Un ingénieur WAN et SD-WAN tient l'interconnexion des sites. Il gère les liens opérateurs et leurs contrats, BGP entre les routeurs du site et le réseau MPLS, puis l'overlay SD-WAN qui fait passer chaque application sur le meilleur lien. Les offres françaises citent Cisco Catalyst SD-WAN (l'ex-Viptela), Versa, Meraki, Prisma SD-WAN ou Fortinet, souvent avec du MPLS encore en place et des projets de migration de centaines d'agences.
Le piège tient à l'interface graphique. Un profil qui a surtout cliqué dans la console du constructeur décrit bien les écrans, mais bute sur le retour du trafic par le mauvais lien, sur deux agences du même AS qui ne se voient pas ou sur une boucle entre l'overlay et le MPLS pendant la migration. Il explique ce que mesurent les sondes d'un tunnel et en combien de temps une application change de lien.
Pour un poste de run, l'entretien insiste sur le diagnostic d'une agence lente et la lecture des connexions de contrôle. Pour un poste de build, sur la topologie, la segmentation et le plan de migration. Le PDF contient un cas de 20 minutes sur la sortie du MPLS d'un réseau de 180 agences.
Liens, overlay, contrôleurs : l'environnement d'un ingénieur SD-WAN
MPLS VPN opérateur
Le réseau privé de l'opérateur qui relie les sites. Côté entreprise, l'ingénieur gère les routeurs du site (CE) et leur session BGP avec l'opérateur (PE), les classes de service et le contrat. Il ne configure pas le cœur MPLS, mais doit savoir ce que l'opérateur peut régler pour lui.
BGP
Le protocole qui échange les routes avec l'opérateur, entre hubs et datacenter, et souvent dans le cloud. Local preference, chemin d'AS, MED et communautés décident par où sort et par où revient le trafic. Un candidat WAN doit être à l'aise ici avant de parler de SD-WAN.
Cisco Catalyst SD-WAN
L'ex-Viptela. Le Manager configure, le Validator authentifie les routeurs, le Controller distribue les routes par OMP, et les routeurs montent des tunnels IPsec entre eux, mesurés par BFD. Les CV citent encore vManage, vBond et vSmart.
Versa, Meraki, Prisma SD-WAN, Fortinet
Les autres solutions fréquentes en France. Versa revient souvent chez les opérateurs et les intégrateurs, Meraki dans les parcs gérés en cloud, Prisma SD-WAN chez les clients Palo Alto Networks, Fortinet quand le SD-WAN est porté par les pare-feu. Les concepts se transposent, l'outillage non.
Politiques applicatives et SLA
La fonction centrale du SD-WAN : reconnaître l'application, lui associer une exigence de perte, de latence et de gigue, et choisir le lien qui la respecte. Reste à savoir comment se mesure la qualité et en combien de temps le trafic bascule.
QoS
Le marquage DSCP, les files d'attente et le lissage au débit souscrit. Sur MPLS, il faut l'aligner sur les classes de l'opérateur. Sur Internet, personne ne respecte les priorités, et seule la file d'attente du routeur protège la voix.
IPsec et DMVPN
Les tunnels chiffrés qui portent l'overlay et les connexions avec les partenaires. DMVPN, l'ancienne solution Cisco de tunnels dynamiques entre sites, est encore là dans beaucoup de réseaux à migrer.
Accès : fibre, Internet, 4G et 5G
Fibre dédiée avec garantie de temps de rétablissement, fibre mutualisée, liens radio en secours. Le choix et la vraie indépendance des liens d'un site font partie du poste, contrat opérateur compris.
Chez un client final multisite, l'ingénieur WAN suit les opérateurs, les incidents d'agence et les évolutions du réseau. Chez un opérateur ou un intégrateur, il construit et exploite le WAN de plusieurs clients, avec des modèles de configuration et des vagues de déploiement. Les grands projets du moment sont des sorties partielles ou complètes du MPLS vers le SD-WAN, avec des mois de cohabitation, et le rapprochement avec la sécurité cloud pour la sortie Internet des agences. Les certifications constructeur (la CCNP Enterprise avec l'examen SD-WAN chez Cisco, les cursus Versa ou Fortinet) attestent la connaissance d'un produit. Le routage BGP et la méthode de migration se vérifient en entretien.
Six compétences WAN à tester
- BGP avec l'opérateur et le datacenter
- Overlay SD-WAN et contrôleurs
- Politiques applicatives et SLA
- QoS et MTU de bout en bout
- Segmentation et tunnels IPsec
- Migration multisite et exploitation
Les questions d'entretien d'un ingénieur WAN et SD-WAN
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · confirmé
Une agence a deux routeurs vers le même opérateur MPLS, chacun avec sa session BGP. Le trafic sortant passe par le lien principal, mais le retour arrive par le lien de secours. Que réglez-vous ?
Une bonne réponseLa sortie et le retour se règlent séparément. La local preference choisit le lien de sortie à l'intérieur du site. Pour le retour, il faut influencer le choix de l'opérateur et des autres sites : allongement du chemin d'AS (AS-path prepend) ou MED sur le lien de secours, ou mieux, les communautés BGP que l'opérateur documente pour fixer la préférence dans son réseau. La personne vérifie ensuite le résultat dans les tables d'un site distant, pas seulement sur l'agence.
