Cisco ACI revient dans les annonces d'intégrateurs, d'ESN et de cabinets, sur Free-Work comme sur France Travail, souvent à côté de F5, Fortinet, BGP, Ansible ou Terraform. Les plus précises demandent les tenants et les contrats, les contrôleurs APIC, le Multi-Pod et le Multi-Site, Nexus Dashboard et les mises à jour de firmware. Le poste d'ingénieur réseau Cisco ACI se trouve en général dans de grands datacenters d'entreprise, chez des hébergeurs et dans les ESN qui les servent.
Le piège classique est un CV Nexus très solide qui n'a jamais raisonné en objets. En NX-OS, on configure VLAN, interfaces et routage équipement par équipement. Dans ACI, le même besoin passe par une chaîne d'objets (pool de VLAN, domaine, AAEP, groupe de politiques, EPG) et un contrat oublié bloque tout. Le candidat décrit cette chaîne pour brancher un serveur : un profil qui a exploité ACI la récite sans effort.
L'histoire de la fabric compte aussi. Beaucoup ont été migrées en network-centric, un VLAN pour un EPG, et ne sont jamais allées plus loin. Un bon candidat sait expliquer pourquoi et comment avancer. Le PDF détaille 30 questions sur six axes, avec un cas de migration vers ACI.
Les objets et outils Cisco ACI à connaître
APIC
Le contrôleur de la fabric, en cluster de trois machines au minimum. Toute la configuration y est décrite sous forme d'objets, puis poussée vers les leafs et les spines. Si les contrôleurs tombent, le trafic continue, mais plus personne ne peut rien modifier.
Tenant, VRF, bridge domain, EPG
La hiérarchie de base. Le tenant isole un client ou une entité, la VRF porte le routage, le bridge domain le domaine de niveau 2 et ses sous-réseaux, l'EPG le groupe de machines auquel s'appliquent les règles. Un candidat doit dessiner cette hiérarchie sans hésiter.
Contrats et filtres
Entre deux EPG, rien ne passe sans contrat. Le contrat dit qui fournit, qui consomme, et quels ports sont autorisés. C'est le premier sujet d'incident dans une fabric ACI, et le premier sujet à creuser en entretien.
Politiques d'accès
La partie physique : pools de VLAN, domaines, AAEP, groupes de politiques d'interface, profils de commutateurs. Elle relie un port réel à un EPG. Les erreurs y sont fréquentes chez les profils venus de NX-OS.
L3Out
La sortie de la fabric vers le WAN, Internet ou les pare-feu, en OSPF, BGP ou routage statique. L'EPG externe classe les réseaux extérieurs pour que des contrats s'y appliquent.
Multi-Pod et Multi-Site
Deux façons d'étendre ACI à plusieurs salles : une fabric répartie sous un seul cluster APIC, ou des fabrics indépendantes orchestrées ensemble. Le choix engage la résilience et l'organisation de l'équipe.
Nexus Dashboard
La plateforme de Cisco autour de l'APIC : orchestration Multi-Site (l'ancien NDO), analyse des anomalies et de la conformité. Depuis la version 4.1, ces fonctions sont réunies dans une seule interface.
Intégration VMM, API REST, Terraform et Ansible
L'APIC pilote les groupes de ports de vCenter par l'intégration VMM. Toute la fabric se pilote aussi par API REST, avec le provider Terraform ACI ou la collection Ansible cisco.aci, très cités dans les annonces.
Cisco ACI se rencontre surtout dans de grands datacenters, souvent installés à partir de 2015 et parfois en cours de renouvellement. Le poste est tenu par des ingénieurs internes ou par des consultants d'ESN, en exploitation comme en projet (migration d'un réseau Nexus classique, ouverture d'un second site, automatisation). Certaines équipes envisagent aussi un retour vers une fabric EVPN-VXLAN standard, ce qui demande de connaître les deux mondes. Côté certification, l'examen DCACI (300-620) du CCNP Data Center porte sur ACI. L'expérience réelle se reconnaît au diagnostic d'un contrat ou d'une politique d'accès.
Six compétences ACI à vérifier
- Modèle objet de l'APIC
- Politiques d'accès et raccordement
- Contrats et insertion de services
- L3Out, Multi-Pod et Multi-Site
- Intégration VMM et automatisation
- Diagnostic et mises à jour
Questions d'entretien pour un ingénieur réseau Cisco ACI
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · junior à confirmé
Un serveur web est dans l'EPG Web, sa base dans l'EPG BDD, dans la même VRF. Rien ne passe entre eux. Pourquoi, et que créez-vous ?
Une bonne réponseDans une VRF en mode appliqué, ACI fonctionne en liste blanche : deux EPG différents ne se parlent que par un contrat. L'EPG BDD fournit un contrat, l'EPG Web le consomme, avec un sujet et un filtre limité au port de la base. Le candidat sait que les machines d'un même EPG se parlent librement par défaut, et cite les raccourcis (VRF non appliquée, groupe préféré) en disant ce qu'ils font perdre en segmentation.
Signal d'alerte« Il manque une route » ou « c'est le pare-feu », ou un contrat qui autorise tout le trafic IP sans réflexion.
