Documentation

Alternative à IXON : l’accès distant OEM par réseau privé, sans routeur dédié

Pour un constructeur de machines, l’accès distant n’est pas un confort : c’est la promesse faite au client à la vente — un SAV qui voit la machine en quelques minutes, où qu’elle soit installée. IXON a bâti son offre autour de cette promesse : un routeur dans l’armoire, une plateforme cloud, un portail web pour le SAV. VIGIL-MESH répond au même besoin par un autre chemin : un agent logiciel sur une machine du réseau machine — le PC industriel de l’IHM, une passerelle Linux — et un réseau privé chiffré de bout en bout où vos techniciens joignent chaque machine par son nom, sans routeur dédié et sans port entrant. Cette page compare honnêtement les deux modèles, puis détaille la migration côté OEM.

Ce qu’IXON fait très bien

IXON Cloud est une plateforme pensée dès l’origine pour les constructeurs de machines : un routeur industriel (IXrouter) dans l’armoire, qui établit une connexion sortante vers le cloud du fournisseur, et un portail web où le SAV retrouve son parc, ouvre un accès VPN vers une machine ou atteint l’IHM en VNC ou HTTP depuis le navigateur. Selon l’offre, la plateforme ajoute des services au-dessus de l’accès : journalisation de données, tableaux de bord, alertes. C’est une proposition cohérente et aboutie, taillée pour l’OEM.

Un portail clé en main pour le SAV

Le technicien ouvre un navigateur, retrouve le parc classé par client, et atteint la machine en quelques clics. Pour équiper vite une équipe SAV, l’expérience portail est difficile à battre.

Pensé constructeur de machines

Parc multi-clients, gestion des accès par organisation, personnalisation à l’image de l’OEM selon l’offre : la plateforme épouse la relation constructeur → client final.

Rien à demander à l’IT du client

Le routeur sort vers le cloud du fournisseur : pas de port entrant, pas de redirection à négocier avec le service informatique du site.

Machine sans OS et aucun PC sur le réseau machine. L’agent VIGIL-MESH est un logiciel : il a besoin d’un système d’exploitation. Si le réseau machine ne contient qu’un automate nu et qu’aucune machine Linux ou Windows ne peut y être ajoutée, le routeur dédié reste la solution naturelle.
Besoin d’un routeur 4G intégré au boîtier. Sur un site sans Internet filaire, un boîtier qui apporte aussi la connectivité cellulaire rend deux services en un. VIGIL-MESH ne fournit pas la connectivité : il la traverse.
Politique du client final imposant le matériel. Certains donneurs d’ordre exigent un équipement d’accès distant matériel, identifié au schéma électrique. C’est leur droit, et un agent logiciel n’y répond pas.

Le modèle routeur + plateforme, et ce qu’il implique

Le modèle IXON est assumé et documenté : le matériel dans l’armoire, la plateforme dans le cloud du fournisseur, des abonnements selon les services. Il fonctionne — et il structure des choix qu’il faut connaître avant d’engager un parc entier.

Un routeur par machine livrée. Le matériel s’achète, se provisionne, se stocke en rechange et se remplace. Sur des machines qui embarquent déjà un PC industriel, le boîtier double un matériel existant.
L’accès et le parc vivent dans le cloud du fournisseur. Le portail est le passage obligé : les accès VPN, VNC ou HTTP sont établis à travers l’infrastructure du fournisseur, qui met les extrémités en relation. Pour les garanties exactes de ce service — disponibilité, traitement des flux —, sa documentation fait foi.
Les droits d’accès sont des données de la plateforme. Qui joint quelle machine se gère dans le portail du fournisseur, selon son modèle d’organisation et de licences. C’est cohérent — mais ce n’est pas une règle de votre réseau.
L’accès reste machine par machine. Le portail ouvre un accès vers une machine à la fois. Le parc n’est pas un réseau que l’on parcourt avec ses outils habituels : c’est un catalogue d’accès.

