Documentation
VPN QUIC : le transport nouvelle génération
VIGIL-MESH ne pose pas ses tunnels sur un protocole VPN traditionnel : chaque session entre deux machines EST une connexion QUIC (TLS 1.3), le transport qui fait tourner HTTP/3. On en tire un seul port 443 en UDP qui passe presque partout, une session qui survit aux changements de réseau, une reprise en 0-RTT, et une seule couche de chiffrement de bout en bout — flux fiables et datagrammes temps réel dans la même connexion.
Qu’est-ce qu’un VPN QUIC ?
QUIC est un transport moderne (RFC 9000) qui roule sur UDP et sert de socle à HTTP/3. Il intègre le chiffrement TLS 1.3 dans le transport lui-même, au lieu de l’empiler par-dessus. VIGIL-MESH l’utilise comme substrat de son réseau mesh : chaque session entre deux machines est une connexion QUIC authentifiée par clés publiques brutes (RFC 7250, identités Ed25519).
Un VPN QUIC n’est donc pas un tunnel dans un tunnel : le paquet chiffré QUIC est l’unité universelle, et les chemins (direct, relais, chaîne de pairs) ne sont que des porteurs interchangeables. Voir aussi le fonctionnement du réseau mesh sur /docs/reseau-mesh.
Pourquoi QUIC pour un VPN
- Un seul port 443 en UDP, comme HTTPS et HTTP/3 : le trafic ressemble à du web et franchit la plupart des pare-feu et middleboxes.
- TLS 1.3 intégré au transport : pas de couche de chiffrement séparée à négocier ni à maintenir.
- Migration de connexion : la session est identifiée indépendamment de l’adresse IP, elle survit donc à un changement de réseau, d’adresse ou de chemin — sans rétablir le tunnel.
- Reprise en 0-RTT : une session déjà connue peut renvoyer des données dès le premier paquet.
- Flux fiables ET datagrammes non fiables dans la même connexion : les flux de service transitent en ordre, le temps réel passe en datagrammes sans tête de ligne bloquante.
- Échange de clés hybride post-quantique (X25519 + ML-KEM768) sur chaque session — voir /docs/vpn-post-quantique.
QUIC face à WireGuard, OpenVPN et IPsec
WireGuard, OpenVPN et IPsec sont d’excellents protocoles, éprouvés et largement déployés. VIGIL-MESH fait simplement un autre choix de transport. Le tableau ci-dessous compare des faits, sans jugement de valeur.
| Critère | VIGIL-MESH (QUIC) | WireGuard | OpenVPN | IPsec |
|---|---|---|---|---|
| Transport | QUIC / UDP (TLS 1.3) | UDP (Noise) | UDP ou TCP (TLS) | UDP / ESP |
| Port par défaut | 443 | 51820 (configurable) | 1194 (configurable) | 500 / 4500 |
| Ressemble à du trafic web | Oui (comme HTTP/3) | Non | Partiellement (TLS) | Non |
| Migration de session (changement d’IP) | Oui, au niveau connexion | Roaming d’endpoint | Reconnexion | Reconnexion / MOBIKE |
| Flux fiables + datagrammes temps réel | Oui, dans une connexion | Datagrammes (couche IP) | Selon le mode | Datagrammes (couche IP) |
| Post-quantique intégré | Oui, hybride par défaut | Non natif | Non natif | Selon l’implémentation |
Pour un comparatif produit (Tailscale, ZeroTier, NetBird), voir /docs/comparatif.
Une seule couche de chiffrement, de bout en bout
Comme la session QUIC est chiffrée de bout en bout entre les deux machines nommées, l’infrastructure ne fait que transporter des paquets qu’elle ne peut pas lire. Il n’y a pas de double chiffrement sur le chemin relayé : le relais aveugle (la « Vigie ») porte le même paquet QUIC, sans clé de session. Détail sur /docs/securite.
In English
VIGIL-MESH is a QUIC-based VPN mesh: every machine-to-machine session is a QUIC connection (TLS 1.3), the same transport that powers HTTP/3.
That brings a single UDP 443 port that traverses most firewalls, connection migration that survives network changes, 0-RTT resumption, and reliable streams plus real-time datagrams in one connection.
WireGuard, OpenVPN and IPsec are excellent protocols; VIGIL simply makes a different transport choice, with hybrid post-quantum key exchange built in.