Le poste se situe au-dessus de l'ingénieur réseau. L'architecte réseau écrit le dossier d'architecture de haut niveau (HLD), relit les dossiers détaillés des ingénieurs, arbitre entre constructeurs et prépare la trajectoire qui mène de l'existant à la cible. Les questions d'entretien d'un architecte réseau partent des décisions qu'il prend : quel protocole de routage, où placer les frontières, combien de liens et de quel type, quel coût sur la durée.
Beaucoup de candidats sont d'excellents ingénieurs N3 qui ont pris le titre. Ils connaissent BGP, OSPF ou EVPN dans le détail, moins le passage à l'écrit, le chiffrage ou la défense d'un choix devant un comité. D'autres viennent de l'avant-vente et dessinent de beaux schémas sans avoir vécu une bascule de nuit. Le bon profil a les deux : un niveau de routage réel et l'habitude de justifier chaque ligne de son dossier.
Un HLD rédigé par la personne, anonymisé et commenté en entretien, en dit beaucoup. Un architecte sait dire pourquoi il a écarté les autres options. Le PDF propose 30 questions sur six axes, une étude de cas de 20 minutes et une grille de 1 à 4.
Les sujets qu'un architecte réseau arbitre
Dossiers d'architecture (HLD, LLD, décisions)
Le HLD décrit la cible : principes, topologie, découpage du routage, redondance, segmentation, standards de site. Le LLD, souvent écrit par les ingénieurs, descend jusqu'aux adresses, aux ports et aux configurations. Les décisions importantes sont tracées avec les options écartées. Le candidat doit distinguer les deux niveaux.
Protocoles de routage intérieurs : OSPF et IS-IS
Ils calculent les chemins à l'intérieur du réseau. OSPF domine en entreprise, IS-IS chez les opérateurs et dans certaines fabriques de datacenter. L'architecte décide du découpage en aires ou en niveaux, de la taille des domaines et de la vitesse de convergence attendue.
BGP
Le protocole qui relie les domaines entre eux : opérateurs, datacenters, cloud, et souvent le cœur des grands réseaux d'entreprise. À grande échelle, il faut des réflecteurs de routes, des communautés pour marquer les routes, des politiques d'import et d'export et la détection rapide des pannes avec BFD.
Virtualisation du réseau : VRF, MPLS, EVPN-VXLAN
Les VRF séparent plusieurs tables de routage sur le même matériel. MPLS L3VPN et EVPN les transportent sur tout le réseau, entre sites ou dans une fabrique de datacenter. C'est le moyen courant d'appliquer une segmentation demandée par la sécurité sans multiplier les équipements.
Haute disponibilité et dimensionnement
Redondance des équipements et des liens, chemins physiquement séparés, ECMP, temps de convergence, capacité restante après la perte d'un élément. Un bon architecte raisonne en domaines de panne et vérifie ce qui se passe quand deux choses cassent en même temps.
Hybridation datacenter et cloud
Raccordement des datacenters aux clouds publics par liens privés (ExpressRoute, Direct Connect, Cloud Interconnect) ou VPN, échange de routes en BGP, plan d'adressage commun et DNS. L'architecte réseau fixe les principes, les équipes cloud les configurent.
Adressage IPv4 et IPv6
Un plan d'adressage hiérarchique permet d'agréger les routes et de lire le réseau. Les fusions d'entreprises et l'épuisement de l'IPv4 privé rendent le sujet sensible. IPv6 apparaît dans certains cahiers des charges, publics ou d'opérateurs, et un architecte doit savoir proposer un plan.
Choix des constructeurs, coûts et cycle de vie
Cisco, Juniper (rachat par HPE finalisé le 2 juillet 2025), Arista, Nokia, Aruba, Fortinet et d'autres. L'architecte compare les offres sur les fonctions, l'exploitation, le support, les licences et le coût sur la durée (TCO), et suit les dates de fin de vente et de fin de support du parc.
On trouve des architectes réseau chez les grands comptes et les administrations, chez les opérateurs, chez les intégrateurs et les ESN qui conduisent des refontes, et chez les constructeurs en avant-vente. Selon l'employeur, le poste penche vers le campus et le Wi-Fi, le datacenter, le WAN et le SD-WAN, ou le réseau opérateur. Le socle reste le même : routage, haute disponibilité, segmentation, chiffrage et migration. L'architecte travaille avec la sécurité, qui fixe les exigences de cloisonnement, avec les équipes cloud et datacenter, et avec les achats lors des consultations. Les certifications CCIE, JNCIE ou l'équivalent chez un autre constructeur indiquent un niveau technique, sans dire si la personne sait écrire et défendre une cible.
Les compétences attendues d'un architecte réseau
- Architecture cible et dossiers HLD
- Routage à grande échelle : OSPF, IS-IS, BGP
- Haute disponibilité, domaines de panne et capacité
- Segmentation et exigences de sécurité côté réseau
- Hybridation datacenter et cloud, adressage
- Choix techniques, coûts et trajectoire de migration
Cinq questions d'entretien et les décisions attendues
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · senior
On vous confie la refonte du réseau d'un groupe de 120 sites et deux datacenters. Que met-on dans votre HLD, et que laissez-vous au LLD ?
