Votre serveur maison dans la poche : Tailscale pas à pas, sans rien ouvrir sur la box

Cet article a été réalisé en toute indépendance, sans rémunération de Tailscale.

Voilà, la machine est là. Au premier volet, vous avez choisi un Lenovo ThinkCentre M920q reconditionné, 16 Go de mémoire et 256 Go de stockage, à 280,99 € le 8 novembre. Au deuxième, vous l’avez installé : Proxmox VE 9.2 aux commandes, Home Assistant dans sa machine virtuelle, Jellyfin et Navidrome dans leurs conteneurs, et une sauvegarde prouvée par une vraie restauration. La domotique répond, les films et la musique sont rangés. Une limite, pour l’instant : tout cela ne fonctionne qu’à la maison.

Dans le train, vous ouvrez l’appli Home Assistant : le salon s’affiche, la lampe s’allume sous votre doigt. Jellyfin reprend le film là où vous l’aviez laissé, Navidrome lance l’album, et l’interface de Proxmox répond depuis le bureau. Sur la box, aucun port n’est ouvert, et aucun de ces services n’est visible depuis Internet.

C’est le montage qui tourne chez nous, sur ce même M920q. Ce troisième volet le refait avec vous, service par service, avec les mêmes machines et les mêmes adresses. Puis il le verrouille : qui peut joindre quoi, et comment fermer SSH à tout ce qui ne passe pas par le tunnel.

Un rappel avant de commencer : un accès à distance ne remplace ni la sauvegarde du volet 2, ni un moyen de reprendre la main sur place, écran et clavier branchés au serveur.

1. Pourquoi Tailscale plutôt qu’ouvrir des ports
2. Le plan : un Tailscale par service
3. Étape 1 · Le compte et ses serrures
4. Étape 2 · L’hôte Proxmox
5. Étape 3 · Home Assistant
6. Étape 4 · Jellyfin et Navidrome
7. Étape 5 · Qui peut joindre quoi
8. Étape 6 · SSH, seulement par le tunnel
9. Le VPS : ouvrir ce qui doit l’être, et rien d’autre
10. Gratuit ou payant
11. Les autres chemins
12. La liste de contrôle

Pourquoi Tailscale plutôt qu’ouvrir des ports

Pour joindre un serveur de la maison depuis l’extérieur, il existe trois grandes manières de faire. Elles n’exposent pas du tout la même chose.

Méthode	Ce qui est visible d’Internet	Derrière un CGNAT
Rediriger des ports sur la box	Chaque service redirigé, avec sa page de connexion et ses failles éventuelles, à la merci des robots qui scannent Internet en permanence	Impossible : pas d’adresse IPv4 publique à rediriger
Un VPN classique, sur la box ou en WireGuard maison	Un seul port, celui du VPN	Impossible en IPv4 sans point d’entrée public
Tailscale	Rien côté maison : le client sort vers Internet, rien n’entre	Fonctionne

Ce qui rend Tailscale pratique au quotidien tient en quatre points :

• les mêmes applis, partout : l’appli Home Assistant, Jellyfin ou un lecteur Navidrome se connectent à une adresse privée qui marche en 5G, au bureau ou à l’hôtel comme dans le salon ;
• rien à ouvrir : ni redirection de port, ni adresse publique, ni nom de domaine. C’est ce qui le fait fonctionner derrière le CGNAT de certains opérateurs (on en avait parlé : la fibre DIGI et le CGNAT) ;
• un appareil perdu se coupe en un clic : on le supprime de la console, et il ne joint plus rien ;
• gratuit pour un foyer : jusqu’à six personnes et autant d’appareils personnels qu’on veut, selon la grille relevée le 11 novembre 2026.

La contrepartie est réelle, autant la connaître. Votre réseau privé dépend d’un compte chez Tailscale, une entreprise canadienne, qui voit passer des métadonnées : quels appareils existent et lesquels se parlent. Le contenu, lui, reste chiffré de bout en bout. Et chaque appareil qui veut entrer doit porter le client Tailscale. Pour des visiteurs, il faudra une autre porte, celle du VPS, plus bas.

Pour ceux qui veulent comprendre : comment Tailscale traverse la box

Chaque appareil qui rejoint votre réseau privé, le tailnet, génère une paire de clés WireGuard. La clé privée ne quitte jamais l’appareil. La clé publique est confiée au serveur de coordination de Tailscale, qui joue l’annuaire : il indique à chaque appareil quelles autres machines existent, avec quelles clés, à quelles adresses tenter de les joindre, et ce que la politique d’accès autorise. Les données, elles, ne passent pas par cet annuaire.

