Une refonte du WAN commence souvent par une échéance : la fin d'un contrat MPLS, des routeurs hors support, la fermeture du réseau cuivre d'Orange, programmée par lots jusqu'en 2030. L'architecte compare Cisco Catalyst SD-WAN, Fortinet Secure SD-WAN, HPE Aruba Networking EdgeConnect, Palo Alto Prisma SD-WAN ou VeloCloud, dessine l'overlay, écrit l'appel d'offres des accès et décide comment les sites rejoignent le service de sécurité cloud.
Les profils qui répondent à ces annonces viennent souvent de l'intégration ou de l'exploitation d'un SD-WAN. Ils connaissent bien un produit. Pour un poste d'architecte, ils doivent aussi savoir pourquoi un site a deux fibres d'opérateurs différents qui passent par la même chambre télécom, combien de tunnels un hub doit tenir et à quel moment on résilie le MPLS d'un site sans payer deux réseaux pendant deux ans.
L'entretien part d'un réseau réel : nombre de sites, pays, applications, contrat en cours. Le candidat propose une topologie, des profils de site et un calendrier. Le PDF rassemble 30 questions sur six axes, une étude de cas de 20 minutes sur la sortie du MPLS de 220 sites et une grille de 1 à 4.
Solutions, transports et services autour d'un WAN
Solutions SD-WAN
Cisco Catalyst SD-WAN (ex-Viptela), Fortinet Secure SD-WAN, HPE Aruba Networking EdgeConnect (ex-Silver Peak), Palo Alto Prisma SD-WAN, VeloCloud (ex-VMware SD-WAN, chez Broadcom), Versa. Elles chiffrent le trafic entre sites sur tous les liens et choisissent le meilleur chemin par application. Leur architecture de contrôle, leurs licences et leur intégration avec la sécurité diffèrent.
Plan de contrôle et d'orchestration
Chez Cisco : SD-WAN Manager, Controller et Validator, anciennement vManage, vSmart et vBond. Les autres éditeurs ont leurs équivalents, hébergés dans leur cloud ou chez le client. L'architecte décide où ils vivent et ce que deviennent les sites quand ils sont injoignables.
Transports
MPLS d'opérateur, internet sur fibre (FTTH, FTTE, FTTO), 4G et 5G, parfois satellite pour les sites isolés. Le mélange dépend du profil de chaque site. Les accès cuivre (xDSL, SDSL) disparaissent avec le plan de fermeture d'Orange, à achever en 2030 selon l'Arcep.
SSE et SASE
Zscaler, Netskope, Palo Alto Prisma Access, Cato Networks ou les offres des constructeurs SD-WAN. Le service de sécurité cloud filtre la navigation et l'accès aux applications. Les sites s'y raccordent par tunnels vers les points de présence du fournisseur.
Routage
BGP entre les hubs SD-WAN et le cœur des datacenters, avec l'opérateur MPLS et vers le cloud. Les protocoles propres aux éditeurs (OMP chez Cisco) annoncent les routes dans l'overlay. Une redistribution mal maîtrisée pendant la migration crée des boucles.
Raccordement des clouds
Boîtiers SD-WAN virtuels dans des hubs cloud, intégrations avec Azure Virtual WAN ou AWS Cloud WAN, liens privés (ExpressRoute, Direct Connect) depuis une colocation. Le choix dépend des volumes, de la latence et du coût des flux sortants.
Appel d'offres opérateurs
Lots par zone ou par type d'accès, bordereau de prix par site, garanties de temps de rétablissement, diversité de raccordement, délais de livraison, pénalités et réversibilité. L'architecte écrit la partie technique et analyse les réponses avec les achats.
Automatisation et supervision
Déploiement zero touch, modèles de configuration, API de l'orchestrateur, mesures de latence, gigue et perte par tunnel, export vers la supervision et le SIEM. Sur 200 sites, c'est ce qui permet de déployer vite et de prouver la qualité du service.
Le poste se rencontre chez les grands groupes multisites et internationaux, chez les opérateurs et intégrateurs qui conçoivent et exploitent des WAN pour leurs clients, et chez les éditeurs. Il est rattaché à l'architecture réseau, avec un lien fort avec la sécurité pour la partie SSE et avec les achats pour les contrats opérateurs. Les certifications CCIE Enterprise Infrastructure, CCDE, Fortinet NSE ou celles des éditeurs SD-WAN montrent un niveau technique. Un architecte se juge sur une refonte menée jusqu'au bout, avec ses choix de liens et son calendrier.
Les six compétences attendues d'un architecte WAN
- Architecture cible et choix de solution
- Stratégie de liens et appel d'offres
- Topologie et routage de l'overlay
- Profils de site et haute disponibilité
- Sécurité du WAN et intégration SSE
- Migration, exploitation et coût total
Cinq questions d'entretien et les réponses attendues
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · senior
Le groupe doit choisir une solution SD-WAN pour 250 sites dans 12 pays. Comment construisez-vous la short-list et la grille de choix ?
