Documentation

Alternative à Teltonika RMS : le routeur 4G garde le lien, l’agent prend l’accès

Les routeurs cellulaires Teltonika sont partout sur le terrain, et pour de bonnes raisons : robustes, bien outillés, ils donnent de l’Internet à des sites qui n’en auraient pas autrement. La plateforme RMS de l’éditeur gère ce parc de routeurs et propose, avec RMS Connect, un accès distant aux équipements qui vivent derrière. Cette page défend une idée simple : gardez le routeur — c’est souvent le meilleur lien Internet du site — mais confiez le rôle d’accès distant à un agent qui construit un vrai réseau privé, chiffré de bout en bout, sans port entrant et sans cloud au milieu des sessions. Les deux se combinent très bien.

Ce que Teltonika fait très bien

Le modèle, décrit à haut niveau : des routeurs et passerelles cellulaires (la gamme RUT et ses cousines) installés sur les sites, une plateforme cloud (RMS) qui gère ce parc — configuration, mises à jour, supervision —, et un service d’accès distant (RMS Connect) qui ouvre des sessions vers les équipements derrière les routeurs, souvent depuis le navigateur. L’ensemble est cohérent : l’équipement réseau et sa gestion viennent du même éditeur.

Du matériel réseau éprouvé

Alimenter un site isolé en 4G/5G, tenir une armoire électrique, basculer entre SIM : c’est le métier de ces routeurs, et ils le font bien. Rien dans cette page ne suggère de les remplacer.

Une gestion de parc centralisée

Firmware, configuration, supervision de centaines de routeurs depuis une seule console : pour l’exploitant du parc réseau, c’est un vrai confort d’exploitation.

Un accès distant intégré

RMS Connect ouvre des sessions vers les équipements derrière les routeurs sans ouverture de port entrant côté site — le routeur sort vers la plateforme, et la session passe par elle.

Deux rôles à séparer : le lien Internet et l’accès distant

Un routeur 4G rend deux services très différents quand on lui confie aussi la télémaintenance : il transporte les paquets du site (son métier), et il décide qui entre et vers quoi (un métier de sécurité). Fusionner les deux dans le couple routeur + cloud a des conséquences qu’il faut peser :

L’accès est couplé au matériel réseau. Les droits d’accès distant vivent dans la plateforme qui gère les routeurs : changer de routeur, de gamme ou d’éditeur, c’est aussi déménager son modèle d’accès.
Les sessions passent par le cloud de l’éditeur. La mise en relation — et le transport de la session — sont opérés par la plateforme. C’est pratique, mais l’accès à vos machines dépend d’un service extérieur, et la confiance repose sur lui.
L’accès se fait service par service. On ouvre une session vers un équipement et un service déclarés — très bien pour un dépannage ponctuel, plus étroit qu’un vrai réseau local quand les outils du constructeur veulent découvrir leurs équipements ou pousser des flux temps réel.

L’approche VIGIL-MESH : un réseau privé au-dessus de n’importe quel lien

VIGIL-MESH ne touche pas au lien Internet : l’agent s’installe sur les machines du site — le PC de supervision, l’IPC, une passerelle Linux, un Jetson — et les fait entrer dans votre réseau privé. Chaque machine n’établit que des connexions sortantes, sur un seul flux 443 UDP : derrière un routeur 4G en CGNAT, c’est exactement le trafic qui passe sans rien configurer. Les sessions sont chiffrées de bout en bout (QUIC/TLS 1.3, échange de clés hybride post-quantique) ; le chemin est direct de pair à pair quand la traversée NAT aboutit, relayé par une vigie structurellement aveugle sinon.

Un vrai LAN entre les sites

Adresses stables, noms MagicDNS, multicast et découverte automatique : les machines se voient comme sur un réseau local, quel que soit le lien — 4G, fibre, satellite.

L’identité plutôt que l’équipement

Qui atteint quoi ne dépend plus du routeur traversé : les ACL parlent d’identités — machines, groupes, étiquettes — avec refus par défaut, machine par machine et port par port.

Des traces exploitables

Les opérations sensibles exigent la MFA et alimentent le journal d’audit : qui s’est connecté, quand, sur quelle machine — par identité, pas par adresse IP de routeur.

Personne au milieu des sessions

Les vigies relaient des paquets chiffrés dont elles n’ont pas les clés, et une vigie privée peut être auto-hébergée. Le détail est dans le modèle de sécurité.

Onglet Administration de la console : la liste des machines en ligne, chacune avec un bouton Terminal et un bouton Bureau à distance. — Le terminal navigateur existe ici aussi — mais la session est chiffrée de bout en bout : elle ne se termine pas sur un serveur intermédiaire.

Comparatif qualitatif

Ce tableau compare le rôle « accès distant » des deux modèles, à haut niveau — pas des fiches techniques. Le rôle « lien Internet » du routeur n’est pas en débat : il le garde.

