Pourquoi Tailscale a changé la sécurité de mon infrastructure

Oui, je sais, ce n'est « qu'une » couche au-dessus de WireGuard.

Mais ça, c'est vraiment le point de vue du nerd.

Ce qui rend Tailscale incroyable, c'est l'expérience utilisateur.

Je m'explique.

Le monde a changé, le besoin de cybersécurité aussi

L'essor de l'IA a changé beaucoup de choses, que cela nous plaise ou non.

Il suffit de regarder toutes les fuites de données qui se produisent en France pour comprendre rapidement que le monde a changé.

Le besoin de cybersécurité est bien plus grand qu'avant.

Avant, une petite vulnérabilité par-ci par-là n'était pas considérée comme un problème majeur.

Mais cette époque est révolue. Bien sûr, les modèles d'IA américains disposent de garde-fous qui vous empêchent de faire quoi que ce soit de trop imprudent.

Les modèles chinois, eux, s'en moquent complètement.

Reconstruire toute mon infrastructure

Avec cela en tête, j'ai passé beaucoup de temps ces derniers mois à reconstruire l'intégralité de mon infrastructure.

D'un point de vue sécurité, mon infrastructure n'a plus rien à voir avec ce qu'elle était. Par exemple, même si j'utilisais déjà Cloudflare pour certains projets, je ne l'utilisais pas pour tous.

Résultat, mes serveurs d'origine acceptaient du trafic venant du monde entier, même quand Cloudflare n'était pas devant eux.

Ce n'est plus le cas.

Tailscale sur toute la stack

Et c'est là que j'ai introduit Tailscale sur l'ensemble de ma stack.

J'ai toujours besoin que mes services auto-hébergés, comme GitLab, soient accessibles depuis tous mes appareils, ainsi que depuis ceux de mes partenaires.

Mais exposer ce type de service directement sur internet a peut-être été acceptable à une époque. Aujourd'hui, c'est totalement hors de question. Au moment où j'écris ces lignes, GitLab a été touché il y a quelques jours par une CVE plutôt méchante.

Bref, exposer GitLab sur internet ? Mauvaise idée.

J'ai donc commencé à ajouter tous mes appareils à Tailscale, mes serveurs comme mes appareils personnels : mon Mac, mon PC sous Omarchy et mon iPhone.

Sans configuration douloureusement compliquée, je me suis retrouvé avec un réseau complet et des ACL propres, qui garantissent que tout le monde n'a pas accès à tous les services. Ayant passé du temps à mettre en place OpenVPN il y a quelques années, je sais à quel point configurer un VPN peut être fastidieux.

Et je l'ai fait en quelques heures seulement.

La cerise sur le gâteau : Tailscale Services

Vous pouvez, et c'est ce que je fais, rendre des services accessibles à vos applications, par exemple des microservices. Vos applications ont besoin d'un nom d'hôte stable. Si le serveur qui héberge un microservice change, l'URL utilisée par votre application ne doit surtout pas changer.

C'est là que Tailscale Services prend tout son sens.

Tailscale génère un nom de domaine pour vous et, comme ça, votre service reste accessible via la même URL pendant toute sa durée de vie. Fini le stress au moment de le déplacer sur une autre machine.

Un DNS interne, et un GitLab invisible depuis internet

De la même manière, vous pouvez avoir un DNS interne au sein de votre réseau Tailscale. Mon instance GitLab, par exemple, est totalement inaccessible depuis l'extérieur du réseau, et pourtant elle utilise git.developpeur-freelance.io. J'ai une configuration similaire pour le registre de conteneurs.

Aujourd'hui, une quarantaine de mes projets dépendent de cette instance GitLab et de son registre.

Les mettre tous à jour, même avec l'IA, me prendrait un temps incroyable.

Quand quelqu'un se connecte à mon réseau Tailscale, git.developpeur-freelance.io pointe directement vers l'adresse IP interne de GitLab, où il est disponible sur les ports 443 et 22.

Prenez le temps de regarder Tailscale

La cybersécurité devient réellement critique, et les attaquants ont désormais accès à des outils bien plus sophistiqués qu'il y a un an et demi.

Prenez le temps de jeter un œil à Tailscale.

La version anglaise de cet article est disponible sur HEY World.