Tailscale : accéder à ton NAS, Mac et PC à distance par VPN

Tu veux ouvrir les dossiers de ton NAS depuis un hôtel, retrouver ton PC à la maison ou prendre la main sur ton Mac ? Tailscale crée un réseau VPN privé entre tes appareils. Tu conserves tes outils habituels, du Finder à l’Explorateur Windows, sans publier tes partages SMB ou ton bureau à distance sur Internet.

Tailscale : ton réseau privé, même loin de chez toi

Un VPN ne sert pas uniquement à changer d’adresse IP pour naviguer. Avec Tailscale, tu relies tes propres machines au sein d’un réseau appelé tailnet. Le logiciel organise les connexions et utilise WireGuard pour chiffrer les échanges.

Imagine ton portable en déplacement et ton NAS chez toi. Une fois les deux appareils connectés au même tailnet, tu contactes le NAS par son adresse Tailscale. Le service SMB continue de gérer les fichiers et les comptes. Le VPN lui fournit un chemin privé à travers Internet.

Le service de coordination aide les appareils à se trouver et à échanger leurs clés publiques. Les fichiers ne transitent pas par ce serveur de coordination. Tailscale cherche une connexion directe ; si elle est impossible, un relais peut transporter les paquets toujours chiffrés entre les clients.

Pour replacer cet usage parmi les autres solutions, consulte notre guide VPN et vie privée. Ce tutoriel s’appuie sur la documentation officielle, sans prétendre à un test de performances réalisé par SysKB.

Pourquoi passer par le VPN plutôt que publier la console du NAS ?

La bonne question est : qui peut atteindre mes services, et par quel chemin ? Une redirection de port, un portail du constructeur et un VPN n’ont pas le même fonctionnement. Un accès distant proposé par un fabricant n’est pas automatiquement dangereux. Il faut examiner son authentification, ses mises à jour et son exposition réelle.

Pour l’usage décrit ici, l’intérêt de Tailscale est de réserver l’accès réseau aux appareils autorisés. Tu n’as pas besoin de créer une redirection publique pour SMB, RDP ou le partage d’écran. Les clés privées restent sur les appareils. Même un relais DERP ne reçoit pas les fichiers en clair.

Tu peux aussi accéder à la console du NAS par le VPN, avec son adresse et son port HTTPS habituels. Le compte du NAS, ses droits et la vérification du certificat restent nécessaires. Ne banalise pas un avertissement de certificat sous prétexte que la connexion passe dans un tunnel.

WireGuard est open source, Tailscale ne l’est pas intégralement

WireGuard est open source. Le cœur des clients Tailscale et le code des relais DERP le sont également. En revanche, le serveur de coordination hébergé par Tailscale reste propriétaire. Le service reçoit aussi des métadonnées nécessaires à son fonctionnement, notamment sur les appareils et leurs connexions.

Le code ouvert permet l’examen indépendant et la contribution aux correctifs. Ce n’est pas une garantie automatique d’absence de faille. La confiance repose aussi sur l’implémentation, les versions installées et la configuration. Le projet indépendant Headscale propose une coordination auto-hébergée, au prix d’une administration supplémentaire.

Installer Tailscale sur ton ordinateur et ton NAS

Commence avec deux appareils : le portable qui t’accompagne et le NAS qui reste à la maison. Vérifie d’abord que le partage SMB fonctionne déjà sur ton réseau local. Notre guide complet NAS aide à préparer cette base.

1. Télécharge le client depuis la page officielle Tailscale, puis installe-le sur ton Mac ou ton PC.
2. Connecte-toi avec ton fournisseur d’identité et protège ce compte avec une authentification multifacteur.
3. Installe le paquet ou le conteneur adapté à ton NAS en suivant la documentation de sa plateforme ; l’exemple UGREEN DXP2800 ci-dessous utilise Docker.
4. Authentifie le NAS dans le même tailnet et vérifie sa présence dans la console Tailscale.
5. Copie son adresse Tailscale ; utilise cette adresse pour le premier essai, avant de configurer un nom plus pratique.

Le support dépend de la plateforme : Tailscale documente notamment Synology, QNAP, TrueNAS SCALE et Unraid. Vérifie le modèle, le système et la méthode d’installation réellement pris en charge. Une application exécutée dans un conteneur n’expose pas forcément les services SMB de l’hôte sans configuration adaptée.

