Pangolin : accéder à son homelab sans ouvrir le moindre port

Vivre à la campagne, c'est sympa, mais côté internet ça complique vite la vie. Notre bricoleur du jour a deux connexions chez des FAI locaux pour son homelab, sauf que les deux sont planquées derrière du CGNAT : impossible donc de faire du bon vieux port forwarding pour rendre ses services accessibles depuis l'extérieur.

Photo : XDA-Developpers

Le souci, c'est qu'il a besoin d'accéder à distance à des applis comme Immich, Jellyfin ou Nextcloud, sans pour autant vouloir exposer tout son routeur ni ses dashboards d'admin sensibles. Sa solution : Pangolin, un outil open source qui permet d'exposer ses propres services sous son propre nom de domaine, sans connexion entrante. Concrètement, ça repose sur trois briques : Newt (installé sur le serveur maison qui initie la connexion sortante), Gerbil (qui monte un tunnel chiffré en WireGuard) et Traefik (qui redirige le trafic vers la bonne appli). Le tout transite par un VPS avec IP publique, donc le CGNAT n'est plus un problème puisque rien ne rentre directement chez lui.

La configuration initiale demande un peu de patience, notamment pour bien caler Newt et les services sur le même réseau Docker, mais une fois que c'est fait, plus besoin d'y toucher. Pour les services qu'il veut garder strictement privés, comme Portainer ou AdGuard Home, il complète avec un VPN mesh type Tailscale ou NetBird. Résultat : zéro port ouvert sur le routeur, et un accès à ses fichiers Nextcloud aussi simple que taper une URL, même en déplacement.