Vient ensuite la traversée des NAT. Votre box partage une adresse publique entre tous les appareils de la maison et refuse ce qui arrive sans avoir été demandé. Tailscale contourne l’obstacle en faisant émettre les deux appareils l’un vers l’autre en même temps : chaque box voit partir une connexion et laisse entrer la réponse. Quand la manœuvre échoue, derrière certains pare-feu stricts par exemple, les paquets passent par un relais DERP, des serveurs de Tailscale qui transportent des paquets WireGuard qu’ils ne peuvent pas déchiffrer. Un relais entre pairs peut aussi être installé dans votre propre réseau.

Chaque appareil reçoit une adresse fixe dans la plage 100.64.0.0/10, de 100.64.0.0 à 100.127.255.255. Cette plage réservée n’entre pas en conflit avec celle de la box, 192.168.1.x dans le volet 2. MagicDNS donne en plus à chaque appareil un nom court, comme jellyfin.

Si la coordination de Tailscale tombe en panne, les appareils déjà connectés gardent clés et règles en mémoire et continuent un temps à se parler. Ajouter un appareil ou renouveler une clé attend son retour. Côté vie privée, l’éditeur reçoit les adresses IP de vos appareils et la liste de qui se connecte à qui, pas le contenu des échanges.

Pour connaître le trajet réel depuis une machine Linux : tailscale status indique si un pair est joint en direct ou par relais, tailscale ping NOM répond « via DERP » ou par une adresse IP directe, et tailscale netcheck décrit votre NAT et le relais le plus proche. Le premier ping passe souvent par DERP, le temps que le trajet direct s’établisse.

Le plan : un Tailscale par service

Chez nous, chaque service a son propre client Tailscale. C’est un choix : une machine éteinte ou compromise n’entraîne pas les autres, chacune a son adresse et son nom, et les règles d’accès se règlent service par service. Voici le plan, avec les adresses du volet 2.

Machine du volet 2	À la maison	Tailscale, comment
Hôte Proxmox	192.168.1.10:8006	Script officiel, dans le shell de l’hôte
Home Assistant, VM 100	192.168.1.20:8123	Application Tailscale de Home Assistant
Jellyfin, CT 110	192.168.1.21:8096	Périphérique TUN, puis script officiel
Navidrome, CT 120	192.168.1.22:4533	Périphérique TUN, puis script officiel
Téléphone, portable	sans objet	Application Tailscale

Une autre approche existe : un seul Tailscale, sur l’hôte ou dans un petit conteneur, qui annonce tout le réseau 192.168.1.0/24. Elle est plus rapide à poser, mais elle ouvre d’un coup toute la maison, box et imprimante comprises. Elle figure dans « Les autres chemins ».

Étape 1 · Le compte et ses serrures

Tout part d’un compte Tailscale, ouvert avec un fournisseur d’identité : Google, Microsoft, GitHub, Apple ou un autre. Ce compte devient la clé de votre réseau privé. Protégez-le en conséquence :

1. activez la double authentification chez ce fournisseur, avec une application d’authentification plutôt qu’un SMS ;
2. dans la console de Tailscale, activez l’approbation des appareils (Device approval) : un nouvel appareil n’entre qu’après votre validation ;
3. installez l’application Tailscale sur votre téléphone et votre portable, puis connectez-les au compte. Ce sont vos deux premiers appareils.

Étape 2 · L’hôte Proxmox

Dans l’interface de Proxmox, cliquez sur le nœud, puis sur Shell. Téléchargez le script officiel, lisez-le avant de l’exécuter, puis lancez-le :

curl -fsSL https://tailscale.com/install.sh -o /root/install-tailscale.sh
less /root/install-tailscale.sh
sh /root/install-tailscale.sh
tailscale up

tailscale up affiche un lien : ouvrez-le, connectez-vous et approuvez l’hôte. Relevez ensuite son adresse :

tailscale ip -4

✅ C’est bon si depuis le téléphone, Wi-Fi coupé, https://100.x.y.z:8006, avec l’adresse relevée, ouvre l’interface de Proxmox, avec le même avertissement de certificat qu’à la maison.

