Cloud, applications SaaS, télétravail, téléphonie hébergée, sites distants… Le réseau d’entreprise doit aujourd’hui prendre en charge des usages beaucoup plus nombreux et hétérogènes qu’auparavant.
Face à cette évolution, les DSI doivent arbitrer entre plusieurs technologies : MPLS, VPN IPsec, SD-WAN ou SASE. Chacune présente ses avantages, ses contraintes et ses cas d’usage. Il n’existe donc pas de réseau idéal dans l’absolu, mais une architecture adaptée aux priorités, aux usages et aux contraintes de chaque organisation.
Pourquoi l'architecture réseau est-elle devenue stratégique ?
Le réseau n’est plus une simple infrastructure chargée de relier des postes de travail à un datacenter. Il constitue désormais le socle de l’activité numérique de l’entreprise.
Les collaborateurs utilisent quotidiennement Microsoft 365, Teams, des logiciels métiers hébergés, des solutions de téléphonie cloud et, de plus en plus, des services intégrant de l’intelligence artificielle. Dans le même temps, le télétravail et la mobilité ont durablement modifié les conditions d’accès au système d’information.
Une architecture réseau mal adaptée peut alors entraîner des ralentissements, des interruptions de service ou une dégradation de l’expérience utilisateur. Elle peut également compliquer l’application des politiques de sécurité et limiter la capacité de la DSI à faire évoluer rapidement son infrastructure.
Le choix d’une architecture réseau doit donc répondre à plusieurs objectifs :
- Assurer la disponibilité des applications critiques
- Maintenir un niveau de performance homogène
- Protéger les flux et les accès
- Simplifier l’exploitation du réseau
- Accompagner l’évolution des sites et des usages cloud
Les nouveaux critères de choix des DSI
Pendant longtemps, la sélection d’une solution réseau reposait principalement sur la bande passante et le coût des liaisons. Ces deux critères restent importants, mais ils ne suffisent plus.
Les DSI recherchent désormais une meilleure convergence entre le réseau et la sécurité. Elles souhaitent également automatiser les déploiements, disposer d’une visibilité en temps réel sur les flux et adapter rapidement l’infrastructure à l’ouverture d’un nouveau site ou à l’adoption d’un service SaaS.
L’enjeu n’est donc plus seulement de connecter des sites. Il s’agit de piloter dynamiquement les flux en fonction de leur criticité, de leur destination et de l’expérience attendue par les utilisateurs.
MPLS : la stabilité pour les flux critiques
Le MPLS repose sur un réseau privé administré par un opérateur. Il est historiquement utilisé pour interconnecter plusieurs sites avec un niveau de service maîtrisé.
Son principal atout réside dans sa capacité à garantir une qualité de service élevée. La voix sur IP, les applications sensibles à la latence ou certains flux industriels peuvent ainsi être priorisés. Les engagements de service proposés par les opérateurs apportent également une visibilité sur la disponibilité et les performances du réseau.
En contrepartie, le MPLS reste généralement plus coûteux que des accès Internet classiques. Son déploiement peut nécessiter plusieurs semaines, voire plusieurs mois, et l’entreprise dépend fortement de son opérateur.
Son architecture traditionnelle peut aussi provoquer un effet de « tromboning » : le trafic Internet ou cloud d’un site distant transite d’abord par le datacenter central avant d’atteindre sa destination. Ce détour augmente la latence et peut pénaliser l’utilisation des applications SaaS.
Le MPLS conserve néanmoins sa pertinence pour des organisations multisites dont les applications critiques sont majoritairement hébergées en local, notamment dans certains environnements industriels ou fortement centralisés.
VPN IPsec : une solution accessible, mais difficile à industrialiser
Le VPN IPsec utilise Internet pour créer des tunnels chiffrés entre les différents sites de l’entreprise. Il constitue une solution courante pour connecter quelques implantations sans recourir à des liaisons privées.
