Comment choisir l’accès distant à un NAS : faites d’abord le calcul des quatre solutions

Il y a quelques jours, un ami m'a demandé sur WeChat : il est dans sa ville natale et veut sortir de son NAS les photos de ses enfants avec son téléphone, mais l'App tourne en rond et n'arrive pas à se connecter. Je lui ai dit que la machine n'était pas en panne, c'est la question du « comment se reconnecter à la maison depuis l'extérieur » à laquelle il n'avait jamais pensé au moment d'acheter son NAS.

Ce genre de problème, j'en ai rencontré beaucoup ces deux dernières années. Quand on choisit un NAS, on regarde le nombre de baies, le CPU, la mémoire, mais ce qui sert tous les jours une fois installé, c'est justement la capacité à « récupérer ses fichiers à la maison même quand on n'est pas là ». Et il n'y a pas de réponse standard, seulement plusieurs voies avec chacune ses compromis. Cet article met côte à côte les quatre approches dominantes pour faire les comptes. La conclusion d'abord :Pour la plupart des foyers, commencer par le relais fourni par le fabricant suffit pour essayer, et on monte d'un cran si ça ne suffit pas ; ne pas viser directement la connexion publique dès le départ.

D'abord, clarifions une chose : pourquoi les appareils à la maison ne peuvent pas se connecter par défaut

L'adresse obtenue par votre ligne broadband n'est très probablement pas une « adresse publique » directement accessible depuis l'extérieur, mais une adresse à l'intérieur du grand réseau interne de l'opérateur, c'est-à-dire ce qu'on appelle communément NAT ou CGNAT. Les adresses IPv4 sont épuisées depuis longtemps, et avec autant d'abonnés broadband, l'opérateur donne par défaut une adresse interne ; les appareils extérieurs n'obtiennent pas la vraie adresse et ne peuvent donc pas franchir la porte.

Donc pour permettre à l'extérieur de se connecter, il n'y a que deux directions : soit trouver un moyen de « relayer » la requête vers le réseau interne, soit faire en sorte que l'appareil à la maison se « connecte activement vers l'extérieur » pour rejoindre une machine déjà sur le réseau public. Les quatre solutions ci-dessous sont, au fond, différentes implémentations de ces deux chemins.

Solution 1 : adresse publique + DDNS, ou connexion directe en IPv6

C'est la solution théoriquement optimale. Demander à l'opérateur une adresse publique, puis utiliser DDNS pour lier l'adresse changeante à un nom de domaine, et se connecter directement à ce domaine depuis l'extérieur pour entrer à la maison.

Vitesse: pas de relais intermédiaire, on peut saturer l'uplink de votre broadband. Attention, c'est l'« uplink » — beaucoup ne regardent que le downlink, mais pour tirer des fichiers de l'extérieur vers la maison, c'est bien le goulot étroit de l'uplink qui bloque, et je l'ai calculé séparément dansl'article sur l'arrivée du broadband 3000M.

Coût: un nom de domaine, de quelques yuans à quelques dizaines de yuans par an, selon le prix actuel du registrar.Niveau d’accèsMoyen : la difficulté ne réside pas dans la configuration, mais dans la possibilité même d’obtenir une adresse publique — les politiques des opérateurs varient selon les régions ; dans certaines zones, les lignes grand public ne fournissent pratiquement plus d’IPv4 publique, ailleurs il faut appeler pour en faire la demande ou souscrire une offre spécifique.

Sécurité: c’est la voie la plus exposée parmi les quatre. Une fois l’appareil directement rattaché au réseau public, il est rapidement repéré par les scanners du monde entier.Mapper un port revient à mettre la machine du foyer dans la rue : l’attaque et la défense dépendent entièrement de sa propre configuration.Avant de commencer, il faut au moins d’abordclarifier le maillon entre l’ONT et le router, et éviter d’exposer aussi l’interface d’administration au passage.

