L'ingénieur réseau construit et fait vivre le LAN et le WAN : commutateurs d'accès et de cœur, VLAN et spanning tree, routage OSPF, BGP vers les opérateurs, passerelles redondantes, QoS pour la voix. Il prend les incidents de niveau 3, prépare les changements de nuit et ouvre les tickets chez le constructeur. Les annonces citent souvent Cisco, avec Aruba, Juniper, Huawei ou Extreme, et une partie des postes mélange build et run, avec astreinte.
Un ingénieur réseau s'évalue sur les pannes qu'il a vraiment résolues. Un profil qui a surtout administré des ports et des VLAN connaît les commandes, mais hésite dès qu'il faut expliquer un pont racine mal placé, un voisinage OSPF bloqué en EXSTART ou un trafic entrant qui arrive par le mauvais opérateur. Le CCNA ou le CCNP prouvent un socle théorique. La pratique se vérifie sur un incident raconté en détail, avec la cause et ce qui a été changé ensuite.
Une partie de l'entretien porte sur la méthode de changement : sauvegarde, accès hors bande, retour arrière. Le PDF propose 30 questions sur six axes, un cas de 20 minutes sur le remplacement d'un cœur de réseau et une grille de 1 à 4.
Protocoles et outils au quotidien d'un ingénieur réseau
Commutateurs et VLAN (802.1Q)
Le socle du LAN. Les VLAN séparent postes, serveurs, téléphonie et administration, et les trunks 802.1Q les transportent entre commutateurs. Les agrégats LACP doublent les liens montants. Un ingénieur réseau doit savoir lire une table MAC et suivre un VLAN de bout en bout.
Spanning tree (RSTP, MST)
Le protocole qui empêche les boucles de couche 2 en bloquant certains liens. Mal réglé, il fait passer tout un bâtiment par le mauvais chemin ou provoque une tempête de diffusion. Le placement du pont racine et la protection des ports d'accès sont des sujets d'entretien sûrs.
OSPF
Le protocole de routage interne le plus répandu en entreprise. Il calcule les chemins à partir de l'état des liens, se découpe en zones et converge vite s'il est bien réglé. Les questions sur les voisinages qui ne montent pas et sur la redistribution montrent vite le niveau.
BGP
Le protocole qui relie le site aux opérateurs, au réseau MPLS et parfois au cloud. En entreprise, il sert surtout au double accès Internet et aux interconnexions. Un ingénieur confirmé sait influencer le trafic sortant, plus difficilement l'entrant, et filtrer ce qu'il annonce.
HSRP, VRRP et BFD
Les passerelles redondantes des VLAN, HSRP chez Cisco et VRRP en standard, et la détection rapide de panne avec BFD. Leur réglage (priorité, suivi d'objet, préemption) décide si une panne de lien montant passe inaperçue ou coupe un étage.
QoS (DSCP, files, lissage)
Le traitement prioritaire de la voix et des flux critiques sur les liens chargés. Marquer ne suffit pas : il faut une file prioritaire et un lissage au débit réel du lien opérateur. C'est un bon test pour les profils qui ont exploité de la téléphonie IP.
Wireshark et tcpdump
Les outils d'analyse de trames. Ils tranchent entre le réseau et l'application : perte de paquets, MTU trop grande, poignée de main TCP qui échoue. Le candidat doit raconter ce qu'il a déjà trouvé dans une capture, et où il l'a faite.
SNMP, syslog et NetFlow
La supervision du réseau. SNMP remonte compteurs et états, syslog centralise les événements, NetFlow, IPFIX ou sFlow disent qui consomme la bande passante. Les outils courants sont Zabbix, Centreon, LibreNMS ou PRTG.
Le poste change selon qu'il penche vers le build ou le run. En build, l'ingénieur réseau rédige HLD et LLD, maquette, recette et bascule de nouvelles infrastructures. En run, il tient le niveau 3, l'astreinte et les changements de nuit. Les parcs sont souvent multi-constructeurs, et la frontière avec la sécurité varie : certains postes incluent les pare-feu, d'autres les laissent à une équipe dédiée. Le CCNA et le CCNP Enterprise de Cisco, ou les certifications Juniper JNCIA et JNCIS-ENT, sont fréquents sur les CV. Ils attestent un socle, la pratique se vérifie en entretien.
Six blocs de compétences à couvrir avec un ingénieur réseau
- Commutation, VLAN et spanning tree
- Routage OSPF et convergence
- BGP opérateurs et filtrage
- Redondance, QoS et IPv6
- Diagnostic et analyse de trames
- Changements, supervision et support constructeur
Des pannes réelles à soumettre à un ingénieur réseau
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · confirmé
Après le remplacement d'un commutateur d'accès, tout un bâtiment passe par un seul lien de 1 Gbit/s au lieu des deux liens 10 Gbit/s vers le cœur. Que soupçonnez-vous ?
Une bonne réponseLe spanning tree. Le nouveau commutateur est sans doute devenu pont racine, avec une priorité laissée par défaut et une adresse MAC plus basse que celle du cœur. L'arbre se recalcule autour de lui et ce sont les bons liens qui passent en blocage. Il vérifie qui est racine pour chaque VLAN ou instance, fixe la priorité racine primaire et secondaire sur les deux équipements de cœur et pose root guard sur les ports descendants.