Critère	Teltonika RMS	VIGIL-MESH
Matériel requis	Routeur ou passerelle de l’éditeur (souvent déjà présent comme lien 4G du site)	Aucun matériel dédié : un agent sur un PC ou une passerelle du site — le routeur garde son rôle de lien
Modèle réseau	Les routeurs joignent la plateforme cloud ; les sessions d’accès distant passent par elle	Réseau privé chiffré entre machines : direct pair-à-pair quand c’est possible, relais aveugle sinon
Multicast et découverte	Sessions par service, point à point	Vrai LAN : multicast, diffusion et découverte automatique natifs, noms MagicDNS
Port série	Présent sur certains équipements, selon modèle	Virtual-IO (port série virtuel) — en bêta
Temps réel UDP et vidéo	Sessions d’accès orientées services, via la plateforme	Flux UDP de bout en bout ; sur le chemin direct, aucune terminaison intermédiaire
Terminal SSH navigateur	Oui, via la plateforme cloud	Oui : l’onglet devient un nœud du mesh — les identifiants sont consommés dans la page, jamais par nos serveurs
Modèle de confiance du cloud	La plateforme opère la gestion du parc et la mise en relation des sessions	Contrôleur pour l’identité et la policy ; relais structurellement aveugles, sans les clés des sessions
Auto-hébergement du relais	Plateforme opérée par l’éditeur	Vigie privée auto-hébergeable, dédiée à votre espace de travail

Le duo qui marche : routeur RUT pour la 4G, agent pour l’accès

Sur le terrain, la combinaison est naturelle : le routeur cellulaire fournit le lien Internet du site — couverture, bascule de SIM, supervision du lien via RMS si vous le souhaitez — et l’agent VIGIL-MESH, installé sur la passerelle ou les machines derrière, construit le réseau privé. L’agent ne demande rien au routeur : pas de port entrant, pas de redirection, pas de DMZ — uniquement du trafic sortant en 443 UDP, ce que tout routeur cellulaire laisse passer par défaut.

Un site isolé — station, chantier, armoire, machine livrée — est raccordé en 4G. Il faut y intervenir à distance, régulièrement, à plusieurs :

Le lien 4G est en CGNAT : impossible d’exposer quoi que ce soit en entrant, et c’est très bien ainsi.
L’accès distant par le cloud du routeur fonctionne, mais chaque session dépend d’un service extérieur — et la politique interne demande de plus en plus souvent que personne ne puisse techniquement voir les sessions.
Les droits vivent au niveau du routeur et de sa plateforme, pas au niveau des personnes et des machines : difficile d’écrire « ce prestataire n’atteint que cet automate, sur ce port ».
Les outils métier — supervision, découverte constructeur, flux vidéo ou UDP temps réel — veulent un réseau, pas une session par service.

Pour le panorama complet du cas d’usage — parcs de machines, prestataires, zones réseau —, voir Télémaintenance industrielle.

Questions fréquentes

Faut-il remplacer le routeur Teltonika pour utiliser VIGIL-MESH ?

Non — et c’est le propos de cette page : le routeur reste le lien Internet du site, un rôle qu’il remplit très bien. L’agent VIGIL-MESH s’installe sur les machines derrière lui et n’a besoin que de trafic sortant en 443 UDP. Vous pouvez même continuer à gérer le parc de routeurs avec RMS : les deux rôles ne se marchent pas dessus.

Ça fonctionne derrière un lien 4G/5G en CGNAT ?

Oui. Le CGNAT interdit les connexions entrantes, mais l’agent ne fait que sortir : la session s’ouvre immédiatement via une vigie, puis migre sans coupure vers le chemin direct si la traversée NAT aboutit. Entre deux liens cellulaires en NAT symétrique, le direct peut rester impossible — le trafic reste alors relayé par la vigie aveugle.

Quelle différence avec l’accès distant du cloud du routeur ?

La position de la confiance. Dans le modèle plateforme, la session passe par le cloud de l’éditeur, qui la met en relation et la transporte. Ici, la session est chiffrée de bout en bout : le contrôleur ne voit que l’identité et la policy, et les relais sont structurellement aveugles — vous pouvez même héberger votre propre vigie. Le détail est dans le modèle de sécurité.

Comment joindre un automate ou un capteur sans OS derrière le routeur ?

Via une machine du site qui porte l’agent — passerelle, IPC, PC de supervision : l’équipement est déclaré derrière elle, machine par machine, sous contrôle des ACL. VIGIL-MESH n’expose jamais un sous-réseau entier. Pour une liaison série, Virtual-IO existe mais reste en bêta.

Et le prix ?

Aucun matériel à acheter pour l’accès distant, aucune licence par site : la tarification est publique sur la page tarifs.

Lire ensuiteTélémaintenance industrielle →