Dans la console de Tailscale, ouvrez le menu de la machine et désactivez l’expiration de sa clé (Disable key expiry). Sans cela, le serveur se déconnecterait au bout de 180 jours, peut-être pendant vos vacances.

Pour ceux qui veulent comprendre : l’expiration des clés

Par défaut, chaque appareil doit se réauthentifier tous les 180 jours. C’est une sécurité : un appareil volé ou oublié finit par perdre son accès tout seul. Pour un serveur sans écran, c’est surtout un risque de coupure au mauvais moment.

Désactiver l’expiration est donc l’usage pour les serveurs, à deux conditions : la garder sur les téléphones et portables, qui se perdent, et supprimer sans attendre un appareil perdu. À l’étape 5, les étiquettes de service ont le même effet : par défaut, un appareil étiqueté n’expire plus.

Étape 3 · Home Assistant

Home Assistant OS n’a pas de shell classique : Tailscale s’y installe comme une application. Ouvrez Paramètres, puis Applications, les anciens modules complémentaires, et la boutique. Cherchez Tailscale, installez-la, démarrez-la, puis ouvrez son interface web pour connecter Home Assistant à votre compte. Désactivez ensuite l’expiration de sa clé dans la console.

Dans l’appli Home Assistant du téléphone, ouvrez les réglages du serveur. Gardez http://192.168.1.20:8123 comme URL interne, pour le Wi-Fi de la maison, et inscrivez l’adresse Tailscale comme URL externe, par exemple http://homeassistant:8123 avec le nom affiché dans la console. L’appli bascule seule de l’une à l’autre.

✅ C’est bon si en 5G, l’appli affiche votre tableau de bord et une lampe répond.

Étape 4 · Jellyfin et Navidrome

Les deux conteneurs du volet 2 sont non privilégiés. Par sécurité, ils n’ont pas accès au périphérique réseau virtuel, dit TUN, dont Tailscale a besoin. On le leur prête, sans leur donner d’autres droits :

1. dans Proxmox, arrêtez proprement le CT 110, celui de Jellyfin ;
2. ouvrez Resources, Add, Device Passthrough, et saisissez /dev/net/tun dans Device Path. L’emplacement dev0 sert déjà à la puce graphique depuis le volet 2 : utilisez le suivant, dev1 ;
3. redémarrez le conteneur, ouvrez sa console et lancez les commandes ci-dessous ;
4. recommencez pour le CT 120, celui de Navidrome, où dev0 est libre.

apt update
apt install -y curl ca-certificates less
curl -fsSL https://tailscale.com/install.sh -o /root/install-tailscale.sh
less /root/install-tailscale.sh
sh /root/install-tailscale.sh
tailscale up

Désactivez l’expiration des deux clés dans la console. Sur le téléphone, ajoutez le serveur http://jellyfin:8096 dans l’appli Jellyfin, et http://navidrome:4533 dans un lecteur compatible Subsonic, comme Amperfy sur iPhone ou Substreamer.

✅ C’est bon si en 5G, un film démarre dans Jellyfin et un album dans le lecteur. Dans la console d’un conteneur, tailscale ping NOM_DU_TELEPHONE répond par une adresse directe, ou « via DERP » si la liaison passe par un relais.

Pour ceux qui veulent comprendre : le périphérique TUN et les conteneurs

Tailscale crée une carte réseau virtuelle, tailscale0, qui s’appuie sur le périphérique /dev/net/tun du noyau. Un conteneur LXC partage le noyau de l’hôte. Non privilégié, il ne peut pas créer ce périphérique lui-même : son root n’est root qu’à l’intérieur. Le Device Passthrough de Proxmox lui prête ce périphérique, et seulement lui, ce qui est bien plus sûr que de passer le conteneur en mode privilégié.

Une VM, comme celle de Home Assistant, a son propre noyau : elle n’a pas besoin de ce réglage. Et si un conteneur doit rester sans TUN, Tailscale sait tourner en mode « espace utilisateur », moins rapide, qui ne crée pas de carte réseau.

Étape 5 · Qui peut joindre quoi

À ce stade, tout fonctionne. Mais à la création, Tailscale applique une politique d’accès permissive : chaque appareil du réseau peut joindre tous les autres, sur tous les ports. Le téléphone d’un enfant pourrait ouvrir le SSH de Proxmox, et le VPS de l’étape suivante aussi. On referme.

