Dans les annonces, le poste se cache souvent derrière d'autres titres : architecte infrastructure réseau, référent technique N3, architecte cloud privé. Cisco ACI et Nexus reviennent dans la majorité des missions, avec F5 et Fortinet autour, et des projets de migration vers EVPN-VXLAN sur Arista, Nexus en mode NX-OS ou Juniper. L'architecte rédige le HLD, arbitre les choix de constructeur et accompagne le passage en production.
Le risque, sur ce type de recrutement, tient à la confusion entre un très bon exploitant ACI et un architecte. Le premier connaît les tenants, les EPG et les contrats par cœur. Le second sait expliquer quand ACI ne vaut plus son prix, combien de leafs tiennent derrière deux spines, ce qui se passe quand le lien entre les deux salles coupe et comment on sort d'une fabric sans arrêter les applications.
Une architecture conçue par la personne se raconte avec ses chiffres : nombre de leafs, ratio de surréservation, nombre de VRF, temps de bascule mesuré. Le PDF compte 30 questions réparties sur six axes, une étude de cas de 20 minutes sur deux datacenters et une salle GPU, et une grille de notation de 1 à 4.
Fabrics, contrôleurs et outils du datacenter
Cisco ACI et APIC
La fabric pilotée par contrôleur de Cisco, sur commutateurs Nexus 9000. Le cluster APIC porte la politique : tenants, VRF, EPG et contrats entre groupes. Très présente dans les grands comptes français, elle structure encore beaucoup de recrutements, et la question de son renouvellement revient souvent.
EVPN-VXLAN
L'alternative standard : un underlay routé, du VXLAN pour transporter les segments et BGP EVPN pour annoncer où se trouvent les machines (RFC 7432, RFC 8365, RFC 9135 pour le routage entre sous-réseaux). On la déploie sur Nexus en NX-OS, Arista, Juniper ou SONiC, souvent avec plusieurs constructeurs.
Outils de pilotage de fabric
Cisco Nexus Dashboard (contrôleur de fabric NX-OS, orchestrateur multi-site, analyse), Arista CloudVision, Juniper Apstra, passé chez HPE avec le rachat de Juniper en juillet 2025. Ils génèrent les configurations à partir d'une intention et vérifient que la fabric s'y conforme.
Multi-Pod, Multi-Site et passerelles EVPN
Pour relier deux salles ou deux datacenters. ACI Multi-Pod garde un seul cluster APIC, ACI Multi-Site sépare les clusters sous un orchestrateur. En EVPN, des passerelles de bordure (border gateways) relient des fabrics indépendantes. Le choix fixe ce qu'une panne entraîne d'un site à l'autre.
Virtualisation réseau et cloud privé
VMware NSX, que Broadcom présente aujourd'hui comme le réseau de VMware Cloud Foundation, les réseaux de Kubernetes (Calico, Cilium) annoncés en BGP vers la fabric, OpenStack dans certains clouds privés. L'architecte décide où vit la segmentation, dans la fabric ou dans l'hyperviseur.
Pare-feu et répartiteurs de charge
Fortinet, Palo Alto Networks ou Check Point pour filtrer entre zones, F5 BIG-IP ou NetScaler pour les applications. Leur insertion dans la fabric (routage, redirection par politique, service graph dans ACI) pèse sur la capacité et sur le temps de bascule.
Fabrics pour l'IA
Les grappes de GPU demandent un réseau dédié sans perte : RoCEv2 avec PFC et ECN, liens à 400 ou 800 Gbit/s, topologies par rail. L'Ultra Ethernet Consortium a publié sa spécification 1.0 en juin 2025. Un architecte doit savoir quand ce réseau se sépare de la fabric classique.
Automatisation
Ansible, Terraform (fournisseurs ACI, NDFC, CloudVision), Arista Validated Designs, Git et une chaîne de validation avant mise en production. Sur une fabric de plusieurs centaines de leafs, la configuration à la main n'est plus une option.
Le poste se trouve chez les grands comptes qui gèrent leurs propres datacenters, chez les hébergeurs et opérateurs de cloud privé, dans les intégrateurs et chez les constructeurs. Il touche la virtualisation, le stockage et la sécurité, et l'architecte réseau datacenter travaille avec leurs architectes respectifs. Les certifications CCIE Data Center, CCDE, JNCIE-DC ou Arista ACE donnent un niveau. Un architecte se juge sur une fabric qu'il a dimensionnée et migrée, avec les arbitrages qu'il assume, coût des licences compris.
Ce qui distingue un architecte datacenter d'un exploitant
- Choix de la fabric et du constructeur
- Dimensionnement spine-leaf et croissance
- Multi-site et haute disponibilité
- Cloud privé, virtualisation et Kubernetes
- Segmentation et insertion des services
- Migration, automatisation et coût total
Cinq questions d'entretien, du choix de fabric au multi-site
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · senior
La fabric ACI arrive en fin de support dans deux ans. Renouveler en ACI ou passer en EVPN-VXLAN : comment construisez-vous la recommandation ?
Une bonne réponseIl liste ce que la production utilise vraiment dans ACI (contrats, service graph, Multi-Site, intégration VMware), ce que coûte chaque option sur cinq à sept ans (matériel, licences, support, formation, migration) et ce que l'équipe sait exploiter. EVPN-VXLAN offre le choix du constructeur et un standard, en échange d'une politique de sécurité à reconstruire ailleurs et d'outils à choisir. Il présente deux scénarios chiffrés et les risques de chacun.
