VPN, proxy et filtres

Conflit entre Tailscale et un autre VPN sur Mac

Tailscale attribue à chaque appareil une adresse dans 100.64.0.0/10. Un autre VPN peut bloquer le trafic Tailscale ou utiliser les mêmes adresses.

S’applique à : la version actuelle de Tailscale pour macOS, sur macOS 13 Ventura et versions ultérieures. Les commandes de route fonctionnent dans toutes les versions actuelles de macOS.Vérifié le 29 octobre 2026

Symptômes

  • Les appareils Tailscale ne répondent plus quand l’autre VPN se connecte.
  • L’autre VPN cesse de fonctionner quand Tailscale se connecte.
  • Certaines adresses 100.x.y.z aboutissent sur le mauvais réseau.
  • Un nœud de sortie cesse de fonctionner quand un second VPN est actif.

Causes probables

  • Des règles de coupe-feu strictes dans le VPN. Tailscale indique que la plupart des VPN bloquent le trafic qui ne passe pas par eux. Le trafic Tailscale peut alors être perdu.
  • Un chevauchement d’adresses. Un VPN qui utilise aussi la plage CGNAT, de 100.64.0.0 à 100.127.255.255, entre en conflit avec les adresses Tailscale.
  • Les nœuds de sortie. Tailscale indique que les nœuds de sortie ne prennent en charge qu’un seul VPN à la fois.
  • Des routes de sous-réseau qui se chevauchent. Deux tunnels peuvent revendiquer la même plage de réseau local. Le Mac n’envoie alors le trafic qu’à l’un d’eux.

Comment vérifier

  1. Affichez l’état de vos connexions Tailscale. Avec la version App Store, utilisez le chemin complet de la CLI.

    tailscale status

  2. Testez un appareil via Tailscale uniquement. Remplacez le nom par celui de votre appareil.

    tailscale ping my-server

  3. Affichez l’interface qui transporte le trafic vers une adresse Tailscale.

    route -n get 100.101.102.103

  4. Affichez toutes les routes. Cherchez deux interfaces utun avec les mêmes plages.

    netstat -rn

  5. Obtenez un rapport sur le réseau sous-jacent au tunnel.

    tailscale netcheck

Comment corriger

  1. Déconnectez l’autre VPN. Vérifiez que Tailscale fonctionne seul.

  2. Demandez au fournisseur de l’autre VPN s’il peut exclure 100.64.0.0/10 et fd7a:115c:a1e0::/48 de son tunnel.

  3. Ajoutez aussi vos routes de sous-réseau Tailscale à cette liste d’exclusion.

  4. N’utilisez pas de nœud de sortie Tailscale quand un autre VPN est actif.

  5. Si les plages d’adresses se chevauchent, demandez à votre administrateur réseau de modifier l’une d’elles.

  6. Si rien n’y fait, utilisez un seul VPN à la fois.

Avec Kilobat

  1. La vérification de la connexion de Kilobat indique l’interface de chaque chemin, par exemple le Wi-Fi ou un VPN. Elle compare le chemin direct avec le tunnel.

    kilobat why my-server.example.ts.net

  2. Listez les interfaces VPN et leurs compteurs.

    kilobat interfaces --json

  3. Si un service hébergé doit joindre une adresse Tailscale, ajoutez --context provider. Kilobat indique alors que l’adresse est privée.

    kilobat why http://100.101.102.103:8080 --context provider

Questions

Où se trouve la CLI de Tailscale sur un Mac ?

La version App Store l’inclut dans /Applications/Tailscale.app/Contents/MacOS/Tailscale. La version autonome peut installer tailscale dans /usr/local/bin.

Pourquoi Tailscale utilise-t-il des adresses 100.x.y.z ?

Tailscale utilise la plage CGNAT 100.64.0.0/10 pour les adresses des appareils. D’autres VPN peuvent utiliser la même plage.

Sources

Sources vérifiées le 29 octobre 2026. Les pages man sont celles installées avec macOS ; ouvrez-en une avec man <name> dans Terminal.