Si l’on ne peut pas obtenir d’IPv4 publique, on peut d’abord regarder l’IPv6. Aujourd’hui, dans beaucoup de régions, les lignes grand public distribuent par défaut une adresse IPv6 ; en la liant à un nom de domaine via DDNS, la connexion directe fonctionne aussi, avec quasiment aucune perte de vitesse. La difficulté, c’est qu’il faut « IPv6 des deux côtés » : en accès via les données mobiles, l’IPv6 est généralement disponible, mais sur le réseau de l’entreprise, ce n’est pas garanti ; si le côté client n’a pas d’IPv6, cette voie est immédiatement coupée.

Solution 2 : utiliser le relais fourni par le fabricant (QuickConnect, UGREEN Cloud, Zspace, FN Connect)

Chaque système NAS intègre en principe un « accès distant sans configuration », dont le principe est similaire : votre NAS maintient une connexion persistante avec le serveur relais du fabricant ; depuis l’extérieur, vous vous connectez au compte du fabricant, la requête est relayée par le serveur, et les données passent elles aussi par ce serveur.

Vitesse: limitée par la bande passante des serveurs du fabricant, et non par le plafond de votre connexion domestique. L’offre gratuite suffit généralement juste à consulter des albums ou récupérer ponctuellement un petit fichier ; compter dessus pour regarder des vidéos à distance n’est guère réaliste.Coût: l’offre gratuite peut dépanner, mais sa suffisance dépend de votre usage — le service d’accès distant FN Connect de fnOS est devenu payant à partir de juillet 2025, ce qui montre aussi que cette voie finira tôt ou tard par rencontrer les limites de l’offre gratuite.PrérequisMinimal, il suffit de se connecter avec un compte pour l'utiliser.SécuritéAucun port entrant n'est ouvert, la surface d'exposition est réduite, c'est son plus grand avantage, le prix à payer étant que les données transitent par les serveurs du fabricant.

Il y a aussi un point facilement négligé : ce type de relais couvre généralementuniquement les quelques applications intégrées par le fabricant(fichiers, photos, synchronisation, vidéo). Si vous installez vous-même d'autres services via Docker sur le NAS, ils ne sont absolument pas couverts. Donc au moment de choisir la machine, si vous comptez de toute façon bricoler des services auto-hébergés, il faut y réfléchir à l'avance — le « degré d'ouverture » de la machine influence plus ce que vous pourrez faire plus tard que les caractéristiques techniques, je l'ai aussi mentionné dansl'article sur comment choisir un NAS domestique.

Solution trois : le réseautage inter-sites, qui relie les appareils externes dans un même réseau local virtuel

Cette approche est la plus en vogue ces deux dernières années, représentée par Tailscale, ZeroTier, et le plus récent EasyTier. Le principe est d'attribuer une adresse privée à chaque appareil, pour qu'ils apparaissent comme branchés sur le même switch, même à des milliers de kilomètres.

Il y a une différence fondamentale à connaître : Tailscale repose sur WireGuard, travaille au niveau réseau et gère les paquets IP ; ZeroTier simule plutôt un switch virtuel de niveau 2, ce qui lui permet de transporter du trafic de niveau 2 comme le broadcast, et même d'utiliser des méthodes anciennes comme le « Wake-on-LAN ». EasyTier est une solution open source plus récente, axée sur la décentralisation.

Vitesse: une fois la connexion point à point directe établie, on peut saturer votre bande montante, au même niveau qu'une connexion directe via l'Internet public ; quand elle n'aboutit pas et qu'on est contraint de passer par un relais, la vitesse chute.Coût: L'offre gratuite suffit généralement pour un usage domestique ; les quotas et politiques spécifiques étant ajustés à tout moment par chaque fournisseur, se référer aux conditions officielles.SeuilMoyen : il faut installer un client sur le NAS, et en cas de problème, il faut consulter soi-même la documentation et fouiller les communautés.

Voici un point clé pour l'expérience en Chine : les serveurs de coordination et les nœuds relais de secours de ce type d'outil se trouvent majoritairement à l'étranger ; dès que la connexion directe échoue et que le trafic passe par un relais overseas, la latence et la gigue augmentent sensiblement.Votre expérience réelle dépend donc largement du taux de réussite de l'« établissement d'une connexion directe » sur votre propre réseau, et cela dépend de l'opérateur, du type de NAT, voire du moment de la journée ; difficile de généraliser. Soit dit en passant, avec la généralisation de l'IPv6, le taux de réussite de ce type de mise en réseau s'est plutôt amélioré ; pour commencer par bien cerner votre bande passante montante et les fondamentaux de votre réseau, vous pouvez revoirl'article sur le broadband 10 Gigabitet les quelques étapes qui y sont décrites.

