Documentation
VPN domotique : accéder à sa maison connectée sans cloud ni port ouvert
Une maison connectée fonctionne mieux quand elle reste locale : scénarios rapides, données chez soi et équipements utilisables même si un cloud tombe. Le problème arrive dès que vous quittez le Wi-Fi. Un VPN domotique mesh étend le réseau privé jusqu’au téléphone, à la résidence secondaire ou au poste du mainteneur, sans exposer Home Assistant, Jeedom, les caméras ni le NAS sur Internet.
Ce que cela permet concrètement
Piloter et vérifier
Éteindre le chauffage oublié, ouvrir un portail, consulter une alarme ou confirmer qu’une automatisation s’est exécutée.
Voir sans publier
Ouvrir les tableaux de bord et flux de caméras privées sans URL publique, reverse proxy ni redirection de port.
Maintenir à distance
Administrer Home Assistant, Jeedom, MQTT, Node-RED, Zigbee2MQTT, ESPHome, un NAS ou un Raspberry Pi par leur adresse privée.
Relier plusieurs logements
Maison, appartement, atelier et résidence secondaire partagent les seuls services autorisés, sans fusionner aveuglément tous les LAN.
Dépanner un proche
Donner un accès temporaire au bon appareil et au bon port, puis le révoquer sans partager le mot de passe de la box.
Garder les données locales
La voix, les habitudes, la présence et les images peuvent rester traitées sur le matériel domestique.
Pourquoi un VPN privé plutôt qu’un tableau de bord exposé
| Solution | Avantage | Contrepartie |
|---|---|---|
| Cloud du fabricant | Simple et accessible partout | Dépendance au compte, au fournisseur et à Internet |
| Port ouvert / reverse proxy | Contrôle technique complet | Service public à sécuriser, surveiller et mettre à jour |
| VPN classique de la box | Accès privé au LAN | Configuration entrante, profils et contraintes CGNAT |
| VPN mesh | Nœuds sortants, identité, ACL, adresses stables | Un client ou une passerelle doit rester actif sur le site |
Home Assistant recommande lui-même un cloud géré ou un VPN pour l’accès extérieur, et avertit qu’une simple ouverture de port n’est pas sécurisée. Le mesh conserve le bénéfice du VPN tout en évitant le concentrateur unique et la configuration entrante côté nœuds ordinaires.
Home Assistant, Jeedom, Matter, MQTT : ce qui traverse le mesh
| Technologie | Usage | Traitement recommandé |
|---|---|---|
| HTTP/HTTPS et WebSocket | Interfaces Home Assistant/Jeedom, états en temps réel | Connexion privée directe par nom ou IP mesh |
| MQTT | Capteurs, commandes, télémétrie IoT | Broker privé, ACL par client et TLS applicatif si nécessaire |
| mDNS / Bonjour | Découverte de services en .local | Multicast chiffré entre membres autorisés |
| SSDP / UPnP | Découverte multimédia et appareils | Diffusion contrôlée, jamais exposée à Internet |
| Matter sur IP | Éclairage, serrures, chauffage, énergie | Contrôleur local dans la maison ; accès distant au contrôleur |
| Thread / Zigbee / Z-Wave | Réseaux radio de capteurs | Restent locaux ; leur hub ou border router est joint via IP |
| RTSP / ONVIF | Caméras et NVR | Flux privés, droits séparés entre visionnage et administration |
Architecture recommandée dans la maison
- 1Installer un nœud toujours actifInstallez VIGIL-MESH sur Home Assistant/Jeedom quand le système le permet, ou sur une petite machine Linux reliée en Ethernet.
- 2Activer la passerelle LANSélectionnez l’interface physique puis autorisez chaque hôte utile séparément : serveur domotique, NVR, NAS, imprimante ou borne de recharge.
- 3Créer des groupesSéparez propriétaires, famille, invités, prestataires et automatisations. Le refus par défaut évite qu’un accès au thermostat donne accès au NAS.
- 4Autoriser les ports nécessairesOuvrez dans les ACL uniquement les destinations et services utiles. Le réseau privé ne dispense pas de minimiser les droits.
- 5Tester en 4G/5GCoupez le Wi-Fi du téléphone et vérifiez tableaux de bord, notifications, vidéo, reprise de session et procédures de secours.
Le guide Home Assistant et le guide Jeedom détaillent les URL, l’application mobile et le dépannage de chaque plateforme.
Ajouter une vigie privée sur la box : ce que cela améliore
Une vigie privée à domicile donne aux appareils un relais sous votre contrôle lorsque le chemin direct échoue. Sur Freebox Ultra ou Delta, elle peut vivre dans une VM de la box ; ailleurs, un mini-PC, un NAS ou un Raspberry Pi fait le même travail derrière le routeur.
- Le trafic relayé de votre espace de travail reste sur une machine choisie par vous.
- La vigie est proche des services domestiques et disponible tant que la ligne et la box fonctionnent.
- Une seconde vigie hors du domicile évite que la panne de la ligne supprime le seul point de rendez-vous.
- La passerelle LAN et la vigie peuvent cohabiter, mais leurs rôles et leurs règles réseau restent distincts.
Voir la liste des box compatibles et le déploiement Freebox pas à pas.
Sécurité et disponibilité : les règles qui comptent
- Aucun tableau de bord public — gardez les interfaces d’administration sur le LAN et le mesh.
- Comptes distincts et MFA — le VPN est une couche réseau, pas un remplacement de l’authentification applicative.
- ACL minimales — un prestataire chauffage n’a besoin ni des caméras ni du NAS.
- Mises à jour — box, VM, Home Assistant, Jeedom, plugins, caméras et objets connectés doivent rester corrigés.
- Fonctionnement dégradé local — serrures, chauffage, alarmes et éclairage ne doivent pas dépendre d’une liaison WAN permanente.
- Secours — prévoyez accès physique, sauvegardes et éventuellement une seconde connexion 4G/5G.