Alternative à TeamViewer : le bureau à distance par réseau privé

Ce que TeamViewer fait très bien

TeamViewer est un outil d’assistance et de bureau à distance : les deux extrémités installent le logiciel de l’éditeur, et l’infrastructure de l’éditeur les met en relation. Sa force historique tient en une scène que tout le monde connaît : dépanner l’ordinateur de quelqu’un qu’on n’a jamais rencontré. La personne lit à voix haute un identifiant et un mot de passe affichés à l’écran, vous les saisissez, et vous prenez la main. Aucun compte à créer côté dépanné, aucun réseau à préparer, aucune configuration commune préalable.

Ce qui gêne certains usages

Les qualités de TeamViewer découlent d’un choix d’architecture : c’est l’éditeur qui met les machines en relation. Ce choix est cohérent pour un outil d’assistance universel, mais il a des conséquences qu’il faut connaître quand on cherche un accès permanent à ses propres machines.

• Le chemin passe par un tiers. La mise en relation — et le relais du trafic quand la connexion directe n’aboutit pas — sont opérés par les serveurs de l’éditeur. L’accès à vos propres machines dépend donc de la disponibilité et des règles d’un service extérieur, même lorsque les deux machines sont dans la même pièce.
• La politique d’usage commercial. L’outil est gratuit pour l’usage personnel, et l’éditeur détecte les usages qu’il estime commerciaux : une session jugée professionnelle peut être limitée. C’est une politique légitime et affichée — mais la frontière est parfois délicate à vivre quand on dépanne le poste de l’association, le PC d’un client occasionnel ou sa propre machine de télétravail.
• Un agent et un compte tiers sur chaque machine. Chaque machine accessible exécute le logiciel de l’éditeur, et les droits d’accès vivent dans un compte hébergé chez lui. Qui peut joindre quoi n’est pas une règle de votre réseau : c’est une donnée du service.

L’approche réseau privé : vos machines se parlent directement

L’alternative consiste à ne plus passer par un service de mise en relation à chaque session, mais à construire une fois un réseau privé entre vos machines. Chaque machine est enrôlée dans votre espace de travail, reçoit une adresse privée stable et un nom lisible (MagicDNS), et devient joignable par les autres membres comme si elles partageaient le même réseau local — où qu’elles soient physiquement. Le bureau à distance et le terminal ne sont alors plus des services d’un éditeur : ce sont les protocoles standards, RDP et SSH, qui circulent dans votre propre réseau chiffré.

La différence avec un bastion ou une passerelle web mérite d’être soulignée. Ces intermédiaires terminent la session SSH ou RDP sur leur serveur, qui détient donc le clair et vos identifiants, puis vous en retransmettent l’affichage. Ici, il n’y a pas de terminaison intermédiaire : le protocole commence sur votre poste — ou dans votre onglet — et se termine sur la machine cible. L’infrastructure transporte des octets opaques, elle ne lit pas.

Sans compte tiers dans la boucle — et sans ouvrir de port

Remplacer un service de mise en relation ne doit pas ramener la corvée que tout le monde fuit : ouvrir un port sur la box, exposer le port 3389 sur Internet — l’une des configurations les plus attaquées qui soient, scannée en continu par des robots. VIGIL-MESH n’en demande rien : aucun nœud n’ouvre de port entrant. Chaque machine établit uniquement des connexions sortantes, sur un seul flux en 443 UDP — le même port que le web moderne, autorisé en sortie sur la quasi-totalité des réseaux, y compris derrière une box grand public ou une connexion 4G/5G en CGNAT.

1. 1
   Connexion immédiate via un relaisDès que deux machines doivent se parler, le trafic passe par un relais (la vigie), joint lui aussi en sortant. Pas d’attente : la session RDP ou SSH s’ouvre tout de suite.
2. 2
   La traversée NAT cherche le chemin directEn parallèle, les deux machines tentent d’établir un chemin direct de pair à pair, sans qu’aucun port n’ait été configuré nulle part.
3. 3
   Migration sans coupureDès qu’un chemin direct existe, la session y migre sans se reconnecter : votre bureau à distance ne clignote même pas, le trafic change simplement de route.

