Faire tourner plusieurs tunnels WireGuard à la fois sur un Mac

Sur un Mac, Paart garde plusieurs connexions WireGuard actives ensemble, chacune avec ses propres routes. Ce que cela change, et ce sur quoi cela repose.

Le problème que cela règle

Tu as besoin d’un serveur chez un client pendant que tu travailles sur le réseau d’un autre, et tu préférerais ne pas perdre ton propre réseau local au passage.

Avec un seul tunnel à la fois, cela fait trois déconnexions et trois reconnexions. Chaque bascule coûte une poignée de main, et tout ce que tu avais ouvert vers le premier réseau tombe.

Ce qu’un Mac sait faire

Sur un Mac, Paart garde plusieurs connexions WireGuard actives en même temps. Chacune reste un tunnel distinct, avec son pair, ses clés et ses routes — elles ne fusionnent pas et ne se relaient pas.

Concrètement, tu atteins le serveur du premier client, le pare-feu du second et tes propres machines locales sans toucher à un interrupteur entre les deux.

Chaque tunnel garde ses routes

Ce qui passe par un tunnel donné est décidé par l’AllowedIPs de cette connexion, exactement comme si elle était seule. Une connexion qui porte 10.20.0.0/16 prend le trafic de cette plage et rien d’autre ; une autre qui porte 192.168.50.0/24 prend la sienne.

C’est pourquoi plusieurs tunnels coexistent sans se disputer : ils ne se battent pas pour tout ton trafic, ils en réclament chacun une part. Deux connexions qui demandent toutes les deux 0.0.0.0/0 sont un autre cas — l’une des deux l’emportera, parce qu’une seule route peut être la route par défaut.

Voir DNS, routage et tunnel partiel pour lire et régler ces plages.

Ce sur quoi cela repose

C’est le comportement de macOS aujourd’hui, et non une garantie d’Apple : rien dans l’API ne s’y engage, et une version ultérieure du système pourrait le changer.

Nous le disons franchement parce que cela compte si tu t’apprêtes à bâtir une façon de travailler dessus. Le comportement a été observé de séance en séance et c’est ce que le système fait aujourd’hui — mais un comportement observé n’est pas un contrat, et il n’y aurait ni préavis ni interlocuteur s’il changeait.

Sur iPhone et iPad

Une seule connexion est active à la fois. Ce n’est pas une limite de Paart et aucun client ne peut la contourner : le système n’accorde qu’une configuration VPN active sur iOS et iPadOS.

Basculer d’une connexion à l’autre fonctionne toujours, et les règles à la demande peuvent faire la bascule pour toi selon le réseau sur lequel tu te trouves.