L'architecture Zero Trust / Mesh VPN

Introduction

Zero Trust Architecture (ZTA) repose sur un principe simple: « Ne jamais faire confiance, toujours vérifier » (Never trust, always verify).

Concept de sécurité attribué à [John Kindervag] , formalisé dans le rapport [No More Chewy Centers: Introducing the Zero Trust Model of Information Security] de 2010.

L’idée est de moderniser l’architecture legacy qui repose sur une confiance implicite, tout ce qui se trouve à l’intérieur du réseau est digne de confiance alors qu’avec ZTA, le réseau interne ne doit jamais être considéré comme implicitement fiable.

Dans cet article, je vais aborder le Mesh VPN et son adoption dans une approche Zero Trust.

Pourquoi opter pour le Mesh VPN ?

L’architecture d’un VPN classique repose sur une architecture legacy, il fait face aux risques classiques d’une topologie VPN Hub-and-Spoke.

Le point de terminaison, le Hub, est vu comme un point de défaillance unique même si du DNS round-robin et les mécanismes habituellement utilisés en parallèle existent.

Si le Hub est attaqué ou s’il est compromis, le réseau tout entier est compromis et|ou rendu indisponible.

Le Mesh VPN repose sur une architecture ZTA, par conséquent il intègre plusieurs couches de sécurité telles qu’une authentification basée sur une identité,une micro-segmentation via des ACLs, et du chiffrement de bout en bout (E2EE).

Le Mesh VPN fonctionne avec des connexions directes de type Peer-to-Peer, aucune terminaison de type Hub, pas de broadcast, aucun routage implicite.

En présence d’une configuration solide et d’une hygiène numérique robuste, même en présence d’une compromission, le mouvement latéral n’est pas possible.

Opter pour le Mesh VPN, en 2026 c’est opter pour une solution moderne, transparente, résiliente qui intégre nativement la rotation d’une partie des clés cryptographiques (Clés de session et Secret Forward Secrecy), l’expiration des sessions (Clés de session de transport).

## Diagramme illustrant le principe du Mesh VPN

Les faiblesses du Mesh VPN

Malgré ses atouts, le Mesh VPN n’est pas exempt de faiblesses, notamment en ce qui concerne l’utilisation d’une identité et de l’actif utilisé. Si la machine hôte est compromise ou si l’identité l’est, les mécanismes de sécurité du Mesh VPN ne pourront pas bloquer un attaquant qui pourra utiliser la session volée.

Un Mesh VPN, ne permet pas d’atteindre une architecture Zero Trust complète sans une gestion robuste des identités, un contrôle strict des terminaux et des politiques d’accès rigoureuses.

la rotation des clés n’est pas nécessairement implicitement en place nativement il faut donc impérativement avoir un processus rigoureux pour la rotation des clés privées d’identité (serveurs,clients,nœuds du Mesh), Clé privée de l’Autorité de Certification (CA).

Actuellement, la cryptographie post-quantique (PQC) n’est pas une caractéristique supportée nativement ce qui implique l’ajout d’une couche de sécurité hybride si on souhaite garantir la sécurité sur le long terme.

Quand est-il recommandé d’utiliser un Mesh VPN ?

Son utilisation est particulièrement pertinente dans des environnements Multi-Cloud et hybrides,les architectures Microservices (Kubernetes Etc.), les réseaux d’appareils IoT.

Conclusion

Le déploiement du Mesh VPN requiere une expertise chose qui n’est pas necessairement présent dans les entreprises ce qui implique souvent un recours à des expertises externes ou une préférence pour des solutions VPN plus traditionnelles et moins complexes à gérer.

L’hygiène numérique est un maillon faible persistant en entreprise. La GIA et la segmentation réseau, pourtant cruciales, sont trop souvent négligées, créant une dette technologique qui ouvre la voie à des vulnérabilités massives.

Le déploiement d’un Mesh VPN représente une solution viable et pérenne pour l’avenir des réseaux, à la condition que le maillon faible et la dette technologique soient préalablement adressés.