Tu as plus d’un Mac. Un fixe à la maison, un portable qui bouge, peut-être un vieux Mac recyclé en serveur de fichiers, ou encore un Mac mini dédié pour un LLM souverain (lire l’article).

Ce LLM, tu veux pouvoir l’interroger où que tu sois, et quel que soit le Mac sur lequel tu te trouves.

Et tes dossiers, idem. Parce que pour le moment, sans iCloud, à chaque fois que tu veux passer un dossier de l’un à l’autre, c’est la même comédie : AirDrop qui fait la sourde oreille, une clé USB qu’on ne retrouve pas, ou un partage réseau qui marchait la semaine dernière et plus aujourd’hui.

Il existe une façon propre de régler ça une fois pour toutes. Tu mets toutes tes machines sur un même réseau privé, un mesh, chiffré de bout en bout par un protocole béton, le WireGuard, où chaque Mac peut joindre les autres directement, qu’ils soient dans la même pièce, à l’autre bout du pays ou sur un autre continent.

Le tout en un quart d’heure, sans ouvrir un seul port, sans toucher aux réglages de ta box et sans terminal. Avoue, t’es bluffé, non ?

Cet outil s’appelle Tailscale, et voici comment on monte le réseau.

Un mesh VPN, c’est quoi au juste

Le mot VPN, tu le connais déjà. Un VPN classique, c’est un tunnel : ton Mac se connecte à un serveur distant, et tout ton trafic passe par ce serveur. C’est parfait pour cacher ta navigation ou débloquer un catalogue à l’étranger. Mais ça ne relie pas tes machines entre elles.

À lire : Pourquoi tu as besoin d’un VPN et comment le choisir

Un mesh VPN, c’est l’idée inverse. Au lieu de tout faire transiter par un serveur central, chaque machine parle directement à chaque autre, en ligne droite, dans un tunnel chiffré individuel. Tes cinq Macs forment une toile où chacun est relié à tous les autres. C’est de là que vient le mot mesh, le maillage.

Concrètement, c’est comme si tes machines étaient toutes branchées sur le même switch réseau, dans la même pièce, avec des câbles invisibles et chiffrés. Sauf qu’elles peuvent être chez toi, à l’autre bout du pays et dans un placard à la cave (faut un câble quand même hein !), ça marche pareil.

Sous le capot, Tailscale s’appuie sur WireGuard, un protocole de tunnel chiffré moderne, assez compact pour être audité de fond en comble et intégré directement au cœur de Linux. Mullvad, Proton VPN et pas mal d’autres l’ont adopté, ce n’est pas un gadget maison.

Tu n’as pas à le configurer, Tailscale s’en charge. Ton boulot à toi, c’est de cliquer sur « Se connecter » sur chaque machine. Le sale travail réseau, la traversée des box et des pare-feux, c’est lui qui l’encaisse.

Une chose à poser tout de suite : les applications Tailscale qui vont tourner sur tes machines sont open source et auditées. En revanche, le service se pilote depuis une console web tenue par la société Tailscale, sous juridiction US. On y reviendra en toute fin d’article, parce que ça a son importance pour la suite de la série.

Ce qu’il te faut

Trois choses, et tu les as sans doute déjà.

Au moins deux machines. Deux Macs, ou un Mac et un iPhone, ou dix appareils, peu importe. Le principe est le même à partir de deux.

Un compte pour t’identifier. L’inscription à Tailscale passe par un fournisseur d’identité existant, Apple, Google, GitHub ou Microsoft. Pour rester dans l’esprit maison, tu peux tout à fait choisir « Se connecter avec Apple ». Pas de nouveau mot de passe à retenir.

Un quart d’heure. La majeure partie sera passée à regarder deux téléchargements se terminer. Le reste, c’est des clics.

Note au passage : ce guide parle de Mac, mais l’app existe aussi sur iPhone et iPad. Une fois le réseau monté, ajouter ton téléphone à la même toile prend trente secondes. Pratique pour la famille.

Installer Tailscale sur ton premier Mac

Commence par la machine devant laquelle tu es assis.

