TailMux

À propos de TailMux

TailMux (https://tailmux.app) est un outil spécialisé conçu pour les utilisateurs avancés de Tailscale qui doivent accéder à plusieurs tailnets simultanément depuis une même machine, sans compromettre l’isolation entre environnements. Développé comme un complément indépendant au client officiel de Tailscale, il s’adresse principalement aux développeurs, administrateurs système et consultants travaillant avec des infrastructures segmentées (professionnelles, personnelles, de laboratoire, etc.). Disponible sur macOS et Linux, TailMux opère entièrement au niveau applicatif — sans créer d’interface VPN supplémentaire ni interférer avec la session active du client Tailscale officiel. Son architecture repose sur un mécanisme de routage intelligent basé sur les suffixes de noms d’hôtes (par exemple, .work.ts.net vs .home.ts.net), garantissant qu’aucune requête ne fuit accidentellement d’un profil à l’autre. Conçu avec un souci rigoureux de séparation des contextes, TailMux permet de jongler entre plusieurs réseaux Tailscale tout en préservant la sécurité, la simplicité et la fluidité des workflows quotidiens.

Fonctionnalités principales

TailMux se distingue par sa capacité à isoler strictement plusieurs profils Tailscale sur une seule machine. Chaque profil correspond à un tailnet distinct (travail, personnel, client A, homelab, etc.) et gère ses propres identifiants, clés, journaux et sockets, sans partage d’état. Le routage se fait exclusivement par suffixe de nom d’hôte : une requête vers db.work.ts.net sera automatiquement dirigée via le profil « work », tandis que pi.home.ts.net utilisera le profil « home ». Critiquement, aucun mécanisme de repli (fallback) n’existe — si un hôte n’appartient à aucun profil configuré, la requête échoue plutôt que d’être redirigée vers un autre contexte, éliminant ainsi tout risque de contamination accidentelle.

Sur macOS, TailMux propose une application de barre de menus intuitive (« TailMux Menu ») qui centralise la gestion des profils, des tunnels locaux et des diagnostics. Les tunnels permettent d’exposer des services (bases de données, RDP, SMB, etc.) sur des ports fixes en 127.0.0.1, facilitant leur consommation par d’autres outils. Un mode « SSH bastion » est également pris en charge pour les accès via des jump boxes. Côté navigation, l’application configure automatiquement un proxy PAC système au lancement, permettant à Safari et autres navigateurs compatibles d’accéder directement aux ressources des différents tailnets sans configuration manuelle.

En ligne de commande, tailmux offre une interface entièrement scriptable : tailmux ssh user@host ouvre une session SSH via le bon profil, tandis que tailmux run curl ou tailmux env injecte des variables d’environnement pour orienter des outils comme git, npm ou curl vers le tailnet approprié. Tous les ports utilisés par TailMux (proxy, contrôle) sont liés exclusivement à l’adresse loopback (127.0.0.1), limitant la surface d’attaque. Sur le plan de la sécurité, l’outil ne requiert ni extension du noyau, ni démon root, ni Network Extension cachée ; tout s’exécute dans l’espace utilisateur, et la fermeture de l’application arrête immédiatement tous les processus associés. L’application macOS est signée avec un Developer ID Apple, notarisée et exécutée en mode « Hardened Runtime », bien qu’elle ne soit pas placée en bac à sable (App Sandbox) afin de pouvoir lancer des sous-processus réseau essentiels.

Tarification

TailMux adopte un modèle de licence unique à vie, facturé 5,99 $ (≈ 8 $ CA, facturé en dollars américains). Ce montant donne droit à l’ensemble des versions pour macOS et Linux, sans limite de fonctionnalités ni restriction par nombre de tailnets. L’achat inclut une année complète de mises à jour logicielles : durant cette période, l’utilisateur peut télécharger toutes les nouvelles versions publiées. Passé ce délai, l’outil continue de fonctionner parfaitement avec la dernière version installée, mais l’accès aux futures mises à jour nécessite un renouvellement (sous forme d’un nouvel achat). Il n’existe actuellement aucun abonnement mensuel ou annuel, ni de plans différenciés (équipe, entreprise, etc.). La licence couvre l’utilisation sur une seule machine, ce qui correspond bien au cas d’usage typique d’un développeur ou administrateur travaillant depuis son poste principal.

Cas d'utilisation

TailMux brille dans les scénarios où la séparation stricte et l’accès simultané à plusieurs réseaux Tailscale sont essentiels. Un cas classique est celui du télétravailleur qui doit accéder à la fois à l’infrastructure de son employeur (via un tailnet « work ») et à ses serveurs personnels ou homelab (via un tailnet « home »), le tout sans changer de compte dans l’application Tailscale officielle ni recourir à des machines virtuelles.

Pour les consultants et freelances, l’outil permet de maintenir des environnements clients parfaitement isolés — un tailnet par client — tout en évitant les erreurs de routage qui pourraient compromettre la confidentialité. Les développeurs DevOps l’utilisent pour jongler entre des environnements de production, de staging et de test, en dirigeant automatiquement leurs commandes CLI (git pull, kubectl, psql) vers le bon contexte.

Les utilisateurs de homelab combinent souvent un tailnet « stable » et un « expérimental », et s’appuient sur les tunnels locaux de TailMux pour mapper des ports fixes vers des services critiques (par exemple, 127.0.0.1:5432 → base de données du lab). Enfin, dans les organisations soumises à des exigences réglementaires strictes, TailMux offre un moyen sûr de respecter les politiques d’isolement réseau tout en permettant aux équipes techniques de consulter plusieurs environnements sans contourner les contrôles en place — puisqu’il ne modifie jamais la configuration du client Tailscale officiel.

Notre avis

TailMux répond brillamment à un besoin très spécifique, mais crucial, chez les utilisateurs techniques de Tailscale : l’isolement multi-environnement sans surcharge opérationnelle. Son principe de « no-fallback » et sa séparation stricte des états par profil en font une solution particulièrement fiable pour éviter les fuites accidentelles entre contextes sensibles. L’intégration transparente avec les navigateurs via PAC et la puissance du CLI (tailmux ssh, tailmux run) améliorent considérablement la productivité, surtout dans les workflows quotidiens impliquant plusieurs infrastructures.

Le modèle tarifaire à 5,99 $ US (≈ 8 $ CA) en achat unique est remarquablement accessible pour un outil aussi spécialisé, surtout comparé aux coûts récurrents de solutions réseau professionnelles. La transparence sur les limites techniques (absence de sandbox macOS, pas de support Windows) et la conformité aux bonnes pratiques de sécurité (Hardened Runtime, notarisation, pas de privilèges root) renforcent la confiance.

Cela dit, TailMux n’est pas destiné au grand public. Il suppose une bonne compréhension de Tailscale, des suffixes DNS et de la gestion de profils réseau. De plus, son absence de support pour Windows ou les appareils mobiles le limite aux environnements macOS/Linux. Enfin, bien qu’indépendant et non affilié à Tailscale Inc., son avenir dépend de la compatibilité avec les évolutions futures de l’API Tailscale — un risque modéré mais réel.

En somme, pour les développeurs, SRE ou consultants qui jonglent quotidiennement avec plusieurs tailnets, TailMux est une solution élégante, sécuritaire et abordable qui remplace avantageusement les VMs, conteneurs ou bidouillages réseau. Si vous vous reconnaissez dans ce profil, l’investissement initial est largement justifié.