Documentation
VPN HTTP/3 : le tunnel qui ressemble à du trafic web
Sur un réseau d’entreprise verrouillé, un Wi-Fi d’hôtel ou une connexion 4G/5G filtrée, le premier problème d’un VPN n’est pas la vitesse : c’est de passer. Les pare-feu reconnaissent WireGuard, OpenVPN ou IPsec à leur port et à leur signature, et les coupent. VIGIL-MESH prend le chemin inverse : ses tunnels sont des sessions QUIC chiffrées en TLS 1.3, émises vers le port 443 UDP — exactement ce qu’émet un navigateur qui parle HTTP/3 à YouTube ou Google. Vu du réseau, le tunnel est du trafic web ordinaire.
HTTP/3, le camouflage parfait
HTTP/3 est la version la plus récente du protocole du web. Contrairement à HTTP/1.1 et HTTP/2, il ne circule plus sur TCP mais sur QUIC, un transport bâti sur UDP qui intègre le chiffrement TLS 1.3 dès la première trame. Les grands acteurs du web — Google, YouTube, les CDN majeurs — le servent par défaut : une part considérable du trafic Internet quotidien est déjà du QUIC vers le port 443 UDP.
C’est ce qui en fait un camouflage idéal pour un tunnel. Avec QUIC, presque tout est chiffré, y compris les en-têtes de transport que TCP laissait en clair. Un équipement d’inspection (DPI) qui observe une session QUIC voit un poste qui parle à un serveur sur le port 443 UDP — et rien de plus. Il ne peut pas distinguer une visioconférence, une vidéo YouTube ou un tunnel VPN : bloquer l’un, c’est bloquer tout le web moderne.
Pourquoi les VPN classiques se font bloquer
Les protocoles VPN historiques ont un défaut commun : ils s’annoncent. Un port dédié, un protocole IP exotique ou une poignée de main reconnaissable suffisent à un pare-feu d’entreprise, un portail captif d’hôtel ou un opérateur mobile pour les identifier — et une politique « on ne laisse sortir que le web » les élimine sans même le vouloir.
| Protocole | Ce que voit le réseau | Sort sur un réseau verrouillé |
|---|---|---|
| WireGuard | UDP vers un port dédié (51820 par défaut) | Bloqué dès que seuls les ports web sortent |
| OpenVPN | Poignée de main reconnaissable, même déguisé en TCP 443 | Identifié et coupé par les DPI courants |
| IPsec/IKEv2 | Protocole ESP et ports UDP 500/4500 | Filtré par la plupart des pare-feu restrictifs |
| VPN HTTP/3 (VIGIL-MESH) | Une session QUIC vers le port 443 UDP, comme un navigateur | Passe partout où le web moderne passe |
Le cas d’OpenVPN sur TCP 443 illustre bien le problème : emprunter le port du web ne suffit pas si la conversation, elle, ne ressemble pas à du web. Les équipements d’inspection reconnaissent sa poignée de main et le distinguent d’une vraie session HTTPS. Un VPN HTTP/3 ne joue pas à ce jeu-là : il parle le même protocole que le web, pas un protocole déguisé.
Ce que fait VIGIL-MESH concrètement
Un seul port sortant, zéro port entrant
Tout le trafic VIGIL-MESH sort par le port 443 UDP, et aucun nœud n’ouvre de port entrant. Rien à demander au service informatique, rien à rediriger sur la box ou le pare-feu : si le poste peut regarder une vidéo, il peut rejoindre le mesh.
Chiffré de bout en bout, même relayé
Chaque session est une connexion QUIC/TLS 1.3 de bout en bout, authentifiée par des clés Ed25519 brutes. Quand le trafic transite par un relais (la vigie), celui-ci est structurellement aveugle : il ne détient pas les clés et ne voit jamais le contenu — et vous pouvez héberger votre propre vigie.
Post-quantique dès aujourd'hui
L’établissement de clés est hybride X25519 + ML-KEM : même enregistré aujourd’hui, le trafic résiste à un déchiffrement futur par ordinateur quantique.
Migration sans coupure et reprise 0-RTT
QUIC sait migrer une connexion sans la rompre : la session commence via la vigie puis bascule sur le chemin direct dès qu’il existe, sans coupure. Après un changement de réseau, la reprise 0-RTT rétablit le tunnel sans nouvelle poignée de main complète.
- 1Le nœud sort comme un navigateurLe client établit une session QUIC chiffrée vers le port 443 UDP — la même démarche qu’un onglet qui charge une page en HTTP/3.
- 2Le tunnel bascule en directDès qu’un chemin de pair à pair est établi, la connexion migre du relais vers le direct sans interrompre les flux en cours.
- 3Le réseau complet suitPar-dessus ce transport passent aussi la diffusion L2-like et le multicast chiffré (mDNS, SSDP, WS-Discovery) : la découverte d’appareils traverse le tunnel comme le reste.
Ce comportement est le même sur tous les clients — Windows, Linux, Android, Jetson, et jusqu’au navigateur grâce au cœur WASM : partout, le mesh se présente au réseau local comme du trafic web sortant.
Les limites, honnêtement
Un VPN HTTP/3 passe là où le web moderne passe — ni plus, ni moins. Deux situations méritent d’être connues avant de compter dessus.
- Un réseau qui bloque UDP 443 bloque aussi HTTP/3. Certains pare-feu très stricts n’autorisent que TCP en sortie. Dans ce cas, QUIC ne peut pas s’établir et le tunnel doit se replier — l’avantage du camouflage HTTP/3 disparaît avec lui.
- QUIC peut être ralenti par certains opérateurs. Quelques réseaux, mobiles notamment, throttlent ou dégradent le trafic UDP/QUIC dans son ensemble. Le tunnel reste indistinguable, mais il subit alors le même traitement que le reste du trafic HTTP/3.