Réseau · 02/12/2025
SD-WAN contre MPLS : où passe vraiment la frontière
L'opposition entre les deux approches est mal posée quand elle se joue au niveau de l'entreprise entière. Elle se tranche site par site, sur trois questions : que se passe-t-il si ce site perd son accès, quels accès sont réellement disponibles à cette adresse, et où va le trafic de ce site.
Le réseau privé opérateur vend une chose que personne d'autre ne vend : une qualité de service garantie de bout en bout, avec une classe pour la voix, une pour les applications sensibles et une pour le reste, plus un engagement de rétablissement porté par un acteur unique. Le pilotage logiciel des liaisons vend autre chose : la capacité d'utiliser plusieurs accès ordinaires en même temps, de basculer en moins d'une seconde, et de décider par application quel chemin emprunter.
Ce que chacun garantit
| Critère | Réseau privé opérateur | Liaisons pilotées logiciellement |
|---|---|---|
| Qualité de service | Garantie de bout en bout par classe | Optimisée, non garantie sur la partie publique |
| Résilience | Un accès unique, secours à commander | Plusieurs accès actifs, bascule automatique |
| Sortie vers Internet | Généralement centralisée au siège | Locale, au plus près de l'usage |
| Délai de raccordement | Long, souvent plusieurs mois | Court si un accès existe déjà |
| Coût par site | Élevé, proportionnel au débit garanti | Modéré, plus le coût des boîtiers et des licences |
Les trois questions qui tranchent
La première question porte sur la conséquence d'une coupure. Une agence commerciale de six personnes qui perd son accès pendant quatre heures gêne son activité. Un site de production dont les machines s'arrêtent perd de l'argent à la minute. Le second justifie une garantie forte et un secours indépendant, le premier ne le justifie pas.
La deuxième question porte sur ce qui est physiquement disponible à l'adresse concernée. Deux accès qui empruntent le même fourreau et la même armoire de rue ne constituent pas deux chemins. Cette vérification se fait auprès des opérateurs, sur plan, et c'est souvent elle qui décide, bien plus que l'architecture retenue.
La troisième question porte sur la destination du trafic. Une entreprise dont les applications sont hébergées à l'extérieur envoie l'essentiel de son trafic vers Internet. Faire remonter ce trafic jusqu'au siège pour le renvoyer ensuite ajoute de la latence et sature le lien central : la sortie locale devient alors l'argument décisif, indépendamment de toute considération de coût.
Ce que le pilotage logiciel ne règle pas
Il ne crée pas de qualité là où il n'y en a pas. Sur deux accès mauvais, il choisit le moins mauvais et c'est tout. Sur les flux temps réel, notamment la voix, cela suffit dans la plupart des cas mais pas dans tous, et la démonstration se fait en conditions de charge réelle, pas en maquette.
Il introduit également une dépendance nouvelle à l'éditeur de la solution : les boîtiers, les licences, le contrôleur central et sa disponibilité. Cette dépendance doit se traiter au contrat comme les autres, avec des conditions de sortie écrites, selon la méthode que nous décrivons à propos de la clause de réversibilité.
Enfin, il ne change rien aux engagements de délai portés par l'accès sous-jacent. Une bascule automatique arrête souvent l'horloge contractuelle, puisqu'un contournement acceptable a été trouvé, ce qui déplace la discussion et mérite d'être vérifié dans les définitions, sujet traité dans nos repères sur les garanties de temps d'intervention et de rétablissement.
La carte des sites annotée en atelier, chaque couleur correspondant à un type de raccordement retenu.
L'architecture qui s'impose en pratique
La configuration la plus fréquente n'est ni l'une ni l'autre, mais un mélange assumé. Les sites critiques, en nombre limité, conservent une liaison à qualité garantie, doublée d'un accès ordinaire piloté. Les autres sites fonctionnent avec deux accès ordinaires et un pilotage logiciel. Les centres de données, eux, gardent des raccordements dédiés et leurs propres redondances.
Ce découpage suppose une chose : que la politique de sécurité soit identique quel que soit le chemin emprunté. Un lien de secours qui n'applique pas le même filtrage que le lien principal crée une faille qui ne se manifeste que pendant les incidents, c'est-à-dire au pire moment. La vérification se mène segment par segment, selon la méthode décrite dans notre note sur la segmentation d'un réseau de PME, et elle inclut la joignabilité des services d'authentification, point développé dans notre analyse de l'authentification 802.1X sur les prises murales.
Le calendrier, variable sous-estimée
Le délai de mise en service d'un raccordement dédié se compte en mois, avec des études de génie civil quand l'adresse n'est pas desservie. Ce délai est le premier obstacle rencontré lors d'un déplacement d'infrastructure ou d'une ouverture de site de repli, comme l'ont constaté les entreprises ayant dû reconstruire après un sinistre, situation que nous avons analysée dans notre bilan des cinq ans qui ont suivi un sinistre de centre de données.
La conséquence pratique est qu'un site de repli doit être raccordé avant d'en avoir besoin, même modestement. Ce raccordement anticipé fait partie des lignes à prévoir au moment de choisir un emplacement d'hébergement, sujet abordé dans notre comparatif entre baie entière, demi-baie et unité.
Le détail qui coûte cher
Demandez à voir le plan de cheminement des deux accès d'un même site, jusqu'au point de mutualisation. Deux opérateurs différents empruntent fréquemment la même infrastructure sur les derniers cents mètres, et une pelleteuse ne fait pas la différence entre deux contrats. Le plan d'adressage doit lui aussi rester cohérent d'un chemin à l'autre, point que nous détaillons dans notre note sur le plan d'adressage IPv6.