Comment fonctionne Tailscale : la connexion directe entre appareils

Un VPN classique est en étoile : tous les appareils se connectent à un même serveur VPN, et quand deux appareils communiquent, le trafic va jusqu'au serveur puis revient. Le serveur est à la fois un goulot d'étranglement et un point de défaillance unique : s'il ralentit, tout le monde ralentit ; s'il tombe, tout le monde est coupé.

Tailscale est maillé (mesh) : chaque paire d'appareils a son propre tunnel direct. Quand votre téléphone accède au NAS de la maison, le trafic va directement du téléphone au NAS, par le chemin le plus court entre les deux. Aucune machine ne porte tout le trafic.

Le prix du maillage, c'est la complexité : dix appareils reliés deux à deux, cela fait quarante-cinq tunnels, et chacun exige un échange de clés et la connaissance de l'adresse actuelle de l'autre. Impossible à maintenir à la main : tout le travail de Tailscale consiste à automatiser cela.

Une fois Tailscale installé, chaque appareil génère sa propre paire de clés. La clé privée ne quitte jamais l'appareil ; la clé publique est confiée au serveur de contrôle (Tailscale l'appelle coordination server). Quand vous vous connectez à votre compte, le serveur de contrôle sait « à qui appartient cet appareil ».

Le serveur de contrôle tient une table : la clé publique de chaque appareil, l'adresse privée qui lui est attribuée, l'adresse réseau où on peut le joindre actuellement, et les règles d'accès qui disent qui peut joindre qui. Il envoie à votre appareil les lignes auxquelles vous avez droit. Dès qu'un appareil se connecte, se déconnecte ou change de réseau, la table est mise à jour et repoussée aux appareils concernés.

Le serveur de contrôle ne relaie pas votre trafic et n'a pas les clés privées : il ne peut donc pas déchiffrer ce que les appareils s'échangent. C'est un accueil qui distribue l'annuaire et les badges : il vous dit où est l'autre et si vous pouvez entrer, mais n'assiste pas à ce qui se dit ensuite.

La connexion passe par un système de comptes que vous avez déjà (authentification unique, ou SSO), pas par un mot de passe VPN à part ; les clés des appareils expirent régulièrement et demandent une nouvelle connexion, et un appareil perdu supprimé dans la console perd tout accès.

Ce qui transporte réellement les données, c'est WireGuard. Dès qu'un appareil a la clé publique d'un autre, il peut établir un tunnel chiffré avec lui ; chaque extrémité reconnaît la clé publique de l'autre, et personne entre les deux ne peut lire ni modifier le contenu.

Tailscale ne touche pas à la partie chiffrement de WireGuard ; il s'occupe de ce que WireGuard ne gère pas : comment distribuer les clés, comment attribuer les adresses, comment des appareils qui changent de réseau se retrouvent. Pour le fonctionnement de WireGuard, voir WireGuard en détail.

Chaque appareil a dans ce réseau une adresse privée fixe (dans la plage qui commence par 100). Qu'il soit sur la box de la maison, le réseau du bureau ou les données mobiles, cette adresse ne change pas : vous pouvez toujours joindre le NAS de la maison à la même adresse. Avec MagicDNS, vous pouvez même utiliser directement le nom de l'appareil.

L'ordinateur de la maison n'a pas d'adresse publique : pour sortir, il passe par la traduction d'adresses (NAT) du routeur. Le routeur ne laisse passer que les connexions « lancées de l'intérieur » et bloque tout ce qui frappe de l'extérieur. Si deux appareils sont chacun derrière leur routeur, aucun ne peut ouvrir la porte de l'autre en premier : c'est toute la difficulté d'une connexion de pair à pair.

Tailscale procède en trois temps. D'abord, chaque appareil demande à un serveur public « depuis quelle adresse et quel port tu me vois arriver ? », et apprend ainsi à quoi il ressemble vu de l'extérieur de son routeur (ce type de service s'appelle STUN). Ensuite, les deux appareils s'échangent cette adresse externe via le serveur de contrôle. Enfin, les deux envoient en même temps des paquets vers l'adresse externe de l'autre : chaque routeur voit un envoi « lancé de l'intérieur » et ouvre un passage pour le retour, et les paquets de l'autre côté entrent justement par ce passage. La connexion est établie. C'est ce qu'on appelle le « hole punching ».

Le hole punching passe par UDP. La plupart des routeurs domestiques le permettent ; mais certains réseaux appliquent une traduction d'adresses très stricte (un nouveau port externe pour chaque nouvelle destination), ou bloquent carrément UDP, et là ça ne passe pas.

Le hole punching ne réussit pas à tous les coups, alors Tailscale dispose d'un ensemble de serveurs relais appelés DERP. Si deux appareils n'arrivent pas à se joindre, ils se connectent tous deux au même DERP, qui transmet les paquets chiffrés de l'un à l'autre. DERP passe par HTTPS (TCP 443), que presque tous les réseaux laissent passer.

Le relais transmet des paquets déjà chiffrés par WireGuard ; DERP n'a pas les clés et ne voit que « qui envoie à qui, et quelle taille », jamais le contenu.

Une connexion commence toujours par le relais : dès qu'ils sont en ligne, les deux appareils se parlent via DERP, ce qui garantit une connexion immédiate ; en arrière-plan, ils tentent le hole punching et, dès que la connexion directe réussit, ils basculent discrètement dessus, sans coupure. Une latence un peu plus élevée les premières secondes, qui baisse ensuite, est donc normale.

