Tailscale

Tailscale est un VPN sans configuration basé sur WireGuard. Il connecte vos appareils et serveurs dans un réseau privé chiffré de bout en bout, sans vous obliger à gérer des règles de pare-feu, à ouvrir des ports ou à configurer des certificats. Cette image fournit une VM avec le client Tailscale préinstallé, prête à joindre votre Tailnet.

Logiciels inclus

Composant	Version
Tailscale	Dernière stable
Ubuntu	24.04 LTS

Variables d’environnement

Vous pouvez éventuellement fournir une clé d’authentification Tailscale lors du déploiement depuis la marketplace. Si elle est définie, la VM rejoint automatiquement votre Tailnet au premier démarrage ; sinon, connectez-vous manuellement avec tailscale up après le déploiement.

Variable	Description
`TS_AUTHKEY`	Clé d’authentification Tailscale pour rejoindre votre Tailnet au démarrage.

Bien démarrer

1. Connectez-vous à votre VM

ssh ubuntu@<your-vm-ip>

2. Joignez votre Tailnet

Option A : automatique avec cloud-init (au déploiement)

Fournissez votre clé d’authentification Tailscale dans les userdata de la VM avant le déploiement:

#cloud-config
write_files:
  - path: /run/tailscale-authkey
    content: 'tskey-auth-xxxxxxxxxxxxxxxx'
    permissions: '0600'
    owner: root:root

La VM se connectera automatiquement à votre Tailnet au premier démarrage.

Option B : manuelle (après SSH)

Générez une clé d’authentification à tailscale.com/admin/settings/keys, puis exécutez:

sudo tailscale up --authkey tskey-auth-xxxxxxxxxxxxxxxx

3. Vérifiez la connexion

tailscale status

La VM devrait apparaître avec son adresse IP Tailscale, habituellement dans la plage 100.x.x.x. Le MOTD affiché à la connexion indique l’état de connexion actuel.

tailscale ip -4

Gérer Tailscale

# Vérifier l'état de la connexion
tailscale status

# Déconnecter du Tailnet
sudo tailscale down

# Reconnecter
sudo tailscale up

# Consulter les journaux
sudo journalctl -u tailscaled -f

Routage et noeuds de sortie

Annoncez la VM comme routeur de sous-réseau pour exposer votre réseau ZCP aux autres appareils du Tailnet:

sudo tailscale up --advertise-routes=<your-subnet-cidr>

Utilisez-la comme noeud de sortie pour acheminer tout le trafic Tailnet par cette VM:

sudo tailscale up --advertise-exit-node

Activez ces options dans la console d’administration Tailscale après avoir exécuté la commande ci-dessus.

Sécurité

Tailscale gère son propre chiffrement et sa propre authentification. Aucune règle de pare-feu supplémentaire n’est requise pour le trafic Tailnet. UFW reste activé et n’autorise que SSH (port 22).

Une fois connectée à votre Tailnet, cette VM est joignable par les autres appareils Tailnet à son adresse 100.x.x.x. Le contrôle d’accès est géré au moyen des ACL Tailscale dans la console d’administration.