01. Réseau
Architectures réseau conçues pour ne pas tomber
LAN, MAN, WAN, SD-Access et Wi-Fi haute densité, sur des environnements où l’indisponibilité se compte en pertes d’exploitation.
L’essentiel
- La plupart des réseaux d’entreprise n’ont pas été conçus : ils se sont accumulés.
- La cartographie des flux réels précède toute conception : le schéma officiel décrit rarement l’existant.
- Une migration multi-sites se fait par vagues réversibles, jamais en une bascule unique.
- La supervision se déploie avant la migration, pas après : c’est elle qui permet de constater un écart.
Reprendre un réseau existant est plus difficile qu’en construire un
Un réseau en production porte vingt ans de décisions dont personne ne se souvient. Chaque ajout répondait à un besoin réel, aucun n’a été documenté, et l’ensemble fonctionne : jusqu’au jour où il faut y toucher. Reprendre cet existant suppose d’abord de le comprendre, ce qui n’est jamais une phase courte.
Un commutateur ajouté pour un déménagement, un VLAN créé pour un projet pilote devenu permanent, un lien opérateur reconduit par défaut à chaque échéance : la structure qui en résulte n’est l’intention de personne. Elle a deux conséquences. Personne ne sait plus quels flux traversent le cœur de réseau, ce qui rend toute modification risquée ; et un attaquant qui obtient un pied dans ce réseau y circule sans obstacle, faute de cloisonnement.
C’est pourquoi nos interventions commencent par la mesure, et non par une proposition d’architecture. Une cible dessinée sans connaître l’existant est un exercice de style.
Migrer un réseau multi-sites, par vagues réversibles
La bascule se fait site par site, avec une architecture cible unique définie à l’avance. Chaque bascule dispose d’une fenêtre planifiée hors période de service, d’un critère de validation écrit et d’un retour arrière essayé.
- L’architecture cible d’abord. Un seul modèle, appliqué partout, plutôt qu’une adaptation par site. Les exceptions se paient pendant dix ans en coût d’exploitation.
- La supervision avant la bascule. Sans mesure préalable, impossible de dire si un site va mieux ou moins bien après migration, donc impossible d’arbitrer la suite.
- Le pilote sur un site représentatif. Ni le plus simple, ni le plus critique : le premier ne révèle rien, le second ne pardonne rien.
- Le retour arrière essayé. Un plan de repli jamais exécuté est une hypothèse. Nous l’exerçons sur le site pilote, pendant la fenêtre, avant de poursuivre.
Le Wi-Fi industriel n’obéit pas aux règles de la bureautique
En entrepôt ou en usine, les structures métalliques, les rayonnages mobiles et les engins créent des zones d’ombre qui n’apparaissent sur aucun plan. Et une microcoupure qui passerait inaperçue en bureautique provoque ici un arrêt de ligne.
La conception se fait donc sur site, pas sur plan : une étude de couverture menée depuis un logiciel donne un résultat plausible et faux, parce qu’elle ignore ce que les palettes, les cloisons mobiles et les chariots font aux ondes.
Le second écart concerne l’itinérance. Un terminal embarqué sur un chariot change de borne en permanence, et la qualité de ces transitions compte davantage que la puissance du signal. S’y ajoute le parc terminal : des équipements industriels anciens ne supportent pas les protocoles récents, et la conception doit composer avec eux.
Le SD-Access ne se justifie pas partout
Il apporte une segmentation pilotée par politique plutôt que par configuration d’équipement, ce qui change l’exploitation en profondeur : pour le meilleur quand le parc est homogène et les équipes formées, pour le pire dans le cas inverse.
Le gain est opérationnel : appliquer une politique d’accès sans reconfigurer chaque équipement, et la faire suivre l’utilisateur plutôt que la prise réseau. Le coût est la montée en compétence, car une équipe non accompagnée retombe sur les anciennes pratiques en ayant payé la technologie.
Nous vérifions donc trois choses avant de recommander cette direction : l’homogénéité du parc, la maturité de la gestion des identités, et la disponibilité réelle des équipes.
Ce que nous observons sur le terrain
Ce que la mesure révèle avant une migration
Sur les reprises de réseau que nous conduisons, la supervision déployée en amont produit presque toujours un constat imprévu : des incidents existaient déjà, mais personne ne les voyait. Des liens saturés à heures fixes, des microcoupures régulières sur un site, des équipements qui redémarrent seuls. Les utilisateurs s’en étaient accommodés et ne les signalaient plus.
Ce constat change souvent la priorité du projet. Il arrive qu’une organisation venue pour une modernisation découvre qu’un correctif ciblé sur deux sites règle l’essentiel de la gêne ressentie, et que la migration peut attendre l’exercice suivant. Tendances observées dans nos mandats, pas statistique.
Questions fréquentes
Peut-on moderniser un WAN sans changer d’opérateur ?
Souvent, oui. L’architecture et le fournisseur de liens sont deux décisions distinctes, même si elles sont fréquemment présentées ensemble. Il est possible de revoir la conception, la redondance et la politique de routage en conservant les liens existants, puis de traiter la question contractuelle séparément, ce qui évite de faire dépendre un chantier technique d’une négociation commerciale.
Combien de temps dure une étude de couverture Wi-Fi ?
Elle se mesure sur site, en conditions d’exploitation réelles : une usine vide ne dit rien d’une usine en production. Nous ne fixons pas de durée à l’avance, car elle dépend de la surface, du nombre de niveaux et de la variabilité de l’environnement.
Intervenez-vous sur des réseaux industriels ?
Oui, avec une réserve de méthode : l’inventaire des actifs connectés précède tout le reste, car ces environnements contiennent presque toujours des équipements que le service informatique ne connaît pas. Les fenêtres d’intervention y sont contraintes par la production, et la réversibilité de chaque étape compte davantage qu’ailleurs.
Que se passe-t-il si une bascule échoue ?
On revient à l’état antérieur pendant la fenêtre prévue, et on analyse à froid. C’est la raison d’être du découpage en vagues : un échec sur un site reste un échec sur un site. Le plan de retour arrière est essayé sur le site pilote avant que les vagues suivantes ne démarrent.
Assurez-vous l’exploitation après le déploiement ?
Selon votre choix : transfert complet aux équipes internes avec documentation et formation, supervision assurée par nous, ou modèle mixte avec astreinte sur les seuls composants critiques. Ce point se tranche tôt, car il oriente la conception : une architecture destinée à être exploitée en interne ne se dessine pas tout à fait comme une autre.
Partir de ce que fait réellement votre réseau
Un premier échange permet d’évaluer l’état de votre documentation, ce que votre supervision montre aujourd’hui, et par quel site il serait raisonnable de commencer.
Sources
- Centre canadien pour la cybersécurité · orientations sur la segmentation réseau et la journalisation
- CIS Critical Security Controls · inventaire des actifs et gestion de la configuration réseau
- NIST SP 800-207, Zero Trust Architecture · principes d’accès appliqués à l’architecture réseau
Pour aller plus loin
Cybersécurité
La segmentation, qui repose sur l’architecture réseau.
Cloud & modernisation
Ce qui change quand une partie de l’infrastructure part hors les murs.
Nos réalisations
Les interventions documentées, avec leurs contraintes réelles.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.