Tailscale VPN : mesh zero-config pour ton homelab

# intermediaire # reseau # tailscale # vpn # mesh # auto-hebergement
Brandon Visca
Date de publication:

💡 TL;DR

  • Tailscale transforme tous tes appareils en un réseau mesh privé, sans ouvrir un seul port sur ta box
  • Basé sur WireGuard, il gère automatiquement les clés, le NAT traversal et les relais de secours
  • Tu l’installes en 2 commandes sur Linux, macOS, Windows, iOS, Android ou Docker
  • Exit nodes, subnet routes, ACLs granulaires et DNS magique inclus dans le plan gratuit
  • Comparatif WireGuard vs Tailscale VPN, Docker Compose complet et use cases homelab dans ce guide

Table des matières

Table des matières

Pourquoi un VPN mesh dans ton homelab ?

Ton homelab grandit. Tu as un NAS, un serveur Docker, un Raspberry Pi, un laptop, un téléphone. Chacun sur un réseau différent. Le NAS chez toi sur le 192.168.1.0/24. Le serveur Docker sur un VPS cloud. Le téléphone sur le 4G de ton opérateur. Le laptop sur le WiFi du café.

La question qui se pose : comment ils communiquent entre eux ?

La réponse classique, c’est d’ouvrir des ports sur ta box, d’installer un serveur VPN centralisé et de configurer des règles de firewall à la mano. C’est valide. J’ai d’ailleurs un guide complet sur WireGuard Docker si tu veux cette approche. Mais c’est du boulot. Tu gères les clés à la main, tu rediriges les ports, tu débugges le NAT, et quand tu changes de réseau sur ton téléphone, tu espères que le tunnel se reconnecte sans planter.

Un VPN mesh résout tout ça différemment. Chaque appareil est un nœud du réseau. Ils se découvrent automatiquement. Ils s’interconnectent directement quand c’est possible. Quand c’est pas possible (NAT symétrique, firewall strict), ils passent par un relais. Tu n’as pas de serveur central à configurer. Tu n’ouvres aucun port. Tu ajoutes un appareil, tu l’authentifie, il rejoint le mesh. C’est tout.

Tailscale VPN est l’implémentation la plus aboutie de ce concept. Et pour un homelab, c’est un game changer.

Qu’est-ce que Tailscale exactement ?

Tailscale VPN est un service de VPN mesh créé en 2019 par Avery Pennarun, ancien ingénieur Google. Le produit repose sur deux piliers : WireGuard pour le transport chiffré, et un plan de contrôle propriétaire qui gère l’authentification, la distribution des clés et la topologie du réseau.

Concrètement, chaque appareil que tu installes avec Tailscale reçoit une IP dans un réseau virtuel (le tailnet). Par défaut, c’est du 100.x.x.x. Cette IP est stable. Peu importe que ton appareil soit sur le réseau de ta box, sur un 4G, ou sur un WiFi d’hôtel à l’autre bout du monde. Il garde sa 100.x.x.x et les autres appareils du mesh peuvent l’atteindre.

Le transport utilise WireGuard. Donc c’est rapide, léger, et la cryptographie est solide (Curve25519, ChaCha20, Poly1305). La différence avec un serveur WireGuard classique, c’est que Tailscale gère la configuration pour toi. Les clés publiques sont échangées automatiquement via le plan de contrôle. Les routes sont calculées dynamiquement. Le NAT traversal (trouver un chemin entre deux machines derrière des NAT) est géré nativement.

Si deux appareils peuvent se joindre directement (UDP hole punching réussi), le trafic transite en P2P. Sinon, Tailscale bascule sur un relais DERP (Designated Encrypted Relay for Packets). Ces relais sont hébergés par Tailscale (gratuitement) et servent de pont TCP. Le trafic reste chiffré de bout en bout : le relais ne peut pas déchiffrer.

Le plan de contrôle (où sont stockées les identités, les ACLs, les clés publiques) est hébergé dans le cloud chez Tailscale. C’est le point central. Pour un usage personnel, c’est acceptable. Si tu veux garder le contrôle total du plan de contrôle, il existe Headscale, un serveur open-source compatible Tailscale que tu auto-héberges. Alternativement, Firezone offre une approche zero-trust open-source avec un control plane auto-hébergé.

Installation : 2 minutes par appareil

Linux (serveur, NAS, Raspberry Pi)

La méthode universelle, un script curl qui installe le client et le démarre :

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

La commande tailscale up affiche un lien d’authentification. Tu ouvres ce lien dans ton navigateur, tu te connectes avec un compte (Google, Microsoft, GitHub, ou un compte Tailscale), et le serveur rejoint ton tailnet.

Pour un serveur headless (sans navigateur), utilise :

sudo tailscale up --authkey tskey-auth-xxxxxxxx

Génère la clé d’authentification depuis la console web de Tailscale (Settings > Keys).

