Un maillage complet sans la corvée du fait maison
Un maillage WireGuard relie chaque nœud à tous les autres par des tunnels point à point. C'est efficace, mais seul, vous gérez à la main les pairs, les clés, les adresses et la traversée de NAT, et la charge augmente avec chaque nœud. Vexaro Mesh, actuellement en développement, est conçu pour offrir le même maillage complet sous forme de produit managé, qui prend en charge l'appairage, les clés et la traversée de NAT.
Ce qu'est un réseau maillé WireGuard
WireGuard est un protocole VPN rapide et moderne qui connecte deux pairs avec un tunnel simple et audité. Un « réseau maillé WireGuard » consiste à l'utiliser pour connecter de nombreux nœuds afin que chacun puisse atteindre tous les autres directement. C'est un maillage complet, par opposition à un routage via un seul serveur.
Des tunnels point à point, partout
Dans un maillage complet, chaque nœud maintient un tunnel direct vers tous les autres, de sorte que le trafic entre deux nœuds quelconques emprunte le chemin le plus court sans relais central. C'est ce qui rend un réseau maillé rapide.
Le hic : tout est manuel
WireGuard lui-même ne gère pas les pairs, ne distribue pas les clés, n'alloue pas les adresses et ne perce pas le NAT. Dans un réseau maillé assemblé à la main, chaque nouveau nœud implique de mettre à jour la liste des pairs et les clés sur les autres, et le travail croît avec le carré du nombre de nœuds.
La traversée de NAT n'est pas intégrée
WireGuard doit savoir comment atteindre chaque pair. Derrière un NAT, il faut ajouter un mécanisme de découverte et de perçage de NAT, ainsi qu'une solution pour les cas où une connexion directe ne peut pas se former. Le protocole de base ne fournit rien de tout cela.
Comment Vexaro prévoit de s'en charger pour vous
Ce que Vexaro Mesh est conçu pour prendre en charge, afin que vous n'ayez pas à exploiter vous-même les rouages.
Appairage automatique
Les passerelles sont conçues pour se trouver et monter elles-mêmes le full-mesh : aucune liste de pairs à modifier sur chaque nœud lorsqu'un nœud est ajouté ou retiré.
Clés managées
Le matériel cryptographique est prévu pour être provisionné et géré à votre place, ce qui supprime la tâche sujette aux erreurs consistant à générer, distribuer et faire tourner les clés à la main dans un maillage qui grandit.
Traversée de NAT, intégrée par conception
Les pairs derrière un NAT sont conçus pour se connecter directement partout où le réseau le permet, et via un relais là où il ne le permet pas. Aucune redirection de ports ni adresse publique à configurer.
Politique centrale
Les règles d'accès sont prévues pour se définir de manière centralisée depuis une seule console. Une configuration WireGuard de base vous laisse cette couche opérationnelle.
Réseau maillé WireGuard fait maison face à managé
Une comparaison opérationnelle entre un réseau maillé WireGuard assemblé à la main et un maillage complet managé. La question est de savoir qui fait le travail, pas la qualité du protocole.
| Vexaro (maillage managé, prévu) | Réseau maillé WireGuard fait maison | |
|---|---|---|
| Appairage | Découverte automatique | Listes de pairs manuelles par nœud |
| Gestion des clés | Provisionnées et prises en charge | Générer / distribuer à la main |
| Traversée de NAT | Intégrée : direct, relais en repli | Ajouter votre propre STUN / relais |
| Politique | Centralisée | Config / scripts par nœud |
Une note sur les protocoles
WireGuard est un excellent protocole moderne, et cette page ne le critique pas : elle traite de la réalité opérationnelle de l'exploitation d'un maillage complet. Des outils comme Tailscale et NetBird construisent des réseaux maillés managés sur WireGuard. Vexaro Mesh est en développement, et ce site ne nomme pas le protocole de tunnel qu'il utilisera ; son trafic est prévu pour être protégé par une cryptographie moderne. La comparaison porte ici sur l'exploitation maison face à l'exploitation managée, et non sur un protocole face à un autre.
Quand un réseau maillé managé est pertinent
Vous voulez la rapidité et le caractère direct d'un maillage complet mais ne souhaitez pas gérer à la main les pairs, les clés et les adresses à mesure que le nombre de nœuds augmente.
Vos nœuds se trouvent derrière un NAT et vous préféreriez ne pas construire et exploiter vous-même STUN, le perçage de NAT et un plan de repli par relais.
Vous avez besoin de fonctionnalités opérationnelles, comme une politique centrale et l'audit, qu'une configuration WireGuard de base vous laisse assembler.
Vous préférez relier des sites entiers sous forme de passerelles plutôt que de maintenir une configuration de tunnels appareil par appareil sur tout le parc.