Documentation
Alternative à ZeroTier : le mesh QUIC post-quantique
ZeroTier occupe une place singulière parmi les VPN mesh : c’est l’un des rares à construire un vrai pont Ethernet L2, et si votre besoin est précisément celui-là, il reste mieux placé que VIGIL-MESH. Cette page joue cartes sur table : ce que ZeroTier fait très bien, là où l’approche de VIGIL-MESH diffère structurellement — transport QUIC/TLS 1.3 standard, chiffrement post-quantique par défaut, nœud dans le navigateur, relais aveugles auto-hébergeables — et comment évaluer l’alternative sans rien casser, les deux overlays pouvant cohabiter.
Ce que ZeroTier fait très bien
Commençons par l’honnêteté totale : sur la couche Ethernet, ZeroTier va plus loin que VIGIL-MESH, et ce n’est pas un détail. Si l’un des points ci-dessous est au cœur de votre besoin, ZeroTier est probablement le bon choix.
- Un vrai pont Ethernet L2. ZeroTier construit un réseau virtuel qui se comporte comme un même commutateur physique, jusqu’au niveau des trames. VIGIL-MESH reste un overlay L3 avec une diffusion « L2-like » : il ne prétend pas faire du L2 Ethernet.
- Les protocoles non-IP. Parce qu’il transporte des trames Ethernet, ZeroTier peut acheminer des protocoles non-IP — certains protocoles industriels ou hérités — que le cœur IP de VIGIL-MESH ne prend pas en charge.
- Le broadcast et le multicast via L2. La diffusion traverse le réseau ZeroTier comme sur un segment physique, portée par son pont Ethernet.
- Un contrôleur auto-hébergeable. ZeroTier propose un contrôleur que vous pouvez héberger vous-même pour gérer l’attribution de vos réseaux.
- Les fondamentaux du mesh. Pair à pair, gestion centralisée des appareils, routes vers un LAN distant, zéro port entrant : sur ces critères, ZeroTier et VIGIL-MESH font le même travail.
Là où l'approche diffère structurellement
La question n’est pas « qui fait le plus » mais « sur quelles fondations ». ZeroTier a bâti son propre protocole et son émulation Ethernet ; VIGIL-MESH fait le pari inverse : un overlay L3 posé sur des briques standard, et une diffusion chiffrée reconstruite au-dessus.
- QUIC/TLS 1.3 plutôt qu’un protocole maison. Chaque session VIGIL-MESH est une connexion QUIC/TLS 1.3 de bout en bout, sur des identités Ed25519 — le transport standardisé qui fait tourner HTTP/3. ZeroTier repose sur son propre protocole, conçu pour son émulation L2 : un choix cohérent, mais qui vit en dehors des standards TLS.
- Post-quantique par défaut. L’échange de clés de chaque session est un hybride X25519 + ML-KEM768, présent par conception, pas en option. Selon sa documentation publique, ZeroTier ne propose pas de chiffrement post-quantique natif à ce jour.
- Diffusion et multicast IP chiffrés, sans pont L2. VIGIL-MESH traite chaque réseau comme un domaine de diffusion et réplique broadcast, multicast et link-local IP sur son overlay L3, chiffrés de bout en bout avec des clés d’émetteur en rotation. mDNS, SSDP, WS-Discovery, jeux LAN : l’essentiel de ce qui motive un pont L2 est couvert — sans étendre un domaine Ethernet à travers Internet.
- Un nœud dans le navigateur. VIGIL-MESH compile son cœur en WASM : un onglet de navigateur devient membre du mesh, avec terminal SSH et bureau RDP vers vos machines via la console — sans client à installer sur le poste de passage.
- Relais aveugles, auto-hébergeables — et 443 UDP. Quand le direct n’est pas encore là, le trafic passe par une vigie structurellement aveugle, que vous pouvez héberger vous-même ; la session migre ensuite sans coupure vers le chemin direct. Et tout le trafic est du QUIC sur le port 443 en UDP, le même profil que HTTP/3 — un atout sur les réseaux verrouillés.
Les profils pour qui la question se pose
Le bon critère est simple : avez-vous réellement besoin de trames Ethernet, ou seulement de la découverte et de la diffusion IP ? Si vous vous reconnaissez ci-dessous, l’alternative mérite un essai ; sinon, le L2 de ZeroTier reste un argument valable.
Découverte IP sans pont L2
Vous utilisez le L2 surtout pour mDNS, SSDP/UPnP ou WS-Discovery ? VIGIL-MESH réplique cette diffusion IP chiffrée sur un overlay L3 : la découverte fonctionne, sans étendre un domaine Ethernet entre les sites.
Réseaux verrouillés et mobilité
Un seul flux sortant, 443 en UDP, zéro port entrant, zéro configuration de box — et une session qui migre sans coupure du relais vers le direct quand le chemin change.
Accès depuis n'importe quel poste
Le nœud navigateur WASM ouvre un terminal SSH ou un bureau RDP vers vos machines depuis un simple onglet, via la console — pratique quand installer un client n’est pas possible.
Exigences cryptographiques de long terme
Sessions QUIC/TLS 1.3 de bout en bout, identités Ed25519, hybride post-quantique X25519 + ML-KEM sur chaque session : une réponse par conception au risque « capturer aujourd’hui, déchiffrer demain ».
Maîtrise du chemin relayé
La vigie privée est un relais dédié à votre espace de travail, auto-configuré et structurellement aveugle : le trafic relayé passe par votre infrastructure, jamais par une infrastructure partagée que vous ne maîtrisez pas.
Cohabitation : évaluer sans rien casser
VIGIL-MESH et ZeroTier sont deux overlays indépendants, chacun avec sa propre interface et ses propres adresses (VIGIL-MESH attribue des adresses stables en 100.64.0.0/10). Rien n’empêche de les faire tourner côte à côte le temps de vérifier, usage par usage, ce que l’overlay L3 couvre chez vous.
- 1Raccordez deux machinesCréez un espace de travail, installez le client (Windows, Linux, Android, Jetson — ou un onglet de navigateur) et enrôlez deux machines. Votre réseau ZeroTier continue de fonctionner comme avant.
- 2Testez d'abord ce qui dépend du L2Listez ce qui repose aujourd’hui sur le pont Ethernet : découverte mDNS ou SSDP, multicast applicatif, éventuels protocoles non-IP. Vérifiez lesquels passent sur la diffusion IP chiffrée de VIGIL-MESH — les trames non-IP, elles, resteront du ressort de ZeroTier.
- 3Basculez service par serviceDéplacez un usage à la fois, en gardant l’autre réseau comme filet de sécurité. Déployez une vigie privée si vous voulez héberger le relais.
- 4Décidez en connaissance de causeDécommissionnez l’ancien réseau quand tout est passé — ou gardez les deux : si un usage exige un vrai pont L2, il peut très bien rester sur ZeroTier.