Documentation

Comment fonctionne le réseau mesh

VIGIL-MESH est un réseau mesh : chaque machine parle directement aux autres dès que c’est possible, plutôt que de faire transiter tout le trafic par un serveur central. Trois rôles se partagent le travail — le nœud, la vigie et le contrôleur — et l’infrastructure ne fait que relayer des octets chiffrés sans jamais les lire. La connexion s’établit immédiatement, puis bascule en douceur vers le chemin le plus court, et la session survit aux changements de réseau : passer du Wi-Fi à la 4G ne coupe rien.

Trois rôles, aucune confiance dans l’infrastructure

VIGIL-MESH répartit le travail entre trois rôles bien distincts, et aucun d’eux n’exige que vous accordiez votre confiance à l’infrastructure. Le nœud, c’est votre machine : il est symétrique — à la fois client et serveur — et peut même relayer du trafic pour ses voisins quand cela raccourcit un chemin. La vigie est un relais aveugle doublé d’un coordinateur de traversée NAT : elle achemine des octets chiffrés et aide deux nœuds à se trouver, sans jamais lire ce qui passe. Le contrôleur, enfin, gère les identités, l’annuaire des relais et l’adressage ; il distribue la carte du réseau, mais ne voit jamais un seul paquet de données ni une seule clé de session.

Acteur	Ce qu’il voit	Ce qu’il ne voit jamais
La vigie	Des identifiants de flux et de groupe opaques, les tailles, la cadence et les adresses IP	Le contenu, les clés de session, la carte réseau en clair
Le contrôleur	Les identités, la politique d’accès, l’annuaire des relais	Le contenu de vos flux — une session de bout en bout, comme n’importe quel pair
Un nœud pair	Uniquement ce que la politique d’accès autorise	Les clés privées des autres nœuds

Trois rôles séparés : le nœud chiffre et déchiffre, la vigie relaie sans lire, le contrôleur distribue la carte du réseau sans toucher aux données.

Connexion immédiate : vos données n’attendent jamais la traversée NAT

Percer les pare-feu et les NAT prend du temps, et ce temps est imprévisible. Plutôt que de faire patienter vos données pendant la négociation, VIGIL-MESH ouvre d’abord un chemin qui marche à coup sûr, puis l’améliore en arrière-plan.

1
Session prête tout de suiteDès les premières millisecondes, une session QUIC chiffrée de bout en bout s’ouvre via le meilleur relais disponible : vos données circulent sans attendre la traversée NAT.
2
La course des chemins directsEn parallèle, VIGIL-MESH lance la course des chemins directs : il teste toutes les routes possibles entre les deux nœuds, la vigie coordonnant la traversée NAT pour ouvrir un passage direct.
3
Migration sans coupureDès qu’un chemin direct est validé puis élu comme meilleur, la session migre vers lui sans nouveau handshake ni interruption : les flux en cours ne s’en aperçoivent même pas.
4
Le relais reste en secours chaudLe relais ne disparaît pas : il reste en secours chaud, prêt à reprendre le trafic instantanément si le chemin direct se dégrade ou disparaît.

La session démarre par le relais, puis bascule vers le chemin direct dès qu’il gagne la course — sans que la connexion ne soit jamais interrompue.

Zéro port entrant à ouvrir côté nœud

Un nœud ordinaire n’a besoin d’aucune règle de pare-feu entrante. Il ouvre ses connexions vers l’extérieur, jamais l’inverse : un seul port d’infrastructure en sortie suffit à rejoindre le mesh et à tout faire fonctionner. Votre poste, votre serveur applicatif ou votre caméra n’exposent donc aucune surface d’attaque entrante.

Côté nœud : aucun port entrant à ouvrir, aucune redirection à configurer sur la box ou le pare-feu.
Un seul flux sortant vers l’infrastructure suffit pour l’ensemble du trafic.
Seul le rôle de relais — c’est-à-dire une vigie — écoute des connexions entrantes ; c’est le seul composant qui expose des ports.

Des adresses stables et des noms résolus localement

Chaque machine reçoit une adresse stable qui ne change pas d’une session à l’autre : une IPv4 prise dans l’espace CGNAT 100.64.0.0/10 et une IPv6 ULA dérivée de l’identité du réseau. Vos applications retrouvent donc toujours leurs pairs à la même adresse, quel que soit le réseau physique sous-jacent.

Les noms, eux, sont résolus localement, directement depuis la carte réseau signée que distribue le contrôleur (MagicDNS) : aucune requête DNS ne quitte la machine. Personne à l’extérieur n’apprend donc quel appareil cherche à joindre quel autre.

Un seul nœud connecté suffit pour tout un site

Il n’est pas nécessaire que chaque machine d’un site atteigne l’infrastructure. Grâce à la connectivité transitive, il suffit qu’une seule machine du site joigne une vigie pour que tout le site devienne membre du mesh : les données, le contrôle, le multicast et même l’enrôlement de nouveaux appareils empruntent alors ce nœud comme relais local.

Un seul nœud atteint la vigie : par transitivité, tout le site rejoint le mesh à travers lui.

Mieux encore : un îlot coupé d’internet continue de fonctionner entre ses membres déjà vérifiés. Tant que les nœuds se sont authentifiés une première fois, ils continuent d’échanger sur le réseau local — en unicast comme en multicast — sans jamais dépendre d’une connexion vers l’extérieur.

Réseaux restrictifs : le profil tcp-only

Certains réseaux d’entreprise ou hôteliers bloquent tout l’UDP. Pour ces environnements, VIGIL-MESH prévoit un profil de conformité tcp-only : dans ce mode, le nœud n’émet aucun datagramme UDP et fait passer l’intégralité du trafic sur des connexions TCP. Même le multicast reste disponible : il est reconstitué par un fan-out TCP vers chaque destinataire. La découverte locale et le temps réel continuent de fonctionner, au prix d’un peu de latence supplémentaire.

Lire ensuiteDiffusion L2 et multicast chiffré →

In English

VIGIL-MESH is a mesh network: whenever possible, each machine talks directly to the others instead of funnelling everything through a central server. Three roles share the work — the node (your symmetric client-and-server machine), the blind vigie (a relay and NAT-traversal coordinator that never reads your traffic), and the controller (identities, relay directory and addressing, never a single data packet or key).

A connection is usable immediately: an end-to-end encrypted QUIC session opens through the best relay while a race for direct paths runs in parallel. As soon as a direct path is validated and elected, the session migrates to it with no new handshake and no interruption, and the relay stays as a warm standby.

Reachability is transitive: a single node that reaches a vigie brings its whole site onto the mesh, and an island cut off from the internet keeps working — unicast and multicast — between members that have already been verified.