Nylon : un VPN mesh open source qui contourne le NAT grâce à WireGuard et Babel

Le réseau de la plupart des campus ou des petites entreprises bloque souvent les connexions directes entre deux machines situées derrière des routeurs NAT. Pour un étudiant qui voulait simplement jouer à distance depuis sa chambre, les solutions classiques comme Tailscale ou Nebula s’arrêtent dès que la traversée du NAT échoue. C’est le point de départ de Nylon, un projet qui mise sur un maillage de nœuds WireGuard capables de relayer le trafic les uns pour les autres, sans serveur central.

Nylon s’appuie sur une version modifiée de wireguard‑go et fait tourner le protocole de routage Babel (RFC 8966) au-dessus. Chaque lien entre deux nœuds est évalué en temps réel grâce à un test de latenceLatenceDélai entre l'envoi d'une requête à un système et l'obtention d'une réponse ou du début de celle-ci. ; le chemin le plus rapide est alors choisi. Si la connexion directe entre deux machines est impossible, le paquet passe automatiquement par un tiers, voire plusieurs, jusqu’à atteindre sa destination. En cas de panne, le ré‑acheminement se fait en moins de dix secondes.

La configuration repose sur un seul binaire, le port UDP 57175 ouvert, et deux fichiers YAML. Le fichier node.yaml contient la clé privée de la machine, tandis que central.yaml recense l’ensemble des nœuds avec leurs adresses et indique qui doit essayer de se connecter à qui. Ce fichier central doit être copié manuellement sur chaque machine ou distribué via un bundle signé et chiffré que Nylon peut télécharger périodiquement (environ toutes les dix secondes).

Les smartphones n’ont pas besoin d’une application dédiée : les clients WireGuard standards d’iOS et d’Android se connectent à une « passerelle » Nylon, c’est un nœud qui annonce leur présence au reste du maillage. Ces clients sont passifs, ils ne relaient aucun trafic, mais ils bénéficient d’un basculement automatique entre les passerelles grâce à des profils VPN partageant la même clé privée.

Deux conditions sont toutefois indispensables pour que le maillage fonctionne au-delà d’un même réseau local. Premièrement, il faut qu’au moins un nœud soit reachable depuis Internet, soit en redirigeant le port 57175 sur sa box, soit en déployant un petit VPS qui joue le rôle de relais public. Sans ce point d’accès, les machines restent isolées sur des « îlots » NAT. Deuxièmement, la confiance entre les nœuds doit être explicite : le chiffrement s’opère saut par saut, chaque nœud déchiffre puis rechiffre les paquets. Le code actuel considère tous les pairs comme égaux, ce qui signifie qu’un nœud compromis pourrait injecter de fausses routes. Il est donc recommandé de n’utiliser que des machines que l’on contrôle et d’ajouter une couche TLS pour les échanges sensibles.

Pour les utilisateurs qui cherchent uniquement à résoudre le problème du NAT, Tailscale a introduit en février 2026 les Peer Relays, qui permettent à une machine du maillage de relayer le trafic lorsqu’une connexion directe échoue, et cette fonctionnalité est disponible même dans l’offre gratuite. Le projet libre EasyTier propose une approche similaire, capable de percer le NAT4 et de choisir les routes en fonction de la latence.

Sous Linux, l’installation se résume à un script qui dépose le binaire et crée le service systemd. La commande nylon key génère les paires de clés, puis nylon verify valide les fichiers de configuration avant le premier lancement. Le projet est publié sous licence Apache 2.0, compatible macOS, Linux et Windows ; la version Windows rencontre encore des bugs, il est donc plus sûr d’utiliser un client WireGuard standard derrière une passerelle Linux ou macOS.

En pratique, si vous disposez déjà d’un petit VPS et de quelques machines à relier, Nylon représente une alternative intéressante aux solutions commerciales, à condition de bien gérer la partie port forwarding et la sécurité des nœuds.