Dans la console, étiquetez d’abord les quatre services avec tag:serveur (menu de la machine, Edit ACL tags). Puis, dans l’onglet Access controls, remplacez la politique par défaut par celle-ci :

{
  "tagOwners": {
    "tag:serveur": ["autogroup:admin"],
    "tag:vps": ["autogroup:admin"]
  },
  "grants": [
    {
      "src": ["autogroup:admin"],
      "dst": ["*"],
      "ip": ["*"]
    },
    {
      "src": ["autogroup:member"],
      "dst": ["tag:serveur"],
      "ip": ["tcp:8123", "tcp:8096", "tcp:4533"]
    },
    {
      "src": ["tag:vps"],
      "dst": ["tag:serveur"],
      "ip": ["tcp:8123"]
    }
  ]
}

Elle se lit de haut en bas. Vous, administrateur, joignez tout. Les autres membres du foyer joignent seulement Home Assistant, Jellyfin et Navidrome, sur leurs ports. Le VPS, étiqueté tag:vps, ne joint que Home Assistant. Personne d’autre que vous n’atteint le SSH ou l’interface de Proxmox.

Une règle ne s’efface jamais par une autre : tant que la règle « tout le monde joint tout » subsiste, les restrictions ajoutées n’ont aucun effet. D’où le remplacement complet de la politique, plutôt qu’un ajout de lignes.

✅ C’est bon si depuis l’appareil d’un autre membre du foyer, Home Assistant répond, mais l’interface de Proxmox reste injoignable.

Pour ceux qui veulent comprendre : étiquettes, groupes et grants

Une étiquette, ou tag, donne une identité de service à une machine : elle n’appartient plus à une personne, elle remplit un rôle. Les règles visent alors des rôles, pas des noms qui changent. tagOwners indique qui a le droit de poser chaque étiquette, ici les administrateurs (autogroup:admin). autogroup:member désigne tous les utilisateurs du réseau.

Une règle grants se lit « source, destination, ports ». Tout ce qui n’est pas accordé est refusé : c’est le principe du moindre privilège. Les règles s’additionnent et ne se retranchent jamais. La console vérifie la syntaxe avant d’enregistrer.

Pour un réseau plus fin, une étiquette par service (tag:ha, tag:jellyfin…) permet de n’ouvrir à chacun que son propre port. Le principe reste le même.

Étape 6 · SSH, seulement par le tunnel

Chez nous, SSH ne répond qu’à travers Tailscale, sur le serveur maison comme sur le VPS. Sur le serveur maison, c’est presque acquis : la box ne laisse rien entrer, et la politique de l’étape 5 réserve SSH à l’administrateur. On garde volontairement l’accès depuis le réseau de la maison, pour reprendre la main si Tailscale tombe.

Sur un VPS, c’est une autre histoire : il est sur Internet, et son port 22 est frappé par des robots à longueur de journée. Voici comment le fermer à tout ce qui ne passe pas par le tunnel, avec le pare-feu ufw d’une Debian ou d’une Ubuntu. Installez d’abord Tailscale sur le VPS, avec le même script qu’à l’étape 2, étiquetez-le tag:vps et ouvrez une session SSH par son adresse Tailscale. Gardez la session actuelle ouverte, et repérez la console de secours de votre hébergeur.

ufw default deny incoming
ufw default allow outgoing
ufw allow 80/tcp
ufw allow 443/tcp
ufw allow in on tailscale0 to any port 22 proto tcp
ufw enable
ufw status verbose

Ajoutez les ports de vos autres services publics, par exemple UDP 10000 pour la vidéo de Jitsi. Puis durcissez SSH lui-même, dans un fichier /etc/ssh/sshd_config.d/90-durcissement.conf, après avoir vérifié que votre clé fonctionne :

PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin prohibit-password
AuthenticationMethods publickey

sshd -t
systemctl reload ssh

Le test, avant de fermer quoi que ce soit : ouvrez une deuxième session par l’adresse Tailscale du VPS, elle doit fonctionner. Puis, depuis une autre connexion et Tailscale coupé, tentez l’adresse publique : la connexion doit échouer. Seulement alors, fermez la première session.

✅ C’est bon si ufw status verbose montre 80 et 443 ouverts à tous, 22 seulement sur tailscale0, et la connexion par l’adresse publique n’aboutit plus.

