Tailscale, ZeroTier ou WireGuard classique : pour un NAS familial, le plus simple est celui que ma famille n’a pas besoin de comprendre

Le test qui a décidé entre Tailscale, ZeroTier et WireGuard n’a pas eu lieu sur mon ordinateur.

Il est arrivé sous la forme d’un message de ma sœur :

« J’ai installé l’appli. Maintenant je mets quoi ? » Elle voulait simplement déposer les photos de ses enfants sur le NAS familial avant de vider son téléphone. Le NAS était chez moi. Elle était chez elle. J’avais déjà réussi à y accéder à distance depuis mon propre portable. Dans ma tête, le problème était donc résolu.

Puis j’ai regardé ce que j’étais sur le point de lui envoyer : une configuration WireGuard, une adresse de serveur, quelques explications sur le profil à importer et une phrase commençant par « si jamais ça ne marche pas… ».

C’est là que j’ai compris que j’avais répondu à la mauvaise question. Je cherchais la solution la plus simple à installer. Pour un NAS familial, il fallait chercher celle qui reste simple à la quatrième personne et au sixième appareil.

WireGuard était merveilleusement simple tant que j’étais le seul utilisateur

J’avais commencé par WireGuard classique précisément parce que je voulais le moins d’intermédiaires possible.

Le protocole est léger. La configuration est lisible. Une paire de clés, un pair, une adresse, des routes. Le guide officiel prévoit même PersistentKeepalive pour maintenir le passage ouvert lorsqu’un client se trouve derrière certains NAT ou pare-feu.Sur mon propre équipement, c’était très satisfaisant.

J’avais le serveur. J’avais le profil du portable. J’avais celui du téléphone. Connexion.

Le NAS apparaissait. Si mon foyer s’était limité à « moi et deux appareils que j’administre », j’aurais pu m’arrêter là. Le problème est arrivé quand j’ai essayé d’étendre cette simplicité aux autres.

WireGuard fournit très bien le tunnel, mais il ne cherche pas à administrer tout ce qui l’entoure. Le client doit encore savoir où trouver son pair. Selon l’installation, cela peut vouloir dire gérer un point d’entrée joignable, le routeur, le transfert de port, une adresse publique ou un nom DNS, puis les profils de chaque appareil.

Et le NAT n’est pas toujours sous mon contrôle. Avec du CGNAT, par exemple, une partie de cette traduction d’adresses se passe chez l’opérateur : ouvrir un port sur ma propre box ne suffit donc plus à résoudre le problème.Ce n’est pas un défaut caché de WireGuard.

C’est plutôt le revers de son élégance : il me donne un excellent tunnel, mais me laisse construire les panneaux indicateurs autour.

Sur r/selfhosted, un utilisateur qui utilisait depuis longtemps des tunnels WireGuard décrivait exactement le moment où cette différence devient visible : avec davantage d’appareils et des membres de sa famille à connecter, la gestion des configurations de pairs avait commencé à ressembler à un puzzle.Je reconnaissais le problème.

Le QR code était simple. Être la personne chargée de produire tous les QR codes pour toujours l’était beaucoup moins.

ZeroTier m’a retiré une partie du réseau — mais en a remis une autre sur le NAS

C’est pour cette raison que ZeroTier m’a d’abord semblé être le compromis évident. Je crée un réseau virtuel. Chaque appareil rejoint ce réseau avec son identifiant. Je retourne dans l’interface d’administration et j’autorise le nouvel appareil.

Terminé.

Sa documentation de démarrage suit à peu près cette logique : créer le réseau, installer le client, rejoindre le réseau avec son identifiant puis autoriser l’appareil.Sur deux ordinateurs, j’ai immédiatement compris l’attrait.

Je n’avais plus à fabriquer manuellement une configuration WireGuard pour chaque personne. Je n’avais pas non plus à expliquer à ma sœur pourquoi l’adresse publique de ma maison intéressait son téléphone.

Elle rejoignait le réseau. J’autorisais son appareil. Les deux machines se voyaient. Puis je suis arrivé au NAS.