Son coût est relativement faible, puisqu’il s’appuie sur des accès Internet standards. Le chiffrement de bout en bout protège les données en transit et le protocole IPsec est compatible avec la grande majorité des pare-feux et des routeurs du marché.
Cette simplicité atteint toutefois rapidement ses limites lorsque le nombre de sites augmente. Dans une architecture entièrement maillée, chaque implantation doit établir des tunnels avec les autres. La configuration, les règles de routage et la supervision deviennent alors difficiles à maintenir.
Le VPN IPsec offre également moins de granularité pour piloter les flux applicatifs. Il répond donc bien à des environnements limités, mais devient plus complexe à industrialiser dans un réseau multisite important.
SD-WAN : plus d'agilité pour les entreprises multisites
Le SD-WAN ajoute une couche d’intelligence logicielle au-dessus des liaisons réseau. Il peut combiner différents types d’accès : fibre professionnelle, accès Internet, MPLS ou encore connexion 4G et 5G.
Cette approche permet d’utiliser plusieurs liens simultanément et d’orienter automatiquement le trafic vers la connexion la plus adaptée. Une application métier critique peut, par exemple, emprunter le lien offrant la meilleure latence, tandis qu’un usage moins sensible utilise une connexion secondaire.
Le SD-WAN apporte également une meilleure indépendance vis-à-vis des opérateurs. L’entreprise peut sélectionner ses liens en fonction de la couverture, du coût ou de la qualité disponible sur chaque site.
Le déploiement est simplifié grâce au Zero Touch Provisioning : un équipement peut être envoyé sur un site et récupérer automatiquement sa configuration à partir de modèles prédéfinis. Cette fonctionnalité facilite l’ouverture de nouvelles agences ou l’intégration rapide d’une implantation.
Le SD-WAN reste néanmoins dépendant de la qualité des accès Internet sous-jacents. Son administration nécessite également une expertise adaptée, notamment lorsque l’entreprise exploite un grand nombre de sites et des politiques de routage complexes.
Il représente souvent un bon compromis pour les organisations multisites qui utilisent à la fois des applications hébergées en interne et des services cloud.
SASE : faire converger réseau et sécurité
Le SASE, ou Secure Access Service Edge, va plus loin en réunissant les fonctions réseau et les services de sécurité au sein d’une architecture distribuée dans le cloud.
L’objectif n’est plus seulement de sécuriser un site physique, mais de protéger chaque utilisateur, quel que soit son lieu de connexion. Un collaborateur peut ainsi bénéficier de la même politique de sécurité depuis le siège, son domicile, une agence ou un déplacement professionnel.
Cette approche correspond particulièrement aux entreprises qui utilisent largement le SaaS, le multicloud et le travail à distance. Elle facilite également la mise en œuvre d’une logique Zero Trust, dans laquelle chaque accès est vérifié selon l’identité de l’utilisateur, son terminal et le contexte de connexion.
Le SASE offre une visibilité centralisée sur le réseau et la sécurité. Sa mise en place peut toutefois nécessiter une refonte importante de l’existant, notamment lorsque l’organisation utilise déjà plusieurs pare-feux, VPN et outils de sécurité indépendants.
Le choix du fournisseur est également structurant. Une migration vers une autre plateforme SASE peut devenir un projet complexe. La performance dépend enfin de la qualité des accès Internet et de la proximité des points de présence (POP) du fournisseur.
MPLS, SD-WAN ou SASE : comment choisir ?
Le choix ne doit pas commencer par la technologie, mais par l’analyse des usages.
Une architecture MPLS peut rester pertinente lorsque les applications critiques sont centralisées dans un datacenter privé ou en local et que la qualité de service constitue la priorité principale.
Le SD-WAN est généralement adapté aux entreprises multisites engagées dans une transition vers le cloud. Il permet de combiner différents liens, d’optimiser les flux applicatifs et de déployer rapidement de nouveaux sites.
