Sur ce poste, l'ingénieur construit et exploite une fabric spine-leaf sur Cisco Nexus 9000 en NX-OS, Arista EOS ou Juniper QFX. Il ajoute des VRF et des réseaux pour les équipes système, raccorde des hyperviseurs en vPC ou en MLAG, ouvre la fabric vers les pare-feu et le WAN par les border leafs, et prépare les montées de version. Les missions en France citent souvent BGP, OSPF ou IS-IS, VRF, Ansible et parfois Cisco ACI sur le même périmètre.
Le piège classique vient des profils campus ou ACI. Un très bon ingénieur LAN connaît VLAN et spanning tree, mais n'a jamais lu une route de type 2. Un profil ACI a piloté une fabric depuis le contrôleur APIC sans voir BGP EVPN configuré équipement par équipement. Les deux savent dire VXLAN. La différence s'entend quand on demande ce qui part sur le réseau quand une VM change d'hyperviseur, ou pourquoi deux leafs ne s'importent pas leurs routes.
La fabric se dessine au tableau, puis on suit un paquet d'une VM à une autre, puis vers l'extérieur. Un candidat qui place correctement VTEP, VNI, route target et passerelle anycast sur le schéma a déjà exploité ce type de réseau. Le PDF contient 30 questions sur six axes, un cas de 20 minutes et une grille de notation de 1 à 4.
Protocoles et plateformes d'une fabric EVPN-VXLAN
VXLAN
Le plan de données de la fabric. Chaque trame est encapsulée dans un paquet UDP (port 4789) entre deux VTEP, avec un identifiant VNI sur 24 bits, ce qui ouvre environ 16 millions de segments au lieu de 4 094 VLAN. L'encapsulation ajoute 50 octets en IPv4, d'où une MTU d'underlay relevée sur tous les liens.
BGP EVPN
Le plan de contrôle. Les leafs s'échangent en BGP, famille L2VPN EVPN, les adresses MAC et IP des machines (route de type 2), la liste des VTEP intéressés par un segment (type 3) et des préfixes IP (type 5). Le route target décide qui importe quoi. Une grande partie du diagnostic se passe dans cette table.
Underlay spine-leaf
Le réseau IP qui transporte les tunnels. Chaque leaf est relié à chaque spine, et le trafic se répartit sur tous les chemins par ECMP. Le routage se fait en eBGP, sur le modèle du RFC 7938, ou en OSPF ou IS-IS avec une session iBGP EVPN vers des route reflectors placés sur les spines.
Passerelle anycast et VRF
Chaque leaf porte la même adresse IP et la même adresse MAC de passerelle pour un réseau donné. Une VM qui change de leaf garde donc sa passerelle sans rien réapprendre. Les VRF séparent les environnements, et en routage symétrique chacune reçoit son propre VNI de niveau 3.
vPC, MLAG et ESI multihoming
Les façons de raccorder un serveur à deux leafs. vPC chez Cisco et MLAG chez Arista reposent sur une paire de commutateurs reliés par un peer-link et un VTEP partagé. Le multihoming EVPN par Ethernet Segment (ESI) fait le même travail sans lien entre les deux leafs, par des routes de type 1 et 4.
Cisco Nexus 9000 et NX-OS
La plateforme la plus fréquente dans les offres françaises sur ce type de fabric, en mode NX-OS hors ACI. Le pilotage centralisé passe par Nexus Dashboard Fabric Controller (NDFC) quand l'équipe l'utilise. L'expérience doit porter sur NX-OS en EVPN, pas seulement sur ACI.
Arista EOS, CloudVision et AVD
EOS est le système des commutateurs Arista, CloudVision sa plateforme de gestion et de télémétrie. AVD (Architect, Validate, Deploy) est une collection Ansible, aussi disponible en Python avec PyAVD, qui génère les configurations d'une fabric EVPN-VXLAN à partir d'un modèle de données en YAML.
