Documentation

Réseau industriel moderne : ateliers et sites reliés, sans exposition

Un réseau industriel moderne doit faire tenir ensemble deux mondes : des équipements d’atelier — automates, robots, supervision — conçus pour un LAN fermé, et une réalité faite de plusieurs bâtiments, plusieurs sites, de constructeurs à faire intervenir et de liens 4G. VIGIL-MESH étend le LAN d’atelier au lieu de le remplacer : un agent logiciel sur les machines ou les passerelles, zéro port entrant, chiffrement de bout en bout post-quantique — et le multicast qui passe, pour que la découverte d’appareils et le temps réel fonctionnent entre sites comme dans l’atelier.

Relier ce qui produit : automates, robots, supervision

Le réseau industriel n’est plus un îlot : la supervision doit voir plusieurs ateliers, la maintenance doit joindre des machines sur d’autres sites, et les données de production doivent remonter. Trois topologies reviennent partout.

Les ateliers d’un même site

Deux bâtiments, deux réseaux machine, une seule supervision : les équipements doivent se voir sans tirer de fibre ni fusionner les VLAN existants.

Les sites d’un même groupe

Usines, agences, entrepôts : la ligne de l’usine A et celle de l’usine B remontent vers la même supervision — voir un même réseau local entre plusieurs sites.

Les machines chez les clients

Le constructeur suit et dépanne son parc installé, site par site, sans toucher aux pare-feu de ses clients — voir la télémaintenance industrielle.

Les contraintes OT qu’un réseau d’entreprise ignore

Relier des équipements industriels n’est pas relier des postes de bureautique : les protocoles d’atelier ont des exigences que les VPN classiques ne satisfont pas.

La latence et la gigue comptent : une supervision qui rafraîchit, un pilotage qui répond — le trafic doit prendre le chemin le plus direct, pas un détour par un concentrateur.
La découverte repose sur le multicast et le broadcast : mDNS, SSDP, DDS/ROS 2, outils constructeur qui « scannent » le réseau — autant de trafic que la plupart des VPN jettent. Voir le domaine de diffusion sur le mesh.
Le pare-feu usine n’ouvre rien : aucun port entrant n’est négociable, et c’est une bonne pratique — la solution doit fonctionner en sortant uniquement.
Les sites isolés n’ont parfois qu’un lien 4G ou satellite, derrière CGNAT : aucune adresse publique à joindre.
Le legacy est la règle : Modbus TCP, liaisons série RS-232/RS-485, équipements que personne ne veut toucher — voir Modbus, SCADA et automates.

Pourquoi un mesh, et comment il s’installe

Le mesh répond à ces contraintes par construction : pas de centre par lequel tout transite, pas de port à ouvrir, et un transport qui réplique aussi la diffusion. La mise en place tient en quelques étapes.

1
Posez l’agent au bord de l’atelierSur les machines qui embarquent un PC (IHM, supervision), ou sur une passerelle du réseau machine : PC industriel, box Linux, NVIDIA Jetson. Rien à changer au réseau existant.
2
Enrôlez chaque machine avec une clé à usage uniqueDepuis la console, l’assistant remet une clé qui expire d’elle-même ; une commande sur la machine, et elle rejoint le réseau avec sa propre identité.
3
Laissez les chemins se choisirEntre deux sites, l’agent établit un chemin direct dès que la traversée NAT le permet ; sinon le trafic passe par des vigies — des relais structurellement aveugles, qui ne détiennent pas les clés.
4
Écrivez les ACL au moindre privilègeRefus par défaut : la supervision joint les lignes, la maintenance joint ses machines, et rien d’autre ne circule — voir politiques et ACL.
5
Nommez les équipementsAdresse overlay stable et nom MagicDNS par machine : la supervision pointe vers « ligne-3.atelier-b », pas vers une IP qui changera.

Ce qui passe sur le mesh

Supervision et SCADA

OPC UA, Modbus TCP, historians, IHM web : chaque flux joint sa machine à son adresse overlay — voir Modbus et SCADA à distance.

Automates (PLC)

Consoles de programmation et diagnostics, écosystème par écosystème, via la passerelle qui porte l’agent — voir l’accès distant automate.

Robots et ROS 2

La découverte DDS passe grâce au multicast répliqué : les nœuds ROS 2 se voient entre sites — voir le VPN pour la robotique et ROS 2.

Multicast et découverte

mDNS, SSDP, outils constructeur : le domaine de diffusion s’étend aux machines autorisées — voir un switch au-dessus du mesh.

Port série à distance (bêta)

RS-232 et RS-485 montés à distance en port COM virtuel (Windows, driver bêta) ou /dev/ttyVIGIL (Linux) — voir le port série à distance.

Télémaintenance des constructeurs

Un accès borné à leur machine, journalisé, révocable en fin de contrat — voir la télémaintenance industrielle.

Ce que le mesh ne prétend pas faire

Un réseau industriel moderne est aussi une affaire de limites claires. Trois choses restent hors du périmètre du mesh — volontairement.

L’agent ne s’installe pas dans un automate : un PLC nu est joint individuellement, via un PC industriel ou une passerelle du même atelier qui porte l’agent.
Les machines se raccordent hôte par hôte : on ne route pas un sous-réseau d’atelier entier d’un coup — chaque équipement joignable est déclaré, ce qui rend les accès auditables.
Le mesh n’inspecte pas les trames métier : il ne remplace ni un pare-feu industriel, ni la segmentation physique du réseau machine, ni une démarche de conformité.

Questions fréquentes

Où l’agent s’installe-t-il dans un atelier ?

Sur tout ce qui a un système d’exploitation : PC d’IHM, poste de supervision, PC industriel, passerelle Linux, NVIDIA Jetson, terminal Android. Un automate nu n’exécute pas l’agent : il est joint individuellement via une machine du même atelier qui le porte — voir la page Accès distant automate (PLC).

Le multicast passe-t-il vraiment entre deux sites ?

Oui, c’est une capacité native du mesh : les trames broadcast et multicast sont répliquées, chiffrées de bout en bout, vers les machines du même domaine de diffusion. mDNS, SSDP et la découverte DDS de ROS 2 fonctionnent entre sites comme dans l’atelier — là où la plupart des VPN les jettent.

Faut-il ouvrir un port sur le pare-feu de l’usine ?

Non, aucun. Chaque agent n’établit que des connexions sortantes et traverse NAT, CGNAT et liens 4G/5G. Il n’y a ni redirection de port, ni DMZ, ni règle entrante à négocier avec l’IT du site.

Peut-on raccorder un site qui n’a qu’un lien 4G ?

Oui. L’agent traverse le CGNAT des réseaux mobiles ; quand aucun chemin direct n’aboutit, le trafic passe par des relais qui ne détiennent pas les clés et ne voient que des paquets opaques. Une passerelle Linux ou Jetson avec une clé 4G suffit à raccorder l’atelier.

Et demainOpérer ces machines avec un assistant IA →

Le même réseau qui les connecte permet à chaque logiciel d’annoncer ses capacités — et à un assistant MCP de les voir et de les opérer, sous votre contrôle, machine par machine.

Lire ensuiteVPN industriel (OT/SCADA) et sites distants →