Le SASE répond davantage aux organisations cloud-first, fortement distribuées et composées d’un nombre important de collaborateurs nomades. Il apporte une approche cohérente de la connectivité et de la sécurité, centrée sur l’utilisateur plutôt que sur le site physique.
Dans de nombreux cas, ces technologies peuvent également coexister. Une entreprise peut conserver du MPLS pour certains flux critiques, utiliser le SD-WAN pour piloter ses liaisons et ajouter progressivement des fonctions SASE pour sécuriser les accès distants.
Les questions à se poser avant de faire évoluer son réseau
Avant de choisir une nouvelle architecture, la DSI doit cartographier les applications, les utilisateurs, les sites et les flux critiques.
Il est notamment nécessaire d’identifier la part des services hébergés dans le cloud, le niveau de mobilité des collaborateurs, les contraintes de latence et les objectifs de disponibilité. La capacité des équipes internes à administrer la solution et à superviser les incidents doit également être prise en compte.
Le coût d’un réseau ne se limite pas au prix des liens. Il faut intégrer l’exploitation, la supervision, les équipements, la sécurité et les conséquences potentielles d’une interruption de service.
Le réseau idéal dépend de votre organisation
Opposer systématiquement MPLS, VPN IPsec, SD-WAN et SASE serait réducteur. Ces technologies correspondent à des niveaux de maturité, à des architectures et à des usages différents.
Le véritable enjeu pour la DSI consiste à construire un environnement cohérent entre les applications, les sites, les utilisateurs et les exigences de sécurité. La meilleure architecture réseau n’est donc pas nécessairement la plus récente ou la plus complète : c’est celle qui accompagne efficacement les usages actuels tout en restant capable d’évoluer avec l’entreprise.
FAQ
Le SD-WAN pilote la connectivité : il combine plusieurs liens et oriente le trafic vers l’accès le plus adapté. Le SASE va plus loin en intégrant, dans le cloud, les fonctions réseau et les services de sécurité (pare-feu, filtrage web, accès Zero Trust). Le SD-WAN optimise le réseau ; le SASE fait converger réseau et sécurité autour de l’utilisateur.
Non. Il reste pertinent pour les organisations multisites dont les applications critiques sont hébergées dans un datacenter privé et pour lesquelles la qualité de service est prioritaire. Il est en revanche moins adapté aux usages cloud et SaaS, en raison de son coût, de ses délais de déploiement et de l’effet de « tromboning ».
Pas nécessairement. Le SD-WAN peut fonctionner avec le MPLS, qu’il intègre comme l’un de ses liens. Beaucoup d’entreprises conservent du MPLS pour certains flux critiques tout en s’appuyant sur le SD-WAN pour piloter l’ensemble de leurs liaisons.
Il chiffre les données en transit et convient à des environnements limités. Mais il devient difficile à industrialiser lorsque le nombre de sites et d’utilisateurs augmente, et offre peu de granularité sur les flux applicatifs. Pour un usage massif du télétravail et du SaaS, une approche SASE ou Zero Trust est généralement mieux adaptée.
Oui, et c’est fréquent. Une entreprise peut conserver du MPLS pour ses flux les plus sensibles, utiliser le SD-WAN pour orchestrer ses liens, puis ajouter progressivement des fonctions SASE pour sécuriser les accès distants. Ces technologies correspondent à des niveaux de maturité différents et coexistent souvent.
Le déploiement est généralement plus rapide que celui d’un réseau MPLS grâce au Zero Touch Provisioning : un équipement envoyé sur site récupère automatiquement sa configuration à partir de modèles prédéfinis. Cela facilite l’ouverture de nouvelles agences ou l’intégration rapide d’un site.
Le point de départ n’est pas la technologie, mais l’analyse des usages : part des applications hébergées dans le cloud, niveau de mobilité des collaborateurs, contraintes de latence, objectifs de disponibilité et capacité des équipes à administrer la solution. C’est cette cartographie qui oriente vers le MPLS, le SD-WAN, le SASE ou une combinaison des trois.
