Documentation
Accéder à son Raspberry Pi à distance, où qu'il soit
Un Raspberry Pi vit rarement à portée de main : il est dans un placard, au fond du jardin, chez un parent, parfois au bout d'une clé 4G. Et le jour où il faut s'y connecter en SSH depuis l'extérieur, les ennuis commencent — redirection de port, IP dynamique, CGNAT. Avec VIGIL-MESH, le Pi rejoint votre réseau privé par une simple connexion sortante : il devient joignable par son nom, de partout, sans rien ouvrir sur la box — y compris derrière une connexion mobile. Et pour dépanner, un terminal SSH s'ouvre directement dans le navigateur, depuis la console.
Ce qu'on fait d'un Raspberry Pi à distance
Le Raspberry Pi est la machine des projets qui tournent tout seuls, loin du bureau — précisément ceux pour lesquels un accès à distance fiable change tout.
Domotique
Un Pi qui pilote la maison — Home Assistant écoute par défaut sur le port 8123 — se consulte depuis l'extérieur par le nom de la machine, sans jamais exposer l'interface sur Internet.
Mesure et capteurs
Station météo, sonde de température, compteur d'énergie : on relève les données et on ajuste les scripts en SSH, sans se déplacer sur le site.
Caméra
Un Pi équipé d'une caméra surveille un local ou un abri de jardin. Le flux reste privé : seul un membre du réseau, autorisé par les ACL, peut le joindre.
Serveur perso
Partage de fichiers, blocage de publicités, petit site de test : le Pi rend service à toute la famille, et vous l'administrez d'où vous êtes.
Le Pi chez un parent
Le grand classique : un Pi installé chez un proche, à dépanner sans faire manipuler la box par téléphone. Une fois membre du mesh, il se joint comme s'il était sur votre bureau.
Les méthodes classiques et leurs limites
La voie traditionnelle pour joindre un Pi hors du réseau local consiste à ouvrir la maison de l'intérieur : rediriger un port de la box vers le port 22 du Pi, puis compenser les effets de bord. Chaque étape ajoute sa fragilité.
La redirection de port
Ouvrir un port vers SSH, c'est exposer un service à tout Internet : les ports SSH accessibles publiquement sont scannés en permanence par des robots qui essaient des mots de passe. Le Pi devient une cible avant d'être un outil.
L'adresse IP dynamique
L'adresse publique de la box change au fil du temps. Il faut alors un service de DNS dynamique et un client de mise à jour sur le Pi — une pièce de plus, qui casse l'accès dès qu'elle se dérègle.
La 4G/5G et le CGNAT
Sur une connexion mobile, l'adresse publique est partagée entre de nombreux abonnés (CGNAT) : il n'y a aucun port à ouvrir, le NAT appartient à l'opérateur. Un Pi derrière une clé 4G est tout simplement inatteignable par redirection de port.
L'approche mesh : le Pi vous rejoint, par une connexion sortante
VIGIL-MESH renverse le problème : au lieu de rendre le Pi joignable depuis Internet, le Pi rejoint lui-même votre réseau privé par une connexion sortante — un seul flux en 443 UDP, le même port que le web moderne. Rien à ouvrir sur la box, rien à configurer chez le parent, rien à demander à l'opérateur mobile.
- Joignable par son nom — MagicDNS donne au Pi un nom court et stable, résolu localement par chaque membre du réseau : vous vous connectez au nom, plus jamais à une adresse qui change.
- Une adresse stable — le Pi garde la même adresse sur le mesh (espace 100.64.0.0/10), quel que soit le réseau physique où il se trouve.
- Connecté immédiatement, direct dès que possible — le trafic passe d’abord par un relais aveugle, puis migre sans coupure vers le chemin direct quand la traversée NAT aboutit.
- Chiffré de bout en bout — les sessions sont des connexions QUIC/TLS 1.3 entre les nœuds ; le relais ne détient pas les clés et ne voit jamais le contenu.
- Sous le contrôle des ACL — par défaut, rien n’est autorisé : vous décidez qui, dans le réseau, a le droit de joindre le Pi et sur quels services.
Mise en place, pas à pas
- 1Créez un compte et un espace de travailL'espace de travail regroupe vos machines et vos réseaux. C'est gratuit pour un usage personnel.
- 2Installez le client sur le PiInstallez le paquet .deb arm64 du client Linux, puis activez le service systemd. Installez aussi le client sur les machines depuis lesquelles vous accéderez au Pi — sauf si vous passez par la console dans le navigateur, qui n'exige rien.
- 3Enrôlez le PiDepuis la console, page Réseaux → Machines → « Ajouter une machine », générez une clé à usage unique. Pour un Pi sans écran, la clé pré-autorisée enrôle la machine sans aucune interaction.
- 4VérifiezLe Pi reçoit son adresse stable et son nom MagicDNS ; un ping vers son adresse mesh confirme que le chemin est ouvert.
- 5Connectez-vous par le nomOuvrez une session SSH vers le nom du Pi depuis n'importe quel membre du réseau, ou le terminal de l'onglet Administration de la console — comme si le Pi était sur votre réseau local.