L’approche VIGIL-MESH : un réseau à vous, pas un portail tiers

VIGIL-MESH remplace le routeur par un agent logiciel — Windows, Linux, Android, NVIDIA Jetson, plus un nœud navigateur (WASM). Installé sur une machine du réseau machine, l’agent en fait une passerelle de site : une seule connexion sortante vers votre réseau privé, zéro port entrant, et les flux autorisés relayés vers l’automate et l’IHM — qui ne changent pas. Le montage complet est décrit dans Accès distant à un automate (PLC), et le panorama du sujet dans Télémaintenance industrielle.

Le parc devient un vrai LAN

Chaque passerelle de site et chaque poste SAV est membre du même réseau privé : adresse stable, nom MagicDNS lisible (presse-lyon, four-nantes), découverte et multicast entre membres. Vos outils habituels — client VNC, navigateur vers l’IHM, outil d’ingénierie — joignent la machine par son nom.

Chiffré de bout en bout, relais aveugles

Sessions QUIC/TLS 1.3 chiffrées de bout en bout, échange de clés hybride post-quantique. Quand un relais est nécessaire, la vigie transporte des paquets opaques sans détenir les clés — et la vigie privée s’auto-héberge, chez vous ou chez le client final.

Un réseau par client, des ACL par identité

Un réseau VIGIL-MESH par client final, des ACL en refus par défaut : le groupe SAV joint les passerelles de ses clients sur les ports utiles, chaque client ne voit que ses machines. Audit de chaque accès, MFA sur les comptes, révocation immédiate.

Terminal SSH dans le navigateur

La console ouvre un terminal SSH sur une passerelle directement dans la page — le navigateur devient un nœud du mesh, et les identifiants ne transitent jamais par nos serveurs. Utile en déplacement, sur un poste vierge.

Inventaire de la console : la passerelle de site enrôlée est active, avec son adresse overlay stable et son menu d’actions. — Le parc vu de la console : chaque passerelle enrôlée est en ligne, avec une adresse stable et un nom lisible.

Comparatif qualitatif

Critère	IXON Cloud + IXrouter	VIGIL-MESH
Matériel requis	Un routeur dédié par machine, à acheter et maintenir	Aucun boîtier : un agent logiciel sur une machine Windows/Linux du réseau machine (PC industriel, Jetson, box Linux) — souvent déjà livrée avec la machine
Modèle réseau	Accès à la demande vers un routeur à la fois, via le portail et le cloud du fournisseur	Vrai LAN mesh permanent : passerelles et postes SAV membres du même réseau privé, joignables par nom
Multicast / découverte	Tunnel routé : la découverte automatique par multicast ne traverse généralement pas	Multicast et découverte de vrai LAN entre les membres du mesh (mDNS, protocoles de découverte)
Port série	Selon les interfaces du routeur et le modèle choisi	Virtual-IO, port série à distance — en bêta
Temps réel UDP / vidéo	Flux transportés via l’infrastructure du fournisseur, selon le type d’accès choisi	UDP de bout en bout, chemin direct pair-à-pair dès que la traversée NAT aboutit, migration sans coupure
Terminal SSH navigateur	Selon les services du portail du fournisseur	Oui : client SSH exécuté dans la page, identifiants jamais transmis à nos serveurs
Modèle de confiance du cloud	Les accès sont établis à travers l’infrastructure du fournisseur, qui met les extrémités en relation — sa documentation fait foi sur les garanties exactes	Relais structurellement aveugles : sessions E2E QUIC/TLS 1.3 + hybride post-quantique, le relais ne détient jamais les clés
Auto-hébergement du relais	Le service repose sur le cloud du fournisseur	Oui : vigie privée auto-hébergeable — le chemin relayé passe par une machine à vous

Migrer : le scénario constructeur de machines

Le cas type : un OEM qui livre ses machines avec l’accès distant intégré, chez des dizaines de clients finaux, et dont le SAV vit dans le portail.

Chaque machine part avec son routeur, chaque client a son organisation dans le portail, et le SAV a ses habitudes. Puis le parc grandit, et des frictions s’installent :

Un routeur à acheter et provisionner par machine livrée — alors que la machine embarque déjà un PC industriel qui pilote l’IHM.
Des abonnements et des droits gérés dans la plateforme du fournisseur, par organisation et par utilisateur, à réconcilier avec votre propre gestion des équipes.
Des services informatiques de clients finaux qui demandent où transitent les flux d’accès et qui les termine — et la réponse appartient au fournisseur, pas à vous.
Un accès catalogue, machine par machine : pour travailler sur le parc comme sur un réseau — supervision, scripts, comparaisons entre lignes —, le portail n’est pas le bon outil.

