
Configuration	Complexe (certificats, ports)	Simple (quelques clics)
IP dynamique	Nécessite un DynDNS	Géré automatiquement
Ports ouverts	Oui (UDP 1194 typiquement)	Non (connexions sortantes)
Architecture	Client-serveur	Mesh (peer-to-peer)
Protocole	OpenVPN	WireGuard

Glissez pour voir

Architecture comparée : Hub-and-Spoke vs Mesh

Dans un VPN traditionnel (à gauche), tout le trafic passe par un serveur central : latence élevée, goulot d’étranglement, et point unique de défaillance. Avec Tailscale (à droite), chaque appareil se connecte directement aux autres via WireGuard : latence minimale et pas de point de congestion.

Qu’est-ce que Tailscale ?

Tailscale est un VPN nouvelle génération basé sur WireGuard. Il crée un réseau mesh (maillé) où chaque appareil peut communiquer directement avec les autres, sans passer par un serveur central.

Le concept de Tailnet

Quand vous créez un compte Tailscale, vous obtenez un tailnet : votre réseau privé personnel. Chaque appareil connecté reçoit une IP fixe dans la plage 100.x.y.z (appelée CGNAT). Cette IP reste la même, peu importe où se trouve l’appareil dans le monde.

Pourquoi WireGuard ?

WireGuard est un protocole VPN moderne créé par Jason A. Donenfeld. Ses avantages :

• Légèreté : ~4000 lignes de code (vs 100 000+ pour OpenVPN)
• Performance : connexions quasi-instantanées, latence minimale
• Sécurité : primitives cryptographiques modernes (ChaCha20, Poly1305, Curve25519)
• Auditabilité : code suffisamment petit pour être audité en profondeur

Tailscale ajoute une couche de coordination et de gestion au-dessus de WireGuard, simplifiant l’échange de clés et la découverte des pairs.

Comment ça fonctionne ?

1. Installation : Tailscale s’installe en quelques clics sur tous les OS
2. Authentification : Connexion via un fournisseur d’identité (Google, Microsoft, GitHub…)
3. Coordination : Les serveurs Tailscale distribuent les clés publiques et les adresses
4. Connexion directe : Les appareils établissent des connexions peer-to-peer chiffrées
5. NAT traversal : Tailscale utilise des techniques avancées (STUN, ICE) pour traverser les NAT

---

Installation et configuration de Tailscale

1. Créez un compte

   Rendez-vous sur tailscale.com et créez un compte gratuit (Google, Microsoft ou email).

2. Installez l’application

   • Linux :

     curl -fsSL https://tailscale.com/install.sh | sh

   • Windows/macOS : Télécharger
   • iOS : App Store
   • Android : Play Store

3. Connectez-vous

   sudo tailscale up

   Un lien s’affiche pour autoriser l’appareil dans votre navigateur.

4. Vérifiez la connexion

   tailscale status

   Vous devriez voir votre machine avec son IP Tailscale (100.x.x.x).

5. Répétez sur vos autres appareils

   Installez Tailscale sur chaque machine que vous voulez connecter.

MagicDNS

Activez MagicDNS dans la console Tailscale (DNS → Enable MagicDNS). Vous pourrez alors utiliser ssh user@monserveur au lieu de ssh user@100.64.0.1. Les noms sont automatiquement attribués à chaque machine.

---

Connexion SSH avec Tailscale

Via la console web Tailscale

Tailscale offre un terminal SSH directement dans le navigateur :

1. Connectez-vous au tableau de bord Tailscale
2. Trouvez la machine cible dans la liste
3. Cliquez sur le bouton SSH à côté du nom

Via votre terminal habituel

ssh utilisateur@100.x.x.x

Ou avec MagicDNS activé :

ssh utilisateur@nom-machine

Configuration SSH recommandée (~/.ssh/config) :

Host *.tail*.ts.net
    User votre_nom_utilisateur
    IdentityFile ~/.ssh/votre_cle_privee

Tailscale SSH

Tailscale propose aussi Tailscale SSH qui gère l’authentification via votre compte Tailscale (sans clés SSH). Activez-le avec tailscale up --ssh et configurez les permissions dans les ACL.

