Alternative à Tailscale : où partir, et comment migrer sans couper l'accès

Pourquoi partir sur NetBird. C'est l'outil qui ressemble le plus à Tailscale, sans en avoir la principale limite. Même principe : un réseau maillé sur WireGuard, des connexions directes entre appareils quand c'est possible, un relais quand ça ne passe pas. La différence, c'est que tout est publié : le client, le serveur de gestion, le serveur de signalisation et le relais. Tu peux donc utiliser le cloud de NetBird, ou tout héberger sur ton propre serveur. NetBird est une société allemande, et son offre cloud facture en euros.

Pour qui. Les équipes techniques qui veulent la simplicité de Tailscale et la possibilité de reprendre la main un jour. Les homelabs qui veulent héberger leurs relais. Les PME européennes qui préfèrent un éditeur européen.

Pour qui ce n'est pas fait. Celui qui ne veut jamais voir un fichier de configuration et n'a pas besoin d'auto-hébergement : Tailscale reste un cran plus fini sur les applications mobiles.

Sa limite. L'application Android a eu des retours de forte consommation de batterie, et certains utilisateurs sont revenus en arrière pour ça. L'auto-hébergement a ses pièges : la clé de chiffrement du stockage vit dans config.yaml, et la perdre, c'est perdre l'accès aux données chiffrées du serveur. Côté licence, depuis 2025 le serveur (management, signal, relay) est sous AGPLv3 ; le client reste sous BSD-3.

Comment migrer. Installe le client NetBird à côté de Tailscale sur deux machines, vérifie la connexion, puis bascule appareil par appareil. Les règles d'accès se recréent dans l'interface web de NetBird, par groupes : c'est en général plus lisible que le fichier de politique de Tailscale. En auto-hébergé, la doc officielle demande une VM Linux à 1 processeur et 2 Go de mémoire, plus un nom de domaine public.

Son prix. Free : 0 €, 5 utilisateurs et 100 machines. Team : 6 € par utilisateur et par mois. Business : 12 € par utilisateur et par mois. Seuls les utilisateurs et machines actifs dans le mois sont facturés. L'édition communautaire auto-hébergée est gratuite, sans limite de durée.

Pourquoi partir sur Headscale. Headscale remplace une seule pièce de Tailscale : le serveur de coordination, celui qui échange les clés et distribue les adresses. Tes appareils gardent les applications officielles de Tailscale. Tu changes juste l'adresse du serveur auquel ils se connectent. C'est la migration la plus légère si ce qui te gêne est de confier la carte de ton réseau à une entreprise américaine.

Pour qui. Un usage personnel, un homelab, une petite organisation. Le projet le dit lui-même : il vise une seule tailnet, pour un usage personnel ou une petite structure open source.

Pour qui ce n'est pas fait. Une équipe qui compte sur les app connectors, Funnel ou Serve de Tailscale : ces fonctions ne sont pas reprises ou restent renvoyées à des tickets ouverts. Une entreprise qui a besoin d'un support.

Sa limite. Pas de console web officielle : tu gères tout en ligne de commande et dans un fichier de politique. Headplane, une interface communautaire, comble le manque, mais elle n'est pas maintenue par l'équipe de Headscale. Les groupes de ton fournisseur d'identité (OIDC) ne s'utilisent pas dans les ACL. Et tu dépends toujours des clients Tailscale : si le protocole change, Headscale doit suivre.

Comment migrer. Il n'y a aucun bouton d'import. Sur chaque nœud : tailscale logout, puis tailscale up --login-server https://ton-headscale avec une clé de pré-authentification. Sauvegarde tailscale status --json avant, car un compte Tailscale fermé ne rend rien.

Son prix. Gratuit, sous licence BSD-3-Clause. Tu paies seulement le serveur qui l'héberge (voir notre comparatif des serveurs VPS).

Pourquoi partir sur ZeroTier. ZeroTier existait avant Tailscale et fonctionne autrement : il crée un vrai réseau virtuel, comme si tes appareils étaient branchés sur le même switch. Ça permet des usages que Tailscale gère mal, comme le jeu en réseau local, certains objets connectés ou des protocoles qui ont besoin de la couche 2 (le niveau des adresses MAC). Il ne repose pas sur WireGuard mais sur son propre protocole.

Pour qui. Les bricoleurs qui veulent relier des appareils comme sur un réseau local, les installations industrielles ou IoT, ceux qui ont déjà l'habitude de ZeroTier.

Pour qui ce n'est pas fait. Une petite entreprise qui veut un plan gratuit : le gratuit est réservé à l'usage personnel non commercial. Celui qui cherche une licence open source : le code est sous BSL 1.1, une licence à source visible avec restrictions.

Sa limite. Le plan gratuit plafonne à 10 appareils et un seul réseau. Au-delà, la facture se fait à l'appareil, ce qui monte vite avec des téléphones, des portables et des serveurs.

Comment migrer. Crée un réseau, installe l'agent, rejoins le réseau avec son identifiant à 16 caractères, puis autorise chaque appareil dans la console. Les règles de flux de ZeroTier ont leur propre langage : prévois une heure pour réécrire tes ACL.

Son prix. Personal : gratuit, 10 appareils, 1 réseau, usage non commercial. Essential : 18 $ par mois pour 10 appareils, puis 2 $ par appareil. Scale : 179 $ par mois pour 100 appareils, puis 1,80 $ par appareil.