Pour ceux qui veulent comprendre : les trois verrous de SSH

Limiter SSH, c’est poser trois verrous distincts. L’adresse d’écoute : la directive ListenAddress choisit sur quelle adresse locale le serveur attend les connexions. La source autorisée : le pare-feu, ou une règle Tailscale, décide d’où l’on peut arriver. L’identité : AllowUsers, les clés et AuthenticationMethods décident qui entre. Un seul verrou ne suffit pas. Une règle Tailscale ne gouverne que le trafic du tunnel, alors que l’adresse publique et le réseau local relèvent du pare-feu, en IPv4 comme en IPv6.

Pourquoi le pare-feu plutôt que ListenAddress 100.x.y.z ? Parce que l’adresse Tailscale n’existe qu’une fois Tailscale démarré. Si SSH démarre avant, il ne trouve pas l’adresse et refuse de se lancer : vous voilà dehors. La règle ufw sur l’interface tailscale0 n’a pas ce défaut.

Pourquoi pas une liste d’adresses IP publiques ? Une adresse partagée, en CGNAT ou sur le Wi-Fi d’un hôtel, n’identifie pas une personne. Une adresse Tailscale désigne un appareil enregistré et approuvé, dont la sécurité dépend de ce téléphone ou de ce portable. Enfin, filtrer les adresses limite qui frappe à la porte, sans réduire les pouvoirs d’un compte root une fois entré : sur l’hôte Proxmox, la clé SSH et sa phrase secrète restent la vraie protection.

Le VPS : ouvrir ce qui doit l’être, et rien d’autre

Tailscale suffit tant que toutes les personnes qui utilisent vos services peuvent installer son application. Pour une visio Jitsi avec la famille, ou pour qu’un service extérieur interroge Home Assistant, il faut une porte publique. Chez nous, c’est un petit VPS, un serveur loué à l’année. Il est le seul à exposer quelque chose sur Internet, et uniquement ses ports web.

Trois logiciels s’y partagent le travail. Caddy reçoit les connexions HTTPS, obtient tout seul les certificats et relaie chaque requête vers le bon service. Authelia place une page d’identification, avec double authentification, devant les adresses qu’on lui confie. Jitsi assure la visio. Pour atteindre Home Assistant, Caddy passe par Tailscale et vise son nom court : la maison n’ouvre toujours rien. Dans le fichier de Caddy, avec votre propre domaine :

ha.votre-domaine.be {
	reverse_proxy homeassistant:8123
}

Home Assistant refuse les requêtes relayées par un proxy inconnu. Déclarez le VPS comme proxy de confiance dans configuration.yaml, avec son adresse Tailscale, puis redémarrez Home Assistant :

http:
  use_x_forwarded_for: true
  trusted_proxies:
    - 100.x.y.z

L’API de Home Assistant se protège par un jeton d’accès, qu’un service extérieur envoie à chaque requête dans l’en-tête Authorization: Bearer. Ce jeton ouvre les droits du compte qui l’a créé, ni plus ni moins : créez-le depuis un compte dédié, aux droits limités, plutôt que depuis le vôtre. Et grâce à l’étape 5, même compromis, le VPS ne joint que Home Assistant, sur son port. Il ne voit ni Proxmox, ni Jellyfin, ni le SSH de la maison.

Gratuit ou payant

Tout ce qui précède tient dans l’offre gratuite. Relevé du 11 novembre 2026 sur la grille de Tailscale, en dollars américains et hors taxes :

Offre	Prix affiché	Ce qu’elle apporte
Personal	0 $	Usage personnel non commercial, 6 utilisateurs, appareils personnels illimités, 50 ressources étiquetées
Standard	8 $ par utilisateur et par mois	Utilisateurs sans plafond, plus de groupes de règles et d’outils d’administration
Premium	18 $ par utilisateur et par mois	Journaux de flux réseau, accès ponctuels administrés, quotas plus larges

Comptez bien : un utilisateur est une personne, pas un appareil. Vos quatre services et le VPS, étiquetés, sont cinq ressources étiquetées sur les 50 incluses. Méfiez-vous des vieux tutoriels : la formule Personal Plus a été retirée le 8 avril 2026, et le gratuit est passé à six utilisateurs.

