Tokios contre Tailscale pour l’accès aux modèles LLM locaux

​

Aperçu

Tailscale est un réseau privé virtuel en maillage basé sur WireGuard. Il se configure sur le serveur hébergeant le modèle ainsi que sur chaque appareil client ; chaque appareil reçoit alors une adresse IP stable au sein d’un réseau privé appelé « tailnet ». Le trafic circule en pair à pair via WireGuard chiffré, sans nécessiter de port entrant ni d’adresse IP publique. Pour l’utilisation avec les modèles LLM, la configuration classique consiste à installer Tailscale sur l’ordinateur exécutant Ollama ou vLLM, puis sur l’ordinateur portable ou le téléphone ; il suffit ensuite d’interroger le modèle via son adresse IP Tailscale (100.x.y.z:11434). Cette méthode convient parfaitement lorsque l’on contrôle tous les appareils devant accéder au modèle. Tokios takes a different approach. Instead of a VPN mesh, it provides an outbound-only tunnel with an API gateway in front. You install 1 connector on the model server, create per-user API keys in a dashboard, and any HTTP client — a coding agent, a chat app, a curl script — calls a single endpoint at api.tokios.com. No client software needed on the caller’s side.

​

Tableau comparatif

​

Les points forts de Tailscale

• Gratuit pour un usage personnel. Le forfait gratuit permet d’accueillir jusqu’à 6 utilisateurs et 100 appareils. Pour un développeur isolé ou une petite famille d’appareils, cela revient à $0.
• Latence peer-to-peer. Une fois le tunnel WireGuard établi, le trafic circule directement entre les appareils (lorsque c’est possible). Aucun serveur intermédiaire n’intervient dans le flux de données.
• Écosystème mature. Tailscale est en production depuis 2019. Il bénéficie d’une documentation complète, d’une large adoption et d’intégrations avec de nombreux fournisseurs d’identité.
• Tailscale Funnel et LM Link. Funnel met à disposition un service Tailnet via une URL publique *.ts.net (uniquement sur les ports 443, 8443 et 10000). La fonction LM Link de LM Studio utilise quant à elle Tailscale en coulisses pour un partage en un seul clic.
• Fonctionne hors ligne. Grâce à Headscale en tant que serveur de coordination auto-hébergé, Tailscale opère même sur un réseau totalement isolé. Tokios, en revanche, nécessite une connexion Internet pour joindre sa passerelle.
• Contrôle total de l’infrastructure. Vous êtes propriétaire de chaque nœud. Aucun service tiers ne se trouve entre votre client et votre modèle.

​

Les points forts de Tokios

• Clés API par utilisateur. Chaque clé sk-tok-… est associée à des déploiements spécifiques. Il est possible de révoquer une clé sans affecter les autres. Tailscale ne propose pas d’authentification par requête — tout utilisateur du réseau Tailnet peut accéder au modèle sans aucune identification.
• Aucun logiciel client requis. N’importe quel client HTTP peut interagir avec api.tokios.com. Les agents de codage (Claude Code, Cline, Cursor), les applications de chat et les scripts fonctionnent grâce à une URL de base et une clé API — aucun client VPN n’est nécessaire.
• Traduction des protocoles OpenAI et Anthropic. Tokios assure la conversion entre les formats d’API OpenAI et Anthropic au niveau du passerelle. Il suffit de configurer un client compatible avec Anthropic pour qu’il communique selon le bon protocole avec le backend. Tailscale se contente de transmettre le trafic brut sur un port.
• Compatibilité avec tous les clients HTTP. Que ce soit sur un ordinateur portable d’un collègue, un agent hébergé dans le cloud ou un pipeline CI, aucun appareil n’a besoin de rejoindre un VPN. Une simple URL et une clé suffisent.
• Gestion intégrée du CGNAT. Tailscale gère le CGNAT via des relais DERP (ce qui entraîne un léger ralentissement). La connexion unidirectionnelle de Tokios traverse le CGNAT sans aucun relais ni surcharge.

​

Quand opter pour Tailscale

• Développeurs isolés ou petites équipes maîtrisant l’ensemble de leurs appareils. Vous disposez de 2 à 4 machines, vous contrôlez chacune d’elles et souhaitez un accès pair-à-pair sans intermédiaire.
• Besoins variés en matière de VPN. Vous avez également besoin d’accès SSH, de partage de fichiers ou de découverte de services internes, et pas seulement d’accès à l’API du modèle.
• Environnements hors ligne ou isolés. Grâce à Headscale, Tailscale fonctionne entièrement au sein de votre propre réseau sans aucune dépendance externe.
• Budget limité à $0. Le forfait gratuit convient aux usages personnels, sans limite de volume pour le trafic pair-à-pair.

​

Quand opter pour Tokios

• Il faut gérer les clés API. Plusieurs membres de l’équipe ou utilisateurs externes ont chacun besoin d’une identité sécurisée et personnalisée.
• Compatibilité avec les agents de codage. Claude Code, Codex, Cline et autres outils similaires requièrent un URL de base ainsi qu’une clé API — et non une connexion VPN.
• Absence de logiciel client. Les appelants sont des scripts, des pipelines CI ou des applications SaaS incapables d’installer un client VPN.
• Accès d’équipe sans VPN. Vous souhaitez simplement fournir un URL et une clé à quelqu’un, sans avoir à l’intégrer à un réseau privé.

​

Utilisation conjointe des deux solutions

Tailscale et Tokios ne s’excluent pas mutuellement — ils fonctionnent à des niveaux différents et se complètent parfaitement :

• Tailscale pour l’accès à l’infrastructure. Vous pouvez vous connecter en SSH au serveur de modèles, accéder aux tableaux de bord Grafana ou utiliser d’autres services internes via le réseau Tailscale.
• Tokios pour l’accès au niveau de l’API. Vous pouvez attribuer des clés sk-tok-… à vos collègues, aux agents de codage ou aux applications de chat qui doivent interroger le modèle sans nécessiter (ou sans pouvoir bénéficier de) un accès réseau complet.

Il est très simple de faire fonctionner les deux solutions sur la même machine — Tailscale gère le réseau mesh via son propre interface tandis que le connecteur Tokios établit ses propres connexions. Aucun conflit n’apparaît.