Note de transparence : cet article repose sur mes propres déploiements professionnels et ne contient actuellement aucun lien payant ou affilié. Si cela change, cette note et la divulgation des liens affiliés le préciseront.
Starlink a été une vraie percée pour les sites distants que je gère — des endroits où la fibre n’arrivera pas avant des années et où la 4G est trop instable pour faire tourner une activité. Mais la première fois que vous essayez d’atteindre un site Starlink depuis l’extérieur — une session RDP, un NVR de caméras, un serveur de fichiers — vous découvrez le piège : impossible de se connecter vers l’intérieur.
Pourquoi un site Starlink est injoignable depuis l’extérieur
Les offres Starlink standard vous placent derrière du NAT opérateur (CGNAT). Votre antenne partage une adresse IP publique avec de nombreux autres clients, cette adresse change sans préavis, et il n’existe aucune redirection de ports — l’application Starlink n’a tout simplement pas ce réglage.
Tout ce qui dépend de connexions entrantes casse : bureau à distance et SSH vers le site, applications mobiles de vidéosurveillance, serveur VPN auto-hébergé qui attend des tunnels entrants, et le DNS dynamique — inutile ici, puisque l’adresse publique ne vous a jamais appartenu.
Les solutions classiques ne fonctionnent pas ici
Redirection de ports : impossible derrière CGNAT. DNS dynamique : il suit une adresse partagée par des dizaines d’autres clients. Une vraie IP publique : Starlink la réserve à ses offres Priority, difficiles à justifier pour une petite structure qui veut simplement administrer son propre matériel.
Comment Tailscale passe à travers
Tailscale contourne le problème au lieu de le combattre : les deux extrémités se connectent vers l’extérieur. Votre ordinateur portable et la machine du site Starlink établissent chacun des connexions sortantes ; le service de coordination de Tailscale les met en relation, la traversée de NAT établit un tunnel WireGuard direct et chiffré de bout en bout, et quand le CGNAT est trop strict pour un chemin direct, le trafic bascule sur les relais DERP de Tailscale — latence plus élevée, mais la connexion s’établit toujours.
Aucun port ouvert. Aucune IP fixe. Aucune modification sur le routeur Starlink — il n’y a rien à modifier.
Ce que cela donne en déploiement réel
Sur les réseaux multi-sites que je gère — y compris des sites de santé où Starlink est le seul lien viable — le schéma est constant. Les appareils rejoignent le tailnet et deviennent joignables par leur nom en quelques minutes. Les sessions survivent aux changements d’IP de Starlink, parce que l’accès est lié à l’identité de l’appareil et non à une adresse. Et quand le chemin direct échoue, le relais maintient sauvegardes et supervision au prix d’un peu de latence — dégradé, c’est très différent de coupé.
La mise en place (environ 15 minutes)
Installez Tailscale sur la machine du site Starlink et sur votre propre ordinateur, puis connectez les deux au même tailnet. C’est réellement toute la configuration de base — ils se voient immédiatement.
Pour les appareils qui ne peuvent pas exécuter le client (NVR, imprimantes, automates), transformez une machine du site en routeur de sous-réseau :
tailscale up --advertise-routes=192.168.1.0/24
Approuvez ensuite la route dans la console d’administration, et tout le LAN du site devient joignable via cette machine.
Avant de donner l’accès à qui que ce soit d’autre, verrouillez : des ACL pour que chaque utilisateur n’atteigne que les appareils dont il a besoin, et l’expiration des clés pour qu’un ordinateur perdu sorte du réseau de lui-même.
Coûts et limites, honnêtement
Le plan Personal gratuit couvre jusqu’à six utilisateurs — réellement suffisant pour beaucoup de petites structures. Au-delà, la tarification est par utilisateur : Standard à 8 $ par utilisateur et par mois, Premium à 18 $. Les contreparties sont réelles : vous dépendez de la disponibilité du service de coordination de Tailscale, le trafic relayé ajoute de la latence quand la traversée directe échoue, et le coût par siège augmente avec l’effectif.
Si ces contreparties vous gênent et que vous voulez un contrôle total, l’alternative est d’auto-héberger un hub WireGuard sur un petit VPS. Je compare les deux approches — y compris les cas où payer Tailscale est le choix le plus malin — dans WireGuard vs Tailscale for Small Business (en anglais).
Questions fréquentes
Faut-il une redirection de ports sur Starlink pour Tailscale ? Non — c’est tout l’intérêt. Chaque connexion est sortante ; il n’y a rien à ouvrir.
Les connexions cassent-elles quand Starlink change mon adresse IP ? Non. L’accès suit l’identité des appareils, pas les adresses : les changements d’IP sont invisibles pour vos sessions.
Tailscale peut-il lire mon trafic quand il passe par un relais ? Non. Le chiffrement WireGuard est de bout en bout ; les relais DERP transmettent un texte chiffré qu’ils ne peuvent pas déchiffrer.
Le plan gratuit suffit-il pour une petite entreprise ? Jusqu’à six utilisateurs, oui — et les outils derrière ce site sont listés, avec leurs limites, sur la page Outils.