Tailscale est-il un VPN et que masque-t-il ?

Tailscale est-il un VPN ? Réponse courte

Tailscale est-il un VPN ? Techniquement, oui. Tailscale établit des tunnels WireGuard entre les appareils que vous possédez, et chaque paquet qui traverse l’un de ces tunnels est chiffré de bout en bout. Si vous donnez au terme « VPN » le sens que la plupart des utilisateurs lui donnent lorsqu’ils posent cette question, la réponse est non. Par défaut, Tailscale ne masque pas votre adresse IP publique aux sites web et n’achemine pas votre navigation via le serveur d’un tiers. Le Wi-Fi de l’hôtel voit toujours les sites que vous consultez. Tailscale transporte uniquement le trafic entre vos propres machines. Pour obtenir le comportement d’un VPN commercial axé sur la confidentialité, vous devez ajouter un exit node. Cela modifie ce qui est masqué et les personnes auxquelles ces informations sont masquées.

La suite de ce guide distingue les deux sens du terme « VPN », puis précise, pour chaque configuration, qui peut voir quoi. Si votre vraie question est « est-ce que cela va me masquer ? », la réponse dépend de la personne ou de l’organisation à laquelle vous voulez vous soustraire. Chaque configuration ci-dessous indique donc les parties contre lesquelles elle vous protège et celles contre lesquelles elle ne vous protège pas.

Les deux sens du terme « VPN »

Le terme a deux sens. La réponse au titre dépend donc du sens retenu.

Le sens d’origine est celui d’un réseau privé virtuel : un réseau privé construit au-dessus d’un réseau public. Le bureau d’une entreprise et l’ordinateur portable d’un télétravailleur se comportent comme s’ils partageaient un même câble, même si les paquets traversent Internet. L’objectif est de permettre la communication entre les membres et de la chiffrer. Dans ce modèle, personne ne cherche à se cacher des sites web consultés.

Le sens utilisé par les services grand public désigne un produit de protection de la vie privée. Vous installez une application et choisissez un pays. L’ensemble de votre trafic Internet sort alors du serveur du fournisseur. Les sites web voient l’adresse du fournisseur, tandis que votre FAI (fournisseur d’accès à Internet) ne voit qu’un flux chiffré vers ce serveur. L’objectif est de masquer votre adresse IP aux sites web et vos destinations aux parties présentes sur votre chemin réseau local. Votre FAI connaît toujours votre propre adresse, puisqu’il vous l’a attribuée.

Tailscale est un VPN du premier type. Il s’agit d’un VPN mesh : chaque appareil de votre tailnet (le réseau privé que Tailscale construit pour vous) reçoit une adresse privée stable dans la plage 100.64.0.0/10. Il communique avec tous les autres appareils par un tunnel WireGuard, directement lorsque le réseau l’autorise, ou par un relais chiffré dans le cas contraire. Ce qu’est Tailscale et comment fonctionnent le serveur de coordination et les relais présente cette architecture. Ce guide ne la répète donc pas. Un point de cette architecture est important ici : par défaut, le trafic vers Internet public n’entre jamais dans le tunnel. Seul le trafic destiné à un autre appareil de votre tailnet y passe.

Ce que Tailscale masque, et à qui

La réponse honnête est une liste d’intervenants plutôt qu’un simple oui ou non. Chaque point décrit d’abord le comportement par défaut, puis les changements apportés par un exit node.

Trafic entre vos propres appareils

Masqué pour tous les intermédiaires. Lorsque votre ordinateur portable se connecte à votre VPS via son adresse tailnet, les paquets sont chiffrés avec WireGuard d’un appareil à l’autre. Le wifi de l’hôtel et votre FAI voient un flux UDP entre deux adresses, et rien d’autre. Les serveurs Tailscale eux-mêmes ne détiennent pas les clés qui chiffrent ce trafic. Chaque clé privée est générée sur l’appareil et ne le quitte jamais. C’est pourquoi une revue de sécurité de Tailscale considère le serveur de coordination comme un annuaire, et non comme un intermédiaire. Cette protection est active dès l’installation de Tailscale. Rien d’autre n’est à configurer.

Votre IP publique, telle que les sites web la voient

Elle n’est pas masquée par défaut. Ouvrez un navigateur et consultez n’importe quel site. La requête quitte votre ordinateur portable par son interface réseau habituelle. Le site voit donc l’IP publique du réseau auquel vous êtes connecté. Tailscale n’intervient pas du tout dans ce chemin, car la destination n’est pas une adresse tailnet. Avec un exit node activé, le site voit à la place l’IP publique de l’exit node. Votre propre FAI connaît toujours votre adresse dans les deux cas, puisqu’il vous l’a attribuée. Ce que l’exit node masque au FAI, c’est la destination de votre trafic, et non votre identité.

