Documentation
Glossaire VIGIL-MESH
Les termes employés dans la documentation de VIGIL-MESH, définis brièvement et exactement. Certains désignent des rôles (nœud, vigie, contrôleur), d'autres des objets réseau (netmap, domaine de diffusion) ou des briques cryptographiques (clés publiques brutes, hybride post-quantique). Les liens renvoient aux pages qui détaillent chaque notion.
Rôles, infrastructure et adressage
| Terme | Définition |
|---|---|
| Nœud | Une machine membre du réseau (poste, serveur, appareil). Elle n'ouvre aucun port entrant : elle n'émet que des connexions sortantes et établit ses chemins directs par traversée NAT. |
| Vigie (relais aveugle) | Un relais public et coordinateur de traversée NAT. Elle transporte des paquets déjà chiffrés qu'elle ne peut pas lire (aucune clé de session) et ouvre trois ports entrants (udp/443, udp/4433, tcp/443). Voir /docs/reseau-mesh. |
| Vigie privée | Une vigie que vous hébergez, dont la portée est verrouillée par le contrôleur sur un seul espace de travail : elle ne sert que vos réseaux et n'apparaît pas dans l'annuaire global. Voir /docs/vigie-privee. |
| Contrôleur | Le serveur (service web) qui coordonne l'espace de travail : il émet les jetons, qualifie les vigies, gère les identités et la policy, et publie les cartes réseau signées. Source de vérité du réseau. |
| Espace de travail (workspace) | Le périmètre logique auquel appartiennent des membres, des réseaux et des vigies. La portée d'une vigie privée est liée à exactement un espace de travail. |
| Netmap (carte réseau signée) | La carte du réseau — membres, adresses, vigies, droits — signée par le contrôleur et distribuée aux nœuds. Retirer un membre de la netmap fait partie de sa révocation immédiate. |
| MagicDNS | La résolution de noms interne au réseau : chaque nœud est joignable par un nom stable plutôt que par une adresse IP à retenir. |
| Génération signée | Une version numérotée et signée d'un état distribué (par exemple une netmap). La signature et le numéro de génération empêchent l'acceptation d'un état forgé ou rejoué. |
| ACL | Les règles de contrôle d'accès (Access Control List) définies au niveau du contrôleur : elles décident quels membres peuvent joindre quels réseaux ou services. |
| Migration de session | Propriété de QUIC permettant à une session de survivre à un changement d'adresse ou de chemin (changement de réseau, bascule de vigie) sans être coupée. |
Réseau, diffusion, sécurité et intégrations
| Terme | Définition |
|---|---|
| Overlay L3 | Le réseau superposé fonctionne au niveau IP (couche 3) : les nœuds échangent des paquets IP par-dessus l'Internet public. Voir /docs/reseau-mesh. |
| Presque-L2 | Un service qui reproduit, au-dessus de l'overlay L3, des comportements de réseau local de couche 2 — notamment la diffusion de groupe — sans être un vrai L2 nu. Voir /docs/l2-multicast. |
| Domaine de diffusion | L'ensemble des membres qui partagent la même diffusion, comme les machines branchées sur un même commutateur physique. Tout membre autorisé du domaine émet et reçoit ces diffusions. |
| Multicast | La diffusion d'un même flux vers plusieurs récepteurs. La vigie réplique (fan-out) les paquets chiffrés vers les membres du groupe sans pouvoir les lire. |
| Clé d'émetteur (sender key) | La clé sous laquelle un émetteur chiffre ses diffusions de groupe. Elle tourne à la révocation d'un membre, à une reconnexion ou un redémarrage, et au plus tard toutes les 24 heures. Voir /docs/securite. |
| Storm control | Le mécanisme qui limite les tempêtes de diffusion (broadcast/multicast) pour empêcher qu'un flux emballé ne sature le domaine de diffusion. |
| Datagramme | Un message QUIC non fiabilisé (sans retransmission ni ordre garanti), adapté aux flux temps réel où une donnée en retard vaut moins qu'une donnée perdue. |
| QUIC | Le protocole de transport sur UDP qui porte les sessions : multiplexage, chiffrement intégré, migration de session. Voir /docs/reference-ports. |
| TLS 1.3 | La version — et la seule acceptée — du protocole de chiffrement qui sécurise les sessions QUIC de bout en bout. |
| Clés publiques brutes (RPK) | Authentification des pairs par clé publique brute Ed25519 (RFC 7250), sans chaîne de certificats X.509 à gérer : la clé publique identifie directement le pair. |
| Post-quantique (X25519 + ML-KEM768) | L'échange de clés hybride des sessions QUIC : la clé de session dépend des deux mécanismes à la fois et reste sûre tant que l'un tient — défense contre « harvest now, decrypt later ». Voir /docs/securite. |
| RTSP / RTP | Protocoles de streaming média (RTSP pour le contrôle, RTP pour le transport des flux), typiques des caméras et de la vidéo transportée sur le mesh. |
| MCP | Model Context Protocol : protocole standard reliant des agents/modèles à des outils et sources de données, mentionné pour les cas d'usage d'intégration. |
In English
This is the VIGIL-MESH glossary: nodes open no inbound ports, vigies are blind relays that only carry already-encrypted packets, and the controller is the source of truth that signs the netmap.
It also covers the network and security vocabulary — L3 overlay, near-L2 broadcast, sender keys, QUIC, TLS 1.3, raw public keys (RPK), and the hybrid post-quantum key exchange (X25519 + ML-KEM768).