Si la connexion reste sur le relais, la vitesse et la latence dépendent de la distance et de la charge de ce relais ; c'est généralement plus lent qu'en direct. Le client Tailscale indique si la connexion en cours est directe (direct) ou passe par un relais (relay).

• Exit node (nœud de sortie) : une fois un appareil désigné comme sortie, tout le trafic internet de vos autres appareils lui est d'abord envoyé chiffré, puis sort par son réseau. Le résultat est le même qu'avec un VPN classique : vu de l'extérieur, c'est l'adresse de l'exit node qui apparaît. Ce peut être votre propre ordinateur à la maison ou un serveur fourni par un prestataire.
• Subnet router (routeur de sous-réseau) : un appareil équipé de Tailscale sert d'intermédiaire pour tout son réseau local. Imprimantes, caméras, vieux NAS sur lesquels on ne peut pas installer Tailscale deviennent ainsi joignables.
• Contrôle d'accès (ACL) : par défaut, tous vos appareils peuvent se joindre ; en équipe, on peut écrire des règles qui fixent quelles personnes et quels appareils accèdent à quels ports. Les règles sont envoyées par le serveur de contrôle et appliquées par chaque appareil.
• MagicDNS : chaque appareil reçoit un nom, plus besoin de retenir des adresses en 100.

• Avec WireGuard : WireGuard est un protocole de tunnel ; il ne gère que le chiffrement entre deux extrémités, et vous devez configurer à la main les clés et l'adresse de l'autre côté. Tailscale est un système complet construit dessus, qui s'occupe à votre place de la connexion au compte, de la distribution des clés, de l'attribution des adresses, de la traversée de NAT et du relais.
• Avec un service VPN classique : un VPN classique envoie « tout le trafic vers un serveur », l'objectif étant de changer de sortie ; Tailscale vise d'abord à « faire communiquer les appareils entre eux », et changer de sortie n'est qu'une fonction annexe (l'exit node).
• Avec les outils d'exposition de réseau local (frp, Oray Peanut Hull, etc.) : ils exposent un port du réseau local sur internet, joignable par quiconque connaît l'adresse, la sécurité reposant sur le service lui-même ; Tailscale n'expose aucun port, seuls vos appareils connectés à votre compte peuvent entrer.
• Avec ZeroTier : même idée, un réseau qui se monte tout seul ; ZeroTier utilise son propre protocole et simule un réseau de couche 2, Tailscale utilise WireGuard et travaille en couche 3.

Le client Tailscale est open source ; le serveur de contrôle est un service exploité par l'entreprise. Headscale est un serveur de contrôle open source écrit par la communauté, qui implémente le même protocole : le client officiel peut s'y connecter à la place. Liste des appareils, annuaire des clés et règles d'accès restent alors entre vos mains.

C'est à cela que sert l'option du client « Use custom server / Use an alternate server » (utiliser un serveur de contrôle personnalisé) : indiquez une adresse, et le client se connecte à ce serveur plutôt qu'à ceux de Tailscale.

Avec un serveur à part, la façon de se connecter, le nombre d'appareils autorisés et les exit nodes disponibles sont décidés par l'exploitant de ce serveur, indépendamment de l'offre gratuite et des formules payantes officielles de Tailscale.

• Le hole punching repose sur UDP. En Chine, beaucoup de connexions brident UDP, et le NAT à grande échelle des opérateurs (plusieurs couches de traduction d'adresses) le rend encore plus difficile : on passe plus souvent par un relais qu'à l'étranger.
• Via un relais, la vitesse dépend de l'emplacement du relais. S'il est loin, la latence grimpe : c'est la principale raison pour laquelle l'expérience de Tailscale en Chine varie autant.
• Les paquets WireGuard ont un format fixe, sans camouflage : sur un réseau très contrôlé, ils peuvent être repérés et bridés. C'est un outil pour relier des appareils, pas conçu pour contourner la censure.
• Le laisser activé en permanence sur un téléphone ne pose pas de problème : sans trafic, le tunnel ne consomme presque rien, et la connexion se rétablit d'elle-même quand vous passez du Wi‑Fi aux données mobiles.

La rubrique « Privé » de LeoTun utilise le client officiel Tailscale, connecté à un serveur de contrôle que nous exploitons nous-mêmes : vous vous connectez une fois avec votre compte du site et l'appareil reste en ligne ; nous fournissons des exit nodes dans chaque région, il suffit d'en choisir une dans le menu Exit Node du client pour changer de sortie, sans réimporter de configuration ; téléphones, ordinateurs et NAS d'un même compte se joignent directement.

Comme vous vous connectez à notre serveur de contrôle, le nombre d'appareils dépend de la formule de votre compte chez nous, et non du compte ou des quotas officiels Tailscale ; si l'appareil est déjà connecté à un compte Tailscale officiel, déconnectez-vous d'abord, puis connectez-vous avec le nôtre. Les étapes d'installation et de connexion illustrées sont dans Privé (Tailscale) : qu'est-ce que c'est, et l'accès se fait depuis la page Privé.

Si votre réseau bride UDP et que Privé est lent ou instable, le même compte peut passer à une autre méthode de connexion : voir Quelle méthode de connexion pour quelle situation.