---

Subnet router : accéder au LAN complet

Un subnet router permet d’accéder à des appareils qui n’ont pas Tailscale installé (NAS, routeur, imprimante, caméras IP).

Exemple d’Architecture complète d’un homelab avec Tailscale

Ce schéma illustre une configuration typique :

• Le subnet router (en violet) expose le réseau local 192.168.1.0/24 à votre tailnet
• Les appareils avec Tailscale (en vert) communiquent directement entre eux
• Les appareils sans Tailscale (en gris) restent accessibles via le subnet router
• L’exit node permet de faire sortir tout le trafic Internet via votre connexion domestique

Bonne nouvelle pour les limites d'appareils

Les appareils derrière un subnet router ne comptent pas dans la limite d’appareils de votre plan Tailscale. Seul le subnet router lui-même compte comme un appareil.

Comment ça fonctionne ?

Le subnet router agit comme une passerelle entre votre tailnet et un réseau local traditionnel. Il utilise le SNAT (Source Network Address Translation) par défaut : le trafic des appareils Tailscale apparaît comme provenant du subnet router pour les appareils du LAN.

Cas d’usage

• Accéder à l’interface web de votre routeur (192.168.1.1)
• Monter un partage NFS/SMB sur un NAS
• Administrer des équipements IoT

Configuration

1. Activez le routage IP sur la machine qui servira de passerelle

   echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
   echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
   sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

2. Annoncez le sous-réseau

   sudo tailscale up --advertise-routes=192.168.1.0/24

3. Approuvez la route dans la console Tailscale

   • Allez dans Machines → cliquez sur la machine → Edit route settings
   • Cochez la route annoncée

4. Vérifiez l’accès

   Depuis un autre appareil Tailscale, pingez une IP du LAN :

   ping 192.168.1.1

IP forwarding obligatoire

Sans ip_forward = 1, les paquets ne seront pas routés. C’est la cause n°1 des “subnet routes qui ne marchent pas”.

---

Exit node : sortir “comme à la maison”

Un exit node fait transiter tout votre trafic Internet via une machine de votre réseau. Contrairement au subnet router qui ne route que vers des réseaux spécifiques, l’exit node devient votre passerelle Internet par défaut.

Différence entre subnet router et exit node

Fonction	Subnet router	Exit node
Objectif	Accéder à un réseau privé	Router tout le trafic Internet
Routes	Sous-réseaux spécifiques (192.168.x.x)	Routes par défaut (0.0.0.0/0, ::/0)
Cas d’usage	Accéder au NAS, routeur	Sécuriser Wi-Fi public

Glissez pour voir

Cas d’usage de l’exit node

• Wi-Fi public : chiffrer tout le trafic sur un réseau non fiable (café, aéroport)
• Accès géo-restreint : apparaître comme si vous étiez chez vous (streaming, banque)
• Compliance : respecter les politiques qui exigent un VPN
• Centraliser les logs : toutes les connexions sortent d’une seule IP

Configuration

1. Sur la machine exit node (typiquement un serveur homelab)

   sudo tailscale up --advertise-exit-node

2. Approuvez dans la console Tailscale (même procédure que subnet router)

3. Sur le client (laptop en déplacement, téléphone…)

   sudo tailscale up --exit-node=nom-de-la-machine

   Ou dans l’app mobile : sélectionnez l’exit node dans les paramètres.

4. Vérifiez

   curl ifconfig.me

   L’IP affichée doit être celle de votre connexion domestique.

---

La sécurité de Tailscale

Tailscale utilise WireGuard, un protocole VPN moderne reconnu pour sa simplicité et son efficacité.

Primitives cryptographiques

Fonction	Algorithme	Rôle
Chiffrement	ChaCha20	Confidentialité des données
Authentification	Poly1305	Intégrité et authenticité
Échange de clés	Curve25519	Diffie-Hellman sur courbe elliptique
Dérivation de clés	BLAKE2s	Génération de clés de session
Handshake	Noise Protocol	Établissement de connexion sécurisé

Glissez pour voir

Pourquoi c’est robuste ?

