R.64 · Redondance, WAN et architecture
Le WAN aujourd'hui : fibre, MPLS, SD-WAN
Leçon théorique · questionnaire de validation · gratuit, dans le navigateur
Le WAN (Wide Area Network) relie les sites d'une entreprise entre eux, et à Internet : le siège, les agences, les datacenters, le cloud. Les technologies ont beaucoup changé en vingt ans : des lignes louées très chères, on est passé au MPLS des opérateurs, puis au SD-WAN, qui pilote plusieurs accès Internet ordinaires comme un seul réseau. Cette leçon fait le tour de ce qu'on rencontre aujourd'hui.
Ce que vous saurez à la fin : citer les accès WAN courants, expliquer le principe d'un VPN MPLS d'opérateur, décrire ce qu'apporte le SD-WAN, et choisir une topologie WAN.
1. Les accès
| Accès | Caractéristiques | Usage |
|---|---|---|
| Fibre dédiée (FTTO, lien Ethernet opérateur) | Débit symétrique garanti, engagement de délai de rétablissement (GTR 4 h) | Sièges, datacenters |
| Fibre grand public (FTTH) | Débit élevé, mutualisé, sans garantie | Petites agences, accès de secours |
| xDSL (ADSL, VDSL) | Sur cuivre, en voie de disparition (fin du cuivre en France vers 2030) | Sites isolés |
| 4G / 5G | Mobile, rapide à installer | Secours, chantiers, sites temporaires |
| Satellite (orbite basse) | Partout, latence de quelques dizaines de ms | Zones blanches |
On combine souvent deux accès de technologies différentes (fibre + 4G) : une pelleteuse qui coupe une fibre coupe rarement aussi la 4G.
2. Le VPN MPLS d'opérateur
Pendant vingt ans, la solution standard des entreprises multi-sites : l'opérateur fournit un réseau privé qui relie tous les sites, isolé de celui des autres clients. Dans son cœur, il utilise MPLS (Multiprotocol Label Switching) : chaque paquet reçoit une étiquette à l'entrée du réseau de l'opérateur, et ses routeurs commutent sur l'étiquette au lieu de relire l'adresse IP.
- CE (Customer Edge) : le routeur du client, sur le site ;
- PE (Provider Edge) : le routeur de l'opérateur auquel il se raccorde ; il garde une table de routage séparée par client (VRF) ;
- P (Provider) : les routeurs du cœur, qui ne connaissent que les étiquettes.
Avantages : qualité de service garantie, délais maîtrisés, isolation. Inconvénients : cher, lent à commander (plusieurs semaines), et tout le trafic vers Internet remonte au siège avant de sortir.
3. Les VPN sur Internet
Moins cher : relier les sites par des tunnels chiffrés (IPsec, WireGuard) sur de simples accès Internet. Le chiffrement remplace l'isolation de l'opérateur ; en revanche, aucune garantie de délai ni de débit : Internet fait au mieux (best effort). Le parcours « la sécurité » y consacre deux labs (tunnels GRE, VPN).
4. Le SD-WAN
Le SD-WAN (Software-Defined WAN) combine les deux mondes. Chaque site a un boîtier (physique ou virtuel) et plusieurs accès (MPLS, fibre Internet, 4G) ; un contrôleur central les pilote :
- des tunnels chiffrés automatiques entre tous les sites, sur tous les accès ;
- un choix du chemin par application, en mesurant en continu la latence, la gigue et les pertes de chaque lien : la visioconférence passe par le lien le plus stable, les mises à jour par le moins cher ;
- une sortie Internet locale (local breakout) : le trafic vers Microsoft 365 ou le cloud sort directement de l'agence, au lieu de remonter au siège ;
- une configuration centrale : on ouvre une agence en branchant un boîtier qui récupère seul sa configuration (zero-touch provisioning).
Le SD-WAN s'accompagne souvent du SASE (Secure Access Service Edge) : les fonctions de sécurité (pare-feu, filtrage web, accès zéro confiance) sont fournies depuis le cloud, au plus près des utilisateurs, y compris en télétravail.
5. Les topologies
| Topologie | Principe | Remarque |
|---|---|---|
| Étoile (hub and spoke) | Toutes les agences reliées au siège | Simple ; le trafic entre agences passe par le siège |
| Maillage complet | Chaque site relié à tous les autres | n × (n − 1) / 2 liens : impossible au-delà de quelques sites, sauf automatisé (SD-WAN) |
| Maillage partiel | Seuls les sites qui échangent beaucoup sont reliés directement | Le compromis courant |
| Double raccordement | Chaque site sur deux accès, ou deux opérateurs | La règle pour les sites critiques |
6. Retenir
| Technologie | En une phrase |
|---|---|
| Fibre dédiée | Débit garanti et délai de rétablissement contractuel |
| VPN MPLS | Réseau privé de l'opérateur, étiquettes, une VRF par client |
| VPN IPsec / WireGuard | Tunnels chiffrés sur Internet, sans garantie de service |
| SD-WAN | Plusieurs accès pilotés par un contrôleur, chemin choisi par application |
| SASE | La sécurité fournie depuis le cloud, au plus près des utilisateurs |