Tailscale sur Raspberry Pi : avis et guide pour créer un VPN maison simple

Vous voulez accéder à Home Assistant, Pi-hole, Jellyfin ou un NAS maison sans ouvrir un port sur votre box ? Tailscale transforme un Raspberry Pi en point d’entrée VPN très simple à maintenir. L’idée est séduisante : installer un agent léger, connecter vos appareils à un réseau privé chiffré, puis administrer vos services comme si vous étiez à la maison.

Pour qui : utilisateurs de Raspberry Pi qui veulent accéder à leurs services maison à distance.
Le gros avantage : pas besoin d’ouvrir SSH, Home Assistant ou un NAS sur Internet.
La limite : il faut accepter de passer par un compte Tailscale et une console d’administration externe.

Verdict rapide

Tailscale est l’une des solutions les plus simples pour créer un VPN maison fiable avec un Raspberry Pi. Pour un usage personnel, il est plus accessible qu’une configuration WireGuard manuelle et plus propre qu’une redirection de ports sur la box. Je le recommande surtout si votre objectif est d’accéder à des services locaux sans transformer votre réseau domestique en cible publique.

C’est quoi Tailscale sur Raspberry Pi ?

Tailscale est un réseau privé basé sur WireGuard. Chaque appareil installé dans votre “tailnet” reçoit une adresse privée et peut communiquer avec les autres appareils autorisés. Sur Raspberry Pi, il sert souvent de passerelle vers le réseau local, de machine d’administration SSH ou de compagnon pour Home Assistant, Pi-hole, Jellyfin, Immich, OpenMediaVault et d’autres services auto-hébergés.

Le Raspberry Pi est un bon support parce qu’il reste allumé en permanence, consomme peu et s’intègre facilement dans une installation maison. Avec Raspberry Pi OS Lite, l’agent Tailscale fonctionne en arrière-plan et ne demande presque pas de maintenance une fois configuré.

Pour qui est-ce le plus utile ?

Vous administrez un Raspberry Pi à distance et vous ne voulez pas exposer SSH.
Vous utilisez Home Assistant, Pi-hole, AdGuard Home, Jellyfin, Vaultwarden ou un NAS local.
Vous voulez aider un proche à distance sans configurer une redirection de ports fragile.
Vous avez une connexion derrière CGNAT ou une box qui rend l’accès entrant compliqué.
Vous cherchez une alternative plus simple à WireGuard pur, OpenVPN ou IPsec.

Prérequis recommandés

Un Raspberry Pi 4 ou Raspberry Pi 5 avec Raspberry Pi OS Lite à jour.
Une carte microSD fiable ou, mieux, un SSD USB si la machine héberge plusieurs services.
Un accès SSH local pour l’installation initiale.
Un compte Tailscale.
Une adresse IP locale stable pour le Raspberry Pi si vous comptez l’utiliser comme point d’accès régulier.

Installation rapide sur Raspberry Pi OS

La méthode la plus directe consiste à installer le paquet Tailscale depuis les instructions officielles, puis à authentifier la machine dans votre compte. Exécutez les commandes avec les droits administrateur quand c’est nécessaire. Sur Raspberry Pi OS, le flux ressemble généralement à ceci :

apt update
apt upgrade -y
curl -fsSL https://tailscale.com/install.sh | sh
tailscale up

La dernière commande affiche un lien d’authentification. Ouvrez-le dans votre navigateur, validez l’ajout de l’appareil, puis vérifiez que le Raspberry Pi apparaît dans la console Tailscale. Vous pouvez ensuite le joindre depuis un autre appareil connecté au même tailnet avec son nom MagicDNS ou son adresse Tailscale.

Transformer le Raspberry Pi en accès au réseau local

Le cas le plus intéressant est le “subnet router”. Il permet à un ordinateur portable ou un smartphone connecté à Tailscale d’accéder à d’autres machines du réseau local, même si Tailscale n’est pas installé dessus. Exemple : une interface Home Assistant, un NAS, une imprimante ou un tableau de bord Proxmox.