Le point particulier des NAS Synology

La documentation Synology spécifique de Tailscale indique que l’ancien paquet du Centre de paquets n’est plus maintenu. Elle recommande de télécharger le paquet DSM officiel adapté à l’architecture du NAS, puis de l’installer manuellement. Cette consigne est plus précise que la page générale NAS, qui mentionne encore le Centre de paquets.

Sous DSM 7, les connexions entrantes vers le NAS et les connexions sortantes de ses applications sont deux cas différents. La procédure configure-host sert notamment à permettre ces connexions sortantes. Ne l’applique pas par réflexe pour un simple accès SMB entrant : pars de la procédure officielle et du besoin réel. Si le pare-feu DSM est actif, conserve-le et autorise seulement les flux nécessaires.

Exemple concret : Tailscale sur un UGREEN DXP2800 avec UGOS Pro

Le UGREEN DXP2800 sert ici de fil conducteur. Sous UGOS Pro, la méthode documentée par UGREEN passe par Docker : tu installes cette application depuis le centre d’applications, puis tu y déploies le client Tailscale. Pas besoin d’attendre une application Tailscale native. Vérifie d’abord que ton NAS est à jour et que ses partages SMB fonctionnent sur le réseau local. Sources : accès distant UGREEN et Docker sous UGOS, consultées le 10/11/2026.

Transparence : cet exemple décrit une configuration documentée pour ce modèle. Il ne constitue pas un essai VPN réalisé sur le DXP2800 de SysKB. Notre guide d’installation du DXP2800 présente séparément la préparation du NAS et du stockage.

Si tu recherches le matériel utilisé comme exemple, voici le UGREEN NASync DXP2800 sur Amazon.fr : la fiche vérifiée correspond au modèle DXP2800, vendu sans disques. Vérifie la variante et le contenu du lot avant commande ; le DXP2800 GT est un autre modèle.

Le trajet entre ton ordinateur et les fichiers

Ton Mac ou ton PC fait tourner l’application Tailscale. Sur le DXP2800, le client tourne dans Docker, avec un accès au réseau du NAS. Le service SMB d’UGOS continue de gérer les dossiers et leurs permissions. Tu n’as pas à déplacer tes fichiers dans le conteneur ni à laisser un autre ordinateur allumé à la maison.

Le réglage décisif est network_mode: host. Il partage l’environnement réseau du NAS avec le conteneur. Associé au mode réseau noyau de Tailscale, il permet de joindre les services du NAS par l’interface VPN, sous réserve du pare-feu et des permissions. Un conteneur isolé avec les réglages par défaut ne suffit pas à garantir cet accès. Sources : réseau hôte Docker et paramètres Tailscale, consultées le 10/11/2026.

1. Préparer le projet dans Docker

Dans UGOS Pro, ouvre Docker > Projet > Créer. Choisis un dossier dédié, par exemple un dossier tailscale dans ton partage Docker. Crée dedans un sous-dossier state. Le chemin relatif ./state utilisé plus bas doit correspondre à ce sous-dossier du projet ; vérifie le chemin réellement retenu par UGOS. Cette organisation est décrite dans la documentation Docker Compose UGREEN (consultée le 10/11/2026).

Installe aussi Tailscale sur le Mac ou le PC qui accédera au NAS. Dans la console Tailscale, génère une clé d’authentification pour enregistrer le NAS dans le même tailnet. Pour cette machine permanente, utilise une clé à usage unique avec l’option Ephemeral désactivée. Garde cette clé privée et remplace le texte prévu à cet effet dans l’exemple. Source : clés d’authentification Tailscale, consultée le 10/11/2026.

