Tailscale ou VPN commercial en voyage : j’ai arrêté de faire passer tout Internet par mon réseau domestique

Le NAS s’est ouvert du premier coup.

C’est justement ce succès qui m’a fait prendre la mauvaise décision.

J’étais dans une location en Espagne avec un portable, un dossier client resté sur mon NAS en France et une visioconférence prévue dans l’après-midi. À la maison, un petit ordinateur restait allumé avec Tailscale et annonçait le sous-réseau local. J’ai ouvert l’adresse de mon NAS comme si j’étais assis dans mon salon.

Le dossier était là.

À ce moment-là, je me suis demandé pourquoi je gardais encore un VPN commercial sur le portable. Tailscale savait déjà me ramener chez moi. Il suffisait, pensais-je, de transformer la même machine en exit node et de faire passer aussi tout mon trafic Internet par la maison.

Un seul tunnel pour tout.
C’était propre sur le papier.
Puis j’ai rejoint l’appel.

L’image s’est mise à hésiter. Le portail du client chargeait avec un retard étrange. Un petit envoi vers le cloud qui ne m’aurait normalement pas inquiété s’est transformé en barre de progression que je regardais toutes les trente secondes.

J’ai accusé le Wi-Fi de la location.
Je l’ai coupé, fait un test sans l’exit node, puis recommencé.
La connexion locale avait largement assez de débit.
Le détour par chez moi, lui, n’avait plus la même allure.

J’avais confondu « accéder à la maison » et « faire sortir Internet par la maison »

Tailscale propose deux fonctions qui semblent proches tant qu’on les résume par « accéder à distance », mais elles ne font pas le même travail.

Un subnet router me permet d’atteindre des appareils de mon réseau privé qui n’exécutent pas eux-mêmes Tailscale. C’était exactement le rôle dont j’avais besoin pour mon NAS : mon portable pouvait rejoindre le réseau 192.168.x.x de la maison sans que j’aie à exposer directement le NAS sur Internet.

Un exit node, lui, prend le trafic Internet ordinaire du portable et le fait sortir par une machine Tailscale choisie. Si cette machine se trouve chez moi, les sites publics me voient arriver depuis ma connexion domestique.

Le premier m’ouvrait une porte vers la maison.

Le second faisait de cette porte le passage obligé vers presque tout le reste.

Et c’est là que mon installation, très élégante pour récupérer un fichier, a commencé à devenir inutilement lourde pour le reste de ma journée.

Tailscale essaie normalement d’établir une connexion directe entre les appareils en UDP. Quand le réseau ou le NAT l’empêche, le trafic peut passer par un Peer Relay configuré dans le tailnet ou, à défaut, par DERP. Le chiffrement reste de bout en bout, mais une route relayée ajoute un détour et peut perdre en débit ou en latence face à une connexion directe.

Avec tailscale ping, j’ai vu que le chemin utilisé n’était pas celui que j’aurais choisi pour y faire transiter en permanence mon navigateur, mon cloud et un appel vidéo.

Le NAS n’avait rien de mystérieux.

J’avais simplement demandé à la route vers mon salon de transporter beaucoup plus que le dossier qui s’y trouvait.

En voyage, le réseau entre moi et la maison n’est jamais complètement sous mon contrôle

Tailscale a justement amélioré ce point. Depuis février 2026, les Peer Relays sont disponibles de manière générale et permettent d’utiliser une machine de son propre réseau comme relais lorsque la liaison directe échoue, avec l’objectif d’obtenir un meilleur chemin qu’un DERP plus éloigné.

C’est utile.

Mais aucun mécanisme de relais ne peut rendre prévisible le Wi-Fi sur lequel je viens de poser mon ordinateur.

En avril 2026, un voyageur décrivait par exemple plusieurs hôtels où l’UDP n’était pas totalement bloqué mais fortement ralenti, autour de 2–3 Mbit/s, au point de rendre son usage de Tailscale trop lent. Il cherchait une alternative au partage de connexion mobile pour continuer à utiliser son tailnet.

Je n’en ai pas tiré une règle sur tous les hôtels. J’en ai retenu quelque chose de plus pratique : la route entre mon portable et ma maison dépend aussi du réseau de voyage, et cette partie-là ne m’appartient pas.

Si j’utilise Tailscale uniquement pour récupérer un fichier sur le NAS, ce chemin transporte ce fichier.

Si j’utilise ensuite ma maison comme exit node, le même chemin doit absorber le NAS, le navigateur, l’appel, le cloud et tout ce que mon ordinateur décide de faire.

J’avais transformé une excellente porte d’accès en autoroute obligatoire.

Un VPN commercial ne remplaçait pourtant pas Tailscale

J’ai alors essayé l’excès inverse : couper Tailscale et utiliser uniquement un VPN commercial.

Internet fonctionnait.
Mon adresse publique changeait.
Le portail du client s’ouvrait normalement.

Mais 192.168.1.40, l’adresse de mon NAS chez moi, n’était évidemment plus au bout du tunnel.

Un serveur VPN commercial à Paris, Francfort ou Amsterdam peut offrir une autre sortie vers Internet. Il ne devient pas pour autant membre de mon réseau domestique.

Cette fois, la différence était claire.