Docker Compose

Si tu préfères conteneuriser, voici le Compose minimal :

services:
  tailscale:
    image: tailscale/tailscale:latest
    container_name: tailscale
    hostname: homelab-docker
    environment:
      - TS_AUTHKEY=tskey-auth-xxxxxxxx
      - TS_STATE_DIR=/var/lib/tailscale
    volumes:
      - /dev/net/tun:/dev/net/tun
      - tailscale-state:/var/lib/tailscale
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.ip_forward=1
    restart: unless-stopped

volumes:
  tailscale-state:

Le volume /dev/net/tun est obligatoire pour créer l’interface tunnel. NET_ADMIN aussi. La variable TS_AUTHKEY permet l’authentification automatique au démarrage, sans interaction manuelle. Pratique pour un redémarrage automatique du serveur.

Tu peux aussi utiliser tailscale vpn comme sidecar dans un stack Docker existante. Par exemple, un conteneur Nextcloud qui n’est accessible que via le tailnet, sans exposer de port sur le réseau hôte.

macOS et Windows

Télécharge l’application depuis tailscale.com. Connecte-toi avec ton compte. C’est prêt. L’app ajoute une interface réseau virtuelle, gère les mises à jour automatiques, et affiche une icône dans la barre de menu/système pour voir les appareils connectés.

iOS et Android

App Store ou Google Play. Même processus : installer, se connecter, rejoindre le tailnet. L’application mobile gère le roaming nativement. Tu passes du WiFi au 4G, le tunnel reste actif sans coupure perceptible.

Les fonctionnalités qui tuent pour un homelab

DNS magique

Par défaut, chaque appareil du mesh est accessible via son hostname. Ton serveur Docker s’appelle homelab-docker ? Tu peux le pinger à homelab-docker ou homelab-docker.ton-taillnet.ts.net. Pas besoin de gérer un DNS interne, de modifier /etc/hosts, ou de configurer un serveur DNS comme Technitium ou AdGuard Home.

Tailscale intercepte les requêtes DNS et résout les noms du mesh en priorité. Tu peux aussi configurer des split DNS : les requêtes pour monlab.local passent par ton DNS interne, le reste par le DNS public. C’est propre.

Subnet routes

Tu as un NAS, une imprimante, ou un switch manageable sur ton réseau local qui ne peut pas installer Tailscale ? Pas de souci. Tu désignes un appareil du mesh (ex: ton serveur Docker) comme routeur de sous-réseau. Tu annonces le LAN derrière lui :

sudo tailscale up --advertise-routes=192.168.1.0/24

Dans la console Tailscale, tu approuves la route. Et hop, depuis ton téléphone sur le 4G, tu pingues le NAS en 192.168.1.42 comme si tu étais chez toi. Le trafic passe par le nœud Tailscale qui fait le relay vers le LAN.

Exit nodes

Tu es dans un café avec un WiFi douteux ? Tu désignes une machine de ton mesh comme exit node (par exemple ton serveur chez toi ou un VPS cloud). Tout le trafic Internet de ton laptop ou téléphone passe par cette machine, chiffré jusqu’au bout.

Configuration sur le nœud de sortie :

sudo tailscale up --advertise-exit-node

Sur le client, tu actives l’exit node depuis l’interface graphique ou en CLI :

sudo tailscale up --exit-node=100.x.x.x

C’est l’équivalent d’un VPN traditionnel pour la navigation web, mais avec zéro configuration réseau côté serveur. Pas de NAT, pas de règles iptables compliquées.

ACLs (Access Control Lists)

Par défaut, dans un tailnet, tous les appareils peuvent communiquer entre eux. C’est pratique pour commencer, mais dangereux quand tu ajoutes des tiers (amis, collègues, clients). Les ACLs te permettent de définir qui peut accéder à quoi.

Exemple de politique minimaliste dans la console Tailscale :

{
  "groups": {
    "group:admins": ["[email protected]"]
  },
  "acls": [
    {
      "action": "accept",
      "src": ["group:admins"],
      "dst": ["*:*"]
    }
  ]
}

Tu peux restreindre par utilisateur, par appareil, par port, par protocole. C’est du zero-trust appliqué : jamais de confiance implicite, toujours une politique explicite. Pour une approche zero-trust open-source et auto-hébergée basée sur WireGuard, j’ai aussi couvert Firezone Docker en détail.

Funnel (partage public)

Parfois, tu veux partager un service de ton homelab avec quelqu’un qui n’est pas dans ton tailnet. Tailscale Funnel te permet d’exposer un service sur Internet via un nom de domaine public, sans ouvrir de port sur ta box.

tailscale serve --bg --https=443 8080
tailscale funnel 443 on

Ton service local sur le port 8080 devient accessible via https://homelab-docker.ton-tailnet.ts.net. Le trafic passe par les relais Tailscale. C’est utile pour des démos, du partage temporaire, ou un accès rapide sans configurer un Cloudflare Tunnel.