Juniper QFX et Apstra
Les commutateurs datacenter de Juniper, sous Junos, et Apstra, l'outil de conception et de vérification des fabrics par intention. Juniper appartient à HPE depuis juillet 2025. Un candidat Juniper parle d'instances de routage et de politiques là où un profil Cisco parle de VRF et de route-maps.
Outils de diagnostic
Les commandes show des tables EVPN et des pairs VTEP, la capture de trames encapsulées avec Wireshark, qui décode l'en-tête VXLAN, et les traceroutes d'underlay. Sur une fabric bien tenue, la télémétrie remonte aussi l'état BGP et les compteurs d'interface vers la supervision.
On croise ce poste dans les équipes d'infrastructure qui hébergent leur propre cloud privé, chez les hébergeurs et dans les ESN qui construisent ou reprennent des fabrics pour leurs clients. Le build demande de concevoir l'adressage, les ASN et les route targets, souvent avec un outil d'automatisation. Le run demande de diagnostiquer une machine injoignable ou une boucle de MAC à 3 heures du matin. Beaucoup de candidats ont fait l'un sans l'autre. Les certifications CCNP Data Center, Arista ACE ou JNCIP-DC montrent une base solide, mais seule la lecture d'une table EVPN réelle confirme l'expérience.
Six savoir-faire à valider sur une fabric datacenter
- Underlay IP, ECMP et MTU
- Plan de contrôle BGP EVPN
- Routage dans la fabric : VRF et anycast
- Raccordement des serveurs : vPC, MLAG, ESI
- Trafic BUM, sortie de fabric et DCI
- Exploitation, automatisation et montées de version
Du paquet à la route EVPN : cinq questions pour l'entretien
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · confirmé
Une VM passe d'un hyperviseur branché sur le leaf 3 à un hyperviseur branché sur le leaf 7. Que se passe-t-il dans le plan de contrôle EVPN ?
Une bonne réponseLe leaf 7 apprend la MAC localement et annonce une route de type 2 avec un numéro de séquence MAC Mobility supérieur. Les autres leafs basculent vers le leaf 7 et le leaf 3 retire son annonce. Si la VM envoie un ARP gratuit ou un RARP, l'apprentissage est immédiat. Un bon candidat cite aussi la détection de doublon de MAC, qui gèle une adresse qui bouge trop souvent entre deux leafs.
Signal d'alerte« Le spanning tree recalcule » ou « les leafs réapprennent par inondation », comme sur un réseau de niveau 2 classique. Une réponse qui ne parle ni de route de type 2 ni de numéro de séquence.
Question 2 · senior
Votre underlay est en eBGP, avec un ASN par leaf. Les VTEP se voient, mais aucun leaf n'importe les routes MAC des autres. Où cherchez-vous ?
Une bonne réponseDans les route targets. Avec une génération automatique du type ASN:VNI, chaque leaf fabrique un route target avec son propre ASN, et les autres ne l'importent pas. Il faut des route targets fixés à la main ou une option qui réécrit l'ASN à l'import. Il vérifie aussi que les spines transmettent les routes EVPN sans les filtrer ni changer le next hop, et la question de l'allowas-in si plusieurs leafs partagent un ASN.
Signal d'alerteRedémarrer les sessions BGP, ou chercher du côté de la MTU alors que les routes ne sont même pas importées. Confondre route distinguisher et route target.
Question 3 · confirmé
Routage symétrique ou asymétrique entre deux réseaux d'une même VRF : qu'est-ce qui change dans la configuration et dans les tables des leafs ?
Une bonne réponseEn asymétrique, le leaf d'entrée route puis envoie dans le VNI de destination, donc chaque leaf doit porter tous les VLAN et VNI de la VRF, et ses tables grossissent. En symétrique, le paquet routé passe dans un VNI de niveau 3 propre à la VRF et le leaf de sortie route à nouveau. Chaque leaf ne déclare que ses réseaux locaux, plus le VNI de VRF et la router MAC annoncée dans les routes. Le symétrique est le choix courant sur les fabrics de taille moyenne ou grande.
Signal d'alerteNe pas savoir ce qu'est un VNI de niveau 3, ou penser que le routage entre réseaux passe par les spines.