Tu as deux façons de récupérer l’app. La plus simple, l’App Store : cherche « Tailscale », installe, comme n’importe quelle app. La seconde, le site officiel, qui te donne une version un peu plus complète côté fonctions avancées. Pour un premier réseau entre tes Macs, la version App Store suffit largement. On notera la différence plus bas, quand elle comptera.

Une fois l’app installée, lance-la. Elle se loge dans la barre de menus, en haut à droite de ton écran, à côté de l’horloge. Clique sur son icône, puis sur « Log in ». Ton navigateur s’ouvre sur la page de connexion Tailscale. Tu choisis ton fournisseur d’identité, tu valides, et c’est fait.

De retour dans la barre de menus, l’icône Tailscale s’anime puis se stabilise. Ta première machine vient de rejoindre son réseau privé, que Tailscale appelle un tailnet. Pour l’instant, elle est toute seule dessus. On va lui trouver de la compagnie.

Si tu préfères tout piloter au clavier, l’app existe aussi via Homebrew avec brew install tailscale. Mais pour un premier montage, l’app graphique est plus parlante. Reste sur elle.

Ajouter les autres Macs au tailnet

Répète l’opération sur ta deuxième machine.

Installe l’app, lance-la, connecte-toi. Point crucial : connecte-toi avec le même compte que sur le premier Mac. C’est ce compte qui définit ton tailnet. Deux machines connectées avec le même identifiant se retrouvent automatiquement sur le même réseau, et se voient l’une l’autre. Rien d’autre à configurer.

Recommence pour chaque Mac que tu veux ajouter. Le Mac du salon, le portable, le vieux serveur dans le placard. Chacun rejoint la toile dès qu’il se connecte avec ton compte.

Pour vérifier que tout ce petit monde s’est bien réuni, ouvre la console d’administration sur Tailscale. Tu y trouves la liste de toutes tes machines, avec leur nom, leur adresse sur le tailnet, et un point vert quand elles sont en ligne. C’est ton tableau de bord. C’est aussi là que tu virerais un appareil que tu ne reconnais pas, en un clic.

À ce stade, tes Macs sont sur le même réseau privé chiffré. Techniquement, tu pourrais déjà les joindre par leur adresse. Sauf que retenir des adresses réseau par cœur, personne n’a envie de le faire. On va régler ça.

MagicDNS, appeler tes Macs par leur nom

Voici le réglage qui transforme le confort d’usage.

Par défaut, chaque machine du tailnet a une adresse numérique. Fonctionnel, mais illisible. MagicDNS remplace ces numéros par les noms de tes machines. Ton MacBook s’appelle mack-macbook ? Tu le joins en tapant mack-macbook, tout simplement. Ton serveur du placard s’appelle mack-mini ? Pareil.

Bonne nouvelle, sur un tailnet monté aujourd’hui, MagicDNS est déjà activé par défaut. Tu n’as rien à faire, sinon jeter un œil dans la console d’administration, onglet DNS, pour confirmer qu’il est bien vert. Chaque machine du tailnet est joignable par son nom, depuis n’importe quelle autre, où qu’elle soit.

Le nom de chaque machine est repris de son nom système, ce qui donne parfois des noms à rallonge, du genre mack-macbook-de-prenom. Tu peux le raccourcir. Dans la console, clique sur une machine, puis sur son nom. Coupe l’interrupteur Auto-generate from OS hostname, tape le nom court que tu veux, et valide. C’est ce nom-là qui te servira à la joindre partout.

Cette résolution de noms reste strictement interne à ton tailnet. Personne d’autre que toi ne peut deviner ni joindre mack-mini. C’est un annuaire privé, qui n’existe que pour tes machines.

Le cas concret, accéder aux fichiers du Mac resté à la maison

Assez de théorie. Voici l’usage qui justifie à lui seul les quinze minutes.

Tu es en déplacement avec ton portable. Le fichier dont tu as besoin est resté sur le Mac de la maison. Tu me diras, iCloud fait déjà ça. Sauf qu’iCloud, ça veut dire copier tes fichiers sur les serveurs d’Apple et ne retrouver que ce que tu y as poussé. Avec Tailscale, tu ouvres le disque du Mac distant en entier, tel quel, comme s’il était branché en USB. Rien ne monte dans un cloud, rien ne quitte tes machines, et tu pioches le fichier depuis ton canapé d’hôtel.