Vos destinations, telles que votre FAI ou le wifi local les voient

Elles ne sont pas masquées par défaut. Votre FAI, ou l’opérateur du réseau du café, voit l’adresse IP de chaque site auquel vous vous connectez, et généralement le nom d’hôte également, car la négociation TLS (transport layer security) l’envoie en clair. Tailscale ne fait rien pour ce trafic, car il n’entre jamais dans le tunnel. Avec un exit node, le réseau local ne voit qu’un flux UDP chiffré vers l’exit node. Il ne voit rien d’autre. La capacité à voir vos destinations passe du réseau local à l’hébergeur de l’exit node.

Contournement des restrictions géographiques

Non par défaut, et seulement en partie avec un exit node. Les services de streaming vérifient le pays associé à votre IP publique. Un exit node sur un VPS vous attribue le pays du VPS, ce qui peut aider, mais aussi une IP de datacenter. Les services de streaming achètent des listes de plages d’adresses de datacenters et les bloquent souvent directement, puisque presque personne ne regarde la télévision depuis un datacenter. Un exit node installé chez vous, sur une connexion résidentielle, est généralement la configuration qui passe ces contrôles. Elle correspond aussi au modèle d’accessibilité pour lequel Tailscale a été conçu.

Ce que Tailscale peut voir lui-même

Les métadonnées, mais jamais le trafic. Le serveur de coordination connaît les appareils présents dans votre tailnet, leurs clés publiques, leurs endpoints actuels et la date de leur dernière connexion. Il ne voit pas le contenu du tunnel et ne voit pas les sites que vous consultez. Lorsque deux appareils ne peuvent pas se connecter directement, un relais chiffré transporte les octets, mais il ne peut pas les déchiffrer. C’est cet aspect de la conception qui rend l’offre gratuite possible. Nous y reviendrons ci-dessous.

Fonctionnement du chemin via un exit node

Un exit node est un appareil de votre tailnet qui accepte de transmettre le trafic vers Internet pour le compte des autres appareils. Lorsque vous le sélectionnez sur votre ordinateur portable, Tailscale installe une route par défaut dans le tunnel. Tous les paquets qui ne sont pas destinés à votre LAN (local area network) sont donc d’abord envoyés à l’exit node, qui les transmet ensuite vers Internet depuis sa propre adresse. Tailscale fonctionne alors comme un VPN commercial, à une différence près : le serveur distant vous appartient.

La configuration sur un Linux VPS se fait en deux étapes. Sur le VPS, activez le forwarding IP, puis annoncez le nœud. La documentation Tailscale sur les exit nodes indique d’exécuter tailscale up après avoir transmis --advertise-exit-node à tailscale set :

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-exit-node
sudo tailscale up

Approuvez ensuite l’exit node dans la console d’administration Tailscale. Une route annoncée n’est pas utilisée tant qu’un administrateur ne l’a pas acceptée. Sur l’ordinateur portable, affichez les exit nodes proposés par votre tailnet et sélectionnez-en un. Vérifiez ensuite quel nœud est actif :

tailscale exit-node list
sudo tailscale set --exit-node=my-vps
tailscale status

Pour confirmer que la route est active, consultez un site de vérification d’adresse IP dans votre navigateur et comparez l’adresse affichée avec l’adresse IP publique du VPS. Pour cesser d’utiliser l’exit node, transmettez une valeur vide : sudo tailscale set --exit-node=. Si vous devez toujours accéder à une imprimante ou à un NAS sur le réseau local lorsque l’exit node est actif, ajoutez --exit-node-allow-lan-access=true. Sinon, la route par défaut envoie également ces paquets vers l’exit node.

C’est tout le mécanisme. Le guide Configurer un exit node Tailscale sur un VPS traite du firewall, du quota de bande passante du fournisseur, du comportement du DNS et des raisons pour lesquelles le débit peut diminuer. Consultez-le en premier lorsque vous configurez réellement un exit node.

