Questions d'entretien ingénieur réseau Aruba, de VSX à ClearPass et AOS 10

Un ingénieur réseau Aruba travaille sur une chaîne d'outils propre à HPE. Les commutateurs tournent sous AOS-CX, en paire VSX en cœur de réseau et en pile VSF dans les baies d'étage. Le Wi-Fi passe d'AOS 8, avec Mobility Conductor et contrôleurs, à AOS 10 piloté par Central. ClearPass décide qui entre sur le réseau et avec quel rôle.

Le CV dit souvent « Cisco et Aruba ». Un profil formé sur Cisco connaît le routage et la commutation, mais il découvre en poste la logique des rôles, le user-based tunneling vers une gateway ou l'ordre des services ClearPass. Les exemples précis comptent : une bascule VSX vécue, un rôle mal attribué retrouvé dans Access Tracker, une migration de bornes vers AOS 10. Depuis le rachat de Juniper par HPE, en juillet 2025, des équipes mêlent aussi Aruba et Mist, et la question du choix de plateforme revient dans les projets.

Le niveau attendu suit le poste. En run, la personne doit retrouver seule pourquoi un port n'obtient pas le bon VLAN et changer une configuration à distance sans se couper l'accès. En build, elle doit choisir entre rôles locaux et tunnel vers une gateway, et planifier une migration bâtiment par bâtiment. Le PDF propose un cas de 20 minutes sur la refonte d'un campus de trois bâtiments.

Commutation, Wi-Fi et NAC : la gamme Aruba à connaître

AOS-CX

Le système des commutateurs CX, des modèles d'accès 6100, 6200 et 6300 aux châssis 6400 et aux gammes 8000 et 10000. Il expose une API REST et embarque le Network Analytics Engine pour surveiller le commutateur depuis l'intérieur. Sa syntaxe diffère d'ArubaOS-Switch, l'ancien système des ProCurve.

VSX et VSF

Deux façons de faire travailler des commutateurs ensemble. VSF empile des commutateurs d'accès sous un seul plan de contrôle. VSX garde deux commutateurs indépendants qui partagent des LAG et une passerelle active, pour l'agrégation et le cœur. Confondre les deux est un signal d'alerte.

Wi-Fi AOS 8 et AOS 10

AOS 8 repose sur un Mobility Conductor et des clusters de contrôleurs. AOS 10 gère les bornes depuis Central, avec des gateways seulement quand le trafic doit être tunnelé. Beaucoup de parcs sont en cours de passage de l'un à l'autre.

ClearPass Policy Manager

Le NAC d'Aruba, qui sert aussi d'autres constructeurs. Il authentifie en 802.1X ou par adresse MAC, profile les équipements, calcule un rôle et renvoie au commutateur ou au contrôleur ce qu'il doit appliquer. Access Tracker garde la trace de chaque décision et sert au diagnostic.

Segmentation dynamique et UBT

Le principe : le droit d'accès suit l'utilisateur ou l'équipement, quel que soit le port. Le rôle est appliqué sur le commutateur, ou bien le trafic part dans un tunnel GRE vers une gateway qui filtre (user-based tunneling). Le dimensionnement des gateways et le MTU sont les deux pièges courants.

HPE Aruba Networking Central

La console cloud qui configure, supervise et met à jour bornes, commutateurs et gateways par groupes et modèles. Elle remplace progressivement AirWave et la gestion équipement par équipement. Reste à savoir comment la personne traite un écart entre Central et la configuration réelle.

Central NetConductor

L'offre de fabric de campus d'HPE Aruba Networking, avec un overlay EVPN-VXLAN et une politique par groupes transportée dans le réseau. On la croise sur les projets de refonte plutôt qu'en exploitation courante.

Certifications HPE Aruba Networking

Les CV citent ACSA ou ACSP pour la commutation, ACMA ou ACMP pour le Wi-Fi et ACCP pour ClearPass. Le portail de certification d'HPE indique l'ACSP inactive depuis décembre 2024 ; la commutation passe désormais par la HPE Aruba Networking Certified Professional - Switching (examen HPE7-A08). La validité d'un titre ancien se vérifie sur ce portail.

Chez un client final, l'ingénieur réseau Aruba garde le campus en état et mène les renouvellements : remplacement des anciens ProCurve par des CX, passage du Wi-Fi à AOS 10, extension de ClearPass à de nouveaux usages. Chez un intégrateur, il construit ces projets pour plusieurs clients et doit reprendre vite un existant qu'il n'a pas monté. Les missions mêlent souvent build et run, avec des incidents de niveau 3. ClearPass sert souvent aussi de NAC devant des commutateurs d'autres marques, ce qui élargit le poste au-delà de la gamme Aruba. Les certifications HPE Aruba Networking attestent la connaissance des produits, et l'entretien vérifie l'expérience de production.