D’abord, sur le Mac de la maison, active le partage de fichiers. Réglages Système, Général, Partage, puis active Partage de fichiers. Tu ne touches à rien d’autre. Surtout pas au routeur, surtout pas à une redirection de port. Le partage écoute, Tailscale s’occupe du chemin.

Ensuite, depuis ton portable, ouvre le Finder. Menu Aller, Se connecter au serveur, ou le raccourci Cmd+K. Tu tapes smb:// suivi du nom MagicDNS de la machine, par exemple smb://mac-maison. Tu valides, tu entres ton identifiant du Mac distant, et son disque s’ouvre dans une fenêtre Finder. Tu glisses ton fichier, exactement comme s’il était en local.

Même logique pour prendre la main sur l’écran d’un autre Mac. Sur le Mac distant, active d’abord le Partage d’écran : Réglages Système, Général, Partage, Partage d’écran. Ensuite, dans la même fenêtre « Se connecter au serveur », tape vnc:// suivi du nom de la machine, et tu contrôles son bureau à distance. Le Mac de tes parents qui rame ? Tu le dépannes depuis chez toi, sans TeamViewer et sans qu’un tiers voie passer la session.

Tout ce trafic circule dans le tunnel chiffré. Rien ne transite par un serveur qui traîne quelque part. C’est ton Mac, ton portable, et une ligne droite chiffrée entre les deux.

Le vrai gain, ne plus rien exposer

Le transfert de fichiers, c’est l’exemple qui parle tout de suite. Mais le meilleur du mesh, c’est ce que tu arrêtes de faire : ouvrir des portes sur Internet.

Avant, pour joindre ton NAS ou ton Mac depuis l’extérieur, il fallait bricoler une redirection de port sur ta box. Autrement dit, planter une porte sur l’Internet public, avec ton adresse écrite dessus. Et cette porte, elle est scannée en boucle, jour et nuit, par des robots qui testent les mots de passe à la chaîne.

Avec Tailscale, il n’y a plus de porte du tout. Tes services écoutent uniquement sur le tailnet, invisibles du reste du monde. Quelqu’un qui scanne ton adresse publique ne voit rien, parce qu’il n’y a rien à voir.

Ça change ce que tu peux te permettre d’héberger chez toi. Un NAS Synology, un Home Assistant, l’admin d’un petit serveur, un site que tu bricoles le week-end : tu les joins par leur nom depuis n’importe où, et ils restent injoignables pour tout le reste du monde.

Tu profites de tes machines à distance sans jamais les mettre en vitrine.

Même les réseaux pourris deviennent inoffensifs. Le WiFi d’un café, d’un aéroport, d’un hôtel, ces endroits où n’importe qui peut renifler ce qui passe. Ton lien vers tes machines reste dans le tunnel chiffré, sur un réseau hostile comme ailleurs.

Ce que tu échanges avec ton tailnet ne fuit pas. Et le jour où un appareil se perd ou se fait voler, tu ouvres la console, un clic, tu le révoques. Il perd l’accès au réseau sur-le-champ, avant même que tu aies fini de paniquer.

Sortir autrement, exit node et DNS no-log

Deux réglages valent le détour si la souveraineté te titille.

Le premier, l’exit node : en l’activant sur une machine, tu fais passer tout le trafic Internet d’un autre appareil par elle. Router ton portable en voyage à travers ton Mac resté à la maison, par exemple, pour naviguer comme si tu y étais.

Le second, dans l’onglet DNS de la console : tu imposes à tout ton tailnet un résolveur qui ne journalise rien, comme Quad9, et tu coupes d’un geste ceux de ton FAI. Tes machines demandent qui est qui à un service no-log, plus à ton opérateur.

Un piège à connaître : ce réglage peut être court-circuité en douce. Si ta box distribue son propre résolveur en IPv6, macOS a tendance à le préférer, et tes requêtes repartent vers ton FAI sans rien te dire.

Le réflexe, une fois ton DNS no-log posé : file sur ipleak.net et vérifie qu’aucun résolveur de ton opérateur ne dépasse. S’il en sort un, coupe l’IPv6 sur ta box, ou déclare aussi ton résolveur en v6. Sinon, tu crois être chez Quad9 alors que tu es toujours chez ton FAI.