Le relais mérite un mot, car c’est là que l’approche diffère le plus d’un service d’assistance : la vigie est structurellement aveugle. Elle ne détient pas les clés des sessions et fait transiter des connexions chiffrées de bout en bout dont elle ne voit jamais le contenu. Et si transiter par un relais partagé vous dérange, vous pouvez héberger votre propre vigie privée, dédiée à votre espace de travail : le chemin relayé passe alors par une machine à vous.

Pour qui c’est le bon choix — et pour qui TeamViewer reste meilleur

Le coût d’entrée de l’approche réseau privé est simple à énoncer : il faut enrôler chaque machine une fois. C’est l’affaire de quelques minutes par machine, mais cela suppose d’y avoir accès et d’en avoir la responsabilité. Ce critère départage presque tous les cas d’usage :

Les deux approches ne sont d’ailleurs pas exclusives : beaucoup gardent un outil d’assistance pour l’imprévu — le portable d’un ami de passage — et font vivre leurs propres machines sur leur réseau privé. Ce sont deux problèmes différents, et il est sain de les résoudre avec deux outils différents.

Un parc de machines : atelier, famille « gérée », petite équipe

L’approche réseau privé prend toute sa valeur dès qu’il y a plus de deux machines, parce qu’elle transforme une pile de sessions ponctuelles en un réseau administré. Trois exemples concrets :

• L’atelier. Les postes qui pilotent les machines, le serveur de plans et la passerelle industrielle sont enrôlés. Depuis le bureau — ou depuis un navigateur en déplacement —, on ouvre un bureau sur le poste de la fraiseuse ou un terminal sur la passerelle, par leur nom, sans qu’aucune de ces machines ne soit joignable depuis Internet.
• La famille « gérée ». Lors d’une visite, on enrôle une fois le PC des parents. Ensuite, chaque dépannage est un bureau à distance ordinaire vers une machine de son propre réseau — sans identifiant à faire lire au téléphone, sans session limitée, sans rien réinstaller.
• La petite équipe. Postes de travail et serveurs vivent dans le même espace de travail. Chacun accède à ses machines ; l’administrateur accède à tout ; le prestataire ne voit qu’une seule machine, sur un seul port.

Ce dernier point repose sur les politiques d’accès (ACL), et c’est ce qui distingue un réseau administré d’une simple liste de contacts : le refus par défaut. Ce qui n’est pas explicitement autorisé est interdit, et les règles parlent d’identités — machines, groupes, étiquettes —, jamais d’adresses :

Mettre en place son réseau, pas à pas

La mise en place se fait une fois, machine par machine. Le client existe pour Windows, Linux, Android et NVIDIA Jetson — et le navigateur peut devenir un nœud éphémère via la console, sans rien installer.

1. 1
   Créer un compte et un espace de travailL’espace de travail est le périmètre où vivront vos réseaux, vos machines et vos règles d’accès.
2. 2
   Installer le client sur les machines concernéesLe poste Windows auquel vous voulez accéder en RDP, le serveur à administrer en SSH, le portable depuis lequel vous travaillez.
3. 3
   Enrôler chaque machinePage Réseaux → Machines → « Ajouter une machine » : l’assistant remet une clé d’enrôlement à usage unique, à passer au client en commande ou en QR code sur mobile. La machine génère son identité sur place et n’ouvre aucun port entrant.
4. 4
   VérifierLa machine apparaît dans la console avec son adresse stable ; un ping ou son nom MagicDNS confirme qu’elle est joignable.
5. 5
   Se connecter comme en localBureau à distance vers le nom du poste Windows, SSH vers le nom du serveur — ou terminal depuis l’onglet Administration de la console. Les ACL décident qui peut administrer quoi.

Questions fréquentes