Une bonne réponseIl écrit d'abord les exigences : profils de site, applications, pays, sécurité intégrée ou SSE séparé, raccordement des clouds, exploitation interne ou managée. La grille pondérée couvre l'architecture de contrôle et son hébergement, le routage et la segmentation, les boîtiers et la 4G/5G, l'intégration SSE, les licences, le support dans chaque pays et la feuille de route. Il valide les trois premiers critères en maquette avec des tests mesurables.
Signal d'alerteLe classement d'un cabinet d'analystes comme seul critère, ou la solution la moins chère sans grille.
Question 2 · senior
Vous rédigez l'appel d'offres opérateurs pour 250 sites. Que mettez-vous dans le cahier des charges ?
Une bonne réponseDes lots par zone ou par type d'accès, la liste des sites avec adresse et profil, les débits attendus, les garanties de temps de rétablissement, la diversité de raccordement exigée sur les sites critiques, les délais de livraison et leurs pénalités, les adresses IP fixes, le support, la réversibilité. Un bordereau de prix par site pour comparer les réponses ligne à ligne. Il sépare les accès du service SD-WAN si l'exploitation reste interne.
Signal d'alerteUn prix global pour tout le parc, aucune garantie de rétablissement ni exigence de diversité.
Question 3 · senior
Les deux tiers des flux vont vers deux datacenters et Microsoft 365, mais la visio entre usines augmente vite. Quel overlay dessinez-vous pour 250 sites, et combien de tunnels chaque boîtier doit-il tenir ?
Une bonne réponseIl part des flux mesurés : hub and spoke vers des hubs régionaux dans les datacenters, sortie internet locale pour Microsoft 365, tunnels entre sites créés à la demande pour la visio. Il calcule le nombre de tunnels par boîtier (hubs multipliés par les transports, plus les tunnels dynamiques au pic) et le compare aux limites du plus petit modèle d'agence. Il fixe un seuil au-delà duquel deux sites gardent un tunnel permanent.
Signal d'alerteUn full mesh permanent partout, ou une topologie choisie sans compter les tunnels ni regarder les flux.
Question 4 · confirmé à senior
Quels profils de site définissez-vous, et quelle redondance pour chacun ?
Une bonne réponseTrois ou quatre profils liés à l'impact d'une coupure : petit site avec un boîtier, une fibre et la 4G ou 5G en secours ; site moyen avec deux liens d'opérateurs différents ; site critique avec deux boîtiers, des liens à raccordement distinct et une alimentation secourue ; hubs en paire dans deux datacenters. Chaque profil a un coût mensuel et une disponibilité visée.
Signal d'alerteLa même redondance pour tous les sites, ou aucune règle écrite.
Question 5 · senior
Le RSSI veut que tout le trafic entre sites soit chiffré et que les sites ne se parlent pas par défaut. Comment le traduisez-vous dans l'architecture ?
Une bonne réponseDes tunnels IPsec sur tous les transports, MPLS compris, avec des clés gérées par le plan de contrôle. Une politique qui interdit les échanges entre sites sauf exceptions décrites, une topologie qui fait passer ces exceptions par l'inspection du hub ou un filtrage sur le boîtier, des segments séparés par usage. Les journaux partent vers le SIEM.
Signal d'alerte« Le MPLS est privé, pas besoin de chiffrer », ou un full mesh ouvert.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Architecte SD-WAN, les questions fréquentes
Un ingénieur SD-WAN expérimenté peut-il passer architecte ?
Souvent, s'il a déjà dépassé la configuration. Un ingénieur SD-WAN connaît les politiques, les modèles et le dépannage d'une solution. L'architecte choisit la solution, écrit l'appel d'offres des accès, fixe les profils de site et la trajectoire de migration. La question est de savoir s'il a participé au choix de la solution ou à l'analyse des offres opérateurs. Sans aucune de ces expériences, le poste d'architecte sera un saut important.
Faut-il une expérience de l'éditeur SD-WAN déjà retenu ?
Si la solution est choisie et que le projet démarre, une expérience sur cet éditeur fait gagner des mois. Si le choix reste ouvert, un profil qui a vu deux solutions au moins et sait les comparer convient mieux. Les principes se transposent : overlay chiffré, routage applicatif, plan de contrôle, intégration SSE. Les licences, l'architecture de contrôle et l'outillage changent beaucoup d'un éditeur à l'autre.
Quel test technique pour un architecte WAN et SD-WAN ?
Une étude de cas sur un réseau réaliste fonctionne mieux qu'un questionnaire. L'énoncé donne une liste de sites avec leurs effectifs, leurs pays et leurs liens actuels, une échéance de contrat MPLS et deux contraintes de sécurité. Le candidat propose une topologie, des profils de site, la place du SSE et un calendrier de migration. Trente à quarante minutes suffisent pour voir si les choix sont chiffrés et argumentés.
L'architecte WAN doit-il connaître les contrats et les prix des opérateurs ?
Oui, à un niveau suffisant pour écrire un cahier des charges et lire une réponse. Il doit savoir ce que recouvre une garantie de temps de rétablissement, la différence entre FTTH, FTTE et FTTO, ce que coûte un accès 4G en secours qui reste actif plusieurs jours et comment un contrat MPLS se résilie. Les achats négocient, mais un architecte qui ignore ces sujets propose des cibles impossibles à financer.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