Signal d'alerte« ACI est trop complexe » ou « EVPN est l'avenir » sans regarder les usages ni le coût de migration.
Question 2 · senior
Vous partez de 40 leafs aujourd'hui et prévoyez 150 dans cinq ans. Comment dimensionnez-vous spines et liens ?
Une bonne réponseIl part du nombre de ports serveurs par leaf, de leur vitesse et du ratio de surréservation visé, en déduit le nombre et la vitesse des liens montants, puis le nombre de ports par spine. Si un étage de spines ne suffit plus, il prévoit une topologie à cinq étages avec des super-spines. Il vérifie aussi les tables des équipements (adresses MAC, routes, entrées de politique) et laisse de la place pour la croissance sans changer de modèle de spine.
Signal d'alerteUn nombre de spines fixé « par habitude », aucun calcul de ports ni de tables.
Question 3 · senior
Deux datacenters à 15 km doivent héberger les mêmes applications. ACI Multi-Pod, ACI Multi-Site ou deux fabrics EVPN reliées par des passerelles : que proposez-vous ?
Une bonne réponseMulti-Pod garde un seul cluster APIC, simple à exploiter mais un seul domaine de configuration. Multi-Site sépare les clusters sous Nexus Dashboard Orchestrator, et une erreur dans un site ne se propage pas à l'autre. En EVPN, des passerelles de bordure relient deux fabrics indépendantes. Il choisit selon le domaine de panne accepté, les segments à étendre réellement et la capacité de l'équipe, puis décrit le comportement si le lien entre sites coupe.
Signal d'alerteÉtendre toute la fabric entre les deux sites sans parler de domaine de panne.
Question 4 · senior
Les équipes Kubernetes veulent annoncer en BGP les adresses de leurs services vers la fabric. Comment l'intégrez-vous ?
Une bonne réponseDes sessions BGP entre les nœuds (Calico, Cilium ou MetalLB) et les leafs, dans une VRF dédiée, avec des filtres sur les préfixes acceptés, une limite du nombre de routes et une authentification. Il décide si la fabric voit chaque pod ou seulement des agrégats, et vérifie l'effet sur les tables des leafs et sur la convergence quand un nœud tombe.
Signal d'alerteAccepter tout ce que les nœuds annoncent, ou refuser en imposant des VLAN étendus.
Question 5 · senior
Tout le trafic entre zones doit passer par une paire de pare-feu. Comment l'insérez-vous dans la fabric sans en faire un goulot ?
Une bonne réponseIl choisit le mode d'insertion : pare-feu en passerelle entre VRF, redirection par politique (PBR, service graph dans ACI) pour ne détourner que certains flux, ou filtrage réparti dans la fabric pour l'est-ouest le plus volumineux. Il dimensionne les pare-feu sur les sessions et le débit inspecté, garantit la symétrie des flux, place la paire sur des leafs de service et mesure la bascule.
Signal d'alerteTout faire passer par le pare-feu sans calcul, ou ignorer le routage asymétrique.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Architecte réseau datacenter, les questions fréquentes
Un expert Cisco ACI peut-il tenir un poste d'architecte réseau datacenter ?
Oui, s'il sait sortir de l'outil. Un expert ACI connaît les tenants, les EPG, les contrats et les montées de version de l'APIC. Pour un poste d'architecte, il doit aussi comparer ACI à un EVPN-VXLAN standard, dimensionner une fabric, défendre un budget et concevoir un plan de migration. La question de savoir dans quel cas il déconseillerait ACI le révèle. Une réponse argumentée montre qu'il raisonne en architecte.
Quelle part d'automatisation attendre d'un architecte datacenter ?
Il n'a pas à écrire tout le code, mais il conçoit la chaîne : source de vérité (NetBox ou équivalent), modèles de configuration, Ansible ou Terraform, contrôles avant mise en production, outil d'intention comme Apstra, CloudVision ou Nexus Dashboard. Il doit savoir lire un playbook et décider ce qui passe par le contrôleur et ce qui passe par le code. Sur une grande fabric, un architecte qui ne pense pas automatisation crée de la dette dès le premier jour.
Comment se déroule le test technique d'un architecte réseau datacenter ?
Une étude de cas en direct vaut mieux qu'un questionnaire. L'énoncé pose un besoin réaliste : deux salles, un nombre de serveurs, une croissance attendue, une contrainte de sécurité. Le candidat produit un schéma de fabric, le calcul des spines et des liens, le choix multi-site et l'ordre de migration. Trente à quarante minutes suffisent. La notation retient la justification des chiffres et la lucidité sur les risques plus que la connaissance des gammes.
Les réseaux pour l'IA changent-ils le profil à recruter ?
Seulement si une grappe de GPU est prévue. Elle demande un réseau sans perte (RoCEv2, PFC, ECN), des liens à 400 ou 800 Gbit/s et une topologie adaptée aux échanges entre GPU, très différents du trafic applicatif. Peu d'architectes en ont déjà conçu en France. Si le projet existe, une question dédiée vérifie que la personne sait séparer ce réseau de la fabric de production.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
