Créer et organiser vos réseaux

Ce qu'est un réseau VIGIL : un lien logique unique

Un réseau VIGIL-MESH n'est pas un simple regroupement de machines : c'est un domaine de diffusion. Tous ses membres partagent un même lien logique et se joignent directement, où qu'ils se trouvent physiquement — derrière un NAT domestique, sur un partage de connexion mobile ou sur un site distant. Du point de vue des applications, appartenir au même réseau VIGIL revient à être branché au même commutateur, mais sans câble et sans exposition sur l'internet.

Techniquement, VIGIL-MESH est un overlay de niveau 3 (L3) qui ajoute une diffusion de première classe. Il ne s'agit pas d'un vrai L2 étendu avec ses fragilités (ARP inondé, spanning-tree, apprentissage de MAC), mais d'un overlay chiffré qui fait atteindre à broadcast et multicast IP tous les membres du réseau comme sur un lien local.

La conséquence pratique la plus visible est que la découverte d'appareils et les protocoles link-local fonctionnent à travers le réseau comme sur un LAN. Le détail de cette diffusion — mDNS, SSDP, WS-Discovery, multicast métier — est traité dans Diffusion L2 et multicast chiffré.

Adressage : des adresses stables, une par machine

Dès qu'une machine rejoint un réseau, le contrôleur lui attribue une adresse qui lui reste attachée. Cette adresse ne dépend ni du réseau physique du moment, ni du fournisseur d'accès : c'est par elle que les autres membres joignent la machine, où qu'elle se trouve. Deux familles d'adresses coexistent, distribuées dans la carte réseau signée.

Le choix de la plage CGNAT 100.64.0.0/10 est délibéré : rarement présente sur les réseaux locaux des utilisateurs, elle réduit fortement le risque de collision d'adresses avec le sous-réseau du café, de l'hôtel ou du site client où vous êtes branché. L'IPv6 ULA offre en complément un espace vaste et stable pour les usages nativement IPv6.

Vous joignez rarement vos machines par leur adresse : chacune porte un nom court résolu localement par MagicDNS, sans qu'aucune requête DNS ne quitte le nœud. Le fonctionnement complet de l'adressage et de la résolution de noms est détaillé dans Adressage et MagicDNS.

Sous-réseaux et routes vers un LAN distant

Toutes les machines à joindre ne peuvent pas forcément faire tourner un agent VIGIL : une imprimante, un automate, une caméra, un serveur hérité, tout un LAN de site. Pour ces cas, un membre du réseau agit comme routeur de sous-réseau : il annonce une ou plusieurs plages du LAN local, et le mesh route le trafic vers ces plages en passant par lui.

1. 1
   Choisir une machine passerelle sur le site distantUn nœud VIGIL déjà enrôlé, en état de marche sur le LAN à publier — idéalement une machine toujours allumée et proche des équipements à joindre.
2. 2
   Déclarer les routes de sous-réseau qu'elle annonceLa ou les plages du LAN local (par exemple le sous-réseau des caméras ou des automates) que cette passerelle rend joignables depuis le réseau VIGIL.
3. 3
   Approuver les routes côté contrôleurUne route annoncée n'est effective qu'une fois approuvée : c'est une décision d'administration explicite, pas un effet de bord de l'enrôlement.
4. 4
   Autoriser l'accès par la politiqueLes membres n'atteignent les plages routées que si la politique d'accès du réseau le permet. La route ouvre le chemin ; l'ACL décide qui l'emprunte.

Une même passerelle peut publier plusieurs plages, et un site peut compter plusieurs passerelles pour la redondance. Gardez néanmoins à l'esprit qu'un nœud qui route un sous-réseau relaie le trafic de tout le LAN publié : dimensionnez-le en conséquence et réservez ce rôle à des machines dont vous maîtrisez la disponibilité.

Bonnes pratiques d'organisation

Un réseau bien découpé se raisonne et s'administre plus facilement qu'un réseau unique gorgé de règles. Quelques principes évitent la plupart des maux de tête ultérieurs.

• Découpez par domaine de diffusion réel : si deux groupes n'ont aucune raison de se voir en broadcast ou en multicast, faites-en deux réseaux plutôt qu'un réseau segmenté par ACL.
• Nommez lisiblement : un nom de réseau parlant (site, environnement, équipe) économise des erreurs quand la console en compte plusieurs.
• Réservez les routes de sous-réseau aux équipements qui ne peuvent pas porter d'agent ; partout où c'est possible, enrôlez directement la machine pour bénéficier de l'adresse stable et de la politique fine.
• Documentez les plages LAN publiées par site pour repérer d'un coup d'œil les recouvrements avant qu'ils ne mordent.
• Séparez les environnements sensibles (production, OT) dans leur propre réseau plutôt que de compter uniquement sur des règles pour les isoler.

Une fois vos réseaux posés, l'étape suivante est d'y définir qui parle à quoi. C'est le rôle de la politique d'accès, décrite dans Politiques et listes de contrôle d'accès (ACL).