2. Déployer un conteneur adapté aux partages UGOS

Voici un exemple Compose pour le réseau du NAS. Il reprend l’architecture UGREEN, avec des paramètres documentés par Tailscale. Le périphérique /dev/net/tun doit être disponible sur ton système ; si le déploiement le signale absent, vérifie ta version UGOS avant de poursuivre.

services:
  tailscale:
    image: tailscale/tailscale:stable
    container_name: tailscale
    network_mode: host
    environment:
      TS_AUTHKEY: "REMPLACE_PAR_TA_CLE_TAILSCALE"
      TS_AUTH_ONCE: "true"
      TS_HOSTNAME: "ugreen-dxp2800"
      TS_STATE_DIR: "/var/lib/tailscale"
      TS_USERSPACE: "false"
      TS_ACCEPT_DNS: "false"
    volumes:
      - ./state:/var/lib/tailscale
    devices:
      - /dev/net/tun:/dev/net/tun
    cap_add:
      - NET_ADMIN
      - NET_RAW
    restart: unless-stopped

TS_USERSPACE=false, le périphérique TUN et les permissions réseau permettent de créer l’interface VPN. Le dossier d’état conserve l’identité du NAS ; TS_AUTH_ONCE=true évite de refaire l’authentification à chaque démarrage lorsque cet état existe. TS_ACCEPT_DNS=false laisse Tailscale ignorer la configuration DNS du tailnet sur ce nœud. N’ajoute pas de redirection de ports Docker à cet exemple en mode hôte. Sources : variables Docker Tailscale et réseau hôte, consultées le 10/11/2026.

Cette configuration accorde des permissions réseau précises au conteneur, sans activer un mode privilégié global. Elle lui donne néanmoins un rôle sensible sur le réseau du NAS : utilise l’image officielle et conserve ses mises à jour. Pour actualiser le client, récupère la nouvelle image stable et redéploie le projet en conservant le dossier state. Le tag stable ne met pas à jour tout seul un conteneur déjà lancé. Source : mise à jour des conteneurs Tailscale, consultée le 10/11/2026.

3. Récupérer l’adresse du DXP2800 et monter son partage

Déploie le projet, puis vérifie ses journaux dans Docker. Dans la console Tailscale, le NAS doit apparaître sous le nom ugreen-dxp2800. Approuve-le si ta politique l’exige et copie son adresse Tailscale. UGREEN décrit ce contrôle dans son guide d’accès distant (consulté le 10/11/2026).

Pour la suite du tutoriel, prenons l’adresse fictive 100.80.10.20 et un partage existant nommé Documents. Les chemins deviennent smb://100.80.10.20/Documents sur Mac et \\100.80.10.20\Documents sur Windows. Tu utilises toujours le compte du NAS autorisé sur ce partage. Les étapes Finder et Explorateur sont détaillées juste après cet exemple.

Si le NAS apparaît connecté mais que les fichiers restent inaccessibles, vérifie successivement le service SMB d’UGOS, les droits du compte, le pare-feu du NAS et les règles Tailscale. Pour les fichiers, le flux à autoriser est TCP 445 depuis les appareils choisis ; l’accès à la console d’administration est un besoin séparé. L’inscription au tailnet ne valide pas à elle seule le fonctionnement de SMB.

4. Valider l’accès depuis l’extérieur

1. Connecte le portable à un partage de connexion mobile et coupe son Wi-Fi domestique.
2. Active Tailscale, puis ouvre le partage SMB avec l’adresse du NAS.
3. Lis un fichier et, avec un compte disposant du droit d’écriture, crée puis supprime un petit fichier de test.
4. Teste ensuite un redémarrage du projet pour vérifier que l’identité du NAS est conservée.
5. Après une mise à jour d’UGOS ou de l’image Tailscale, refais ce contrôle avant de compter sur l’accès en déplacement.

Cet accès au DXP2800 ne rend pas automatiquement tout le réseau domestique joignable. Pour contrôler aussi un PC ou un Mac resté chez toi, installe Tailscale sur cet ordinateur, ou prépare séparément un routeur de sous-réseau. Pour le NAS seul, la configuration ci-dessus n’annonce aucune route vers le reste du réseau.

Le guide de Marc publié le 14 décembre 2025 présente lui aussi les voies Docker et SSH. La procédure ci-dessus s’appuie sur les documentations UGREEN et Tailscale, avec les réglages nécessaires au service SMB de l’hôte. L’installation directe par SSH n’est pas requise pour ce parcours.

Monter le partage SMB du NAS dans le Finder

Reprenons notre DXP2800 d’exemple : son adresse Tailscale fictive est 100.80.10.20 et son partage s’appelle Documents. Remplace ces valeurs par celles de ton NAS.