Et là, une autre forme de simplicité est apparue.

ZeroTier indique désormais que ses anciens paquets NAS natifs pour Synology, QNAP, ASUSTOR et Western Digital sont dépréciés et ne sont plus maintenus. Pour un NAS, la méthode prise en charge passe aujourd’hui par Docker.Sur un homelab, cela ne me dérange pas.

Docker est déjà là. Un conteneur supplémentaire ne change pas grand-chose. Mais j’essayais précisément de construire une installation familiale dont je ne serais pas obligé de me souvenir dans dix-huit mois. Conteneur. Volumes.

Permissions. Redémarrage après mise à jour. Réseau virtuel. Autorisation dans Central.

Aucune de ces étapes n’est particulièrement difficile. C’était leur accumulation qui commençait à compter. Je ne voulais plus savoir quelle solution me donnait le plus beau réseau virtuel. Je voulais savoir laquelle me laissait le moins de petites choses à administrer après le dimanche de l’installation.

En 2026, Tailscale est devenu beaucoup plus intéressant pour une famille

C’est avec ce nouveau critère que j’ai rouvert Tailscale.

Je l’avais auparavant écarté un peu vite. Je le voyais surtout comme WireGuard accompagné d’un compte et d’une couche de coordination externe. Si j’étais déjà capable de gérer WireGuard moi-même, pourquoi ajouter cette couche ?

Puis un détail très concret avait changé.

Le 8 avril 2026, Tailscale a porté son offre Personal gratuite de trois à six utilisateurs et rendu illimité le nombre d’appareils utilisateurs dans le tailnet.Pour un laboratoire personnel, cela ressemble à une modification de forfait.

Pour un foyer, c’est beaucoup plus tangible : un couple, des enfants ou quelques proches peuvent désormais tenir dans le même réseau sans que la première question soit déjà « combien de comptes va-t-il falloir payer ? ».

Mais sur mon Synology, la différence qui m’a vraiment fait continuer était encore plus banale. Tailscale était directement dans le Package Center. Installation. Authentification.

Le NAS rejoignait le tailnet.

La documentation officielle prévoit aussi des intégrations pour QNAP, TrueNAS SCALE et Unraid. Sur ces plateformes, l’idée reste la même : installer le client sur le NAS, l’autoriser, puis atteindre la machine à travers le tailnet sans commencer par exposer un port du NAS sur Internet.J’ai installé le client sur mon ordinateur.

Le NAS est apparu. Puis je suis revenu au vrai test. Ma sœur. Je lui ai envoyé l’invitation. Elle a installé l’application et s’est authentifiée.

Je lui ai donné le nom du NAS. Cette fois, je n’ai envoyé ni fichier .conf, ni clé publique, ni numéro de port. Elle a ouvert Synology Drive. Le dossier familial est apparu.

Elle a sélectionné les photos. L’envoi a commencé. 86 fichiers. 147. 148.

Puis le téléphone a affiché la fin du transfert.

Elle m’a envoyé un deuxième message :

« C’est bon. » C’était la réponse que je cherchais depuis le début.

Tailscale ne remplace pas WireGuard : il m’évite surtout d’en administrer toutes les coutures

Après ce test, j’ai enfin eu envie de regarder ce qui se passait derrière le bouton.

Tailscale utilise WireGuard pour chiffrer les connexions, mais automatise une bonne partie du travail que mon montage classique me laissait faire moi-même : aider les appareils à se trouver, traverser le NAT et choisir un chemin utilisable entre eux.

L’image la plus simple est celle de deux maisons qui essaient de s’appeler. WireGuard me fournit une ligne privée très solide ; avec une installation classique, c’est encore à moi de m’assurer que chacun possède le bon numéro et qu’un chemin permet à l’appel d’arriver. Tailscale ajoute cet annuaire et essaie de construire le chemin automatiquement.

