Problème
Un service hébergé chez soi, serveur de photos, médiathèque ou cloud personnel, était joignable depuis l'extérieur et ne l'est plus. Depuis la maison tout fonctionne, ce qui rend le diagnostic trompeur : on cherche la panne dans le service, alors qu'il va très bien. Le problème se situe presque toujours entre Internet et le logement.
Solution recommandée
Trier avant de réparer. Vérifier d'abord que le service tourne et qu'il répond depuis le réseau local : si oui aux deux, écarter définitivement le service et ne chercher qu'entre Internet et la maison. Passer ensuite les quatre causes dans l'ordre de fréquence : l'adresse publique a changé, le fournisseur d'accès n'accepte pas les connexions entrantes, la redirection de port a sauté au dernier redémarrage de la box, le certificat a expiré. Chacune a un symptôme distinct, et une seule vérification suffit à l'écarter.
Matériel & outils
Un accès à la machine qui héberge le service, l'interface d'administration de la box, un téléphone en données mobiles pour tester depuis l'extérieur, un navigateur, un terminal
Étapes
1. Tester depuis un vrai extérieur, jamais depuis le Wi-Fi de la maison : couper le Wi-Fi du téléphone et passer en données mobiles. Depuis le réseau local, beaucoup de box renvoient la demande à l'intérieur toutes seules, ce qui donne un faux succès ou un faux échec selon les modèles 2. Vérifier que le service tourne, sur la machine qui l'héberge, avec systemctl status suivi du nom du service, par exemple systemctl status jellyfin. S'il est arrêté, la panne n'a rien à voir avec l'extérieur et se règle là 3. Vérifier qu'il répond depuis le réseau local, depuis un autre appareil de la maison, en ouvrant son adresse privée et son port dans un navigateur, par exemple http://192.168.1.50:8096. Ces deux réponses positives ferment le dossier du service : tout ce qui suit concerne le chemin, pas le logiciel 4. Première cause, l'adresse publique a changé. La plupart des abonnements reçoivent une nouvelle adresse au redémarrage de la box. Relever l'adresse publique actuelle dans l'interface de la box, section Internet, puis comparer avec ce vers quoi pointe votre nom de domaine en tapant nslookup suivi de ce nom, qui interroge l'annuaire du réseau, celui qui traduit un nom de site en une adresse numérique joignable. Deux valeurs différentes : votre nom pointe dans le vide, il faut corriger l'enregistrement chez votre hébergeur de nom, et surtout vérifier que le service de mise à jour automatique de cette adresse tourne toujours sur la machine 5. Deuxième cause, le fournisseur d'accès n'accepte pas l'entrée. Regarder l'adresse publique affichée par la box : si elle commence par 100.64 à 100.127, ou si elle est en 10, en 172.16 ou en 192.168, votre abonnement partage une même adresse publique entre plusieurs clients. Aucune redirection de port ne fonctionnera jamais dans cette configuration, quelle que soit la manipulation tentée, et ce cas devient courant. Demander une adresse publique dédiée au fournisseur, souvent accordée sans supplément depuis l'espace client, ou passer directement au tunnel privé de l'étape 12 6. Confirmer ce point par une seconde mesure : comparer l'adresse affichée par la box avec celle que renvoie un site du type quelle est mon adresse. Si les deux diffèrent, la confirmation est faite, une machine du fournisseur se trouve devant votre box 7. Troisième cause, la redirection de port a sauté. Ouvrir l'interface de la box, section redirections de ports, et vérifier que la règle existe toujours : certaines box les perdent après une mise à jour de leur logiciel interne ou un redémarrage prolongé 8. Si la règle est là, vérifier qu'elle pointe encore sur la bonne machine. Après une coupure de courant, le serveur peut avoir reçu une autre adresse privée, et la règle désigne alors une machine qui n'existe plus. Relever l'adresse actuelle du serveur avec ip a, la comparer à celle de la règle, puis fixer cette adresse depuis la box, dans la liste des appareils connus, pour que la panne ne revienne pas 9. Vérifier au passage que le service écoute bien sur le port redirigé, avec ss -tlnp sur la machine : une mise à jour change parfois le port par défaut d'un service 10. Quatrième cause, le certificat a expiré. Le symptôme est différent des trois premières : la page s'ouvre, mais le navigateur affiche un avertissement de sécurité au lieu du service. Relever la date de fin de validité en cliquant sur le cadenas du navigateur, ou en ligne de commande avec openssl s_client -connect monservice.mondomaine.fr:443 puis openssl x509 -noout -dates 11. Si le certificat est expiré, relancer le renouvellement, avec sudo certbot renew pour la chaîne la plus répandue. Un renouvellement automatique échoue le plus souvent parce que sa vérification passe par le port 80 et que la redirection de ce port a disparu : la troisième cause et la quatrième vont donc souvent ensemble 12. Si le service reste injoignable après tout cela, ou si l'étape 5 a révélé une adresse partagée, cesser de chercher à ouvrir l'accès et passer par un tunnel privé, un réseau privé virtuel par lequel votre téléphone rejoint le réseau de la maison comme s'il y était branché. Il fonctionne sans redirection de port, y compris sur une adresse partagée, et n'expose plus rien à Internet. Le cours d'auto-hébergement explique pourquoi c'est la voie à préférer, et pas seulement un secours
Coût estimé
0 € dans tous les cas décrits. Compter le renouvellement du nom de domaine s'il a expiré, de l'ordre de 10 à 15 € par an, et parfois un supplément d'abonnement chez les fournisseurs qui facturent l'adresse publique dédiée.
Limites
Ne remplace pas le raisonnement sur l'exposition elle-même : cette fiche répare un accès qui fonctionnait, elle n'explique pas comment en ouvrir un, ni s'il faut le faire. Le cours d'auto-hébergement porte cette question, et la réponse n'est pas toujours oui. Ne couvre pas un service compromis, un disque en panne ni une réinstallation. Ne traite pas non plus une panne réelle de la ligne du fournisseur, où plus rien ne sort ni n'entre.
Erreurs fréquentes
Tester depuis le Wi-Fi de la maison et conclure sur le résultat, alors que certaines box renvoient la demande à l'intérieur toutes seules. Redémarrer la box pour régler le problème, ce qui change l'adresse publique et ajoute une cause aux autres. Refaire la redirection de port dix fois sur une adresse partagée entre abonnés, où elle ne fonctionnera jamais. Confondre l'avertissement de certificat, où la page s'ouvre, avec l'injoignabilité complète, où rien ne répond : ce ne sont pas les mêmes causes. Chercher la panne dans le service alors qu'il répond parfaitement sur le réseau local. Ouvrir d'autres ports au fil des essais, et les laisser ouverts une fois le problème réglé.
Alternatives
Le tunnel privé comme réglage permanent plutôt que comme secours : rien n'est exposé, le nom de domaine et le certificat deviennent inutiles, et l'adresse publique peut changer sans conséquence. Un service de tunnel sortant hébergé par un tiers, où c'est la machine de la maison qui établit la connexion vers l'extérieur, fonctionne également derrière une adresse partagée, au prix d'une dépendance à ce tiers. Pour un besoin limité à quelques fichiers, renoncer à l'accès distant et laisser la synchronisation rattraper son retard au retour à la maison reste l'option la plus sûre.
Besoin d'un accompagnement personnalisé ?
Cours 1:1, conseil de solution, ou simplement une question précise - contacte-moi directement.