1. Vérifie que Tailscale est connecté sur le Mac et sur le NAS.
2. Dans le Finder, ouvre Aller > Se connecter au serveur, ou utilise ⌘ K.
3. Saisis l’adresse ci-dessous, puis choisis Se connecter.
4. Authentifie-toi avec un compte du NAS autorisé à accéder au partage, de préférence sans droits d’administration.

smb://100.80.10.20/Documents

Le volume apparaît dans le Finder. Tu peux parcourir les dossiers et travailler avec tes applications habituelles. Ajoute l’adresse aux serveurs favoris pour la retrouver. Pour les détails du montage et de la reconnexion, consulte notre tutoriel connecter un NAS à un Mac en SMB.

Connecter le même partage dans l’Explorateur Windows

Sur le PC distant, connecte Tailscale puis saisis ce chemin dans la barre d’adresses de l’Explorateur de fichiers, et non dans sa zone de recherche :

\\100.80.10.20\Documents

Pour obtenir un lecteur permanent, ouvre Ce PC, puis Connecter un lecteur réseau dans le menu ou le menu contextuel. Choisis une lettre disponible et renseigne le même chemin. L’option de reconnexion réessaie le montage à l’ouverture de session ; elle ne remplace pas une connexion Tailscale active.

Utilise les identifiants du NAS. Si Windows conserve un autre compte pour ce serveur, vérifie les informations enregistrées dans le Gestionnaire d’identification. En cas de problème avec un NAS ancien, notre guide Windows 11 et erreurs SMB présente les contrôles à effectuer sans affaiblir la sécurité.

Garder la même adresse à la maison et en déplacement

Avec MagicDNS, un appareil du tailnet peut être joint par son nom Tailscale. Une fois le fonctionnement par adresse IP validé, tu peux utiliser le nom réellement affiché dans ta console, par exemple smb://ugreen-dxp2800/Documents ou \\ugreen-dxp2800\Documents. Si le nom court ne se résout pas, essaie son nom Tailscale complet.

Pour conserver le même favori partout, utilise cette adresse Tailscale à domicile comme en déplacement, avec le client connecté. Ton ancien montage vers 192.168.1.20 ne bascule pas automatiquement vers l’adresse Tailscale. Les noms en .local et l’apparition automatique dans les rubriques Réseau ne sont pas non plus équivalents à MagicDNS.

NAS sans client Tailscale : passer par un routeur de sous-réseau

Une machine compatible, allumée chez toi, peut jouer le rôle de subnet router. Elle annonce le réseau du NAS, par exemple 192.168.1.0/24. Après approbation de la route et configuration des droits, ton portable peut joindre l’adresse locale du NAS à travers cette passerelle.

Il faut installer Tailscale sur la passerelle, activer le transfert IP selon son système, annoncer la route puis l’approuver dans la console. Les clients Windows et macOS acceptent normalement les routes de sous-réseau automatiquement. Vérifie aussi les autorisations et les éventuels conflits entre réseaux locaux utilisant les mêmes adresses.

La protection WireGuard s’arrête ici à la passerelle. Le trajet entre celle-ci et un NAS sans client Tailscale dépend du réseau local et du chiffrement du service, par exemple SMB chiffré. Pour un premier montage simple, privilégie le client directement sur le NAS lorsqu’il est pris en charge. Aucun nœud de sortie Internet n’est nécessaire pour cet usage.

Utiliser ton PC Windows à distance avec RDP

Tailscale fournit la liaison réseau ; le Bureau à distance fournit l’écran, le clavier et la souris. Le PC qui reçoit la connexion doit disposer d’une édition Windows compatible, notamment Pro, Entreprise ou Éducation. Windows Famille ne fournit pas le serveur RDP intégré.

1. Sur le PC à la maison, active Paramètres > Système > Bureau à distance et limite les comptes autorisés.
2. Connecte les deux ordinateurs au même tailnet.
3. Depuis Windows, ouvre Connexion Bureau à distance et indique l’adresse Tailscale du PC.
4. Depuis un Mac, utilise un client RDP compatible tel que Windows App.
5. Authentifie-toi avec les identifiants du compte Windows autorisé.