Une bonne réponseLe HLD part des besoins et des contraintes (applications, disponibilité attendue, sécurité, budget, compétences de l'exploitation), puis décrit la cible : topologie, découpage du routage, redondance, segmentation, standards de site par taille, raccordement au cloud et aux opérateurs, principes d'adressage et de supervision. Il trace les décisions avec les options écartées et les risques. Le LLD porte les adresses, les numéros de VLAN, les configurations et les plans de câblage.
Signal d'alerteUn schéma avec des icônes de constructeurs, sans exigences ni justification, ou un HLD rempli de configurations.
Question 2 · senior
Le cœur tourne en OSPF sur une seule aire de 400 routeurs, et chaque coupure de lien fait recalculer tout le réseau. Que proposez-vous ?
Une bonne réponseRéduire le domaine de propagation : découper en aires avec une aire de backbone et des aires de site, agréger les routes aux frontières, utiliser des aires stub pour les sites terminaux. Ou passer en IS-IS à deux niveaux si l'équipe le maîtrise. Il ajoute BFD pour détecter vite les pannes, des temporisations de calcul adaptées, et vérifie que le plan d'adressage permet l'agrégation. Il prévoit une migration aire par aire.
Signal d'alerte« On passe tout en BGP » sans analyse, ou réduire les timers sans toucher au découpage.
Question 3 · senior
Votre architecture prévoit deux liens opérateurs vers chaque datacenter. Comment vérifiez-vous que cette redondance est réelle ?
Une bonne réponseEn raisonnant en domaines de panne : deux opérateurs ou deux offres distinctes, deux adductions physiques par des chemins différents jusqu'au bâtiment, deux équipements de terminaison sur deux alimentations, sans point commun dans les locaux de l'opérateur. Il demande les tracés aux opérateurs, vérifie la capacité restante si un lien tombe (pas plus de la moitié de charge sur chacun) et fait tester la coupure.
Signal d'alerte« Deux liens, donc redondant », sans regarder le chemin physique ni la charge restante.
Question 4 · senior
La sécurité demande d'isoler la production, le hors-production, les partenaires et l'OT sur tout le réseau du groupe. Comment le traduisez-vous en architecture ?
Une bonne réponseUne VRF par environnement, transportée de bout en bout par MPLS L3VPN, EVPN ou des tunnels SD-WAN segmentés, et des échanges entre VRF uniquement à travers des pare-feu placés en points de passage identifiés, en général dans les datacenters. Il part de la matrice de flux, prévoit la redondance des pare-feu de passage et l'effet sur la latence des flux qui traversent, et prévoit l'exploitation (supervision et dépannage par VRF).
Signal d'alerteDes VLAN et des listes d'accès sur chaque site, sans routage séparé, ou des fuites de routes entre VRF ajoutées au cas par cas.
Question 5 · senior
Deux constructeurs répondent à la consultation pour remplacer le cœur et la distribution. Comment construisez-vous la comparaison ?
Une bonne réponseUne grille établie avant l'ouverture des offres : conformité aux exigences du HLD, maturité des fonctions utilisées, automatisation et outils de gestion, qualité du support en France, feuille de route et dates de fin de support, compétences de l'exploitation. Un coût sur cinq à sept ans avec matériel, licences et abonnements, support, formation, énergie et coût de migration. Une maquette ou une preuve de concept sur les points à risque.
Signal d'alerteComparer le prix d'achat seul, ou choisir le constructeur qu'on connaît sans grille.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Architecte réseau, les questions fréquentes
Architecte réseau ou ingénieur réseau senior : quel poste ouvrir ?
L'ingénieur senior construit, configure et dépanne. L'architecte décide de la cible, écrit le HLD, chiffre, compare les constructeurs et fixe l'ordre de migration. Pour livrer un projet déjà conçu, un ingénieur senior suffit. Si personne n'a encore défini la cible ou si plusieurs équipes doivent suivre les mêmes standards, le poste est celui d'architecte. L'entretien montre alors s'il a déjà porté une décision, pas seulement appliqué celle d'un autre.
Un CCIE garantit-il le niveau d'un architecte réseau ?
Le CCIE, le JNCIE ou leurs équivalents montrent une maîtrise technique poussée d'un constructeur. Ils ne disent rien de la rédaction, du chiffrage ou de la comparaison entre constructeurs. Le CCDE de Cisco porte davantage sur la conception. Dans tous les cas, un dossier d'architecture rédigé par la personne et une migration qu'elle a pilotée en disent plus, avec ce qui a mal tourné et ce qu'elle a changé ensuite.
Quel test technique ou quelle étude de cas pour un architecte réseau ?
Une étude de cas de vingt à trente minutes fonctionne bien : un groupe multisite avec deux datacenters, un cloud et des contraintes de sécurité et de budget. Le candidat dessine la cible au tableau, le découpage du routage, la redondance et l'ordre de migration, puis traite une panne double ou une coupe budgétaire. On voit la profondeur technique, la capacité à hiérarchiser et la manière de justifier un choix.
Faut-il un architecte réseau spécialisé campus, datacenter ou WAN ?
Cela dépend du chantier principal. Une refonte de sites et de Wi-Fi demande quelqu'un qui a déjà défini des standards de site. Une nouvelle fabrique de datacenter demande de l'expérience EVPN-VXLAN ou ACI. Une refonte du WAN demande la pratique des opérateurs et du SD-WAN. Un poste transverse demande un socle solide en routage et en haute disponibilité, puis la spécialité la plus urgente.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