Pourquoi Tailscale est gratuit et ce que cela signifie

L’offre personnelle de Tailscale est gratuite, et ses limites sont réelles, pas celles d’une période d’essai : l’offre gratuite couvre quelques utilisateurs et bien plus d’appareils qu’un foyer n’en a besoin. Elle peut être gratuite pour la même raison que Tailscale n’est pas un service de confidentialité. Un VPN commercial axé sur la confidentialité paie les serveurs qui transportent tout votre trafic. Chaque utilisateur lui coûte donc de la bande passante tous les jours. Tailscale ne transporte presque aucun de vos flux. Les connexions directes vont d’un appareil à l’autre. Les relais ne transportent des paquets chiffrés que lorsqu’un chemin direct échoue. Le coût de Tailscale par utilisateur personnel est presque nul. Ses revenus proviennent des équipes qui paient pour des fonctions de contrôle d’accès et d’audit.

Cela a une conséquence pour vous. Aucun groupe d’autres utilisateurs ne partage une adresse de sortie avec vous. Aucune entreprise ne promet non plus de ne pas journaliser votre navigation, car Tailscale ne voit jamais cette navigation. Si vous voulez que le trafic sortant parte d’un autre emplacement que vos propres machines, Tailscale vend l’accès aux serveurs de Mullvad sous forme d’option payante (en octobre 2026). Le produit devient alors hybride : Tailscale pour le mesh et Mullvad pour la sortie. C’est la seule configuration dans laquelle Tailscale ressemble à un VPN grand public sans que vous hébergiez vous-même la sortie.

Modèles de menace : ce que protège chaque configuration

Un modèle de menace décrit simplement à qui vous cherchez à dissimuler votre activité et ce que cette personne ou cette organisation peut voir. Chaque configuration ci-dessous protège contre certains acteurs, mais pas contre d’autres. Choisissez celle qui correspond à votre préoccupation réelle, et non celle qui semble offrir le plus de confidentialité.

Tailnet simple, sans exit node

Protège contre : toute personne présente sur le chemin réseau entre vos appareils et qui chercherait à lire ou à modifier le trafic échangé entre eux. Sur le wifi d’un hôtel, une connexion SSH vers votre VPS via son adresse tailnet est protégée contre la personne assise à la table voisine, même si le wifi est ouvert. Vous pouvez également fermer complètement le port 22 dans le firewall public du VPS.

Ne protège pas contre : tout ce qui concerne votre navigation habituelle. Les sites web voient votre véritable adresse IP. L’hôtel et votre FAI voient tous deux les destinations auxquelles vous vous connectez. Cette configuration ne prétend pas protéger votre confidentialité sur Internet. Vous ne devez pas la considérer comme telle.

Exit node sur votre propre VPS

Protège contre : le réseau local et votre FAI, qui ne peuvent pas connaître vos destinations. Ils voient un seul flux WireGuard vers l’adresse d’un VPS unique. Les sites web voient l’adresse IP du VPS, et non celle de l’hôtel.

Ne protège pas contre : le fournisseur du VPS. Le trafic quitte l’exit node sous la même forme que celle avec laquelle il y est entré. Le fournisseur peut donc voir chaque adresse de destination et chaque nom d’hôte. Il peut aussi lire tout ce qui est envoyé sans TLS. Le VPS est en outre associé à votre identité par l’enregistrement du paiement. Il n’offre donc aucun anonymat : une adresse IP de sortie utilisée par une seule personne permet d’identifier cette personne. Une adresse de datacenter est facile à classifier. Les services de streaming et certaines banques la traitent donc avec méfiance. Le débit est limité par la bande passante du VPS et par le fait que le tunnel passe directement ou via un relay. C’est ce qu’explique la différence entre une connexion Tailscale directe et relayée.

Exit node chez vous

Protège contre : la même exposition au réseau local et au FAI que dans le cas du VPS, avec une adresse IP résidentielle qui passe les contrôles auxquels échouent les plages d’adresses de datacenter. Cette configuration est utile lorsque vous voyagez et que vous voulez que votre trafic sorte depuis votre domicile.

Ne protège pas contre : votre FAI à domicile, qui voit alors aussi tout le trafic généré pendant vos déplacements. Le débit montant de votre connexion à domicile constitue généralement le goulot d’étranglement, car chaque octet que vous téléchargez à l’étranger doit d’abord être envoyé par votre connexion domestique.

Exit via Mullvad ou un VPN commercial

Protège contre : la même exposition au réseau local et au FAI que dans le cas du VPS, ainsi que l’association entre l’adresse IP de sortie et votre nom, puisque des milliers d’autres clients partagent cette même adresse de sortie. C’est le modèle de menace auquel répond un VPN commercial axé sur la confidentialité.

Ne protège pas contre : le fournisseur du VPN, qui se trouve dans la même position que votre fournisseur de VPS. Vous faites confiance à sa politique de journalisation plutôt qu’à votre propre serveur. Cette configuration ne protège pas non plus contre le site web lui-même, qui peut toujours vous identifier au moyen des cookies et de votre compte.