Pourquoi partir sur Twingate. Tailscale relie des appareils entre eux. Twingate fait autre chose : il donne accès à des ressources précises (une base de données, un intranet, un NAS) et à rien d'autre. Un « connecteur » installé dans ton réseau ouvre uniquement des connexions sortantes, donc tu n'ouvres aucun port. Pour une équipe où personne n'est administrateur réseau, ce modèle est plus facile à expliquer et à auditer.

Pour qui. Les PME qui veulent remplacer un VPN d'entreprise, les équipes avec des prestataires à qui on donne accès à un seul outil, les entreprises qui pensent en termes de « qui a le droit d'ouvrir quoi ».

Pour qui ce n'est pas fait. Le homelab qui veut que ses serveurs se parlent entre eux : Twingate n'est pas un réseau maillé. Celui qui veut auto-héberger le plan de contrôle : il reste chez Twingate.

Sa limite. Le plan gratuit s'arrête à 5 utilisateurs. Quand la connexion directe échoue, le trafic passe par les relais de Twingate, avec un débit plus faible.

Comment migrer. Déploie un connecteur par site (un conteneur Docker suffit), déclare tes ressources par adresse ou nom DNS, puis invite les utilisateurs. Tu peux garder Tailscale en parallèle pendant la bascule : les deux clients cohabitent.

Son prix. Starter : gratuit jusqu'à 5 utilisateurs. Teams : 5 $ par utilisateur et par mois en annuel, jusqu'à 100 utilisateurs. Business : 10 $ par utilisateur et par mois en annuel. Home : 15 $ par mois, usage non commercial.

Pourquoi partir sur Cloudflare Zero Trust. Si ton domaine est déjà chez Cloudflare, tu as sous la main un accès privé sans serveur à gérer. Le client WARP relie les appareils, Cloudflare Tunnel publie une application interne sans ouvrir de port, et Access vérifie l'identité avant chaque connexion. Le plan gratuit va jusqu'à 50 utilisateurs, loin devant les 5 ou 6 des autres.

Pour qui. Les équipes déjà sur Cloudflare, les PME qui veulent publier des outils internes (un n8n, un tableau de bord) derrière une authentification, sans VPN classique.

Pour qui ce n'est pas fait. Ceux qui quittent Tailscale pour ne plus dépendre d'un géant américain : tout ton trafic passe par le réseau de Cloudflare. Ceux qui veulent un maillage simple entre serveurs : la configuration est plus lourde.

Sa limite. La console est vaste et pensée pour la sécurité d'entreprise : compte une demi-journée pour s'y retrouver. Le gratuit ne garde les journaux que 24 heures.

Comment migrer. Commence par les applications web : un tunnel par serveur, une règle Access par application. Puis déploie WARP sur les postes qui ont besoin d'un accès réseau complet. Pour une instance n8n auto-hébergée, notre agence n8n la place souvent derrière ce type d'accès.

Son prix. Gratuit jusqu'à 50 utilisateurs, journaux sur 24 heures. Pay-as-you-go : 7 $ par utilisateur et par mois, journaux sur 30 jours.

Pourquoi partir sur NordLayer. Certaines équipes ne cherchent pas un réseau maillé, mais un VPN d'entreprise classique : une adresse IP fixe pour se connecter à des outils qui filtrent par IP, des postes protégés en déplacement, une console simple. NordLayer, de l'éditeur de NordVPN, fait exactement ça, avec des passerelles réseau prêtes à l'emploi.

Pour qui. Les PME qui ont besoin d'une IP dédiée (accès à un back-office, à un client, à une banque), les équipes commerciales qui travaillent sur des Wi-Fi publics.

Pour qui ce n'est pas fait. Les développeurs qui veulent relier leurs serveurs entre eux, et tous ceux qui veulent un plan gratuit : il n'y en a pas.

Sa limite. Minimum 5 utilisateurs, et l'IP dédiée est un supplément de 40 $ par mois. Pas d'auto-hébergement.

Comment migrer. Crée l'organisation, prends un serveur à IP dédiée si tes outils filtrent par adresse, ajoute cette IP aux listes blanches avant de couper Tailscale, puis déploie l'application sur les postes.

Son prix. Lite : 8 $, Core : 11 $, Premium : 14 $ par utilisateur et par mois en annuel, 5 utilisateurs minimum. Serveur à IP dédiée : 40 $ par mois en plus.

Pourquoi partir sur WireGuard seul. Tailscale est construit sur WireGuard. Si tu n'as besoin que de rentrer chez toi ou au bureau depuis l'extérieur, tu peux garder le protocole et retirer tout le reste : pas de compte, pas de serveur de coordination, pas de relais tiers. wg-easy ajoute une petite interface web pour créer un accès par appareil et afficher son QR code.

Pour qui. Un homelab avec une box qui permet d'ouvrir un port UDP, un petit bureau qui veut un accès distant simple, quelqu'un qui ne veut aucune dépendance externe.

Pour qui ce n'est pas fait. Si ton opérateur te place derrière un CGNAT (adresse IP partagée, fréquent en 4G et 5G et chez certains fournisseurs fibre), tu ne peux pas ouvrir de port : WireGuard seul ne passera pas sans un VPS relais. Et dès qu'il faut relier dix appareils entre eux, la gestion des clés devient pénible.

Sa limite. Pas de traversée de NAT automatique, pas de DNS magique, pas d'ACL centralisées. Tu es l'administrateur de tout.

Comment migrer. Installe wg-easy en Docker sur une machine du réseau, ouvre un port UDP sur la box (51820 par défaut), crée un profil par appareil, scanne le QR code sur le téléphone. Compte une heure.

Son prix. Gratuit et open source. Si tu passes par un serveur loué pour contourner un CGNAT, compte le prix d'un petit VPS.