Signal d'alerteAccuser le câblage ou la négociation de vitesse sans regarder l'état du spanning tree. Une réponse qui ne parle jamais de pont racine.
Question 2 · confirmé
Deux routeurs OSPF sur le même segment ne deviennent jamais voisins, ou restent bloqués en état EXSTART. Quelles causes vérifiez-vous ?
Une bonne réponseSans voisinage du tout : numéro de zone, sous-réseau ou masque différents, timers hello et dead différents, authentification, type de zone, type de réseau, interface passive, ou filtrage du multicast OSPF. Bloqué en EXSTART ou EXCHANGE : presque toujours une MTU différente des deux côtés. Il cite les états du voisinage et la commande qui les affiche.
Signal d'alerte« Je relance le processus OSPF » sans hypothèse, ou ne jamais penser à la MTU.
Question 3 · senior
Votre site a deux accès Internet chez deux opérateurs, en BGP. Comment faites-vous entrer le trafic par le lien principal plutôt que par l'autre ?
Une bonne réponsePour la sortie, la local preference sur les routes reçues du principal suffit. L'entrée se décide chez les autres, donc on les influence : AS-path prepending sur les annonces vers le secondaire, préfixes plus spécifiques annoncés sur le principal si la plage le permet (au-delà d'un /24 en IPv4, les annonces sont en général filtrées), communautés BGP de l'opérateur pour baisser la préférence chez lui. Il vérifie le résultat de l'extérieur avec un looking glass et filtre ses annonces pour ne jamais devenir transit entre les deux opérateurs.
Signal d'alerteUtiliser la local preference pour piloter le trafic entrant, ou répondre « une route par défaut vers chaque opérateur ».
Question 4 · confirmé
Les deux passerelles d'un VLAN sont en HSRP ou en VRRP. Le lien montant du routeur actif tombe : les postes perdent l'accès au datacenter alors que la passerelle répond toujours au ping. Pourquoi ?
Une bonne réponseLe routeur actif garde son rôle parce que son interface côté utilisateurs est toujours up. Il faut un suivi d'objet sur le lien montant ou sur une route, qui fait baisser sa priorité, et la préemption pour que l'autre routeur prenne la main. Il aligne aussi le pont racine spanning tree sur la passerelle active pour que le trafic de couche 2 ne fasse pas de détour.
Signal d'alerte« VRRP bascule tout seul dès qu'un lien tombe. »
Question 5 · confirmé
Dans une agence, les pages web s'ouvrent, mais les gros téléchargements et certains partages de fichiers se figent. Quelle piste suivez-vous ?
Une bonne réponseUn problème de MTU. Un tunnel ou le réseau de l'opérateur réduit la taille utile : les petits paquets passent, les gros sont jetés. Si les messages ICMP « fragmentation nécessaire » sont filtrés quelque part, la découverte de MTU échoue. Il teste avec des pings de taille croissante bit DF positionné, confirme par une capture qui montre des retransmissions de segments pleins, puis ajuste le MSS TCP sur l'interface concernée, laisse passer l'ICMP utile et aligne les MTU.
Signal d'alerteChanger le DNS ou accuser le proxy sans test.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Ingénieur réseau : les questions fréquentes
Ingénieur réseau ou administrateur réseau : quelle différence de niveau attendre ?
L'administrateur réseau exploite un existant : ports, VLAN, sauvegardes de configurations, incidents courants. L'ingénieur réseau conçoit et modifie l'architecture : routage OSPF et BGP, redondance du cœur, QoS, migrations. Il prend les incidents que le niveau 2 n'a pas résolus et prépare les changements risqués. Les titres se recouvrent souvent dans les annonces. Le périmètre réel du poste tranche, et au moins une question de routage et une de changement situent le candidat.
Faut-il exiger le CCNA ou le CCNP sur l'annonce ?
Le CCNA atteste un socle de réseau, le CCNP Enterprise un niveau plus avancé sur la commutation, le routage et une spécialité choisie. Ces certifications Cisco sont valables trois ans. Elles restent utiles pour un junior ou pour un client qui les impose, mais beaucoup d'ingénieurs confirmés n'en ont pas, ou ont des certifications Juniper ou Aruba. Exiger une certification réduit le vivier. Mieux vaut la demander en atout et vérifier la pratique sur des pannes concrètes.
Quelle mise en situation attend un ingénieur réseau ?
Un format court marche bien : un schéma de deux sites avec un incident décrit (un lien de secours qui ne prend pas le relais, un trafic qui entre par le mauvais opérateur), et trente minutes pour poser des hypothèses et dire ce qu'il vérifie. Un laboratoire virtuel avec deux ou trois routeurs fonctionne aussi pour un poste de build. Le test technique doit porter sur la méthode de diagnostic, pas sur la syntaxe d'un constructeur que le candidat n'a peut-être jamais utilisé.
Sur un CV d'ingénieur réseau, comment repérer un profil build ou run ?
Un profil build cite des projets avec un début et une fin : migration de cœur, déploiement de sites, refonte du WAN, rédaction de HLD et de LLD, recettes. Un profil run parle de niveau 3, d'astreinte, de comité de changement, de tickets constructeur et d'indicateurs de disponibilité. Beaucoup de postes demandent les deux. Le candidat raconte une bascule qu'il a préparée et un incident de nuit qu'il a résolu : les deux récits montrent vite où se situe son expérience.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
