Adressage stable et résolution de noms locale

Des adresses stables, une par machine

Sur un réseau VIGIL, chaque machine se voit attribuer une adresse qui lui reste attachée. Elle ne dépend ni du réseau physique du moment, ni du fournisseur d'accès, ni du fait que la machine soit derrière un NAT domestique, sur un partage de connexion mobile ou câblée à un site distant. Cette adresse est celle par laquelle les autres membres la joignent, où qu'elle se trouve.

Deux familles d'adresses coexistent, distribuées par le contrôleur dans la carte réseau signée :

• Une adresse IPv4 tirée de l'espace CGNAT 100.64.0.0/10 (RFC 6598), réservé au partage d'adresses à grande échelle et jamais routé sur l'internet public.
• Une adresse IPv6 tirée d'un préfixe ULA (Unique Local Address, fd00::/8, RFC 4193) dérivé du réseau, propre à votre organisation et non routable en dehors du mesh.

L'attribution est déterministe et durable : une machine qui redémarre, change de Wi-Fi ou bascule sur la 5G conserve la même adresse VIGIL. C'est ce qui permet à un service, une règle de pare-feu ou un signet de rester valide dans le temps, alors même que l'emplacement physique de la machine varie.

Pourquoi un espace privé dédié

Le choix de la plage 100.64.0.0/10 n'est pas anodin. Contrairement aux plages RFC 1918 classiques (10.0.0.0/8, 192.168.0.0/16), largement utilisées par les box, les routeurs d'entreprise et les autres VPN, l'espace CGNAT est rarement présent sur les réseaux locaux des utilisateurs. En s'y installant, VIGIL réduit fortement le risque de collision d'adresses : votre adresse mesh n'entre presque jamais en conflit avec le sous-réseau du café, de l'hôtel ou du site client où vous êtes branché.

• Moins de chevauchement avec les réseaux domestiques et d'entreprise, donc moins de routes ambiguës à arbitrer.
• Un espace suffisamment large (plus de quatre millions d'adresses) pour couvrir de grands parcs sans renumérotation.
• Une séparation nette entre « ce qui est à moi sur le mesh » et « le réseau local du moment », qui facilite le raisonnement et les règles d'accès.

L'IPv6 ULA joue un rôle complémentaire : elle offre un espace d'adressage vaste et stable, dérivé du réseau, pour les usages qui préfèrent nativement IPv6 — sans jamais exposer ces adresses en dehors du mesh chiffré.

MagicDNS : la résolution reste sur la machine

Retenir des adresses IP n'a pas de sens pour un humain. VIGIL associe à chaque machine un nom court et vous laisse la joindre par ce nom. La résolution de ces noms — MagicDNS — se fait entièrement en local, directement depuis la carte réseau signée que distribue le contrôleur.

Le point important est que cette résolution ne repose sur aucun serveur DNS extérieur. La correspondance nom vers adresse est déjà présente sur la machine, dans la carte réseau, et l'agent la sert lui-même :

1. 1
   Le contrôleur distribue une carte réseau signéeElle contient, pour chaque machine du réseau, son nom et ses adresses VIGIL. La signature garantit que la carte n'a pas été altérée.
2. 2
   L'agent résout les noms VIGIL localementQuand une application demande un nom du réseau, l'agent répond directement depuis la carte, sans émettre la moindre requête vers un résolveur externe.
3. 3
   Aucune requête DNS ne quitte le nœudPersonne à l'extérieur — ni le fournisseur d'accès, ni un résolveur public, ni l'infrastructure VIGIL — n'apprend quel appareil cherche à en joindre un autre.

Les noms qui ne relèvent pas du réseau VIGIL — un site web public, un service tiers — continuent d'être résolus par le résolveur habituel de votre système. MagicDNS ne prend en charge que l'espace de noms du mesh ; il ne détourne pas le reste de votre trafic DNS.

Renommage et noms internes

Les noms sont administrés, pas devinés. Chaque machine porte un nom interne stable, choisi à l'enrôlement puis modifiable, et c'est ce nom qui sert d'ancre : le renommer met à jour la carte réseau signée sans changer l'adresse VIGIL sous-jacente. Vos accès par adresse restent donc valides même après un renommage.

• Un nom court par machine, résolu partout dans le réseau de la même manière.
• Le renommage se propage par la carte réseau signée que redistribue le contrôleur ; il n'exige aucune reconfiguration côté clients.
• L'espace de noms est privé au réseau : deux organisations distinctes peuvent utiliser les mêmes noms sans interférence, chacune dans son propre mesh.

L'ensemble forme un annuaire cohérent : des adresses stables d'un côté, des noms lisibles de l'autre, tous deux distribués par le contrôleur et servis localement — sans qu'aucune information sur vos résolutions ne quitte vos machines.