• Pas de choix cryptographique : WireGuard impose des algorithmes modernes, pas de négociation vulnérable
• Code minimal : ~4000 lignes (vs 100 000+ pour OpenVPN), plus facile à auditer
• Perfect Forward Secrecy : même si une clé est compromise, les sessions passées restent sécurisées
• Pas de state server-side : résistant aux attaques par déni de service

Control plane vs Data plane

Une question fréquente : “Tailscale est-il vraiment sécurisé si c’est dans le cloud ?”

Composant	Où ?	Rôle
Control plane	Serveurs Tailscale	Coordination, distribution des clés publiques, ACL
Data plane	Direct entre vos machines	Trafic chiffré, ne passe pas par Tailscale

Glissez pour voir

En clair : Tailscale ne voit jamais vos données. Il ne fait que permettre à vos machines de se trouver. Le trafic passe directement entre elles (ou via des relais DERP si la connexion directe échoue, mais toujours chiffré de bout en bout).

---

Checklist sécurité

Par défaut : tout le monde voit tout

Sans ACL personnalisées, tous vos appareils Tailscale peuvent communiquer entre eux. C’est pratique pour démarrer, mais à revoir en production.

Actions recommandées

• Définir des ACL pour limiter qui accède à quoi

  {
    "acls": [
      {"action": "accept", "src": ["tag:admin"], "dst": ["*:*"]},
      {"action": "accept", "src": ["tag:user"], "dst": ["tag:web:80,443"]}
    ]
  }

• Activer Tailscale SSH pour centraliser l’authentification

  sudo tailscale up --ssh

• Taguer vos machines pour organiser les permissions

  • Console → Machine → Edit tags → tag:server, tag:laptop…

• Activer l’expiration des clés (Settings → Keys) pour forcer la ré-authentification

• Configurer les posture checks (payant) pour bloquer les appareils non conformes

• Auditer les accès via les logs dans la console Tailscale

---

Dépannage

Symptôme	Cause probable	Solution
Subnet route ne fonctionne pas	IP forwarding désactivé	sysctl net.ipv4.ip_forward=1
Connexion lente ou via relais	NAT strict, pare-feu bloquant UDP	Vérifier les logs avec tailscale netcheck
”DERP” dans les logs	Connexion directe impossible, passe par relais	Normal derrière certains NAT, trafic reste chiffré
Machine invisible	Non autorisée	Approuver dans la console Tailscale
MagicDNS ne résout pas	MagicDNS désactivé	Activer dans Console → DNS
Exit node lent	Bande passante de votre connexion domestique	Normal, limité par votre upload

Glissez pour voir

Commandes utiles :

# État de la connexion
tailscale status

# Diagnostic réseau complet
tailscale netcheck

# Voir les routes
tailscale status --json | jq '.Peer[].AllowedIPs'

# Logs détaillés
journalctl -u tailscaled -f

---

Plans et tarifs

Tailscale propose plusieurs plans adaptés à différents usages. Pour un homelab personnel, le plan gratuit est généralement suffisant.

Plan	Prix	Utilisateurs	Appareils	Points clés
Personal	Gratuit	3	100	Toutes les fonctionnalités essentielles, pour toujours
Personal Plus	5$/mois	6	100	Partage avec famille/amis
Starter	6$/utilisateur/mois	Illimité	100 + 10/user	ACL basiques, MagicDNS, split tunneling
Premium	18$/utilisateur/mois	Illimité	100 + 20/user	Tailscale SSH, Funnel, ACL avancées, MDM
Enterprise	Sur devis	Illimité	Sur mesure	Posture management, SCIM, support dédié

Glissez pour voir

Plan Personal : suffisant pour un homelab

Avec 3 utilisateurs et 100 appareils, le plan gratuit couvre largement les besoins d’un homelab. Vous avez accès aux subnet routers, exit nodes, MagicDNS, et même aux ACL (avec certaines limitations).