La logique consiste à activer le transfert IP sur le Raspberry Pi, à annoncer le sous-réseau local, puis à approuver cette route dans la console Tailscale. Il faut adapter l’exemple à votre réseau, par exemple 192.168.1.0/24 ou 192.168.0.0/24.

tailscale up --advertise-routes=192.168.1.0/24

Après validation dans l’interface Tailscale, testez depuis un appareil externe en 4G ou sur un autre Wi-Fi. Si tout est correct, vous devriez joindre les services locaux sans ouvrir de port sur la box.

Tableau comparatif

Solution	Simplicité	Contrôle	Usage idéal
Tailscale	Très élevée	Bon	VPN maison rapide, accès multi-appareils, réseau derrière CGNAT
WireGuard manuel	Moyenne	Excellent	Utilisateurs avancés qui veulent tout gérer eux-mêmes
OpenVPN	Moyenne	Bon	Environnements plus anciens ou compatibilité spécifique
Redirection de ports	Facile au départ	Risque élevé	À éviter pour SSH et tableaux de bord sensibles

Points forts

Installation très rapide sur Raspberry Pi OS.
Pas de port à ouvrir sur la box dans la majorité des cas.
Fonctionne bien pour administrer SSH, Home Assistant, Pi-hole ou un NAS maison.
MagicDNS simplifie l’accès aux machines par nom.
Bonne option pour les connexions avec CGNAT ou IP dynamique.

Limites à connaître

Dépendance à un compte Tailscale et à sa console de coordination.
Le mode subnet router demande de comprendre le plan d’adressage du réseau local.
Les performances dépendent du modèle de Raspberry Pi, du Wi-Fi ou de l’Ethernet et du trajet réseau.
Ce n’est pas une excuse pour négliger les mises à jour et la sécurité des services internes.
Pour une infrastructure professionnelle sensible, une architecture réseau dédiée reste préférable.

Bonnes pratiques de sécurité

Activez l’authentification forte sur le compte Tailscale.
Désactivez les redirections de ports inutiles sur la box.
Gardez Raspberry Pi OS et les paquets à jour.
Limitez les droits SSH et utilisez des clés plutôt que des mots de passe.
Vérifiez régulièrement la liste des appareils autorisés dans la console Tailscale.
N’annoncez que les sous-réseaux réellement nécessaires.

Alternatives ou variantes

WireGuard manuel reste le choix des utilisateurs qui veulent une configuration 100 % maîtrisée. PiVPN simplifie l’installation de WireGuard ou OpenVPN sur Raspberry Pi. ZeroTier propose une approche proche de réseau privé virtuel, avec une philosophie différente. Pour un accès ponctuel à un service web, un tunnel Cloudflare peut aussi convenir, mais ce n’est pas le même modèle qu’un VPN privé.

Questions fréquentes

Tailscale est-il gratuit pour un usage Raspberry Pi à la maison ?

Oui, l’offre personnelle de Tailscale suffit généralement pour un usage domestique avec quelques appareils. Vérifiez tout de même les limites actuelles sur le site officiel si vous ajoutez beaucoup d’utilisateurs ou d’équipements.

Faut-il ouvrir des ports sur la box Internet ?

Non dans le cas le plus courant. Tailscale établit un réseau privé entre vos appareils et évite justement d’exposer directement SSH, Home Assistant ou un tableau de bord NAS sur Internet.

Un Raspberry Pi 5 est-il obligatoire ?

Non. Un Raspberry Pi 4 ou même un modèle plus ancien peut convenir pour un accès VPN léger. Le Raspberry Pi 5 devient intéressant si la machine héberge déjà plusieurs services ou sert aussi de subnet router.

Tailscale remplace-t-il un pare-feu ?

Non. Il réduit fortement l’exposition publique, mais il faut conserver les bonnes pratiques : mots de passe solides, mises à jour, accès SSH limité et services internes correctement configurés.

Quelle différence avec WireGuard ?

Tailscale utilise WireGuard sous le capot, mais ajoute la découverte des pairs, la gestion des appareils, le DNS privé et une interface d’administration. WireGuard pur donne plus de contrôle, mais demande davantage de configuration.

Sources utiles

Article rédigé par Vincent Vandegans, éditeur de Raspberry Pi France. Vincent suit les usages du Raspberry Pi, de Linux et de la maison connectée pour aider les lecteurs à choisir des solutions utiles, sobres et faciles à maintenir.