Documentation
NAT et pare-feu : que vérifier
La question « quels ports ouvrir ? » revient souvent, mais elle est mal posée pour un nœud VIGIL-MESH : un nœud n'ouvre aucun port entrant. Il établit toujours ses connexions vers l'extérieur, comme un navigateur web. Ce qui compte n'est donc pas ce que votre pare-feu laisse entrer, mais ce qu'il laisse sortir. Cette page fait le tri : le rappel du modèle, ce qu'il faut faire si un réseau bloque l'UDP, les seuls ports qui concernent une vigie, et le comportement face aux NAT stricts.
Rappel : le nœud n'ouvre aucun port entrant
Un nœud VIGIL-MESH n'écoute sur aucun port entrant. Il n'y a donc aucune règle de redirection de port (port forwarding), aucune ouverture entrante à configurer sur le routeur ou le pare-feu de la machine. Toute connexion part du nœud vers l'extérieur ; c'est la sortie qui doit fonctionner.
Ce qui n'est PAS nécessaire
Aucune redirection de port entrant, aucune IP publique, aucune règle de pare-feu entrante côté nœud. Un nœud derrière plusieurs couches de NAT fonctionne sans configuration réseau particulière.
Ce qui compte
La sortie. Le nœud doit pouvoir joindre la vigie vers l'extérieur. Si la sortie UDP est ouverte, tant mieux ; sinon, le profil tcp-only prend le relais.
Réseau qui bloque l'UDP : le profil tcp-only
Certains réseaux d'entreprise ou hôtels filtrent l'UDP sortant et ne laissent passer que le TCP. VIGIL-MESH privilégie l'UDP (meilleur pour la traversée et les chemins directs), mais bascule automatiquement sur un profil tcp-only lorsque l'UDP est inatteignable : le trafic emprunte alors du TCP vers la vigie, sur le port 443.
- Symptôme typique : le nœud se connecte mais reste systématiquement sur le relais, sans jamais établir de chemin direct. Sans UDP, la traversée de pair à pair ne peut pas se former.
- Le nœud reste fonctionnel en tcp-only : la connectivité est préservée, au prix d'un passage par la vigie et d'une efficacité moindre qu'un chemin direct UDP.
- Pour confirmer le blocage : testez depuis la machine une sortie UDP vers l'extérieur. Si l'UDP sort ailleurs mais pas vers la vigie, c'est un filtrage ciblé du pare-feu.
- Si vous maîtrisez le pare-feu, autoriser l'UDP sortant restaure la possibilité de chemins directs et allège la charge sur la vigie.
Ports à ouvrir pour une VIGIE seulement
L'ouverture de ports entrants ne concerne que la vigie (le relais), jamais les nœuds. Une vigie est le point de rendez-vous public vers lequel les nœuds sortent ; c'est donc elle qui doit être joignable de l'extérieur. Si vous hébergez votre propre vigie, ouvrez en entrée :
| Port | Protocole | Rôle |
|---|---|---|
| 443 | UDP | Transport QUIC principal des nœuds vers la vigie. |
| 4433 | UDP | Transport QUIC secondaire. |
| 443 | TCP | Repli tcp-only pour les réseaux qui bloquent l'UDP. |
Ces trois ports sont à ouvrir en entrée sur la vigie uniquement. La liste de référence et les détails sont dans /docs/reference-ports. À retenir : côté nœud, rien ; côté vigie, ces trois ports.
NAT stricts et traversée
Les NAT symétriques (dits « stricts ») réattribuent un port externe différent pour chaque destination, ce qui empêche la traversée directe de pair à pair : les deux nœuds n'arrivent pas à prédire l'adresse de rendez-vous de l'autre. Ce cas est fréquent derrière certains routeurs opérateurs ou pare-feu d'entreprise.
- Conséquence : le chemin direct ne se forme pas, le trafic reste sur la vigie. La connectivité est maintenue, l'efficacité est moindre.
- Ce n'est pas à corriger côté nœud : aucun réglage de nœud ne force un NAT symétrique à coopérer. Le relais existe précisément pour ce cas.
- Si vous maîtrisez l'équipement, un NAT moins strict (cone) côté au moins un des deux pairs suffit souvent à rétablir les chemins directs.
- Le diagnostic « reste sur relais » recoupe les problèmes de connexion : voir aussi /docs/depannage-connexion et /docs/chemins-relais.
Questions fréquentes
Quels ports dois-je ouvrir sur ma machine pour qu'un nœud fonctionne ?
Mon réseau bloque l'UDP, VIGIL-MESH marche-t-il quand même ?
Je reste toujours sur le relais, jamais en direct. Pourquoi ?
Quels ports pour ma propre vigie ?
In English
"Which ports do I open?" is the wrong question for a node: a node opens no inbound port and always connects outward. Nothing to forward, nothing to allow inbound on the node side — only egress has to work.
If a network blocks outbound UDP, the node automatically falls back to a tcp-only profile over the relay on tcp/443. Connectivity is preserved; only direct-path efficiency is lost. That is a degraded mode, not a failure.
Inbound ports only ever concern a vigie you self-host: udp/443, udp/4433 and tcp/443. Strict (symmetric) NAT on either side prevents direct traversal, and the relay covers that case by design.