Fonctionnalités par plan

Inclus dans tous les plans (y compris gratuit) :

• Subnet routers et exit nodes
• MagicDNS
• Taildrop (transfert de fichiers)
• ACL de base (par IP, subnet, tags, autogroups)
• Support multi-plateforme

Nécessite un plan payant (Starter+) :

• ACL par groupes et utilisateurs
• Logs de configuration

Nécessite Premium ou supérieur :

• Tailscale SSH avec gestion centralisée
• Tailscale Funnel (exposer sur Internet)
• Logs de flux réseau
• Politiques MDM

Enterprise uniquement :

• SSH session recording
• Log streaming
• Posture checks avancés
• SCIM/provisioning

---

À retenir

• Tailscale crée un réseau mesh sécurisé par WireGuard, sans ouvrir de ports
• Chaque machine reçoit une IP fixe (100.x.x.x), indépendamment de l’IP publique
• MagicDNS permet d’utiliser des noms plutôt que des IP
• Subnet router donne accès aux appareils du LAN sans Tailscale
• Exit node fait transiter tout le trafic via une machine de confiance
• Le trafic ne passe jamais par Tailscale (sauf relais DERP chiffré)
• Les ACL sont essentielles pour une sécurité en production

---

FAQ - Questions Fréquemment Posées

Tailscale, c'est un VPN classique ou autre chose ?

### VPN mesh vs VPN classique **Tailscale** est un **VPN mesh** (maillé), pas un VPN client-serveur classique. | Aspec…

Faut-il ouvrir des ports sur ma box/pare-feu pour que Tailscale fonctionne ?

### Aucun port à ouvrir **Non**, Tailscale ne nécessite **aucun port entrant** ouvert sur votre box ou pare-feu. ### C…

Quelle est la différence entre un exit node et un subnet router ?

### Comparaison exit node vs subnet router | Fonction | Subnet router | Exit node | |----------|---------------|-------…

Tailscale fonctionne-t-il si je suis derrière du CGNAT (4G/5G, certains FAI) ?

### Oui, Tailscale gère le CGNAT **CGNAT** (Carrier-Grade NAT) est courant sur les connexions 4G/5G et certains FAI. Ta…

Mes données passent-elles par les serveurs Tailscale (DERP) ou sont-elles chiffrées de bout en bout ?

### Chiffrement de bout en bout garanti Vos données sont **toujours chiffrées de bout en bout** avec WireGuard, quel qu…

Quelle est la différence entre WireGuard pur et Tailscale ?

### WireGuard = protocole, Tailscale = solution complète **WireGuard** est le protocole VPN sous-jacent. **Tailscale**…

Comment sécuriser finement l'accès entre machines avec les ACL, tags et groupes ?

### Modèle de sécurité Tailscale Par défaut, tous les appareils d'un tailnet peuvent communiquer. Les **ACL** permetten…

Tailscale SSH remplace-t-il mes clés SSH et mon sshd_config ? Dans quels cas l'utiliser ?

### Tailscale SSH vs OpenSSH classique **Tailscale SSH** est une couche d'authentification qui utilise votre identité T…

MagicDNS sert à quoi et comment l'activer proprement ?

### Qu'est-ce que MagicDNS ? **MagicDNS** attribue automatiquement un **nom DNS** à chaque machine de votre tailnet. #…

Quels sont les problèmes courants Tailscale (routes, accès LAN, DNS) et comment les diagnostiquer rapidement ?

### Problèmes courants et solutions | Symptôme | Cause probable | Diagnostic | Solution | |----------|----------------|…

Ressources

• ACL et GitOps — Gérer vos politiques Tailscale comme du code
• Tailscale Serve & Funnel — Exposer un service local sur Internet sans reverse proxy
• Documentation officielle — Guides complets et référence API
• Sécuriser votre homelab — Bonnes pratiques de sécurité pour un lab personnel

×

📖 Voir la documentation →