Un siège, une agence, deux salariés en télétravail et un serveur chez un hébergeur : relier tout ce monde avec un VPN classique passe par des tunnels site à site à configurer à la main sur chaque pare-feu, et par un concentrateur VPN qui devient un point unique de défaillance. Les VPN dits « maillés » changent l’approche : chaque machine se connecte directement aux autres, de façon chiffrée, selon des règles d’accès centralisées. NetBird, solution open source basée sur WireGuard, permet de construire ce réseau soi-même. Mode d’emploi pour une PME multisite.
L’essentiel en 30 secondes
- NetBird crée un réseau privé maillé chiffré par WireGuard entre postes, serveurs et sites.
- Les connexions sont directes entre machines quand c’est possible, relayées sinon, sans ouvrir de ports entrants.
- Une console centrale définit qui peut joindre quoi (groupes et politiques), avec authentification par votre fournisseur d’identité.
- Des « routing peers » donnent accès à tout un réseau local sans installer d’agent sur chaque équipement.
- Utilisable en cloud ou entièrement auto-hébergé.
VPN classique ou VPN maillé ?
| Critère | VPN classique (concentrateur) | VPN maillé (NetBird) |
|---|---|---|
| Trafic | Passe par le concentrateur | Direct entre machines |
| Ajout d’un site | Configuration de tunnels sur chaque pare-feu | Installation d’un agent ou d’un routing peer |
| Ports entrants | Ouverts sur le concentrateur | Aucun sur les sites |
| Contrôle d’accès | Souvent « tout le réseau » | Par groupe, service et port |
| Point unique de défaillance | Le concentrateur | Le plan de contrôle seulement (le trafic établi continue) |
Les VPN exposés sur Internet figurent parmi les équipements les plus attaqués, comme le rappelle régulièrement l’ANSSI. Supprimer les ports entrants réduit nettement la surface d’attaque.
Les composants
- Management : le cerveau, qui stocke les machines, groupes et politiques.
- Signal et relais : aident les machines à se trouver et relaient le trafic quand une connexion directe est impossible.
- Tableau de bord : interface web d’administration.
- Fournisseur d’identité : connexion des utilisateurs par SSO, par exemple Authentik, Keycloak ou Microsoft Entra ID.
- Agents : sur Windows, macOS, Linux, Android, iOS, et sur des routeurs (OpenWrt) ou NAS.
Déploiement en 6 étapes
1. Choisir cloud ou auto-hébergement
L’offre cloud de NetBird démarre en quelques minutes. L’auto-hébergement se fait sur un petit serveur Linux disposant d’un nom de domaine, avec le script d’installation officiel basé sur Docker Compose, qui configure aussi les certificats TLS.
2. Connecter le fournisseur d’identité
Les utilisateurs s’authentifient avec leur compte habituel, double authentification comprise. Un départ de salarié se gère alors au niveau de l’annuaire, ce qui coupe aussi son accès VPN.
3. Installer les agents
curl -fsSL https://pkgs.netbird.io/install.sh | sh
netbird up --management-url https://netbird.entreprise.frPour les serveurs, utilisez une clé de configuration (setup key) à usage limité, qui rattache automatiquement la machine au bon groupe : netbird up --setup-key ....
4. Créer les groupes
Exemples : « Comptabilité », « Administrateurs », « Serveurs-Siège », « Serveurs-Hébergeur », « Agence-Toulouse ».
5. Définir les politiques d’accès
Supprimez la politique par défaut « tout le monde vers tout le monde », puis autorisez seulement le nécessaire : la Comptabilité vers le serveur de facturation en HTTPS, les Administrateurs vers tous les serveurs en SSH et RDP, etc. Des contrôles de posture permettent d’exiger une version minimale de l’agent, un système à jour ou la présence d’un certificat sur l’appareil.
6. Relier les réseaux locaux avec des routing peers
Imprimantes, NAS, caméras ne peuvent pas accueillir d’agent. Installez NetBird sur une machine Linux de chaque site (ou sur le routeur), déclarée comme routing peer du sous-réseau local (par exemple 192.168.10.0/24). Les membres autorisés atteignent alors ce réseau à travers elle. Deux routing peers par site assurent la redondance.
Fonctions utiles au quotidien
- Gestion DNS : noms internes résolus pour les membres du réseau.
- Accès SSH intégré et reverse proxy pour publier un service interne de façon contrôlée ; depuis la version 0.67 (avril 2026), ce reverse proxy gère aussi le TCP et l’UDP.
- Journal d’activité : qui s’est connecté, quelles politiques ont changé.
- Sortie Internet via un site (exit node), utile pour des collaborateurs en déplacement.
Bonnes pratiques de sécurité
- Politiques au moindre privilège, revues tous les trimestres.
- Clés de configuration à durée et nombre d’usages limités, révoquées après déploiement.
- Serveur de management auto-hébergé maintenu à jour et sauvegardé.
- Agents mis à jour, contrôle de posture sur la version.
- Journaux exportés vers votre outil de supervision, par exemple Wazuh.
Le VPN maillé s’inscrit dans une démarche plus large de télétravail sécurisé et de segmentation du réseau.
Questions fréquentes
NetBird ou Tailscale ?
Le principe est similaire. NetBird se distingue par la possibilité d’auto-héberger l’ensemble des composants en open source, ce qui intéresse les structures soucieuses de souveraineté.
Faut-il ouvrir des ports sur les box ou pare-feu des sites ?
Non. Les agents établissent des connexions sortantes. Seul le serveur de management auto-hébergé doit être joignable depuis Internet.
Que se passe-t-il si le serveur de management tombe ?
Les connexions déjà établies continuent de fonctionner, mais aucune nouvelle machine ni modification de politique ne peut être prise en compte. Sauvegardez-le et surveillez-le.
Les performances sont-elles bonnes ?
WireGuard est très performant ; en connexion directe, le débit est proche de celui de la liaison. Le passage par un relais ajoute de la latence, d’où l’intérêt de connexions directes.
Sources
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous concevons et déployons des réseaux multisites sécurisés dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