Question 4 · junior à confirmé
Vous calculez la MTU de l'underlay pour des serveurs qui envoient des trames jumbo à 9 000 octets. Comment raisonnez-vous, et comment le vérifiez-vous avant la mise en service ?
Une bonne réponseL'encapsulation VXLAN ajoute 50 octets en IPv4 (Ethernet, IP, UDP et en-tête VXLAN), un peu plus avec un tag ou de l'IPv6 dans l'en-tête extérieur. Il fixe une MTU d'underlay nettement au-dessus, souvent 9 216 sur tous les liens leaf-spine, identique partout. Il vérifie par des pings entre loopbacks de VTEP avec la taille maximale et le bit Don't Fragment, et sait qu'une MTU trop petite casse les gros paquets en laissant passer les pings ordinaires.
Signal d'alerte« On laisse 1 500, la fragmentation s'en occupe », ou un test fait seulement avec un ping par défaut.
Question 5 · confirmé
Deux serveurs doivent être raccordés en double attachement à une paire de leafs Nexus. Comment configurez-vous la paire vPC avec VXLAN, et que se passe-t-il si le peer-link tombe ?
Une bonne réponseUn domaine vPC avec un peer-link et un peer-keepalive sur un chemin séparé, et une adresse de VTEP partagée sur la loopback NVE, que les autres leafs voient comme un seul VTEP anycast. Les ports orphelins, branchés sur un seul leaf, posent problème. Si le peer-link tombe alors que le keepalive répond, le secondaire coupe ses ports vPC pour éviter un split brain. Il cite l'option qui annonce l'adresse propre de chaque leaf pour les routes de type 5, utile au trafic des réseaux non doublés.
Signal d'alerteKeepalive et peer-link sur les mêmes liens, ou aucune idée du comportement en cas de perte du peer-link.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Fabric EVPN-VXLAN : réponses pratiques
Un profil Cisco ACI peut-il tenir une fabric EVPN-VXLAN en NX-OS ?
Souvent, avec une montée en compétence à prévoir. ACI utilise VXLAN dans sa fabric, mais l'ingénieur pilote surtout des objets dans le contrôleur APIC : tenants, EPG, contrats. En NX-OS, il configure lui-même BGP EVPN, les route targets et les VNI sur chaque leaf. Il dessine une route de type 2 et dit où se règle l'import entre leafs. S'il répond avec les objets ACI uniquement, un temps d'adaptation réel est à prévoir.
Faut-il une expérience sur le constructeur déjà installé ?
Moins qu'on le croit. EVPN est normalisé par l'IETF, y compris sur VXLAN (RFC 7432 et RFC 8365), et un ingénieur qui maîtrise les routes de type 2, 3 et 5 sur Nexus passe à Arista EOS ou Juniper QFX en quelques semaines. La syntaxe change, les concepts restent. Le constructeur s'exige quand le poste démarre en run immédiat, avec astreinte. Pour du build accompagné, la maîtrise du protocole compte davantage que la marque.
Quel test technique est donné à un ingénieur réseau datacenter ?
Un exercice sur papier marche bien : un schéma de fabric à six leafs avec une panne à trouver, ou des extraits de sorties show (table EVPN, pairs VTEP, table MAC) à interpréter. Il dure 30 à 45 minutes. Un laboratoire virtuel avec containerlab ou EVE-NG est plus réaliste, mais long à préparer et dépendant des images disponibles. Les questions de syntaxe pure sont à éviter, qu'un ingénieur retrouve en deux minutes dans la documentation.
Quelle place donner à l'automatisation dans l'évaluation ?
Elle dépend de la façon dont la fabric est gérée. Si les configurations sont générées avec AVD, NDFC ou Apstra, l'ingénieur doit savoir lire le modèle de données et prévoir ce qu'un changement va produire sur les équipements. Si la fabric est configurée à la main, un niveau Ansible de base suffit. Dans les deux cas, le protocole passe d'abord : un outil qui génère une configuration fausse ne se corrige qu'en comprenant EVPN.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
