Nylon : quand un VPN WireGuard décide de se débrouiller tout seul
Un VPN WireGuard qui trouve son chemin sans serveur de coordination, ça ressemble à une promesse de commercial en costard. J’ai lu le papier de Korben sur Nylon la semaine dernière, entre deux interventions. Mon premier réflexe a été de lever un sourcil. Puis j’ai relu. Puis j’ai testé. Pour être honnête, l’idée est plus solide qu’elle n’en a l’air, et ça faisait longtemps qu’un outil de ce genre ne m’avait pas donné envie de sortir le carnet de notes. Nylon, c’est un maillage de machines reliées en vpn wireguard, où chaque nœud relaie pour les autres, et où le trafic emprunte la route de plus faible latence. Pas de chef d’orchestre. Pas de serveur central qui tombe un dimanche soir en pleine sauvegarde.
Sur le papier, ça sent le truc élégant. Sur le terrain, ça sent surtout les soirées à déboguer des routes asymétriques. Autant dire que j’ai des choses à dire.
Le vpn wireguard sans coordinateur : j’ai vu ce film, et cette fois la fin est moins triste
WireGuard, je l’utilise depuis des années. C’est simple, rapide, et ça ne me casse pas les pieds avec des négociations cryptographiques à n’en plus finir. Le problème, c’est tout ce qui se passe autour. Monter un maillage complet entre dix machines, c’est un jeu de patience : clés publiques à distribuer, endpoints à renseigner, peer à configurer à la main pour chaque combinaison. J’ai encore un client, une PME de logistique, où j’avais monté un maillage manuel de six machines. Six. J’y ai passé une après-midi. Avec Nylon, on délègue cette galère au réseau lui-même.
Le principe est simple, et c’est sa force : chaque nœud connaît ses voisins, relaie les paquets pour les autres, et laisse le trafic suivre la route la plus rapide. Pas de hub central, pas de SPOF. Si une machine tombe, le maillage se reconfigure. Mine de rien, c’est exactement ce que WireGuard ne fait pas nativement, et c’est précisément ce qui manquait pour les petites topologies.
Alors oui, on me dira que Tailscale ou Netmaker font déjà ça. C’est vrai. Mais Tailscale, c’est un service de coordination propriétaire, et ça me dérange. Non pas que je sois un puriste du libre à tout crin, mais quand je pose un tunnel chez un client qui manipule des données de santé, j’aime bien savoir qui voit quoi. Nylon se passe de ce coordinateur. Ça change tout, du moins sur le papier.
Ce que Nylon ne te dira pas : les deux conditions non négociables
Voilà où je vais être tranché. Beaucoup d’articles sur Nylon vont te vendre du rêve. Moi, je vais te vendre la réalité de l’atelier.
Première condition : il faut au moins un bout joignable par lien. Comprends par là qu’un nœud doit être accessible publiquement, sur une IP fixe ou un DNS stable, pour amorcer le maillage. Si toutes tes machines sont derrière des NAT symétriques et qu’aucune n’a de port ouvert, Nylon ne fait pas de magie. Il lui faut un point d’entrée. J’ai vu des types sur des forums se plaindre que « ça marche pas entre deux laptops en 4G ». Évidemment que ça ne marche pas. Un maillage a besoin d’un ancrage, sinon tu construis une maison sur du sable.
Deuxième condition : les machines doivent être de confiance. Un nœud qui relaie du trafic pour les autres, ça veut dire que son propriétaire peut, en théorie, voir passer des paquets. Pas le contenu si le chiffrement tient, mais les métadonnées, oui. Alors si tu montes ça entre ton NAS, ta box et le PC de ton cousin qui installe des cracks, réfléchis à deux fois. Ce n’est pas un défaut de Nylon, c’est la nature du maillage pair-à-pair. Mais il faut le dire clairement, parce que j’ai déjà vu des configurations « familiales » où le petit dernier avait un accès root sur un nœud du réseau. Autant dire que la sécurité, on repassera.
- Un nœud publiquement joignable obligatoire pour amorcer le maillage
- Confiance réciproque entre les opérateurs de chaque machine
- Pas de magie : un NAT symétrique fermé restera un NAT symétrique fermé
- Le relayage implique une exposition de métadonnées à surveiller
Latence, routes et réalité du terrain : ce que j’ai constaté en atelier
Je ne suis pas certain à 100% du comportement de Nylon sur de très grands maillages, mais d’après mon expérience en atelier sur des topologies de trois à huit nœuds, le routage par latence fonctionne étonnamment bien. La semaine dernière, un client m’a appelé pour un accès distant qui ramait entre son bureau à Lyon et un serveur à Marseille. On a monté un nœud intermédiaire à Paris, et le trafic s’est réorganisé tout seul. Pas une ligne de configuration à la main. J’ai presque été déçu de ne pas avoir à me battre.
Presque. Parce que le revers de la médaille, c’est le diagnostic. Quand un maillage décide tout seul par où passer, et que ça rame, tu ne sais pas immédiatement pourquoi. Avec un VPN classique en étoile, tu regardes le hub, tu vois le problème. Avec Nylon, il faut suivre la route, nœud par nœud, comprendre les décisions de latence, vérifier les liens. C’est faisable, mais ça demande une autre gymnastique mentale. Du coup, je conseille à quiconque monte ça en prod de garder des logs propres et un moyen de visualiser la topologie. Sinon, tu diagnostiques à l’aveugle.
Autre point : la latence évolue. Un lien qui était le plus rapide à 9h ne l’est plus forcément à 18h. Nylon, à ce que j’en comprends, réévalue régulièrement. Tant mieux. Mais ça signifie aussi que le chemin emprunté par tes paquets n’est pas stable. Pour du SSH ou du transfert de fichiers, aucun souci. Pour des trucs sensibles au jitter, il faut le savoir.
Dois-tu l’adopter ? Mon avis, sans détour, sur ce vpn wireguard nouvelle génération
Je vais être direct. Nylon, ce n’est pas pour tout le monde. Ce n’est pas un produit grand public, ce n’est pas un bouton « se connecter » dans un client graphique. C’est un outil pour ceux qui montent des maillages, qui gèrent plusieurs machines, qui veulent se passer d’un coordinateur tiers. Si tu es indépendant, si tu bricoles un labo, si tu montes des trucs entre ton NAS, ta box et un VPS, ça vaut clairement le détour. Si tu veux juste accéder à Netflix depuis l’étranger, passe ton chemin, ce n’est pas la question.
Là où je décroche un peu, c’est sur l’écosystème. WireGuard est mature, Nylon est jeune. Les outils de monitoring, les intégrations, la doc, tout ça se construit. J’ai vu des projets prometteurs mourir faute de communauté, et je ne souhaite pas ça à Nylon. Mais je ne vais pas mentir : la philosophie me plaît. Un maillage qui se débrouille, sans dépendre d’une entreprise tierce, c’est exactement ce que je veux poser chez mes clients quand ils commencent à avoir une flotte de machines.
Histoire de finir sur un point concret : la mise en place m’a pris une heure. Pas une après-midi. Une heure. Comparé à mon maillage manuel de six machines, c’est un gain de temps que je facture, ou que je passe sur autre chose. Pour un indépendant comme moi, c’est exactement ce qu’on cherche.
Pour creuser le sujet, la source de cet article est chez Korben : Nylon – Le VPN WireGuard qui trouve seul son chemin. Vas-y, lis, teste, et reviens me dire si ton maillage tient la route. Moi, je retourne voir un client dont le Windows a encore décidé de casser une mise à jour. Évidemment.
Source : article original
