PiVPN vs Tailscale (2026) : tout dépend de votre capacité à ouvrir un port

Cherchez cette comparaison et vous trouverez de longs tableaux de fonctionnalités. La plupart enterrent le seul fait qui décide de l'issue pour la majorité des gens, et il n'a rien à voir avec les fonctionnalités : pouvez-vous ouvrir un port entrant sur votre connexion Internet ?

Si oui, les deux outils fonctionnent et le choix dépend de ce que vous voulez. Si non, la comparaison est terminée avant d'avoir commencé.

Une exception : derrière un CGNAT, vous pouvez quand même garder PiVPN en le faisant tourner sur un petit VPS doté de sa propre IPv4 publique, par exemple un Contabo Cloud VPS 4 (lien affilié) à partir de 5,50 € par mois sur un engagement de 24 mois, le Pi à la maison s'y connectant comme client (détails plus bas). Si vous préférez un hébergeur américain avec une garantie satisfait ou remboursé de 30 jours, Ultahost VPS Basic coûte 5,52 $ par mois sur un engagement de 24 mois (1 Go de RAM, IPv4 dédiée, relevé le 21 octobre 2026), assez pour un serveur WireGuard desservant quelques appareils.

La contrainte qui tranche

PiVPN construit un serveur. Les clients s'y connectent depuis l'extérieur, ce qui exige un port joignable depuis Internet, donc une adresse publique à vous.

Tailscale n'accepte jamais de connexion entrante. Les deux extrémités établissent des connexions sortantes et un serveur de coordination les met en relation. Rien ne doit changer sur votre box.

La première question n'est donc pas « lequel est le meilleur » mais que vous fournit votre FAI ? Si l'adresse WAN de votre box se situe entre 100.64.0.0 et 100.127.255.255, vous êtes derrière un NAT de niveau opérateur : il n'y a aucun port à rediriger, et PiVPN ne peut pas être joint depuis l'extérieur, quelle que soit sa configuration.

Deux formes de réseau différentes

Au-delà de la joignabilité, les deux outils construisent des choses réellement différentes.

PiVPN fonctionne en étoile. Tout passe par le Pi. C'est exactement ce que vous voulez quand l'objectif est d'être à la maison depuis ailleurs : naviguer avec votre IP personnelle, atteindre l'imprimante, utiliser un service qui ne fait confiance qu'à votre adresse domestique.

Tailscale est un mesh. Votre portable parle directement à votre téléphone, que le Pi soit allumé ou non. Rien ne passe par une seule machine, donc rien ne casse quand elle redémarre, et rien ne transite par votre connexion domestique sauf si vous le demandez.

Aucune des deux formes n'est meilleure. Elles répondent à des phrases différentes : « Je veux être sur mon réseau domestique » contre « Je veux que mes machines puissent se joindre entre elles. »

Ce que chacun vous coûte

La troisième option quand le port ne peut pas être ouvert

Derrière un CGNAT, le tableau ci-dessus donne l'impression que Tailscale est le seul choix. Il en existe un troisième qui conserve la forme de PiVPN : déplacer le serveur WireGuard du Pi vers un petit VPS doté de sa propre IPv4 publique. Le VPS dispose d'un port joignable de partout, votre téléphone et votre portable s'y connectent exactement comme ils le feraient à PiVPN, et le Pi à la maison s'y connecte comme un client de plus avec PersistentKeepalive = 25, si bien que votre réseau local domestique reste joignable à travers lui. Vous gardez un hub classique entièrement sous votre contrôle, aucun serveur de coordination ne détient la liste de vos appareils, et le CGNAT ne pose plus problème puisque rien n'a besoin d'atteindre votre connexion domestique depuis l'extérieur.

Avant de décider, vérifiez si vous êtes vraiment derrière un CGNAT. Notre vérificateur de port WireGuard gratuit compare l'adresse WAN de votre box avec votre IP publique et vous répond en quelques secondes ; si les deux diffèrent, ou si l'adresse WAN se trouve dans 100.64.0.0/10, aucun réglage de PiVPN n'y changera rien. Le montage avec relais est détaillé pas à pas dans WireGuard derrière un CGNAT, et les configurations du VPS, du Pi et de chaque téléphone sortent du générateur de configuration WireGuard en une minute, clés générées dans votre navigateur. Le générateur est gratuit jusqu'à 10 appareils ; au-delà, WireGuard Pro (notre propre produit, 9 EUR en une fois, sans abonnement) relève la limite à 250 et ajoute un ZIP contenant le .conf de chaque client et son QR code en PNG, pratique pour équiper tout un bureau ou toute une famille d'un coup.

Ce que cela coûte : quelques euros par mois et un serveur de plus à maintenir à jour. Ce qui change par rapport à PiVPN à la maison : le trafic Internet sort par l'adresse du VPS, pas par votre IP personnelle, sauf si vous le faites transiter ensuite par le Pi, ce qui demande plus de configuration. Si tout l'intérêt était de paraître être à la maison, il vous faut toujours une connexion domestique joignable, et cela vous ramène à Tailscale.

La recommandation honnête

Commencez par Tailscale si vous hésitez. Il fonctionne partout, y compris dans les cas où PiVPN ne peut tout simplement pas, et ajouter un appareil prend quelques secondes. Pour la plupart des gens qui veulent atteindre leurs propres machines depuis l'extérieur, c'est tout ce qu'il faut.

Choisissez PiVPN quand l'enjeu est votre connexion domestique elle-même, pour paraître être à la maison, ou pour refuser toute dépendance extérieure. Ce sont deux raisons légitimes, et la seconde n'a rien de paranoïaque : c'est la différence entre un réseau que vous exploitez et un réseau auquel vous êtes abonné.

Et si vous voulez le mesh sans l'entreprise, la voie intermédiaire existe : hébergez vous-même le plan de contrôle avec Headscale, comparé à Tailscale ici. Vous gardez les clients officiels et la traversée de NAT, et la partie qui connaît vos appareils reste sur une machine qui vous appartient.