Signal d'alerteMonter la local preference et penser que le retour suivra, ou jouer sur les métriques internes OSPF sans effet sur l'opérateur.
Question 2 · confirmé
Tous vos sites utilisent le même numéro d'AS privé derrière l'opérateur MPLS. Deux agences ne s'apprennent pas leurs routes. Pourquoi, et que demandez-vous ?
Une bonne réponseBGP rejette une route qui contient déjà son propre numéro d'AS dans le chemin : c'est la protection contre les boucles. Avec le même AS partout, chaque site refuse les routes des autres. Solutions : l'opérateur active l'AS override sur ses PE, ou le routeur du site accepte son propre AS (allowas-in), ou chaque site reçoit un AS distinct. La personne cite le risque de boucle quand un site est raccordé deux fois avec allowas-in.
Signal d'alerteAccuser l'opérateur sans lire les routes reçues, ou ignorer la règle de l'AS dans le chemin.
Question 3 · confirmé
Sur Cisco Catalyst SD-WAN, les tunnels d'une agence montent sur la couleur MPLS mais pas sur la couleur Internet. Que regardez-vous ?
Une bonne réponseD'abord les connexions de contrôle de l'agence vers le Validator et les Controllers (show sdwan control connections et l'historique des échecs), puis le NAT de la box Internet et du pare-feu amont, les ports UDP utilisés par les tunnels, la couleur et ses options (restrict, couleur publique ou privée qui décide de l'adresse utilisée), le certificat et l'heure du routeur. Il compare avec les sessions BFD par couleur pour voir si le contrôle monte et seule la donnée échoue.
Signal d'alerteRedémarrer le routeur, ou ne pas distinguer plan de contrôle et plan de données.
Question 4 · senior
Vous voulez que Teams quitte un lien dont la latence se dégrade. Comment la qualité du lien est-elle mesurée, et en combien de temps le trafic bascule-t-il ?
Une bonne réponseLes routeurs mesurent chaque tunnel en continu, par des sondes (BFD chez Cisco, des sondes équivalentes chez Versa, Prisma SD-WAN ou Meraki) : perte, latence, gigue. Une politique applicative associe Teams à une classe de SLA, et le routeur retire le trafic d'un tunnel qui sort de la classe. La bascule n'est pas instantanée : elle dépend de l'intervalle des sondes, du nombre d'échantillons et de la fenêtre de calcul, ce qui donne souvent quelques dizaines de secondes à quelques minutes. La personne sait régler ces paramètres et ce qui se passe si aucun lien ne respecte le SLA.
Signal d'alerte« La bascule est immédiate », ou une politique applicative écrite sans savoir ce que mesurent les sondes.
Question 5 · confirmé
L'opérateur MPLS propose quatre classes de service. Comment faites-vous correspondre le marquage de vos applications, et que devient-il dans les tunnels Internet ?
Une bonne réponseUn marquage DSCP posé à l'entrée du réseau, sur le commutateur ou le routeur du site, puis une correspondance avec les classes de l'opérateur selon son contrat (voix en classe temps réel, applications métier, le reste). Les routeurs SD-WAN recopient le DSCP dans l'en-tête externe du tunnel, mais Internet ne le respecte pas : la qualité y dépend de la file d'attente et du lissage (shaping) appliqués sur le routeur, au débit réellement souscrit et non à la vitesse de l'interface.
Signal d'alerteFaire confiance au marquage des postes sans contrôle, ou croire qu'Internet respecte les priorités DSCP.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Ingénieur SD-WAN : les questions qui reviennent
Le SD-WAN remplace-t-il le MPLS ?
Pas forcément. Beaucoup d'entreprises gardent un lien MPLS sur les sites critiques et l'intègrent à l'overlay comme un transport parmi d'autres, à côté de la fibre Internet et de la 4G. D'autres sortent complètement du MPLS. Le candidat doit donc connaître les deux : BGP avec l'opérateur et classes de service d'un côté, tunnels et politiques applicatives de l'autre, et surtout la période où ils cohabitent.
Quelles compétences attendre d'un ingénieur WAN confirmé ?
BGP sans hésitation (sélection du chemin, communautés, filtrage), IPsec et la gestion du MTU, la QoS avec les classes d'un opérateur, et au moins une solution SD-WAN en production : Cisco Catalyst SD-WAN, Versa, Meraki, Prisma SD-WAN ou Fortinet. S'y ajoutent la lecture d'un contrat opérateur et la conduite d'une migration par vagues. Un senior conçoit la topologie de l'overlay et la segmentation.
Un spécialiste d'une solution SD-WAN peut-il passer sur une autre ?
Oui, si les bases sont là. Plan de contrôle, tunnels, sondes de qualité, politiques par application et segmentation existent chez tous les constructeurs, sous d'autres noms. Ce qui prend du temps, c'est l'outillage, les modèles de configuration et le diagnostic propres au produit. La personne doit expliquer les principes sans se raccrocher aux écrans de sa console habituelle.
Quel test technique pour un poste WAN ?
Un exercice au tableau plutôt qu'une configuration : une agence à deux liens, un hub, un retour de trafic par le mauvais lien, puis une politique pour la voix. S'y ajoute un extrait de table BGP à lire. En vingt minutes, on voit si la personne raisonne en chemins aller et retour et en mesures, ou si elle récite les menus d'une console.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
