ZeroTier, votre bateau sur votre mobile

Quand je ne suis pas à bord, pouvoir accéder aux informations du bateau est un vrai avantage, aussi bien au port qu'au mouillage. ZeroTier est un excellent outil qui le permet : de façon sûre, gratuitement et sans trop de complexité.

1. Ce qu'est ZeroTier

ZeroTier est un réseau privé entre vos appareils. On installe le client sur chacun, on les joint au même réseau et ils restent connectés où qu'ils soient : le bateau au port, le portable à la maison, le mobile avec du réseau. Sans ouvrir de ports sur le routeur, sans IP fixe et sans VPN classique avec des certificats qui expirent.

Avant d'aller plus loin, une chose qu'il vaut mieux avoir claire : tout cela exige internet à bord. ZeroTier ne crée pas cette connexion, il l'utilise. Aujourd'hui il y a plusieurs façons de l'avoir sur le bateau : le wifi du port quand il y en a, un routeur 4G/5G avec sa carte SIM, la connexion du mobile partagée, ou un terminal du type Starlink. Sans internet à bord, aucun réseau privé ne peut rien faire.

Au port, beaucoup de gens se débrouillent avec le wifi disponible. Mais ce routeur n'est pas le vôtre et vous ne pouvez pas toucher à sa configuration. Au mouillage, il n'y a pas de wifi de port auquel se connecter, même s'il peut y avoir de la couverture mobile. Avec ZeroTier, vous ne dépendez ni du wifi du port ni du réseau de quelqu'un d'autre.

Il fonctionne en couche 2, comme un câble Ethernet virtuel : il distribue ses propres adresses IP à chaque machine, comme si elles étaient branchées sur le même switch. Presque tout ce qui fonctionne déjà sur le LAN fonctionne pareil ici, sauf ce qui dépend du multicast : les noms .local et la découverte automatique des appareils.

Deux pièces qu'il ne faut pas confondre. ZeroTier One est le client de chaque machine (version actuelle, 1.16.x). Central est la console web où l'on enregistre les machines, où on les autorise et où l'on décide qui entre.

Le doute qui revient le plus : ZeroTier n'est pas un tunnel qui passe par ses serveurs. Le plan de contrôle — quelles machines existent, qui est qui, les règles — vit dans leur cloud, mais le trafic de données passe chiffré et direct entre les appareils quand le réseau le permet.

2. Créer le compte gratuit

L'inscription passe aujourd'hui par la nouvelle console, sur central.zerotier.com : e-mail et mot de passe, puis vous confirmez l'e-mail. À l'intérieur, il vous demande trois noms, et seul le troisième est facultatif.

Le forfait Personal est celui qu'il faut ici : gratuit, sans carte, avec 10 appareils, un réseau et un administrateur.

Vous créez le réseau — mi-red fera l'affaire — et la console vous renvoie un identifiant de 16 caractères : c'est ce que vous collerez sur chaque machine. S'il change, pour les machines c'est un autre réseau.

La nouvelle console a été lancée en novembre 2025 ; ceux qui ont un compte plus ancien restent sur l'ancienne (my.zerotier.com), avec leur quota précédent — 25 appareils dans la plupart des cas — et les routes gratuites. Le client est le même sur les deux. Nous verrons l'ancienne dans la deuxième partie.

3. Installation sur le Raspberry (ou n'importe quel Linux)

Sur le bateau, la machine ne bouge pas et je veux qu'elle démarre seule après une coupure de courant. Sous Linux, la façon propre, c'est le dépôt officiel :

curl -s https://install.zerotier.com | sudo bash

Cela installe le client et laisse le service activé : il démarre avec le système. Pour vérifier qu'il est vivant :

sudo zerotier-cli info

Il doit répondre 200 info <nœud> 1.16.x ONLINE. S'il affiche OFFLINE, le client n'est pas sorti sur le réseau : vérifiez la connexion.

Pour le rejoindre :

sudo zerotier-cli join <ID-du-réseau>

Sous Linux, zerotier-cli a besoin de root ; d'où le sudo. Un 200 join OK ne veut pas dire que vous êtes déjà dedans : la machine reste en attente d'autorisation, et c'est la section 5.

Cela vaut aussi pour Windows, macOS, iOS et les routeurs (OpenWrt et similaires) : l'installation change, le join est identique.

4. L'application sur le mobile

On installe l'application officielle, on colle l'identifiant et on appuie sur connecter. À l'activation, Android prévient qu'il va établir un VPN : c'est l'autorisation normale pour que le trafic passe par le réseau privé. Sans l'accepter, pas de connexion, et l'avertissement se répète à chaque activation.

Une limite qu'il vaut mieux connaître : le site officiel de ZeroTier ne renvoie que vers Google Play pour Android, et l'application n'est ni sur F-Droid ni sur IzzyOnDroid. Sans Play Store, il n'y a pas de voie officielle ; les miroirs avec l'APK ne sont pas fiables et la compiler sort du cadre de cet article. La tablette du bateau a Play Store, donc là il n'y a pas de problème.

5. Approuver les appareils

Une machine qui rejoint reste en attente jusqu'à ce qu'on l'autorise : elle apparaît dans la liste des membres comme non autorisée et pas un paquet ne passe. On l'approuve depuis le menu à trois points de la nouvelle console ; dans l'ancienne, c'était une case à cocher. Si la machine affiche ONLINE et qu'il n'y a aucun moyen de l'atteindre, c'est le premier endroit où regarder.

6. Le premier test

Le test qui compte : couper le wifi du mobile, le laisser en données mobiles et ouvrir le panneau par son adresse ZeroTier, http://<IP-de-la-machine>:3000. Le 3000 est le port que Signal K apporte d'usine et il est public. Si ça charge comme à la maison, c'est fait.

Si ça ne charge pas, dans l'ordre : que zerotier-cli info dise ONLINE ; que la machine soit autorisée ; que l'IP soit celle de ZeroTier et non celle du LAN de bord ; et que le service écoute sur toutes les interfaces, pas seulement sur localhost.

Et les deux pièges qui m'ont coûté une demi-heure chacun :

• Les noms .local ne passent pas. Ils se résolvent par multicast à l'intérieur du LAN, et cela ne voyage pas sur ce réseau. Il faut utiliser l'IP de ZeroTier, pas le nom qui fonctionne sur le bateau.
• ZeroTier donne le réseau, pas la clé. Si le service demande un utilisateur et un mot de passe — Signal K le fait sur certaines routes — il continuera à les demander. Le réseau vous mène jusqu'à la porte ; les identifiants, c'est autre chose.

Avec cela, j'ai Signal K, l'alarme de mouillage, les cartes et le panneau du bateau sur le mobile depuis n'importe où avec de la couverture. Dans la deuxième partie, comment atteindre aussi les appareils qui ne font pas tourner ZeroTier : le routeur et le reste du LAN de bord.