Lorsque rien de tout cela ne suffit

Si l’acteur auquel vous cherchez à dissimuler votre activité est le site web lui-même, ou s’il s’agit d’un acteur capable de contraindre l’opérateur de l’exit node à fournir ses enregistrements, aucune configuration VPN ne suffit. C’est le modèle de menace auquel répond Tor : aucun relay ne sait à la fois qui vous êtes et où vous allez. La comparaison entre Tor et un VPN précise cette limite. C’est la lecture suivante à privilégier si « masquer mon adresse IP » signifiait en réalité « rester anonyme ».

Quand Tailscale est-il le bon outil ?

Utilisez Tailscale lorsque le problème consiste à accéder à vos propres machines : un NAS derrière un routeur domestique, un VPS que vous préférez ne pas exposer sur Internet, un Raspberry Pi chez un proche ou une machine de développement à laquelle vous vous connectez en SSH depuis n’importe où. Pour cet usage, Tailscale est plus pratique qu’un serveur VPN classique : aucun port n’est à ouvrir et aucun serveur central n’est à administrer. Les compromis par rapport à WireGuard classique dépendent principalement de votre souhait de gérer vous-même les clés. Ajoutez un exit node sur un VPS si vous avez également besoin d’une adresse IP de sortie fixe ou si vous devez traverser un réseau local hostile. Achetez un VPN commercial axé sur la confidentialité ou utilisez Tor si votre préoccupation est de ne pas être identifié, car Tailscale n’a pas été conçu pour résoudre ce problème.

FAQ

Tailscale masque-t-il mon adresse IP ?

Pas par défaut. Tailscale transporte uniquement le trafic entre les appareils de votre propre tailnet. Un site web que vous consultez dans un navigateur voit l’adresse IP publique du réseau auquel vous êtes connecté, exactement comme si Tailscale n’était pas installé. Pour la modifier, activez un exit node. Les sites web voient alors l’adresse IP publique de l’exit node, c’est-à-dire l’adresse de votre VPS ou de votre connexion à domicile, selon l’endroit où l’exit node s’exécute. Votre propre FAI connaît toujours votre adresse IP, puisqu’il vous l’a attribuée. L’exit node masque uniquement les sites que vous consultez à votre FAI.

Puis-je utiliser Tailscale à la place d’un VPN sur le Wi-Fi d’un hôtel ?

Oui, pour accéder à vos propres machines. Le tunnel entre votre ordinateur portable et votre VPS ou serveur à domicile est chiffré de bout en bout. Le réseau de l’hôtel ne peut donc pas le lire. Pour la navigation générale, c’est possible uniquement si vous activez un exit node. Sans exit node, le réseau de l’hôtel voit tous les sites que vous consultez, comme si Tailscale n’était pas installé.

Tailscale permet-il de regarder Netflix depuis un autre pays ?

Généralement pas avec un exit node sur un VPS. L’exit node vous donne bien l’adresse du pays où se trouve le VPS, mais cette adresse appartient à une plage de datacenter. Les services de streaming bloquent volontairement ces plages. Un exit node sur une connexion à domicile dans le pays cible possède une adresse IP résidentielle et fonctionne généralement. Tailscale n’exploite pas ses propres exit servers à cette fin. La seule liste de pays du client correspond aux exit nodes Mullvad inclus dans l’option payante.

Tailscale voit-il mon trafic ?

Non. Les clés qui chiffrent votre trafic sont générées sur chaque appareil et ne le quittent jamais. Le serveur de coordination de Tailscale distribue les clés publiques et les endpoints. Ses relais transfèrent les paquets chiffrés lorsqu’une connexion directe échoue. Aucun des deux ne peut déchiffrer les données qui les traversent. Tailscale conserve toutefois des métadonnées : les appareils présents dans votre tailnet et les moments où ils étaient en ligne.

Tailscale remplace-t-il NordVPN ou Mullvad ?

Non. Un VPN commercial axé sur la confidentialité achemine tout votre trafic via des serveurs partagés avec des milliers d’autres clients. Votre adresse IP de sortie ne vous est donc pas directement associée. Tailscale achemine le trafic entre vos propres appareils. Même avec un exit node, la sortie s’effectue par une machine que vous payez et qui vous est associée. Ces deux produits répondent à des besoins différents. Tailscale vend toutefois des exit nodes Mullvad en option pour les utilisateurs qui veulent les deux depuis un même client.