Là encore, le constat de départ est simple : le PC industriel déjà présent dans l’armoire peut devenir la passerelle — sans boîtier supplémentaire.

1
Choisir la passerelle de chaque machineLe PC industriel de l’IHM (Windows), une passerelle Linux, un Jetson : toute machine avec un OS qui voit le réseau machine convient. S’il n’y en a pas, ajoutez une petite machine Linux — ou gardez le routeur sur cette machine.
2
Structurer l’espace de travail par client finalUn réseau VIGIL-MESH par client final : les parcs restent étanches, vos techniciens voient ce que leurs droits permettent, chaque client ne voit que ses machines. C’est l’équivalent réseau de vos organisations du portail.
3
Enrôler la passerelleConsole → Réseaux → Machines → « Ajouter une machine » : clé d’enrôlement à usage unique, identité générée sur la machine, aucune ouverture de port — une seule connexion sortante en 443 UDP, y compris derrière le pare-feu du client.
4
Déclarer les équipements et écrire les ACLL’automate et l’IHM se déclarent hôte par hôte derrière la passerelle. ACL en refus par défaut : le groupe SAV joint les passerelles de ses clients sur les ports utiles (VNC de l’IHM, port automate, SSH) — rien d’autre.
5
Rejouer les gestes du SAVClient VNC du technicien vers l’IHM par son adresse, navigateur vers le serveur web de la machine, terminal SSH navigateur vers la passerelle, outil d’ingénierie vers l’automate : chaque geste du portail a son équivalent — dans votre réseau, chiffré de bout en bout.
6
Basculer machine par machineLe routeur reste en place pendant la validation ; les deux accès coexistent sans conflit. Retirez le boîtier machine par machine, au rythme des visites — et gardez la plateforme du fournisseur là où ses services data vous servent encore.

Assistant « Ajouter une machine » de la console : choix de la plateforme, clé d’enrôlement à usage unique et commande prête à copier. — L’enrôlement d’une passerelle : une clé à usage unique, une commande — la machine n’ouvre aucun port entrant.

Questions fréquentes

Peut-on garder les routeurs IXON existants pendant la migration ?

Oui. Les deux systèmes coexistent sans conflit : le routeur garde sa connexion sortante vers le cloud du fournisseur, la passerelle VIGIL-MESH établit les siennes vers votre réseau privé. La migration se fait machine par machine — le boîtier ne se retire que quand la passerelle a fait ses preuves, ou reste en secours.

Le SAV pourra-t-il toujours atteindre l’IHM en VNC ou en HTTP ?

Oui, avec ses outils natifs : le client VNC ou le navigateur du technicien joint l’IHM par son adresse, à travers la passerelle, dans la session chiffrée de bout en bout. La différence : il n’y a plus de portail tiers qui établit l’accès — c’est votre réseau et vos ACL qui décident.

Et les tableaux de bord, la journalisation de données machine ?

Hors périmètre, et dit honnêtement : VIGIL-MESH transporte et contrôle les accès, il ne stocke pas la donnée machine et n’offre pas de dashboards. Si ces services de plateforme sont essentiels pour vous, gardez-les — certains OEM font transiter l’accès par VIGIL-MESH et conservent une brique data par ailleurs.

Chaque client final doit-il créer un compte chez vous ?

Non pour l’accès SAV de base : les passerelles sont enrôlées dans votre espace de travail, et vos techniciens s’authentifient chez vous (avec MFA). Si un client veut administrer lui-même ses machines ou héberger sa propre vigie privée, il peut avoir son espace — c’est un choix, pas une obligation.

Que se passe-t-il si la machine n’a aucun PC sur son réseau ?

L’agent a besoin d’un OS : sans machine Windows ou Linux sur le réseau machine, il faut en ajouter une (une petite passerelle Linux dans l’armoire suffit) — ou garder un routeur dédié sur cette machine, ce qui reste le bon choix si le boîtier apporte aussi la 4G ou si la politique du client final impose du matériel.

Lire ensuiteTélémaintenance industrielle →