Accéder à ses services de l'extérieur par un tunnel privé

Vos photos tournent sur un serveur à la maison, votre médiathèque aussi. Depuis le canapé, tout marche. Depuis le train, rien : votre box protège la maison en refusant tout ce qui vient d'Internet, et c'est très bien ainsi.

Le cours Héberger ses services chez soi compare les trois façons d'y accéder de l'extérieur et recommande la deuxième : le tunnel privé. Ce guide la met en place.

Vérifié sur la documentation de Tailscale en octobre 2026. Les offres gratuites et les applications changent : relisez les conditions avant de vous engager.

Le principe en trois lignes

Un tunnel privé relie vos appareils entre eux par un réseau chiffré, comme s'ils étaient tous à la maison, où qu'ils soient. Seuls vos appareils, munis du logiciel et connectés à votre compte, peuvent y entrer. La box n'ouvre aucun port : pour le reste d'Internet, votre serveur n'existe pas.

flowchart LR
    subgraph Sans tunnel
        T1["Téléphone en 4G"] -- "refusé par la box" --x B1["Box"]
        B1 --- S1["Serveur"]
    end
    subgraph Avec tunnel
        T2["Téléphone en 4G<br/>application du tunnel"] == "réseau privé chiffré" ==> S2["Serveur<br/>logiciel du tunnel"]
        B2["Box : aucun port ouvert"] --- S2
    end

Deux familles, un critère

• Un réseau privé géré par un service, comme Tailscale. On installe une application sur chaque appareil, on se connecte au même compte, et c'est fini. Le service aide vos appareils à se trouver, mais vos données circulent chiffrées directement entre eux. En contrepartie, vous dépendez de ce service et de ses conditions.
• WireGuard auto-hébergé, le protocole sur lequel reposent la plupart de ces services, installé par vous-même. Aucun tiers. Mais il faut ouvrir un port sur la box, gérer soi-même les clés de chaque appareil, et compter une soirée de réglages. Certaines box proposent un serveur WireGuard intégré, ce qui simplifie beaucoup.

Le critère : si vous débutez, ou si des proches doivent s'en servir, prenez le réseau géré. Si refuser tout service tiers est un principe pour vous, et que vous êtes à l'aise avec un terminal, prenez WireGuard. Ce guide détaille le réseau géré, avec Tailscale, parce que c'est le plus accessible.

Les conditions à connaître. L'offre gratuite de Tailscale (Personal) est réservée à un usage non commercial. Elle accepte jusqu'à 6 utilisateurs et un nombre illimité d'appareils personnels, ce qui couvre largement un foyer. Si ces conditions changent, le réseau peut cesser de fonctionner du jour au lendemain : gardez en tête l'alternative WireGuard.

Étape 1 : créer le compte

Créez un compte sur le site de Tailscale, en vous connectant avec un compte existant (Google, Microsoft, Apple, GitHub…). Protégez ce compte par la double authentification : c'est désormais la clé de votre maison. Le guide Activer la double authentification montre comment.

Étape 2 : installer sur le serveur

Sur le serveur, par exemple un Raspberry Pi préparé avec le guide Mettre en service un Raspberry Pi comme petit serveur, connectez-vous en SSH et installez le logiciel :

curl -fsSL https://tailscale.com/install.sh | sh

Puis rattachez le serveur à votre réseau :

sudo tailscale up

La commande affiche une adresse web. Ouvrez-la sur votre ordinateur et connectez-vous au compte : le serveur rejoint votre réseau. Pour connaître son adresse dans le tunnel :

tailscale ip

Notez l'adresse qui commence par 100. C'est par elle que vous joindrez le serveur depuis l'extérieur.

Étape 3 : installer sur le téléphone et l'ordinateur

Installez l'application Tailscale sur votre téléphone et votre ordinateur, depuis la boutique d'applications habituelle, et connectez-vous au même compte. Chaque appareil apparaît dans la liste des machines de votre réseau.

Étape 4 : ouvrir un service par le tunnel

Sur le téléphone, coupez le Wi-Fi pour être en 4G ou 5G, comme si vous étiez dehors. Activez le tunnel dans l'application, puis ouvrez le navigateur sur l'adresse du serveur, suivie du port du service. Par exemple, pour une médiathèque Jellyfin sur son port habituel : l'adresse en 100, deux-points, 8096.

Avec l'option qui donne un nom à chaque machine (appelée MagicDNS), vous pouvez utiliser le nom du serveur au lieu de son adresse en chiffres.

Dans les applications dédiées (Jellyfin, Immich, Nextcloud, Home Assistant), indiquez cette même adresse comme adresse du serveur. Elle fonctionne aussi à la maison, tunnel activé : une seule adresse partout.

Étape 5 : la preuve que rien n'est exposé

C'est l'étape qui distingue un accès sûr d'un accès qui a l'air de marcher :

1. Tunnel désactivé, toujours en 4G : le service ne doit pas répondre. S'il répond, c'est qu'un port est ouvert quelque part.
2. Ouvrez l'interface de la box, rubrique des redirections de ports (ou « NAT », « règles de transfert ») : la liste doit être vide pour ce serveur. Supprimez toute règle laissée par un essai précédent.
3. Tunnel réactivé : le service répond de nouveau.

Si les trois points passent, votre serveur est joignable par vous, et invisible pour le reste d'Internet.

Partager l'accès avec un proche

Pour qu'un parent consulte les photos de famille, inutile de lui donner votre compte. Depuis la console d'administration, vous pouvez partager une seule machine par une invitation. La personne la voit apparaître dans son propre réseau, et n'accède à rien d'autre de chez vous. Elle doit avoir installé l'application et créé son compte.

Le HTTPS : utile, mais pas anodin

Certains services, comme un gestionnaire de mots de passe, exigent une connexion chiffrée de bout en bout (HTTPS) avec un certificat valide. Tailscale peut en obtenir un pour chaque machine, avec un nom du type serveur.nom-du-reseau.ts.net. Deux choses à savoir avant d'activer l'option :

• les noms de vos machines deviennent publics : tout certificat est inscrit dans un registre public de transparence. N'utilisez pas de nom qui révèle quoi que ce soit (pas de nom de famille, pas d'adresse) ;
• un certificat obtenu à la main expire au bout de 90 jours et doit être renouvelé.

Pour la plupart des services d'une maison, le tunnel chiffre déjà tout le trajet, et ce n'est pas nécessaire.

Erreurs fréquentes

• Garder une redirection de port « en secours ». Elle annule tout le bénéfice du tunnel. Le contrôle de l'étape 5 est là pour ça.
• Tester depuis le Wi-Fi de la maison. Tout marche, tunnel ou pas, et on ne prouve rien. Testez en 4G.
• Laisser le compte du tunnel sans double authentification. Quiconque y entre entre chez vous.
• Donner son propre compte à un proche au lieu de partager une machine.
• Activer le HTTPS avec un nom de machine parlant, qui se retrouve dans un registre public.

À retenir

• Le tunnel privé rend vos services joignables par vous seuls, sans ouvrir aucun port.
• Réseau géré pour la simplicité, WireGuard auto-hébergé pour se passer de tiers.
• La preuve : tunnel coupé en 4G, le service ne répond pas, et la box n'a aucune redirection.
• Partager une machine plutôt que son compte.

Mini-exercice

Installez le tunnel sur votre serveur et votre téléphone. En 4G, ouvrez un de vos services avec le tunnel activé, puis désactivé : notez les deux résultats. Ensuite, ouvrez la page des redirections de ports de votre box et vérifiez qu'elle est vide.