Question 2 · confirmé
Vous branchez un serveur sur deux leafs, et l'EPG ne se déploie pas sur ses ports : l'APIC lève un défaut. Que vérifiez-vous dans les politiques d'accès ?
Une bonne réponseLa chaîne complète : pool de VLAN, domaine physique, AAEP qui relie le domaine aux interfaces, groupe de politiques d'interface vPC, profil d'interface et profil de commutateur pour les deux leafs. Puis côté tenant : l'EPG associé au même domaine, et un rattachement statique au bon chemin vPC avec une VLAN présente dans le pool. Il lit le défaut sur l'EPG, qui indique en général une VLAN ou un chemin invalide.
Signal d'alerteSe connecter au leaf pour créer la VLAN en ligne de commande, comme sur un Nexus en NX-OS.
Question 3 · senior
Vous migrez un VLAN vers ACI, mais sa passerelle reste quelques semaines sur l'ancien cœur. Comment réglez-vous le bridge domain pendant la migration, puis après ?
Une bonne réponsePendant la migration, un bridge domain de niveau 2 : routage unicast désactivé, unicast inconnu en inondation, inondation ARP active, et l'EPG relié à l'ancien réseau par un port statique ou un agrégat vers l'ancien cœur. Une fois la passerelle déplacée dans ACI : routage unicast activé, sous-réseau déclaré sur le bridge domain, apprentissage IP limité au sous-réseau, et selon le cas proxy matériel pour l'unicast inconnu. C'est le schéma network-centric, un VLAN pour un EPG et un bridge domain.
Signal d'alerteActiver le routage sur le bridge domain alors que l'ancien cœur porte encore la même passerelle, avec deux passerelles actives sur le même réseau.
Question 4 · confirmé
Comment la fabric ACI apprend-elle et annonce-t-elle les routes vers l'extérieur, et à quoi sert l'EPG externe d'un L3Out ?
Une bonne réponseLe L3Out monte OSPF, BGP ou des routes statiques depuis des border leafs vers les routeurs extérieurs, et les routes apprises sont distribuées dans la fabric par MP-BGP, avec les spines en route reflectors. Pour qu'un réseau interne sorte, son sous-réseau doit être marqué comme annoncé à l'extérieur et le bridge domain associé au L3Out (ou passé dans une route map). L'EPG externe classe les préfixes extérieurs, par exemple 0.0.0.0/0, pour pouvoir écrire des contrats avec les EPG internes.
Signal d'alerteCroire que les routes sortent toutes seules, ou oublier qu'il faut un contrat entre l'EPG externe et les EPG internes.
Question 5 · senior
Deux salles doivent fonctionner sous ACI. Multi-Pod ou Multi-Site : comment choisissez-vous ?
Une bonne réponseMulti-Pod : une seule fabric et un seul cluster APIC répartis sur les pods, un réseau inter-pods (IPN) qui doit porter du multicast PIM Bidir, une MTU augmentée et une latence plafonnée par Cisco. C'est simple à administrer mais il reste un seul domaine de configuration. Multi-Site : des fabrics indépendantes avec leur propre cluster APIC, orchestrées par Nexus Dashboard (l'ancien NDO), un réseau inter-sites sans multicast. Le domaine de panne est séparé, les objets étendus entre sites sont choisis un par un.
Signal d'alerteConfondre les deux, ou choisir Multi-Site sans savoir qui orchestrera les objets communs.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Ingénieur ACI : les réponses
Un expert Nexus NX-OS peut-il prendre en main une fabric ACI ?
Oui, mais pas tout de suite. Le matériel est le même, la logique change : l'ingénieur ne configure plus les équipements, il décrit des objets dans l'APIC. Un bon profil NX-OS devient autonome en quelques semaines sur les politiques d'accès et les contrats. En entretien, il explique comment il brancherait un serveur dans ACI : sa réponse montre s'il a déjà compris la chaîne d'objets ou s'il la découvre.
La certification DCACI suffit-elle pour juger un candidat ?
L'examen DCACI (300-620), une des épreuves de spécialité du CCNP Data Center, couvre le modèle objet, les politiques d'accès, les contrats et les L3Out. Il atteste des connaissances. Il ne garantit ni l'expérience d'une migration, ni le diagnostic d'un contrat qui bloque en production. Le récit d'un incident réel et de sa cause pèse plus qu'un logo sur le CV.
Faut-il un test technique pour un ingénieur réseau Cisco ACI ?
Monter un simulateur pour l'entretien coûte cher. Un exercice sur papier suffit : un serveur à brancher en vPC dans un EPG existant, avec accès à une base dans un autre EPG et sortie vers Internet. La personne liste les objets à créer dans l'ordre. En vingt minutes, on voit si le candidat connaît les politiques d'accès, les contrats et le L3Out.
Quelle place donner à l'automatisation pour un poste ACI ?
Elle pèse davantage chaque année, car l'APIC expose toute sa configuration par API. Les annonces citent Terraform et Ansible. Un ingénieur ACI doit au minimum savoir retrouver un objet dans l'API et lire un plan Terraform. Si le poste consiste surtout à construire des chaînes d'automatisation pour plusieurs technologies, le profil NetDevOps est plus adapté.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