Pour atteindre un NAS, Home Assistant, une imprimante, un serveur ou une autre machine qui n’existe que sur mon LAN, je veux Tailscale.

Si j’ai besoin que des sites Internet me voient réellement depuis l’adresse IP de ma maison, l’exit node domestique garde aussi tout son sens.

Ce que je n’avais plus de raison de faire, c’était conserver ce détour pour chaque page web et chaque appel uniquement parce que j’avais eu besoin du NAS dix minutes plus tôt.

À partir de là, les deux outils ont enfin cessé de se battre pour le même rôle.

J’ai gardé Tailscale pour le dossier, puis j’ai laissé Internet prendre un chemin plus court

J’ai remis Tailscale dans le rôle où il avait été impeccable dès le départ.
Connexion au réseau privé.
Ouverture du NAS.
Copie du dossier.
Terminé.

À partir de ce moment, je n’avais plus rien à demander à mon réseau domestique. Le fichier était sur mon portable ; le reste de mon travail se trouvait sur Internet.

J’ai désactivé l’exit node et lancé OnlydogVPN^↗.

Cette fois, le but n’était plus de retourner dans mon salon. Je voulais protéger le portable sur ce réseau de voyage et retrouver une route Internet utilisable sans obliger chaque paquet à passer par ma connexion domestique.

J’ai choisi le mode adapté à la connexion devant moi.
Le portail du client s’est rouvert.
J’ai envoyé le dossier récupéré quelques minutes plus tôt.

La barre de progression a avancé sans retrouver le plafond que j’avais observé lorsque tout le trafic faisait le détour par la maison.

Puis j’ai rejoint l’appel.
L’image est restée exploitable.
Et surtout, j’ai cessé de surveiller le tunnel.

C’est à ce moment-là que la séparation m’a paru évidente : Tailscale avait été la bonne route pour atteindre une ressource privée ; le second VPN était la route plus naturelle dès que mon travail revenait sur Internet.

Je n’avais pas remplacé un outil par l’autre.

J’avais arrêté de demander au même tunnel de résoudre deux problèmes différents.

Le deuxième VPN est devenu celui que je laissais actif le reste de la journée

Une fois le dossier envoyé, je suis sorti travailler depuis un café voisin.

Je n’avais plus aucune ressource domestique ouverte. Dans ce contexte, garder tout mon trafic accroché à une machine située en France ne m’apportait plus rien.

C’est aussi là que l’architecture du second service a pris davantage de sens.

Il utilise un transport basé sur HTTP/3. HTTP/3 repose sur QUIC, dont la conception prévoit notamment qu’une connexion puisse continuer à fonctionner lorsqu’un appareil change de chemin réseau, plutôt que de dépendre entièrement de la même combinaison d’adresse et de route du début à la fin.

Je n’avais pas besoin de connaître beaucoup plus de théorie.

Dans l’après-midi, mon portable a quitté le Wi-Fi de la location, utilisé celui du café puis basculé sur le partage de connexion du téléphone.

Le tunnel a récupéré sans me renvoyer dans une série de choix de serveurs ou de réglages.

C’est ce comportement qui comptait.

Les essais publiés par le service autour de son transport HTTP/3 montrent justement cette logique sur des réseaux faibles ou changeants : le bénéfice recherché n’est pas de transformer le changement de réseau en événement spectaculaire,mais au contraire de m’obliger le moins possible à m’en occuper.

Et, dans mon cas, c’était presque l’inverse de mon expérience avec l’exit node domestique.

Avec la maison comme sortie permanente, je surveillais la route.

Avec cette connexion, j’ai recommencé à surveiller mon travail.

La limite utile à garder en tête reste simple : ce service ne remplace pas Tailscale lorsqu’il faut entrer dans mon réseau privé.

Mais justement, il n’en a pas besoin pour rester sur mon portable.

La majorité de ma journée de voyage ne consiste pas à ouvrir mon NAS. Elle consiste à utiliser des sites, envoyer des fichiers, participer à des appels et changer de réseau.

C’est pour cette partie-là que je le garde actif.

Alors, Tailscale ou VPN commercial pour accéder à son réseau domestique en voyage ?

Pour accéder réellement au réseau domestique, je choisirais Tailscale.

Un subnet router est conçu pour rendre le LAN joignable à distance. Et si j’ai besoin que tout mon trafic sorte précisément par mon domicile, un exit node me permet de le faire.

Mais je ne confondrais plus cette capacité avec la nécessité de faire passer toute une journée d’Internet par la maison.

Mon usage est devenu beaucoup plus simple :

quand j’ai besoin du NAS, d’un serveur ou d’un autre appareil privé, j’ouvre le chemin Tailscale ;

quand cette tâche est terminée et que je reviens sur Internet public, je laisse le VPN commercial reprendre le relais.

Ce fonctionnement a aussi changé la réponse à la question que je me posais au début.

Je croyais devoir choisir Tailscale ou VPN commercial et laisser le gagnant gérer tout mon ordinateur.

En voyage, je préfère maintenant choisir en fonction de l’endroit où le tunnel doit réellement se terminer.

Tailscale reste ma porte vers la maison.

OnlydogVPN est celui que je peux laisser tourner une fois que je n’ai plus besoin d’y retourner.