Six savoir-faire Aruba à contrôler en entretien

• Haute disponibilité AOS-CX (VSX, VSF)
• Wi-Fi AOS 8 et AOS 10
• ClearPass et 802.1X
• Segmentation par rôles et UBT
• Exploitation dans Central
• Diagnostic et reprise d'existant

Les questions d'entretien d'un ingénieur réseau Aruba

Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.

1. Question 1 · confirmé

   Sur une paire VSX de cœur, le lien ISL tombe mais le keepalive répond toujours. Que fait chaque commutateur, et qu'en ressentent les serveurs ?

   Une bonne réponseLe keepalive apprend au secondaire que le primaire est vivant. Pour éviter deux plans de commutation qui divergent, le secondaire coupe ses ports membres des LAG VSX et le trafic passe entièrement par le primaire. Les équipements raccordés en double attache perdent la moitié de leurs liens sans coupure longue. La personne précise que le keepalive doit passer par un chemin indépendant de l'ISL, souvent un lien routé ou l'interface de gestion.

   Signal d'alerte« Les deux continuent comme avant », ou un keepalive monté sur un VLAN qui transite par l'ISL lui-même. Aucune idée de ce que devient le trafic des LAG.

2. Question 2 · junior à confirmé

   Pour les baies d'étage d'un bâtiment, vous hésitez entre une pile VSF de CX 6300 et deux commutateurs indépendants. Qu'est-ce qui fait pencher la balance ?

   Une bonne réponseLa pile VSF présente un seul plan de contrôle, une seule configuration et un LAG multi-châssis vers l'agrégation, ce qui simplifie l'exploitation. En contrepartie, une montée de version touche toute la pile et un défaut logiciel peut toucher tous les membres. Le candidat parle de la détection de split (split detection) et du rôle de conductor et de standby. Il réserve VSX aux couches agrégation et cœur, où deux plans de contrôle séparés valent leur complexité.

   Signal d'alerteConfondre VSF et VSX, ou proposer VSX en accès sur des modèles qui ne le prennent pas en charge. Ignorer ce qui se passe quand la pile se coupe en deux.

3. Question 3 · confirmé

   Un utilisateur s'authentifie en 802.1X avec succès mais atterrit dans le rôle par défaut au lieu du rôle de son service. Que lisez-vous dans l'Access Tracker de ClearPass ?

   Une bonne réponseLa session dans Access Tracker : le service ClearPass qui a été sélectionné (le premier qui correspond dans l'ordre de la liste), la source d'authentification, les attributs remontés de l'Active Directory, le rôle calculé par le role mapping et le profil d'application envoyé. Le plus souvent, un autre service a capté la requête, ou la condition du role mapping ne correspond pas à la valeur réelle de l'attribut (groupe mal orthographié, attribut non récupéré). Côté commutateur ou contrôleur, il vérifie que le rôle renvoyé existe bien localement.

   Signal d'alerteRedémarrer le poste ou retirer l'utilisateur du groupe et le remettre. Ne pas savoir qu'un service ClearPass est choisi selon un ordre.

4. Question 4 · senior

   La sécurité veut que le trafic des postes d'un étage soit filtré par rôle sur une gateway, sans recréer de VLAN par service sur chaque commutateur. Comment montez-vous la segmentation dynamique ?

   Une bonne réponseDu user-based tunneling (UBT) : le commutateur AOS-CX authentifie le port par ClearPass, reçoit le rôle et envoie le trafic de l'utilisateur dans un tunnel GRE vers un cluster de gateways, où le pare-feu à états applique la politique du rôle. Le candidat traite la redondance du cluster, la taille des gateways face au débit tunnelé, le MTU sur le chemin (en-tête GRE) et ce qui reste en commutation locale, comme les imprimantes ou la téléphonie. Il compare avec des rôles appliqués localement sur le commutateur, plus simples quand un filtrage de niveau 3 et 4 suffit.

   Signal d'alerteTunneler tout le trafic de tous les ports sans calcul de débit, ou découvrir le problème de MTU en production. Confondre UBT avec un simple VLAN dynamique.

5. Question 5 · senior

   Vous migrez un parc Wi-Fi d'AOS 8, avec Mobility Conductor et contrôleurs, vers AOS 10 piloté par Central. Qu'est-ce qui change dans l'architecture, et par quoi commencez-vous ?

   Une bonne réponseEn AOS 10, les bornes sont gérées depuis Central et la plupart des fonctions du contrôleur passent dans les bornes ou dans le cloud. Les gateways deviennent optionnelles : elles servent quand le trafic doit être tunnelé ou filtré de façon centrale. La personne commence par l'inventaire (modèles de bornes compatibles, licences, SSID tunnelés ou pontés, dépendances RADIUS et ClearPass), choisit un site pilote, puis convertit les bornes par lots en gardant un retour possible vers AOS 8 pendant la phase pilote.

   Signal d'alerte« On met à jour le firmware des contrôleurs et c'est terminé. » Ignorer que des bornes anciennes ne passent pas en AOS 10, ou découvrir les licences Central le jour de la bascule.

Aruba : réponses aux questions fréquentes

Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.