Documentation
Accéder à son NAS à distance, sans l'exposer à Internet
Un NAS concentre ce que vous avez de plus précieux : photos, sauvegardes, documents. Y accéder depuis l’extérieur pose toujours la même question — comment le joindre sans le rendre joignable par n’importe qui ? Les réponses habituelles (relais cloud de l’éditeur, redirection de port, serveur VPN à configurer) ont chacune leur contrepartie. L’approche réseau privé en propose une autre : le NAS, ou une machine de son réseau local, rejoint un maillage chiffré de bout en bout où seules vos machines existent — zéro port entrant, zéro configuration de box, rien de visible depuis Internet.
Les trois façons classiques d'accéder à son NAS, et leurs contreparties
Les NAS grand public — Synology, QNAP et les autres — proposent en général deux voies d’accès distant : un service cloud de l’éditeur qui relaie la connexion, ou l’ouverture de ports sur la box. Une troisième voie, plus artisanale, consiste à monter soi-même un serveur VPN. Les trois fonctionnent ; aucune n’est gratuite en contreparties.
Le relais cloud de l'éditeur
Simple et sans ouverture de port : le NAS se connecte aux serveurs de l’éditeur, qui relaient vos sessions. La contrepartie est une dépendance : votre accès passe par une infrastructure tierce, liée à un compte chez l’éditeur, et il suit la disponibilité de ce service. C’est un choix raisonnable pour beaucoup d’usages — mais c’est un intermédiaire entre vous et vos données.
La redirection de port (et le DDNS)
Ouvrir un port sur la box et pointer un nom DDNS vers chez soi rend le NAS joignable directement — par vous, et par tout Internet. L’interface du NAS devient un service exposé, scanné en permanence. Et sur une connexion en CGNAT (4G/5G, certains accès fibre), il n’y a tout simplement aucun port à ouvrir : le NAT appartient à l’opérateur.
Le serveur VPN maison
Un serveur VPN sur le NAS ou le routeur évite d’exposer l’interface du NAS — mais il exige quand même un port entrant pour le VPN lui-même, plus la gestion des clés ou certificats, la configuration d’un client par appareil, et l’entretien de tout cela dans la durée. Solide, mais exigeant.
L'approche réseau privé : le NAS rejoint vos machines
Avec VIGIL-MESH, on ne rend pas le NAS joignable depuis Internet : on le fait entrer dans un réseau privé où seules vos machines existent. Chaque membre établit uniquement des connexions sortantes — un seul flux en 443 UDP, comme un navigateur web — et se connecte immédiatement via un relais, avant que la session ne migre sans coupure vers le chemin direct de pair à pair. Rien à ouvrir sur la box, rien de visible de l’extérieur.
- Chiffrement de bout en bout — les sessions sont des connexions QUIC/TLS 1.3 entre vos machines, avec un échange de clés hybride post-quantique X25519 + ML-KEM. Le relais, structurellement aveugle, ne détient pas les clés.
- Adresse stable — chaque machine garde la même adresse (100.64.0.0/10) où qu’elle soit : vos lecteurs réseau et signets ne cassent pas quand vous changez de réseau.
- Accès fermé par défaut — les politiques d’accès (ACL) sont en deny by default : seuls les appareils et les flux que vous autorisez peuvent joindre le NAS, et révoquer une machine lui coupe l’accès immédiatement.
- Depuis tous vos appareils — clients Windows, Linux, Android, NVIDIA Jetson, et même le navigateur via le nœud WASM. Gratuit pour un usage personnel.
Deux manières de raccorder le NAS. La première : installer le client directement sur le NAS. VIGIL-MESH fournit un client Linux ; si votre NAS peut exécuter un binaire Linux (par exemple via un conteneur ou une machine virtuelle que son système propose), il devient un membre du réseau à part entière, joignable par son adresse et son nom. La seconde, qui marche partout : enrôler une machine du même réseau local que le NAS — un PC, un mini-PC, une machine Linux allumée en permanence. Vous joignez cette machine à travers le mesh, et elle accède au NAS en local, comme d’habitude.
Accès par nom, SMB, DLNA : le NAS comme à la maison
Une fois membre du réseau, le NAS se joint par son nom grâce à MagicDNS : « nas-maison » plutôt qu’une adresse à retenir. La résolution est entièrement locale, servie depuis la carte réseau signée que distribue le contrôleur — aucune requête DNS ne sort de la machine, et personne n’apprend qui cherche à joindre quoi.
- Partages de fichiers (SMB) — montez le partage par le nom ou l’adresse stable du NAS ; le lecteur réseau reste valide où que vous soyez.
- Découverte automatique — chaque réseau VIGIL-MESH est un domaine de diffusion : mDNS, SSDP et WS-Discovery traversent le mesh en multicast chiffré, si bien que le NAS peut s’annoncer à vos machines distantes comme sur le réseau local.
- DLNA et multimédia — un serveur multimédia qui s’annonce en SSDP est découvert à travers le réseau par les lecteurs compatibles, comme s’ils partageaient le même segment.
Mettre en place l'accès, pas à pas
- 1Créez votre espace de travailCréez un compte et un espace de travail dans la console VIGIL-MESH. C’est gratuit pour un usage personnel.
- 2Installez le client sur les machines concernéesLe NAS s’il peut exécuter le client Linux — sinon une machine de son réseau local — et les appareils depuis lesquels vous voulez y accéder : portable, téléphone Android, poste de travail.
- 3Enrôlez chaque machineDans la console, page Réseaux → Machines → « Ajouter une machine » : l’assistant remet une clé d’enrôlement à usage unique à passer au client, en commande ou en QR code.
- 4Vérifiez la connectivitéChaque machine reçoit son adresse stable et son nom MagicDNS. Un ping ou un accès au nom du NAS confirme que le chemin est en place.
- 5Accédez au NAS comme en localMontez le partage, ouvrez l’interface du NAS ou lancez la sauvegarde en visant son nom ou son adresse — depuis n’importe où, sans qu’il soit exposé.