Documentation
VPN mesh et WireGuard : QUIC comme alternative
WireGuard est un excellent protocole VPN, et plusieurs réseaux mesh populaires reposent dessus. VIGIL-MESH fait un autre choix : transporter chaque session en QUIC (TLS 1.3). Ce n’est pas « WireGuard en moins bien », c’est un compromis différent, qui apporte la migration de session au niveau connexion, un seul port 443, la diffusion multicast chiffrée et un échange de clés post-quantique intégré.
WireGuard, un excellent socle
WireGuard est simple, rapide, au code réduit et bien étudié. C’est un très bon choix pour beaucoup d’usages, et plusieurs solutions mesh grand public s’appuient dessus. Ce guide ne cherche pas à le disqualifier : il explique pourquoi VIGIL-MESH a retenu QUIC comme transport.
Pourquoi VIGIL a choisi QUIC plutôt que WireGuard
- Migration au niveau connexion : une session QUIC est identifiée indépendamment de l’adresse IP et survit à un changement de réseau sans rétablir le tunnel.
- Flux fiables + datagrammes dans la même connexion : les flux de service passent en ordre, la commande temps réel en datagrammes non fiables.
- Un seul port 443 en UDP, indiscernable de HTTP/3 : franchit la plupart des pare-feu.
- TLS 1.3 intégré et échange de clés hybride post-quantique (X25519 + ML-KEM768) sur chaque session.
- Une connexion QUIC comme unité universelle : direct, relais ou chaîne de pairs ne sont que des porteurs interchangeables (voir /docs/reseau-mesh).
Détail du transport sur /docs/vpn-quic.
Ce qu’un VPN mesh QUIC apporte en plus
Au-delà du transport, VIGIL-MESH fait traverser la diffusion : broadcast et multicast IP passent le mesh chiffré comme sur un switch (mDNS, SSDP, jeux LAN, UDP métier) — ce qu’un VPN WireGuard ne fait pas nativement. Le multicast est chiffré de bout en bout et le relais le réplique sans pouvoir le lire. Voir /docs/l2-multicast.
| Critère | Approche VIGIL (QUIC) | VPN WireGuard classique |
|---|---|---|
| Transport | QUIC / TLS 1.3 | WireGuard (Noise) |
| Migration de session | Au niveau connexion | Roaming d’endpoint |
| Diffusion multicast / broadcast | Oui, chiffrée et répliquée | Non natif |
| Découverte d’appareils (mDNS, SSDP) | Oui, à travers le mesh | Non natif |
| Post-quantique | Hybride par défaut | Non natif (options tierces) |
In English
WireGuard is an excellent VPN protocol, and many mesh products build on it. VIGIL-MESH instead transports every session over QUIC (TLS 1.3).
That choice brings connection-level session migration, reliable streams plus real-time datagrams, a single UDP 443 port, and built-in hybrid post-quantum key exchange.
It also carries broadcast and multicast across the encrypted mesh — device discovery like on a LAN — which a plain WireGuard VPN does not do natively.