Les limites, à savoir avant de te lancer

Tailscale fait le job remarquablement bien, mais il y a des bornes réelles. Autant les connaître.

Le plan gratuit est généreux, pas illimité. Le plan Personal couvre largement un particulier ou une famille : jusqu’à 6 utilisateurs, avec un nombre illimité d’appareils personnels. Tant que tu montes ton propre réseau pour tes machines, tu ne verras jamais le mur.

Ce n’est que si tu veux partager ton tailnet avec toute une tribu, au-delà de six personnes, que tu bascules sur un plan payant. Autre borne du gratuit : il est réservé à l’usage perso. Pour faire tourner une boîte dessus, c’est plan payant.

Ce n’est pas un VPN d’anonymat, du moins pas par défaut. Tailscale chiffre le trafic entre tes machines, mais il ne masque pas ta navigation vers le reste du web.

L’exit node fait sortir ton trafic par une autre machine. Le piège : si cette machine, ton Mac de la maison par exemple, n’a pas de VPN elle-même, ton trafic ressort au grand jour depuis son adresse. Tu sors « depuis chez toi », pas anonymement.

La vraie réponse, c’est l’option Mullvad intégrée à Tailscale : 5 dollars par mois pour cinq appareils, et tu utilises les serveurs Mullvad comme exit nodes, no-log, dans une cinquantaine de pays, sans quitter l’app ni créer de compte à part.

Pourquoi l’add-on plutôt que lancer l’app Mullvad ou Proton VPN à côté ? Parce qu’un VPN classique qui prend la main sur tout ton trafic entre en conflit avec Tailscale et peut carrément couper ton tailnet. L’add-on, lui, cohabite proprement. C’est pour ça que je tourne avec sur mon réseau.

La version App Store est un peu bridée. Pour rester dans le bac à sable d’Apple, la version App Store met de côté quelques fonctions annexes : elle ne sait pas lancer la commande tailscale ssh (il faut passer par le ssh classique), et perd la compatibilité Temps d’écran ainsi que les rapports de configuration complets. L’exit node, lui, fonctionne à l’identique dans les deux versions. Si un jour tu veux ces fonctions, désinstalle et reprends la version du site officiel. Pour le réseau de fichiers décrit ici, aucune différence.

L’identité passe par un tiers. Pas de compte email plus mot de passe maison : tu t’identifies via Apple, Google, GitHub ou Microsoft. C’est plus sûr techniquement, mais ça veut dire qu’un fournisseur externe est dans la boucle de connexion. Choisir Apple limite la casse si ce point te chatouille. Une nuance quand même, Tailscale propose aussi l’option OIDC, brancher ton propre fournisseur d’identité. C’est le fil qu’on tire dans le prochain article.

Et après, couper le cordon du coordinateur

Ton réseau tourne. En quinze minutes, tu as fait ce qui aurait demandé une soirée de config réseau il y a cinq ans.

Reste un détail qui va te turlupiner si tu tiens à ta souveraineté. Le petit serveur qui orchestre tout ça, celui qui présente tes machines les unes aux autres, il est tenu par une société américaine, donc soumis au droit américain, CLOUD Act compris. Washington peut donc lui réclamer ce qu’il détient sur toi, même stocké hors des États-Unis.

La bonne nouvelle, tes fichiers ne fuitent pas par là, le contenu circule chiffré, en direct d’une machine à l’autre, le coordinateur n’a pas les clés. La moins bonne, il voit tout le reste : la liste de tes appareils, leurs noms, qui se connecte à qui et quand. La carte de ton réseau, en somme. Un maillon que tu ne contrôles pas.

Dans le prochain article de la série, on remplace ce maillon par le tien. On monte ton propre serveur de contrôle avec Headscale, la ré-implémentation open source du coordinateur, et là, tout le réseau t’appartient de bout en bout. Une étape de plus vers la maison souveraine.

À lire bientôt : Tailscale souverain, ton propre coordinateur avec Headscale

À lire : Qu’est-ce que la souveraineté digitale en pratique

Des termes techniques dans cet article ? Consulte le glossaire.