Qu'est-ce qu'un VPN maillé ?
Un VPN maillé est un réseau privé virtuel dans lequel les nœuds participants (appareils, serveurs ou sites entiers) se connectent les uns aux autres directement. Ils forment une toile de tunnels chiffrés au lieu de converger tous vers un serveur central unique. Un service de coordination aide les nœuds à se trouver et distribue la politique, mais le trafic réel circule en pair à pair par le chemin le plus court entre deux extrémités.
Un VPN maillé relie de nombreux appareils ou sites afin que chacun puisse atteindre tous les autres directement via des tunnels chiffrés, au lieu de faire transiter tout le trafic par un serveur central unique.
Ce qui définit un VPN maillé
- 01
La connectivité est multipoint à multipoint : chaque nœud peut atteindre tous les autres nœuds directement, au lieu d'une étoile où tout passe par un concentrateur unique.
- 02
Un plan de contrôle (un coordinateur ou un contrôleur) gère la découverte, l'identité et la politique, mais ne se trouve pas sur le chemin de données à transporter chaque paquet.
- 03
Le trafic entre deux nœuds emprunte un chemin direct et chiffré, ce qui maintient une latence faible et supprime le concentrateur central en tant que goulot d'étranglement et point unique de défaillance.
- 04
Comme il n'existe aucun point d'étranglement central, un réseau maillé passe mieux à l'échelle et se rétablit plus facilement après une panne qu'une conception hub-and-spoke, à mesure que vous ajoutez des nœuds.
Comment fonctionne un VPN maillé
Lorsqu'un nœud rejoint le réseau, il s'authentifie auprès du plan de contrôle et découvre ses pairs. Il établit ensuite des tunnels chiffrés directement vers les pairs avec lesquels il doit communiquer, perçant souvent le NAT afin que le tunnel se forme même lorsque les deux extrémités se trouvent derrière des routeurs. Le plan de contrôle continue de distribuer l'identité, les clés et la politique d'accès au gré des arrivées et des départs des nœuds, mais les données elles-mêmes circulent de nœud à nœud. C'est la distinction essentielle avec un VPN d'accès distant classique, où chaque client se connecte à une seule passerelle et où tout le trafic est rapatrié par celle-ci.
VPN maillé face au VPN traditionnel
Un VPN traditionnel est de type hub-and-spoke : les clients se connectent à un concentrateur, par lequel passe tout le trafic et qui devient le point unique de défaillance. Dès que deux clients veulent communiquer, cela ajoute un saut et de la latence. Un VPN maillé retire ce concentrateur du chemin de données et offre des chemins directs entre les nœuds. Les produits de ce domaine diffèrent par leur unité (certains maillent des appareils individuels, d'autres des sites entiers) et par la possibilité ou non d'auto-héberger le plan de contrôle, mais tous partagent l'idée d'une connectivité chiffrée directe, en pair à pair, coordonnée de manière centralisée.
Lien avec Vexaro Mesh (en développement)
Vexaro Mesh, actuellement en développement, est conçu comme un maillage de sites entiers plutôt que d'appareils individuels : des passerelles dans les bureaux, centres de données et clouds forment elles-mêmes un full-mesh, afin que chaque site joigne directement tous les autres. Le contrôleur doit gérer les politiques tout en restant hors du chemin de données, et les pairs derrière un NAT sont conçus pour se connecter directement partout où le réseau le permet, et via un relais là où il ne le permet pas. La facturation est prévue par site connecté, avec le contrôleur dans le cloud ou dans votre propre périmètre.
Voir les fonctions prévues