Tailscale et RustDesk : un nuage personnel sans ouvrir de ports

Atteindre un ordinateur resté à la maison, une caméra dans une résidence secondaire ou un boîtier de sauvegarde dans une autre ville semble une demande simple, mais la mécanique derrière est étonnamment délicate. Ouvrez la mauvaise porte et votre réseau domestique s'expose à des inconnus ; choisissez la voie des entreprises et vous voilà aux prises avec des boîtiers coûteux et des licences. Dans cette vidéo, l'animateur propose une troisième voie : un nuage personnel gratuit, chiffré de bout en bout, bâti sur un réseau maillé . Tailscale porte la connectivité, tandis que RustDesk prend en main le bureau à distance.

L'erreur la plus courante à la maison consiste à activer la redirection de ports sur la box. Exposer le port 3389 pour le bureau distant, le 22 pour SSH ou le 554 pour les caméras revient à faire signe aux robots qui balayent le réseau. Les services d'accès distant laissés face à l'internet ouvert sont repérés par des balayages massifs en quelques heures, et les systèmes faiblement protégés tombent peu après. L'animateur est catégorique : n'ouvrez jamais ces portes directement vers l'internet.

Du côté des entreprises, le tableau est différent mais tout aussi inadapté à la maison. Les sociétés confient aux télétravailleurs un boîtier central ; on s'y connecte via une application et tout le trafic y transite. Cette architecture à sens unique échoue dans un usage domestique réparti, où il faut parfois joindre une caméra éloignée depuis chez soi et un serveur domestique depuis la route. Le coût du matériel et des licences pèse lourd pour un foyer ou une petite structure. L'animateur juge ces montages anciens à la fois onéreux et fragiles pour un usage personnel.

Pourquoi les réseaux maillés se comportent autrement

L'idée du maillage est d'une simplicité désarmante. Chaque machine équipée du client Tailscale rejoint le maillage dès qu'elle trouve un accès internet et reçoit une adresse stable dans la plage 100.x.x.x . Où que vous soyez, vos machines semblent partager un même réseau local. Un serveur de coordination orchestre l'ensemble : chaque machine appelle vers l'extérieur, si bien que les pare-feu domestiques gênent rarement. D'après la documentation de Tailscale, les clients consultent la coordination pour résoudre les adresses puis tentent un tunnel direct de pair à pair. Ces connexions sortantes changent tout derrière une traduction d'adresses.

Quand le tunnel direct échoue, le système bascule vers des serveurs relais nommés DERP. Cela semble inquiétant, mais le risque est nul car le trafic voyage chiffré de bout en bout sous le protocole WireGuard ; les relais ne font que transmettre des paquets scellés. D'après la documentation de Tailscale, près de quatre-vingt-dix pour cent des installations domestiques typiques se connectent directement sans relais. La couche de chiffrement s'installe seule, sans exiger de l'utilisateur la maîtrise des détails. Même relayé, le trafic reste illisible pour tout intermédiaire.

Le vrai débat sur la vie privée se joue à la connexion. Tailscale ne conserve aucun mot de passe ; l'identité vient de Google, Microsoft, Apple, GitHub ou d'un fournisseur OpenID. Aucune base de mots de passe à voler, certes, mais votre identité s'attache alors à un géant du secteur. Gêné par ce compromis, l'animateur a essayé d'exploiter lui-même le projet libre Headscale sur son propre serveur, avant en conclure que l'installation restait instable et exigeante. Le dépôt Headscale sur GitHub documente le câblage OpenID en détail, mais la charge de maintenance ne doit pas être sous-estimée. L'animateur garde finalement son compte GitHub existant comme le moindre mal et précise qu'il revoit à peine un écran d'identification après l'installation.

L'offre gratuite et l'entreprise derrière

L'offre gratuite se montre généreuse : un seul utilisateur peut rattacher jusqu'à 100 machines à son maillage et partager l'accès avec deux utilisateurs supplémentaires via des liens. Cette échelle couvre largement même un petit parc professionnel. Quand plusieurs personnes doivent administrer un maillage sous leur propre identité, les formules payantes prennent le relais, de 6 dollars par utilisateur et par mois jusqu'à 18 dollars pour l'usage en entreprise. D'après XDA-Developers, le partage du forfait personnel simplifie nettement la mise en commun d'un laboratoire domestique entre amis. D'après SiliconAngle, la société a levé 160 millions de dollars en avril 2025 pour une valorisation de 1,5 milliard de dollars. L'animateur lit cette ascension rapide, peu après une fondation datant des années de pandémie, à la lumière de cette générosité.

L'installation tient vraiment en quelques gestes. Sous Linux, une seule commande collée installe le client, une seconde l'active, et le lien affiché se termine dans le navigateur. Vers une machine lointaine jointe en SSH, ouvrir ce lien sur votre poste local produit le même effet. Sous Windows, on télécharge l'installateur après identification ; sous Android, l'application du magasin suffit. Une fois enrôlées, toutes les machines apparaissent dans le panneau Tailscale avec leurs adresses stables. Des systèmes d'exploitation différents se retrouvent sur le même maillage ; Ubuntu, Pop OS, Proxmox, Windows et Android cohabitent. Joindre l'une de ces machines ne demande rien de plus que son adresse.

Pour le contrôle complet du bureau, l'animateur recommande RustDesk. SSH et les outils de transfert satisfont les usagers de Linux, mais une expérience de bureau fluide entre systèmes d'exploitation mélangés réclame un client commun. RustDesk comble ce vide avec ses versions Windows, Linux et mobiles ; serveur et client forment la même application. D'après la documentation de RustDesk, l'activation d'un mot de passe permanent avec accès IP direct rend les connexions rapides et stables. D'après le journal DavidWinter, exploiter RustDesk via Tailscale maintient une faible latence avec une fluidité agréable en 1080p. Enregistrer l'identifiant de la machine avec son mot de passe dispense de tout mémo.

Usages avancés et nuage personnel

Le gain avancé pèse encore plus lourd. Une fois les hyperviseurs Proxmox et les machines en nuage rattachés au maillage, toutes les portes exposées pour SSH, les panneaux d'administration et les interfaces d'hyperviseur peuvent se fermer. Tout ressemble à un unique réseau local, si bien que le plan de sécurité se simplifie radicalement ; une seule porte gardée pour une adresse de secours suffit. Atteindre un boîtier de sauvegarde domestique sans toucher au nuage du fournisseur prolonge naturellement le même maillage. Le maillage reste toujours actif, sans interrupteur à manipuler ; tant que vos machines tournent, votre nuage personnel tourne.