Garder votre Mac joignable

Pour une journée d’absence, mettre en place Remote suffit. Pour un voyage plus long, ces étapes gardent le Mac joignable quoi qu’il arrive : un redémarrage, une mise à jour, une coupure de courant. Faites-les chez vous, avant de partir. Chacune vaut la peine à elle seule, et elles se complètent.

1. L’essentiel

• Dans le menu de Qispi Host, activez Keep the Screen On While Remote Is Allowed, pour que le Mac ne verrouille pas son écran pendant votre absence.
• Dans System Settings › Energy (Réglages Système › Énergie), activez Start up automatically after a power failure (sur un Mac de bureau).
• Pensez à désactiver les mises à jour automatiques de macOS pendant votre absence (System Settings › General › Software Update › Automatic Updates), pour que le Mac ne redémarre pas tout seul sur une mise à jour.
• Si possible, reliez le Mac à votre box avec un câble Ethernet : c’est plus stable que le Wi-Fi, et cela fonctionne avant que macOS ait fini de démarrer (voir l’étape 4).

Ce qui se passe quand un Mac redémarre

Un Mac qui redémarre passe par trois phases avant que Qispi puisse l’afficher :

1. Verrouillé au démarrage. Avec FileVault activé (c’est généralement le cas), le disque reste verrouillé tant que personne n’a tapé le mot de passe. Rien ne tourne encore sur le Mac, pas même Tailscale.
2. À la fenêtre de connexion. Le disque est déverrouillé, mais personne n’a ouvert de session : Qispi Host n’est donc pas encore lancée.
3. Session ouverte. Qispi Host démarre avec votre session, et Qispi se connecte comme d’habitude.

Les étapes ci-dessous vous font passer les phases 1 et 2 à distance. Une prochaine version de Qispi s’en chargera elle-même, depuis l’app ; d’ici là, il faut deux autres apps sur votre iPad.

2. Tailscale comme service système

L’app Tailscale ne tourne que lorsque vous avez ouvert une session. Installé plutôt comme service système, Tailscale démarre avec le Mac : il est donc là dès la fenêtre de connexion (phase 2).

Sur le Mac, dans Terminal :

brew install tailscale
sudo tailscaled install-system-daemon
sudo tailscale up

Quittez ensuite l’app Tailscale et retirez-la de System Settings › General › Login Items (Ouverture), pour que les deux ne se gênent pas. Dans la console d’administration de Tailscale, ouvrez votre Mac et choisissez Disable key expiry, pour qu’il ne disparaisse pas de Tailscale au bout de quelques mois.

Après chaque brew upgrade tailscale, relancez sudo tailscaled install-system-daemon.

3. Un routeur de sous-réseau à la maison

À la phase 1, même le service système ne peut pas tourner (il se trouve sur le disque verrouillé) : Tailscale ne peut donc pas atteindre le Mac. Un routeur de sous-réseau (subnet router) est un autre appareil de la maison, toujours connecté à Tailscale, qui vous donne accès à votre réseau domestique à travers lui, et donc à l’adresse locale du Mac.

Une Apple TV fait très bien l’affaire (un Raspberry Pi aussi) :

1. Installez Tailscale sur l’Apple TV et connectez-vous à votre compte.
2. Dans ses réglages, activez Subnet router, et indiquez votre réseau domestique, par exemple 192.168.1.0/24 (les trois premiers nombres de l’adresse locale du Mac, puis .0/24).
3. Dans la console d’administration de Tailscale, ouvrez l’Apple TV › Edit route settings, et approuvez la route.
4. Sur votre iPad, dans les réglages de Tailscale, activez Use Tailscale subnets.

Dans les réglages de votre box, donnez au Mac une adresse fixe (souvent appelée réservation DHCP), pour qu’elle reste la même après chaque redémarrage.

4. Déverrouiller FileVault à distance (phase 1)

Les versions récentes de macOS permettent de déverrouiller FileVault par SSH avant que le Mac ait démarré.

Une fois, sur le Mac : activez System Settings › General › Sharing › Remote Login (Partage › Session à distance).

Quand le Mac est verrouillé au démarrage, sur votre iPad :

1. Ouvrez une app SSH (par exemple Termius ou Prompt).
2. Connectez-vous à l’adresse locale du Mac (par exemple 192.168.1.20), pas à son adresse Tailscale, avec votre nom d’utilisateur Mac.
3. L’app prévient que la clé du Mac lui est inconnue : c’est normal, c’est la clé propre à l’écran de démarrage. Acceptez-la.
4. Tapez le mot de passe de votre Mac. Le Mac se déverrouille et continue de démarrer, jusqu’à la fenêtre de connexion.

N’ouvrez jamais SSH vers Internet sur votre box pour cela : c’est le routeur de sous-réseau qui rend tout cela sûr.

5. Ouvrir une session à distance (phase 2)

Une fois, sur le Mac : activez System Settings › General › Sharing › Screen Sharing (Partage d’écran). Pour les apps autres que celles d’Apple, activez aussi VNC viewers may control screen with password dans ses options, et choisissez un mot de passe.

Quand le Mac est à la fenêtre de connexion, sur votre iPad :

1. Ouvrez une app de partage d’écran (par exemple RealVNC Viewer).
2. Connectez-vous à l’adresse Tailscale du Mac (Tailscale tourne déjà à ce moment-là, comme service système). Si l’app pose une question sur le chiffrement, choisissez Prefer off : Tailscale chiffre déjà tout.
3. Ouvrez votre session comme vous le feriez devant le Mac.

Quelques secondes plus tard, Qispi Host est lancée : fermez l’app de partage d’écran et ouvrez Qispi.

6. Redémarrer volontairement

Pour redémarrer le Mac vous-même pendant votre absence, sans repasser par la phase 1, tapez ceci dans Terminal (à travers Qispi) :

sudo fdesetup authrestart

Le Mac redémarre en passant une fois le verrou de FileVault, directement jusqu’à la fenêtre de connexion (phase 2).

Quand même cela ne suffit pas

Si le Mac ne démarre plus, reste bloqué en mode de récupération ou ne répond plus, rien de ce qui précède n’aide. Il faut alors un appareil branché au Mac qui lui sert de clavier et d’écran, un KVM IP (PiKVM, par exemple), joignable par Tailscale.

Une deuxième porte d’entrée

Si Qispi Host elle-même cesse de fonctionner pendant votre absence, une deuxième app d’accès à distance sur le Mac (le Partage d’écran d’Apple par Tailscale, vu à l’étape 5) vous permet de réparer.