Solution 4 : monter son propre tunnel en louant un serveur public comme relais

Si les services à utiliser dépassent ceux fournis nativement par le NAS et que vous ne voulez pas exposer les ports de votre domicile, vous pouvez envisager de louer votre propre serveur cloud doté d'une adresse publique, laisser le NAS se connecter activement vers l'extérieur et faire transiter le trafic entrant par ce serveur. La pratique courante consiste à utiliser un outil de tunnel comme frp, avec le serveur déployé sur le serveur cloud.

VitesseLimitée aux deux extrémités : elle dépend à la fois de la bande passante du serveur cloud et de l'uplink domestique ; c'est le côté le plus étroit qui bride.CoûtC'est le tarif mensuel d'un serveur cloud léger ; les moins chers coûtent quelques dizaines de yuans par mois, selon la configuration et les promotions du fournisseur, se référer au prix officiel actuel.SeuilLa plus élevée des quatre options, le serveur et le client doivent être configurés soi-même, et la sécurité est aussi à votre charge.SécuritéMeilleure que la connexion directe via l'internet public, car les appareils domestiques n'apparaissent pas eux-mêmes sur l'internet public, c'est le serveur cloud qui se trouve devant ; mais ce serveur devient alors votre responsabilité, il faut le durcir et le mettre à jour en temps utile.

Lors du choix d'un serveur cloud, ne regardez pas seulement les slogans publicitaires du type « X cœurs et Y Go », l'essentiel est la bande passante et le quota de trafic, car la limite de vitesse de cette option est essentiellement déterminée par cela. Pour savoir comment choisir, j'aila page d'achat de serveur cloudoù j'ai organisé une grille de comparaison.

Quatre solutions, à comparer côte à côte

Il n'y a pas de « lequel est le meilleur » absolu dans le tableau, car ce qui le détermine n'est jamais vous, mais plusieurs conditions que vous ne contrôlez pas : si votre foyer peut obtenir une adresse publique, ce que vous en faites principalement, et si vous êtes prêt à bricoler vous-même.

Comment choisir concrètement

• Vous voulez seulement jeter un œil occasionnel à des fichiers ou albums photos depuis l'extérieur: utilisez d'abord le relais fourni par le fabricant, zéro configuration, si cela suffit, ne vous compliquez pas la vie.
• Vous voulez regarder des vidéos à distance et transférer de gros fichiers: ajoutez une option au relais du fabricant, soit une connexion directe en réseau public (y compris IPv6), soit un réseau privé virtuel, les plafonds de vitesse des deux sont du même ordre de grandeur.
• Vous avez beaucoup d'appareils et devez aussi accéder à des services auto-hébergés: le réseau privé virtuel est plus simple, il suffit de faire entrer chaque appareil dans le même réseau virtuel.
• Vous ne voulez pas exposer les ports de votre foyer et avez besoin de plusieurs services: montez votre propre tunnel, avec un serveur cloud devant pour faire rempart.
• Vous tenez à la confidentialité et ne voulez pas que les données passent par le serveur d'autrui: connexion directe en réseau public ou réseau privé virtuel, faites en sorte que les données passent autant que possible en point à point.

Une expérience générale : pour la plupart des foyers, l'ordre est « essayez d'abord si le relais du fabricant suffit, sinon passez au réseau privé virtuel, et n'envisagez qu'en dernier la connexion directe en réseau public et l'auto-hébergement ». À l'inverse, ouvrir des ports publics dès le départ pour « atteindre le débit maximal » revient souvent à se creuser un trou.

Une fois activé, les points sur lesquels il faut se pencher avant même la vitesse

Avant les vacances de la Fête nationale, les autorités de sécurité publique ont publié un avertissement sur la prévention des fraudes télécom et en ligne (rapport de China Economic Net du 3 octobre 2026), qui pointe spécifiquement un type de procédé : des escrocs se faisant passer pour le service client, vous incitant à télécharger une App dotée de fonctions de « partage d'écran, contrôle à distance ». Ce type de risque n'est pas la même chose que l'accès à distance auto-hébergé par un particulier, mais la logique est similaire —Le contrôle à distance en soi est neutre ; ce qui pose problème, c'est « quel outil est utilisé » et « quel niveau de permissions est accordé ».

