🛠 Accès distant sans VPN : enregistrer un CM5 dans Raspberry Pi Connect

Objectifs

Un CM5 part souvent dans un produit : coffret mural, armoire technique, borne chez le client. Ouvrir des ports ou monter un VPN est alors inacceptable. Raspberry Pi Connect, le service officiel, inverse le modèle : c'est le CM5 qui initie une sortie chiffrée vers le service, et vous vous connectez ensuite depuis le navigateur ou l'app — zéro redirection de port, zéro IP publique. Ce tuto : installer le démon, associer l'appareil à votre compte, ouvrir un terminal SSH à distance, et vérifier côté CM5 qu'aucun port n'est en écoute.

Matériel

• 1 × CM5 sur CM5IO Board, Raspberry Pi OS 64 bits à jour, connecté à Internet (Ethernet ou Wi-Fi selon SKU)
• Un compte Raspberry Pi (gratuit) et un second appareil pour tester (téléphone ou autre PC)
• SSH activé sur le CM5 (raspi-config ou pré-réglage Imager)

Code complet

# 1) Installer le démon officiel Raspberry Pi Connect
curl -fsSL https://connect.raspberrypi.com/install -sSf | sudo sh

# 2) Configurer et associer l'appareil (une URL s'affiche à ouvrir dans le navigateur)
sudo raspberry-pi-connect configure

# 3) Vérifier le service
systemctl status raspberry-pi-connect --no-pager | head -6
journalctl -u raspberry-pi-connect -n 10 --no-pager

# 4) Depuis un autre appareil : ouvrir raspberryconnect.com dans un navigateur,
#    sélectionner l'appareil en ligne et lancer un terminal SSH.

# 5) Côté CM5, prouver qu'aucun port n'est exposé au monde :
sudo ss -tulpn | grep LISTEN

Vérification attendue

L'appareil apparaît « online » sur le tableau de bord Raspberry Pi Connect ; le terminal distant ouvre une vraie session SSH sur le CM5 ; ss -tulpn ne montre que des services en écoute locale (pas de 22 ouvert sur l'interface publique — c'est tout l'intérêt du modèle sortant). Après sudo reboot, l'appareil revient en ligne en moins d'une minute.

Erreurs fréquentes

• SSH désactivé dans l'OS : Connect s'appuie sur sshd ; sans sudo raspi-config → Interface Options → SSH, la session distante échoue.
• L'URL d'association expirée : le lien affiché par configure est à usage unique et temporaire ; relancer configure si le compte n'a jamais été lié.
• Confondre avec un VPN : Connect ne crée pas un réseau — il proxifie des sessions (SSH, fichier) vers l'appareil ; pas de diffusion mDNS ni d'accès aux autres machines du LAN distant.
• Firewall sortant d'entreprise : le CM5 doit pouvoir sortir en HTTPS/WSS vers le service ; en réseau contraint, prévoir le test avant déploiement.