D'une annonce à l'autre, le poste d'ingénieur réseau datacenter repose sur le même socle : du Cisco Nexus sous NX-OS ou de l'Arista, VXLAN et EVPN, souvent Cisco ACI ou VMware NSX, et de l'Ansible quand l'équipe automatise. Derrière ces mots, le poste reste celui de la salle serveurs : combien de leafs, comment brancher un hyperviseur, où mettre le pare-feu, que devient le stockage quand un lien sature, comment basculer sur le second site.
L'entretien bute souvent sur un profil très bon sur un protocole et peu à l'aise avec le reste. Un ingénieur qui récite les types de routes EVPN mais n'a jamais parlé avec l'équipe stockage tiendra mal une fabric en production. À l'inverse, un ancien ingénieur LAN campus sait configurer des commutateurs sans avoir calculé une sursouscription ni vécu une réplication entre deux sites. Les fabrics EVPN-VXLAN et Cisco ACI demandent en plus une expertise propre au protocole ou au produit.
La personne dessine la dernière salle sur laquelle elle a travaillé : nombre de baies, leafs et spines, raccordement d'un serveur type, chemin vers Internet et vers l'autre datacenter. Les chiffres viennent ou ne viennent pas. Le PDF contient 30 questions et un cas d'ouverture de salle.
Ce que l'ingénieur réseau datacenter installe et exploite
Architecture spine-leaf
Chaque commutateur de baie (leaf) est relié à tous les commutateurs de cœur (spines), et tous les liens servent en même temps. Le nombre de ports et d'uplinks fixe la taille maximale de la salle et la capacité perdue en cas de panne. Un calcul de sursouscription révèle vite l'expérience.
Cisco Nexus, Arista, Juniper QFX
Les trois familles de commutateurs les plus citées dans les annonces, sous NX-OS, EOS et Junos. Les concepts se transposent d'un constructeur à l'autre, la syntaxe et les outils de pilotage changent (Nexus Dashboard, CloudVision, Apstra).
VXLAN et BGP EVPN
La technique standard pour transporter des réseaux de niveau 2 et des VRF au-dessus d'une fabric routée, avec BGP EVPN pour distribuer les adresses des machines. Un ingénieur datacenter doit savoir à quoi elle sert et comment la diagnostiquer. Le détail protocolaire relève du profil EVPN-VXLAN.
MLAG, vPC et raccordement des hyperviseurs
Une paire de leafs se présente comme un seul commutateur pour qu'un serveur s'y relie par un agrégat LACP. Le choix entre agrégat et liens indépendants se fait avec l'équipe système, selon l'hyperviseur (vSphere, Hyper-V, Proxmox, nœuds Kubernetes).
Stockage sur IP
iSCSI, NVMe/TCP ou RoCEv2 remplacent souvent le Fibre Channel. Le réseau doit alors offrir deux chemins indépendants, peu de sursouscription et une QoS adaptée, et pour RoCEv2 un transport sans perte avec PFC et ECN.
Pare-feu, répartiteurs de charge et DMZ
Les services de la salle se branchent sur des leafs dédiés. L'ingénieur doit maîtriser le chemin aller et retour de chaque flux, la translation d'adresses et la place de la DMZ.
Interconnexion de datacenters (DCI)
Fibre noire, DWDM ou service opérateur entre deux sites, pour la réplication du stockage, les migrations de VM et le plan de reprise. La distance, la latence et le risque de cerveau divisé sont au programme de l'entretien.
Réseau d'administration hors bande
Des commutateurs et des serveurs de console indépendants de la fabric, pour garder la main quand la production ne répond plus. Les interfaces d'administration des serveurs (iDRAC, iLO) y ont leur place, isolées du reste.
On trouve ce poste chez les grandes entreprises qui gardent leurs propres salles, chez les hébergeurs et opérateurs de colocation, et dans les ESN et intégrateurs qui construisent ou exploitent ces salles pour leurs clients. Selon l'équipe, il penche vers le build (nouvelle salle, renouvellement de commutateurs) ou vers l'exploitation (incidents, mises à jour, capacité), et le constructeur installé pèse dans l'annonce. La certification CCNP Data Center ou JNCIP-DC atteste la connaissance des produits. Le dialogue avec les équipes système, stockage et sécurité se vérifie par des questions de raccordement et de reprise.
Les six domaines à couvrir en entretien réseau datacenter
- Dimensionnement d'une fabric spine-leaf
- Raccordement des serveurs et des hyperviseurs
- Stockage sur IP et flux sensibles
- Administration hors bande et services de la salle
- Interconnexion de datacenters et reprise
- Capacité, diagnostic et renouvellement
Questions pour un ingénieur réseau datacenter, de la baie au second site
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · senior
Vous équipez 40 baies de 30 serveurs, chacun relié en 2 × 25 Gbit/s. Comment dimensionnez-vous leafs et spines, et quelle sursouscription acceptez-vous ?
Une bonne réponseIl calcule : 30 serveurs à 2 × 25 Gbit/s font 1,5 Tbit/s par baie, répartis sur deux leafs, soit 750 Gbit/s côté serveurs par leaf. Avec six uplinks à 100 Gbit/s, le rapport est de 1,25 pour 1. Il rappelle que le nombre d'uplinks d'un leaf fixe le nombre de spines, et que le nombre de ports d'un spine fixe le nombre de leafs : 80 leafs dépassent un spine de 64 ports, ce qui impose des spines plus grands ou un étage supplémentaire. Le taux accepté dépend des flux : 3 pour 1 passe souvent pour des VM généralistes, le stockage et le calcul demandent plus près de 1 pour 1.
