Un domaine de diffusion comme un switch, sur un mesh chiffré

Ce qui fonctionne comme sur un LAN

Sur un réseau local classique, vos appareils se voient tout seuls : l'imprimante s'annonce, le téléviseur apparaît, la manette trouve la partie. Cette magie ne repose pas sur de la configuration mais sur la diffusion — des paquets envoyés « à tout le monde sur le lien ». C'est précisément cette couche que les VPN L3 laissent tomber, et que VIGIL-MESH restitue à l'identique à travers le mesh chiffré.

Concrètement, les protocoles de découverte et d'annonce link-local traversent le réseau comme s'ils partageaient un même câble :

• mDNS/Bonjour — imprimantes, Chromecast, AirPlay, partages de fichiers
• SSDP/UPnP — téléviseurs, box multimédia, passerelles domotiques
• WS-Discovery — caméras et périphériques ONVIF, scanners réseau
• LLMNR et NetBIOS-NS — résolution de noms héritée des postes Windows
• Jeux en réseau local (LAN) — découverte de parties et lobbies sur le segment local
• UDP broadcast métier — annonces d'automates, capteurs et services propriétaires

Pour tous ces usages, le comportement est indistinguable de celui d'un L2 : une découverte lancée depuis un membre atteint les autres membres du réseau, où qu'ils soient physiquement.

Pourquoi VIGIL n'étire pas un vrai L2 — et pourquoi c'est un avantage

Restituer la diffusion ne veut pas dire étirer un vrai réseau L2 à travers le monde. L'overlay reste résolument L3 : chaque membre reçoit une interface TUN qui transporte des paquets IP. Ce choix n'est pas une limitation subie, c'est une décision d'ingénierie — tout ce qui rend un L2 étendu fragile est délibérément laissé de côté :

• Pas d'ARP inondé à l'échelle du mesh, donc pas de tempête de résolution d'adresses.
• Pas de spanning-tree, donc pas de reconvergence lente ni de boucles à casser.
• Pas de MAC learning, donc pas de table à saturer ni de flottement d'apprentissage.

Le principe tient en une phrase : un réseau = un lien logique. VIGIL garde le meilleur du L2 — la diffusion — sans hériter des mécanismes qui font s'effondrer un domaine de collision trop grand.

Le mesh est UN lien : mDNS arrive avec TTL 255 intact

Beaucoup de protocoles link-local se protègent en exigeant un TTL de 255 à la réception : si le paquet a été routé (donc décrémenté), il est rejeté. C'est le cas des piles mDNS strictes. Un overlay qui route naïvement casse ces protocoles sans prévenir.

VIGIL traite le réseau comme un unique lien logique : le TTL link-local est transporté d'un bout à l'autre sans décrément. Un paquet mDNS émis avec TTL 255 arrive avec TTL 255. La pile réceptrice le considère comme légitimement local — parce que, du point de vue de la diffusion, il l'est.

Le multicast est chiffré, et le relais le réplique sans pouvoir le lire

Diffuser en clair à travers un relais mutualisé serait un contresens. Chaque émetteur multicast possède sa propre clé d'émetteur (sender key) : une clé symétrique ChaCha20-Poly1305 de 32 octets, propre à cet émetteur et à une époque donnée. Elle est distribuée aux membres autorisés via les sessions chiffrées de bout en bout — jamais par le relais.

La clé tourne à trois occasions : à la révocation d'un membre du groupe, au redémarrage de l'émetteur, et au plus tard toutes les 24 heures. Un membre parti ne peut donc plus déchiffrer les diffusions suivantes.

Côté relais, l'identifiant du groupe multicast n'est qu'un haché opaque (BLAKE2s). La vigie réplique le paquet vers les bons récepteurs sans savoir à quel groupe applicatif il correspond, et sans jamais accéder à son contenu.

Sans tempête, sans boucle

La diffusion est puissante mais dangereuse : mal bornée, elle dégénère en tempête de broadcast. VIGIL applique un contrôle de tempête à double étage.

• Par émetteur : un token bucket de 200 paquets/s et 512 kbit/s, appliqué à la fois à l'émission et au fan-out.
• Par réseau, côté vigie : un plafond global de 2 000 paquets/s répliqués, quel que soit le nombre d'émetteurs.
• Règle d'or : un récepteur ne réémet jamais un paquet de diffusion. Aucune boucle ne peut se former.
• Déduplication stricte sur le quadruplet (groupe, index d'émetteur, époque, compteur) : un paquet dupliqué par le maillage n'est délivré qu'une fois.

Un émetteur emballé est étranglé à sa source ; un réseau entier reste plafonné à la vigie ; et l'absence de réémission par les récepteurs interdit structurellement les boucles.

Abonnements automatiques : votre pile IP fait le travail

Vous n'avez rien à déclarer. L'agent joue le rôle de querier IGMPv3 (IPv4) et MLDv2 (IPv6) local sur l'interface TUN. Quand une application s'abonne à un groupe multicast, votre système d'exploitation l'annonce comme sur n'importe quel réseau — et l'agent le détecte.

Les abonnements sont alors propagés automatiquement dans le mesh : la diffusion n'est répliquée que vers les membres réellement intéressés. Zéro configuration, zéro liste de groupes à maintenir à la main.

Ça marche aussi hors ligne et en TCP-only

La diffusion ne dépend pas d'internet. Sur un îlot coupé du reste du monde — un site isolé, un chantier sans lien montant — le mDNS et les annonces link-local continuent de circuler entre les membres vérifiés présents sur place. La découverte locale survit à la coupure.

Et là où l'UDP est bloqué, un profil de conformité fait passer le multicast par un fan-out TCP : la diffusion reste fonctionnelle, encapsulée dans le seul transport autorisé.

Les limites, dites franchement

Le modèle de confiance est lui aussi énoncé sans détour : la garantie porte sur l'authenticité au niveau du groupe. Tout membre autorisé d'un groupe peut émettre et déchiffrer les diffusions de ce groupe — c'est exactement le modèle d'un LAN physique, où quiconque est branché au commutateur participe au même domaine de diffusion.

Questions fréquentes