Quand une liaison directe est possible, les appareils communiquent directement. Si le réseau l’empêche, Tailscale peut basculer sur une connexion relayée, notamment via DERP. Les connexions directes restent préférables pour les performances ; le relais sert surtout de solution de repli lorsque les deux appareils n’arrivent pas à se joindre directement.Pour mon NAS, c’était suffisamment de technique.

Je n’avais plus besoin de comprendre chaque cas de NAT rencontré par le téléphone de ma sœur pour qu’elle puisse envoyer ses photos.

La contrepartie est simple : je ne suis plus dans une architecture entièrement autogérée. Si mon objectif était de contrôler moi-même chaque clé, chaque règle et toute la coordination du réseau, WireGuard classique resterait plus cohérent.

Mais ce n’était pas le réseau que j’étais en train de construire. Ma sœur voulait envoyer ses photos. Et moi, je voulais ne pas recevoir un troisième message.

J’ai aussi arrêté de demander au NAS de faire un travail qui n’était pas le sien

Ce test m’a fait remarquer une autre erreur que j’avais presque transformée en projet.

Une fois Tailscale installé, j’avais commencé à regarder les exit nodes. Après tout, si je pouvais revenir jusqu’à mon NAS, pourquoi ne pas faire passer aussi toute ma navigation Internet par la maison ?

Techniquement, c’était tentant.

Mais je recommençais exactement ce que j’essayais d’éviter : prendre une solution devenue très simple pour atteindre les fichiers familiaux et lui ajouter progressivement assez de responsabilités pour que je doive de nouveau expliquer son fonctionnement à tout le monde.

Le déclic a été de séparer deux besoins que j’avais confondus. Accéder au NAS à distance est un problème de réseau privé entre mes appareils. Protéger ma connexion sur un Wi-Fi extérieur ou utiliser une autre route vers Internet en est un autre. Pour le premier, j’ai gardé Tailscale.

Pour le second, je n’avais aucune raison d’impliquer le NAS. C’est là que j’ai gardé OnlydogVPN^↗ directement sur mes appareils.

L’approche correspondait mieux à cette tâche : au lieu de construire une topologie ou de choisir manuellement comment le réseau devait être assemblé, je pouvais partir de la situation d’usage, connecter l’appareil et revenir à ce que j’étais en train de faire. Quand j’ai voulu ajouter un deuxième appareil, le partage par code m’a aussi évité de recréer puis de recopier un autre identifiant et un mot de passe.Je ne cherche donc pas à en faire ma porte d’entrée vers le NAS.

Ce n’est justement pas son travail.

Tailscale relie les appareils qui doivent voir les fichiers de la maison. Le second service s’occupe de la connexion Internet des appareils quand j’en ai besoin.

Cette séparation a rendu l’ensemble plus simple, parce que chaque outil a cessé de porter une responsabilité qui finissait par créer des exceptions ailleurs.

À la fin, « le plus simple » dépendait surtout de la personne qui interviendrait la prochaine fois

WireGuard classique reste mon choix préféré si je suis seul, si je contrôle le routeur et si je veux une infrastructure minimale dont je possède chaque pièce.

ZeroTier retire déjà une bonne partie de la configuration manuelle des pairs et reste très séduisant pour un homelab, surtout lorsque Docker fait déjà partie du décor.

Mais pour le NAS familial que je devais réellement administrer — un Synology, plusieurs proches, des téléphones et des ordinateurs qui changeront au fil des années — Tailscale a retiré le plus de travail récurrent.

Pas de profil WireGuard à fabriquer pour chaque personne. Pas de port de la box à expliquer. Une intégration NAS directe sur les plateformes que j’utilise. Et désormais assez d’utilisateurs gratuits pour qu’un foyer ordinaire ne commence pas son installation par un calcul de licences.

Le test décisif n’a donc jamais été le temps qu’il me fallait pour connecter mon propre ordinateur. C’était le nombre de fois où quelqu’un de ma famille aurait encore besoin de m’écrire après l’installation.

Pour mon NAS familial, la solution la plus simple a été celle qui a fait disparaître la phrase « quel fichier de configuration dois-je installer ? » de la conversation familiale.