Attention : Funnel expose publiquement. Pense à sécuriser ton service derrière (authentification, rate limiting).

WireGuard vs Tailscale VPN : le comparatif

CritèreWireGuard purTailscale
ConfigurationManuelle (clés, peers, routes)Automatique (zero-config)
Gestion des clésÀ la main, fichier de configPlan de contrôle cloud
NAT traversalUDP hole punching manuelAutomatique + relais DERP
Roaming (mobile)Reconnexion parfois lenteInstantanée et transparente
Exit nodeConfigurable manuellementUn toggle dans l’app
Subnet routesiptables + routes manuelles--advertise-routes, approuvé en 1 clic
ACLs / policiesNon (WireGuard est un tunnel)Granulaire, JSON-based
DNSManuel (/etc/hosts ou DNS interne)DNS magique intégré
Partage publicNon (VPN privé uniquement)Tailscale Funnel inclus
Auto-hébergement du control planeOui (c’est juste un fichier)Non (cloud Tailscale), mais Headscale existe
Gratuité100% gratuit et open-sourceGratuit pour personal (3 users, 100 devices)
Code sourceOpen-source, kernel LinuxClient open-source, serveur propriétaire

Verdict : si tu veux un VPN robuste, 100% open-source, sans dépendance à un service cloud, reste sur WireGuard pur. Si tu veux que ça marche immédiatement, sans configurer quoi que ce soit, et que tu acceptes un plan de contrôle cloud, Tailscale est imbattable. Dans la pratique, beaucoup d’admins homelab utilisent les deux : Tailscale pour l’accès distant rapide, WireGuard pour des tunnels spécifiques ou des environnements air-gapped.

Use cases concrets pour ton homelab

Accès distant à tous tes services

Tu as déployé Nextcloud, Vaultwarden, Homer, et une dizaine d’autres services Docker. Au lieu d’ouvrir des ports et d’exposer chaque service sur Internet, tu les laisses sur le réseau interne. Tu te connectes via tailscale vpn. Tu es “virtuellement” chez toi. Tes services restent invisibles des scanners.

Administration à distance de ton serveur

Ton serveur est chez toi. Tu es au bureau. Tu ouvres un terminal, tu SSH sur 100.x.x.x (l’IP Tailscale de ton serveur). Pas besoin de connaître l’IP publique de ta box, pas besoin de rediriger le port 22. Le tunnel est chiffré et direct.

Backup hors site vers un NAS ami

Tu as un NAS chez toi, ton pote a un NAS chez lui. Vous êtes tous les deux sur le même tailnet. Tu montes un rsync entre vos deux machines via les IPs 100.x.x.x. Le trafic est chiffré. Aucun port ouvert. C’est du backup P2P sécurisé.

Monitoring distribué

Tu as un agent Beszel ou Zabbix sur chaque machine. Le serveur central collecte les métriques via le tailnet. Chaque agent envoie ses données chiffrées, sans exposer de port de monitoring sur Internet.

Développement multi-sites

Tu codes sur ton laptop au café. Ton environnement de dev tourne sur un serveur cloud. Ta base de données est sur un autre VPS. Tous sont dans le même tailnet. Tu accèdes à tout comme si c’était sur le même LAN. Pas de VPN à activer/désactiver, pas de règles firewall à jongler.

Sécurité et bonnes pratiques

Tailscale est sécurisé par design, mais quelques réflexes renforcent la posture :

Limitations à connaître

Tailscale n’est pas parfait. Voici les points de friction :

Conclusion

Tailscale VPN est l’outil que j’installe systématiquement sur chaque nouvel appareil de mon homelab. Il remplace avantageusement les configurations WireGuard manuelles pour l’accès distant, il évite d’ouvrir des ports sur ma box, et il me permet d’administrer mes machines depuis n’importe où comme si j’étais sur le même switch.

Pour un débutant, c’est la porte d’entrée idéale vers les réseaux privés virtuels : tu installes, tu te connectes, ça marche. Pour un utilisateur avancé, les subnet routes, les exit nodes et les ACLs offrent une flexibilité proche d’une solution enterprise.

Si tu cherches une alternative 100% open-source avec un control plane auto-hébergé, explore Firezone. Si tu veux juste exposer un service public sans IP fixe, Cloudflare Tunnel reste pertinent. Mais pour relier tes appareils entre eux de façon privée, sécurisée et zero-config, tailscale vpn est difficile à battre.

Share
Previous
Element + Matrix Docker : héberge ta messagerie décentralisée
Next
Rocket.Chat Docker : messagerie collaborative auto-hébergée