Documentation
Alternative à Tailscale : quand et pourquoi passer au mesh QUIC
Tailscale est un excellent produit : un mesh WireGuard éprouvé, une prise en main remarquable, et pour beaucoup d’usages il n’y a aucune raison d’en changer. Cette page n’est pas là pour le dénigrer, mais pour vous aider à décider : quels besoins un mesh WireGuard unicast ne couvre pas nativement, en quoi VIGIL-MESH est structurellement différent (multicast chiffré, post-quantique par défaut, nœud navigateur, transport QUIC), et comment évaluer l’alternative sans rien casser — les deux peuvent cohabiter le temps de vous faire un avis.
Ce que Tailscale fait très bien
Commençons par le reconnaître sans détour : si votre besoin est de relier des machines en pair à pair avec une gestion centralisée, Tailscale le fait très bien, et VIGIL-MESH ne prétend pas faire mieux sur ces fondamentaux.
- Un mesh WireGuard éprouvé. WireGuard est un protocole moderne, audité et largement déployé ; Tailscale l’orchestre avec un vrai savoir-faire.
- Les fondamentaux du mesh. Connexions de pair à pair, gestion centralisée des appareils, routes vers un LAN distant, zéro port entrant : sur tous ces critères, Tailscale et VIGIL-MESH font le même travail.
- Un écosystème mûr. Publication de services avec Funnel et Serve, une large communauté, et le projet Headscale (non officiel, open source) pour qui veut un plan de contrôle communautaire.
Là où VIGIL-MESH est structurellement différent
Les différences qui suivent ne sont pas des réglages : elles tiennent à l’architecture même du produit. C’est là que se joue la décision.
- Diffusion et multicast IP chiffrés. Un mesh WireGuard transporte de l’unicast point à point : la diffusion et le multicast ne sont pas pris en charge nativement chez Tailscale. VIGIL-MESH traite chaque réseau comme un domaine de diffusion et réplique broadcast, multicast et link-local IP sur son overlay L3, chiffrés de bout en bout avec des clés d’émetteur en rotation. mDNS, SSDP, la découverte DDS de ROS 2, les parties en LAN : tout ce qui repose sur « s’annoncer au segment » retrouve un terrain.
- Post-quantique hybride par défaut. Chaque session VIGIL-MESH est une connexion QUIC/TLS 1.3 de bout en bout avec un échange de clés hybride X25519 + ML-KEM, sur des identités Ed25519 — présent par conception, pas en option. Selon sa documentation publique, Tailscale ne l’offre pas nativement à ce jour.
- Un nœud dans le navigateur. VIGIL-MESH compile son cœur en WASM : un onglet de navigateur devient un membre du mesh, avec terminal SSH et bureau RDP vers vos machines — sans bastion, sans port ouvert, sans client à installer sur le poste de passage.
- Transport QUIC sur 443/UDP, migration sans coupure. Le trafic VIGIL-MESH est du QUIC sur le port 443 en UDP, le même profil que HTTP/3 — un atout sur les réseaux verrouillés. Et quand un chemin direct devient disponible, la session migre du relais vers le direct sans coupure.
- Relais structurellement aveugles, auto-hébergeables. Le relais de secours — la vigie — ne détient pas les clés de vos sessions et ne voit jamais le contenu. Vous pouvez héberger votre propre vigie, dédiée à votre espace de travail et auto-configurée : le chemin de vos données ne dépend jamais d’une infrastructure partagée que vous ne maîtrisez pas.
Les profils pour qui la question se pose
Si vous vous reconnaissez dans l’un de ces profils, l’écart structurel ci-dessus devient concret ; sinon, Tailscale vous sert probablement très bien.
Robotique et ROS 2
La découverte DDS de ROS 2 s’appuie sur le multicast IP, que VIGIL-MESH réplique chiffré à travers le mesh — y compris vers un Jetson sur le terrain. La validation formelle de ROS 2 de bout en bout figure sur la feuille de route.
Vidéo et caméras RTSP
Les caméras s’annoncent en SSDP/UPnP et WS-Discovery (ONVIF) : cette découverte traverse le mesh comme sur un même segment, et les flux restent chiffrés de bout en bout jusqu’au poste de supervision.
Industriel et OT
Zéro port entrant sur les équipements, annonces multicast métier répliquées, clients Windows, Linux, Android et Jetson : le site distant se raccorde sans toucher au pare-feu, et le relais peut rester chez vous.
Joueurs en LAN
La découverte de parties et de lobbies repose sur la diffusion locale. À travers VIGIL-MESH, elle fonctionne comme si tout le monde était branché sur le même commutateur — chacun depuis chez soi.
Souveraineté européenne
Relais aveugle hébergé sur votre propre infrastructure, chiffrement post-quantique hybride par défaut, chemin des données qui ne transite jamais par une infrastructure partagée que vous ne maîtrisez pas : des exigences de souveraineté couvertes par conception.
Une migration douce, sans rien casser
Vous n’avez pas à choisir un lundi matin. VIGIL-MESH et Tailscale sont deux overlays indépendants, chacun avec sa propre interface et ses propres adresses : rien n’empêche de les faire tourner côte à côte le temps d’évaluer.
- 1Installez sur deux machinesWindows, Linux, Android, Jetson ou même un onglet de navigateur : choisissez deux machines et raccordez-les. L’usage personnel est gratuit, et votre réseau Tailscale continue de fonctionner comme avant.
- 2Testez ce qui vous manqueVérifiez précisément les usages qui motivent la question : découverte mDNS ou SSDP entre sites, multicast applicatif, terminal SSH ou bureau RDP depuis le navigateur.
- 3Basculez service par serviceDéplacez un usage à la fois vers VIGIL-MESH, en gardant l’autre réseau comme filet de sécurité. Déployez une vigie privée si vous voulez héberger le relais.
- 4Décidez en connaissance de causeDécommissionnez l’ancien réseau quand tout est passé — ou gardez les deux : certains usages peuvent très bien rester où ils sont.