Ne redirige pas le port RDP sur ta box. Pour rester joignable après une déconnexion de session ou un redémarrage Windows, vérifie le mode Run Unattended de Tailscale. Prévois aussi l’alimentation et la veille du PC avant de partir.

Prendre la main sur ton Mac à la maison

Sur le Mac à contrôler, ouvre Réglages Système > Général > Partage > Partage d’écran. Autorise uniquement les utilisateurs nécessaires. Sur le Mac distant, lance l’application Partage d’écran, crée une connexion vers l’adresse Tailscale du premier Mac, puis authentifie-toi.

Choisis d’abord une session standard. Le Mac cible doit rester allumé et disponible. Teste aussi le comportement après fermeture de session et redémarrage. La documentation Tailscale actuelle précise que son client macOS dépend de la session utilisateur et ne propose pas le mode sans session de Windows. Ne pars donc pas du principe qu’un Mac redémarré sera automatiquement accessible.

Limiter les accès au strict nécessaire

Un tailnet privé mérite lui aussi des permissions. La politique initiale peut autoriser toutes les communications entre ses appareils. Pour un portable qui doit seulement ouvrir des fichiers, inutile d’autoriser aussi l’administration complète du NAS.

Besoin	Accès à prévoir	Limite conseillée
Fichiers du NAS en SMB	NAS, TCP 445	Portable autorisé et compte NAS restreint au partage
Bureau à distance Windows	PC, TCP 3389 pour une connexion RDP de base	Appareils et comptes choisis, sans ouverture publique
Partage d’écran Mac standard	Mac, TCP 5900	Utilisateurs explicitement autorisés sur le Mac
Administration du NAS	Port HTTPS configuré sur ton NAS	Seulement depuis ton appareil d’administration

Tailscale recommande les grants pour définir ces autorisations. Attention : ajouter une règle précise ne réduit pas les permissions d’une règle générale qui autorise déjà tout. Réduis les autorisations trop larges et teste la politique en conservant un accès local de secours. Les droits de fichiers restent à configurer sur le NAS : le VPN ne les remplace pas.

Le confort du réseau local, avec les limites d’Internet

Tu retrouves le Finder, l’Explorateur et tes applications, mais pas nécessairement la réactivité du réseau à la maison. Le débit montant de ta connexion domestique, la latence et un éventuel relais peuvent limiter les transferts. Les accès à de nombreux petits fichiers sont particulièrement sensibles aux allers-retours réseau.

Si la connexion semble lente, la commande ci-dessous aide à voir si Tailscale joint le NAS directement ou par relais. Remplace l’adresse par celle de ton NAS :

tailscale ping 100.80.10.20

Un résultat via DERP n’indique pas une perte du chiffrement entre clients. Il signale un autre chemin réseau, souvent moins performant. Pour un gros projet sensible à la latence, travailler sur le PC resté à la maison via son bureau distant peut être plus confortable que manipuler chaque fichier en SMB sur Internet.

Le premier essai à faire avant ton prochain déplacement

Teste depuis un partage de connexion mobile, avec le Wi-Fi domestique déconnecté. Ouvre ton partage, crée un petit fichier de test puis vérifie sa présence sur le NAS. Si tu prévois un accès au bureau, teste-le également, ainsi que les conditions de veille et de session.

Une fois ce parcours validé, vérifie les anciens chemins d’accès distant que tu souhaites conserver ou fermer. Garde les systèmes à jour, protège le compte d’identité par MFA et retire du tailnet les appareils perdus ou inutilisés. Le tunnel protège le transport ; il ne constitue ni une sauvegarde ni une protection contre toutes les actions d’un ordinateur compromis.

Le forfait Personal gratuit est destiné à l’usage personnel non commercial. Vérifie les conditions et les limites actuelles sur la page des offres Tailscale (consultée le 09/11/2026). Pour une autre approche, notre tutoriel explique comment créer un VPN WireGuard sur une Freebox.

Commence par le NAS et un seul ordinateur. Quand le partage SMB fonctionne depuis l’extérieur avec des droits limités, ajoute le bureau distant si tu en as besoin. Tu conserves ainsi un usage familier et un chemin d’accès que tu peux identifier et contrôler.