Pour ceux qui veulent comprendre : abonnements, débit et Tailscale SSH

Les offres payantes se facturent au siège acheté, pas seulement aux personnes connectées ce mois-là. Pour 2 sièges, Standard coûte 2 × 8 × 12 = 192 $ par an, Premium 2 × 18 × 12 = 432 $. Au-delà de 50, chaque ressource étiquetée est affichée à 1 $ par mois.

Payer n’achète pas, d’après la grille, un débit garanti : il dépend du trajet, direct ou relayé, et du débit d’envoi de votre connexion à la maison. Et la fonction intégrée « Tailscale SSH », qui remplace les clés par l’identité Tailscale et dont les capacités varient selon l’offre, n’est pas nécessaire ici : OpenSSH et vos clés fonctionnent très bien à travers le tunnel.

Les autres chemins

D’abord, le routeur de sous-réseau, l’alternative au « un Tailscale par service ». Une seule machine, l’hôte ou un petit conteneur, annonce le réseau 192.168.1.0/24. Tous les appareils de la maison deviennent joignables à leur adresse habituelle, même ceux où l’on ne peut rien installer, comme une caméra. Deux revers : toute la maison s’ouvre d’un coup, et l’appareil joint voit arriver la passerelle plutôt que votre téléphone, ce qui brouille les règles par adresse. Le nœud de sortie, lui, fait passer toute votre navigation par la maison, utile sur un Wi-Fi public.

Ensuite, les outils qui remplacent Tailscale lui-même :

Solution	Coût d’entrée relevé	Ce qu’il faut assumer
WireGuard, configuré soi-même	0 €, logiciel libre	Un point d’entrée joignable, les clés, le DNS, le pare-feu et les routes
Headscale	0 €, serveur libre à héberger	Un serveur public en HTTPS, ses sauvegardes, ses mises à jour, un seul réseau privé
NetBird Cloud Free	0 €, 5 utilisateurs et 100 machines	Offre hébergée par NetBird, fonctionnement différent de Tailscale
NetBird auto-hébergé	Code ouvert, hébergement à prévoir	Un serveur joignable (TCP 80 et 443, UDP 3478), certaines fonctions sous licence Enterprise

WireGuard seul est le plus sobre, mais il lui faut un point d’entrée joignable. Derrière un CGNAT, la maison ne l’est pas en IPv4. Restent une IPv6 publique, si l’appareil distant peut l’atteindre, une IPv4 publique demandée à l’opérateur, ou un VPS auquel la maison se connecte elle-même. Headscale remplace la coordination de Tailscale par la vôtre, en gardant ses applications : vous gagnez le contrôle et héritez de l’exploitation. NetBird repose aussi sur WireGuard, avec sa propre console, et ses offres Team et Business sont affichées à 6 et 12 € par utilisateur actif et par mois.

Et si seul Home Assistant doit être joignable ? Le service par abonnement de Nabu Casa, Home Assistant Link, offre un accès distant limité à cette application, sans rien installer d’autre.

Pour ceux qui veulent comprendre : confiance et coût d’un VPS

Un VPS qui route entre deux tunnels WireGuard déchiffre les paquets à son niveau avant de les renvoyer. Un relais DERP, lui, transporte des paquets qu’il ne peut pas lire. Dans les deux cas, HTTPS et SSH restent chiffrés de bout en bout jusqu’au service.

Pour un VPS à v euros par mois et un domaine à d euros par an, le budget annuel vaut 12 × v + d, plus le temps de maintenance. Exemple purement arithmétique : v = 5 et d = 12 donnent 72 € par an. Côté électricité, Tailscale tourne sur le serveur déjà allumé. En supposant 1 W supplémentaire, une hypothèse et non une mesure, cela fait 8,76 kWh par an, soit environ 3,07 € à 0,35 € le kWh.

La liste de contrôle

• les quatre services répondent en 5G, par leur nom court ;
• tailscale ping indique un trajet direct, ou vous savez pourquoi il passe par un relais ;
• la politique par défaut est remplacée, et un appareil non administrateur ne joint pas Proxmox ;
• le SSH du VPS ne répond qu’à travers Tailscale, vérifié depuis une seconde session ;
• aucun port n’est redirigé sur la box ;
• un écran et un clavier peuvent reprendre la main sur le serveur, Tailscale ou pas.

La suite du dossier pourra s’attaquer à un DNS filtrant pour toute la maison, ou à une IA locale sur le M920q.

Le Bien Heureux · Rédaction Capibara · Mercredi 11 novembre 2026