Un avertissement de sécurité du ministère de la Sécurité nationale concernant les logiciels de contrôle à distance (rapport de Wang Li, journaliste de CCTV) le dit aussi très clairement ; j'en reprends quelques points liés aux scénarios domestiques :

• N'utilisez pas de logiciels de contrôle à distance obscurs d'origine inconnue. Ces logiciels n'ont souvent pas de qualification de sécurité officielle, manquent de protection par chiffrement, et certains intègrent une backdoor dès l'installation ; vous ne savez même pas quand ils exfiltrent des données.
• Ouvrir toutes les permissions d'un appareil d'un coup pour plus de commodité, sans surveiller en permanence, équivaut à ouvrir tous les risques d'un coup. Après la liaison de l'appareil et l'autorisation de connexion, même si cette connexion est interrompue, les permissions en arrière-plan peuvent subsister indéfiniment.
• Vérifiez régulièrement les logiciels installés et la liste des autorisations ; si vous découvrez un outil de contrôle à distance inconnu ou un enregistrement d'autorisation que vous ne reconnaissez pas, désinstallez immédiatement, révoquez les permissions et changez le mot de passe.

En appliquant ce discours officiel au NAS domestique, je surveille ces points : maintenir le système à jour (les correctifs comblent souvent les vulnérabilités exploitables à distance) ; ne pas exposer tout le panneau d'administration à l'internet public, et si vraiment nécessaire, n'ouvrir que le seul chemin ou port indispensable, en cas de doute passer d'abord entièrement par un tunnel ou un réseau maillé ; changer les comptes par défaut, ne pas utiliser de mots de passe faibles, activer la vérification en deux étapes si possible ; créer un compte dédié pour l'accès à distance, avec le minimum de permissions, ne pas donner de droit d'écriture quand la lecture seule suffit ; consulter régulièrement les journaux de connexion et les appareils autorisés, et prendre au sérieux toute IP inconnue, tout appareil inconnu, tout horaire dont vous n'avez pas souvenir.

Pour conclure

Pour résumer ce qui précède, ce que je voulais dire en faisant ce tableau tient en trois phrases : premièrement, « comment se reconnecter » doit être pensé en même temps que « quelle machine acheter », ne découvrez pas l'impossibilité de se connecter une fois l'installation terminée ; deuxièmement, aucune voie n'est absolument meilleure, regardez d'abord si vous pouvez obtenir une adresse publique, puis ce que vous comptez en faire principalement ; troisièmement, l'ouverture de l'accès à distance et la sécurité sont les deux faces d'une même pièce, commodité et sécurité font toujours des concessions mutuelles.

Pour l'étape concrète de diagnostic, le site a écrit ces articles, à consulter en complément :La vitesse ne change pas après une montée en débit : vérifier un par un de l'ONT à la carte réseau(pour d'abord bien cerner la base de la ligne domestique),La fibre 3000M est arrivée : vérifiez d'abord si votre débit montant suffit(l'uplink est le véritable goulot d'étranglement de l'accès distant),Comment choisir un NAS domestique : réfléchissez d'abord à ces trois points(comment l'ouverture de la machine influence ce que l'on peut faire ensuite).

Les principes des solutions abordés dans cet article, les moments où les services distants des fabricants deviennent payants (fnOS FN Connect facture l'accès distant depuis juillet 2025, source : documentation produit et notices publiques) ainsi que les avertissements de sécurité officiels proviennent tous de sources publiques vérifiées ; les prix sont toujours ceux affichés officiellement par chaque fabricant, je n'ai fixé aucun chiffre. Je n'ai pas réalisé de comparatif de vitesse dans des conditions strictement identiques pour ces différentes solutions ; les jugements liés à l'expérience se fondent sur des informations publiques, à prendre comme référence et non comme conclusion.

Table des matières complète · Retour à l'accueil