Signal d'alerte« On prend les plus gros modèles du catalogue », sans aucun calcul, ou un taux de sursouscription donné sans dire pour quels flux.
Question 2 · confirmé
Un hyperviseur est relié à deux leafs. L'équipe système veut deux liens indépendants avec la répartition de l'hyperviseur, vous proposiez un agrégat LACP sur une paire MLAG. Comment tranchez-vous ?
Une bonne réponseLes deux montages fonctionnent. Les liens indépendants (sous vSphere, répartition par port virtuel d'origine) ne demandent rien au réseau et évitent les cas de double actif d'une paire MLAG. Le LACP répartit mieux les flux d'une même VM et détecte un lien défaillant de bout en bout, mais il exige le vSphere Distributed Switch et une paire MLAG ou vPC côté leafs. Le candidat insiste sur la cohérence : un port-channel côté commutateur face à des liens indépendants côté serveur provoque des pertes et des MAC qui sautent d'un port à l'autre.
Signal d'alerteImposer LACP partout « parce que c'est plus propre », ou ne pas savoir ce qui arrive quand les deux côtés ne sont pas configurés pareil.
Question 3 · senior
Les baies de stockage quittent le Fibre Channel pour de l'iSCSI ou du NVMe/TCP sur Ethernet. Qu'exigez-vous du réseau que le SAN Fibre Channel apportait d'office ?
Une bonne réponseDeux chemins indépendants, comme les fabrics A et B d'un SAN, avec le multipath géré par l'hôte plutôt qu'un agrégat. Une sursouscription faible sur les leafs concernés, des tampons suffisants contre les rafales, une MTU cohérente de bout en bout, une classe de QoS pour que les sauvegardes ou les migrations de VM n'écrasent pas le stockage, et aucun passage par un pare-feu. Il précise que NVMe/TCP fonctionne sans réseau sans perte, à la différence de RoCE, mais reste sensible aux pertes et à la latence.
Signal d'alerteMettre le stockage dans un VLAN supplémentaire sur les mêmes liens, sans séparation ni mesure.
Question 4 · confirmé
Une erreur de configuration rend toute la fabric injoignable. Comment y accédez-vous encore, et comment avez-vous conçu cet accès ?
Une bonne réponsePar un réseau d'administration hors bande qui ne dépend pas de la fabric : des commutateurs de gestion dédiés reliés aux ports de management, des serveurs de console sur les ports série, un accès distant propre (lien séparé, éventuellement 4G de secours) et une alimentation distincte. Les comptes locaux de secours sont testés, l'accès passe par un bastion, et les configurations sauvegardées sont lisibles depuis ce réseau.
Signal d'alerteUn accès de gestion porté par la fabric elle-même, ou « on enverra quelqu'un sur place avec un câble console ».
Question 5 · senior
Vous remplacez une architecture à trois niveaux (cœur Nexus 7000 ou Catalyst 6500, distribution, accès) par une fabric spine-leaf. Comment migrez-vous sans arrêter la salle ?
Une bonne réponseLa fabric est construite à côté, puis reliée à l'ancien cœur par une paire de border leafs en agrégat de niveau 2 et en routage. Les serveurs migrent baie par baie ou application par application, les passerelles des réseaux passent sur la fabric une fois la majorité des serveurs déplacée. Il traite le spanning tree à la frontière (la fabric ne doit pas devenir racine ni recevoir les BPDU de l'ancien réseau sans contrôle), garde un retour arrière par lot et coupe l'ancien cœur seulement quand plus aucun flux n'y passe.
Signal d'alerteUn week-end de coupure générale pour tout déplacer, ou une fabric reliée à l'ancien réseau sans rien régler sur le spanning tree.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Ingénieur réseau DC : les questions fréquentes
Ingénieur réseau datacenter ou ingénieur EVPN-VXLAN : quel profil chercher ?
Tout dépend de la fabric. Si elle existe et que le besoin porte sur son protocole, ses incidents et son automatisation, mieux vaut un spécialiste EVPN-VXLAN ou Cisco ACI selon la technologie installée. Si le poste couvre toute la salle, avec le raccordement des serveurs, le stockage, les pare-feu, l'interconnexion et le renouvellement du matériel, un ingénieur réseau datacenter plus généraliste convient mieux. L'annonce gagne à le dire clairement.
Un ingénieur réseau campus peut-il passer au datacenter ?
Oui, avec un temps d'adaptation. Le socle commun est large : commutation, routage, agrégats, haute disponibilité. Ce qui manque en général, c'est le raisonnement en capacité, le raccordement des hyperviseurs et du stockage, et la notion d'overlay. L'entretien teste ces points plutôt que les commandes. Un profil campus qui comprend vite pourquoi le stockage sur IP demande deux chemins séparés progresse rapidement.
Quel test technique est donné à un ingénieur réseau datacenter ?
Un exercice de dimensionnement marche bien : un nombre de baies et de serveurs, un débit par serveur, et la demande de choisir leafs, spines, uplinks et sursouscription. S'y ajoute le raccordement d'un hyperviseur et d'une baie de stockage. Le calcul se fait en quinze minutes, au tableau, et montre plus de choses qu'un QCM. Pour un poste d'exploitation, un diagnostic à partir de sorties de commandes réelles convient mieux.
Quelles certifications regarder sur un CV d'ingénieur réseau datacenter ?
CCNP Data Center chez Cisco, JNCIP-DC chez Juniper, les certifications Arista ACE selon le parc installé. Elles montrent qu'un candidat connaît la gamme et ses fonctions. Elles ne disent rien du dimensionnement réel ni du travail avec les équipes stockage et système. Une certification récente sans salle exploitée vaut moins qu'une expérience de renouvellement de fabric bien racontée.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
