Documentation
VPN site à site : la version mesh, sans IPsec
Le VPN site à site est le grand classique des réseaux d'entreprise : des tunnels IPsec entre routeurs qui relient l'agence, l'atelier ou le site distant au réseau principal. Le modèle fonctionne, mais il vieillit mal — configuration par routeur, adresses IP fixes, tout le trafic qui transite par le siège. L'approche mesh renverse le schéma : chaque machine devient un pair du réseau, les chemins sont directs de site à site, et aucun concentrateur n'est nécessaire. Cette page compare honnêtement les deux modèles et montre comment monter l'équivalent site à site avec VIGIL-MESH.
À quoi sert un VPN site à site classique
Un VPN site à site relie des réseaux entiers entre eux plutôt que des utilisateurs individuels : le réseau de l'agence est raccordé au réseau du siège, et les machines des deux côtés se joignent comme si elles partageaient la même infrastructure. C'est lui qui permet à l'atelier d'atteindre l'ERP central, à l'agence d'imprimer sur le serveur du siège, ou au site distant de remonter ses données de production.
L'implémentation traditionnelle repose sur IPsec : un tunnel chiffré établi entre deux routeurs ou pare-feu, un à chaque extrémité. Chaque paire de sites à relier exige son tunnel, avec sa configuration de part et d'autre — sélecteurs de trafic, plages d'adresses, clés partagées ou certificats. Dans la pratique, la plupart des entreprises n'interconnectent pas tous les sites entre eux : elles construisent une étoile, où chaque site ouvre un tunnel vers le siège, qui sert de plaque tournante pour tout le trafic inter-sites.
Là où le site à site classique fait mal
Quiconque a exploité un parc de tunnels IPsec reconnaîtra ces douleurs. Elles ne tiennent pas à un fournisseur en particulier : elles découlent du modèle lui-même.
Une configuration par routeur
Chaque tunnel se configure des deux côtés, sur des équipements souvent hétérogènes. Ajouter un site, changer une plage d'adresses ou renouveler des clés se fait équipement par équipement, avec les erreurs d'appariement que cela implique.
Des adresses IP fixes exigées
Les extrémités des tunnels doivent se trouver : il faut des adresses publiques stables, ou de la gymnastique pour les sites en adresse dynamique, en 4G ou derrière le NAT d'un opérateur.
Tout transite par le siège
En étoile, le trafic entre deux agences remonte au siège avant de redescendre : chemin allongé, latence doublée, et un lien central à dimensionner pour la somme de tous les flux.
Le concentrateur, point de panne unique
Si le concentrateur du siège tombe — panne matérielle, mise à jour ratée, coupure du lien —, tous les sites perdent l'interconnexion en même temps, même quand chaque site fonctionne parfaitement de son côté.
L'approche mesh : des pairs, pas des tunnels
Un VPN mesh part d'un autre postulat : au lieu de relier des routeurs par des tunnels, chaque machine devient un pair du réseau. Les pairs s'authentifient auprès d'un plan de contrôle, puis établissent entre eux des connexions directes et chiffrées — de machine à machine, de site à site, sans point de passage obligé. La topologie n'est plus dessinée à la main dans des configurations de routeurs : elle découle de l'appartenance au réseau.
- Chemins directs point à point : le trafic entre deux sites va de l'un à l'autre par le chemin le plus court, sans détour par un siège ou un concentrateur.
- Pas de concentrateur à dimensionner ni à sauvegarder : aucun équipement central ne porte le trafic inter-sites, donc aucun ne peut le faire tomber.
- Pas d'adresse fixe requise : les connexions sont établies vers l'extérieur, ce qui fonctionne derrière un NAT, en 4G/5G ou en adresse dynamique, sans ouvrir de port entrant.
- Îlots autonomes : si l'accès Internet d'un site coupe, les machines de ce site continuent de se parler localement ; le réseau ne s'effondre pas avec le lien.
IPsec site à site et mesh, face à face
La comparaison honnête ne consiste pas à dire que le mesh gagne partout : les deux modèles ne placent pas l'unité de gestion au même endroit. IPsec raisonne en réseaux reliés par des routeurs ; le mesh raisonne en machines membres d'un réseau logique.
| IPsec site à site | VPN mesh | |
|---|---|---|
| Unité de base | Le tunnel entre deux routeurs | La machine, pair du réseau |
| Topologie | Étoile autour du siège, ou maillage de tunnels configurés à la main | Maillage direct, dérivé de l'appartenance au réseau |
| Chemin inter-sites | Transite par le concentrateur central | Direct de site à site, le plus court |
| Prérequis réseau | Adresses publiques stables, ports IPsec ouverts | Aucun port entrant, fonctionne derrière NAT et adresses dynamiques |
| Ajout d'un site | Nouveau tunnel à configurer des deux côtés | Enrôler les machines du site dans le réseau |
| Panne du point central | Interconnexion perdue pour tous les sites | Pas de point central ; chaque site reste un îlot autonome |
| Machines sans agent | Couvertes d'office : le routeur embarque tout le sous-réseau | Via un nœud passerelle, hôte par hôte, sélection explicite |
| Chiffrement | IPsec, selon les suites configurées sur chaque équipement | QUIC/TLS 1.3 de bout en bout, échange de clés hybride post-quantique |
Monter un « site à site » avec VIGIL-MESH
Avec VIGIL-MESH, l'équivalent du site à site ne passe ni par des tunnels ni par des routeurs : il se construit avec les briques du produit — réseaux, adresses stables, MagicDNS et politique d'accès. Des clients existent pour Windows, Linux, Android, Jetson et le navigateur (WASM).
- 1Créez un réseau pour les machines qui doivent se voirUn réseau VIGIL-MESH est un domaine de diffusion : regroupez-y les machines des différents sites qui doivent réellement communiquer, qu'elles soient au siège, à l'agence ou à l'atelier.
- 2Enrôlez les machines de chaque siteChaque machine installée rejoint le mesh en sortie, sans port entrant à ouvrir ni adresse publique à réserver sur les box ou routeurs des sites. Elle reçoit une adresse stable qui la suit partout.
- 3Couvrez les équipements sans agent via une passerellePour l'imprimante, l'automate ou le serveur hérité qui ne peut pas exécuter l'agent, un nœud du même LAN sert de passerelle et publie les hôtes explicitement sélectionnés — pas le sous-réseau entier.
- 4Écrivez la politique d'accès (ACL)Décrivez qui joint quoi entre les sites : l'atelier atteint l'ERP, l'agence atteint le serveur de fichiers, et rien d'autre. La politique se définit une fois dans la console et se distribue aux membres.
- 5Nommez les services avec MagicDNSLes machines se joignent par un nom court résolu localement, plutôt que par des plans d'adressage à faire correspondre entre sites. Les adresses stables font le reste.