go install github.com/Adversis/tailsnitch@latest

Ensuite, vous configurez vos credentials Tailscale (soit via OAuth avec TS_OAUTH_CLIENT_ID et TS_OAUTH_CLIENT_SECRET, soit avec une simple clé API TSKEY), et hop, vous lancez tailsnitch. En quelques secondes, l'outil analyse votre configuration et vous sort un rapport avec des niveaux de sévérité : critique, élevé, moyen, faible ou informatif.

Et là, le truc vraiment cool c'est que si vous êtes flemmard (comme moi), y'a un mode --fix interactif. L'outil vous propose de corriger les problèmes un par un. Vous validez, il corrige. Et si vraiment vous n'avez pas envie de réfléchir, y'a même un mode --auto (combiné avec --fix) qui corrige tout ce qu'il peut sans rien demander. Perso, je vous conseille quand même de lancer un --dry-run avant pour voir ce qu'il compte faire, histoire de pas avoir de mauvaises surprises.

Pour les entreprises qui doivent prouver leur conformité, Tailsnitch peut aussi exporter ses résultats au format SOC 2. De quoi rassurer vos auditeurs sans vous galérer à compiler des preuves à la main.

Parmi les trucs vérifiés, on trouve : les clés d'authentification qui n'expirent jamais (mauvais plan), les ACL trop permissives, le MagicDNS désactivé, les appareils non mis à jour, ou encore les nœuds avec le transfert SSH activé alors qu'ils ne devraient pas. Bref, tout ce qu'on oublie de vérifier quand on configure son réseau mesh à l'arrache.

L'outil est open source (licence MIT), codé en Go, et tourne sur n'importe quel OS. C'est donc un truc à lancer de temps en temps pour s'assurer que personne n'a ouvert une brèche dans votre joli tunnel chiffré.

docker network create --ipv6 ip6net
docker run -it \
 -v ./wg0.conf:/etc/wireguard/wg0.conf -v ./state:/tailguard/state \
 --cap-add NET_ADMIN --device /dev/net/tun \
 --sysctl net.ipv4.ip_forward=1 --sysctl net.ipv6.conf.all.forwarding=1 \
 --sysctl net.ipv4.conf.all.src_valid_mark=1 \
 --network ip6net -p 41641:41641/udp \
 --name tailguard juhovh/tailguard:latest

Et en quelques minutes, votre passerelle est opérationnelle. Et le petit plus, c’est que vous pouvez personnaliser pas mal de paramètres via des variables d’environnement : nom des interfaces, clé d’authentification Tailscale, routes spécifiques, hostname, etc.

L’un des gros avantages de cette approche, c’est la centralisation de la gestion des clés. Plus besoin de distribuer des configs WireGuard à tous vos appareils. Tailscale gère l’authentification avec votre provider d’identité préféré (Okta, Google, GitHub, etc.) et TailGuard fait le lien avec votre infra WireGuard. Cette architecture mesh a aussi le gros avantage d’éliminer les points de défaillance uniques des VPN traditionnels.

Et en termes de sécurité, on est sur du solide car chaque connexion reste chiffrée de bout en bout avec WireGuard, réputé pour sa robustesse cryptographique. Et Tailscale ajoute sa couche de zero-trust avec authentification continue et politiques d’accès basées sur l’identité. Comme ça, plus besoin de faire confiance au réseau, puisque chaque requête est vérifiée.

Et pour ceux qui ont des besoins plus spécifiques, TailGuard offre la possibilité de créer des architectures plus complexes. Vous pouvez par exemple router certains sous-réseaux spécifiques, gérer plusieurs tunnels WireGuard, ou même créer des passerelles redondantes pour la haute disponibilité.

Un truc que j’ai trouvé pas mal du tout en testant, c’est la possibilité de faire du SSO (Single Sign-On) sur des équipements qui normalement ne le supportent pas. Votre vieux serveur Linux avec WireGuard devient soudainement accessible via votre compte Google ou Microsoft, grâce à la magie de Tailscale. Pratique pour les équipes qui souhaitent standardiser leurs accès sans tout migrer.

Et si vous vous demandez pourquoi ne pas utiliser directement Tailscale partout, la réponse est simple : Parfois, c’est juste impossible ou trop compliqué. Certains environnements embedded, certains OS propriétaires ou certaines architectures exotiques ne peuvent pas faire tourner le client Tailscale.

TailGuard vient donc combler ce gap en utilisant WireGuard comme protocole universel de base.

Voilà, c’est encore une fois un projet sous licence MIT qui est activement maintenu sur GitHub. Bref, si vous cherchez une solution pour unifier vos VPN sans tout casser, TailGuard mérite vraiment le coup d’œil !