1. Partir du besoin
Un réseau ne se conçoit pas en choisissant d’abord des boîtiers. On part de ce que l’organisation doit pouvoir faire, des contraintes qu’elle impose et de ce qui existe déjà. Cette analyse est aussi la première chose que la commission attend de toi à l’épreuve E6.
AUn nouveau site à concevoir
Kervanet Hôtels & Résidences ouvre au printemps 2027 sa huitième résidence, à La Tranche-sur-Mer (code de site TRA, site n = 8). Le planning du projet et son budget ont été construits en B1-10 ; il reste à dire comment le réseau du site sera bâti. Julien Maréchal, responsable infrastructure de Vellacor, confie à Lucas Ferrandi, alternant SISR, la préparation du dossier d’architecture : le document qui décrit le réseau du futur site et qui justifie chaque choix.
Lucas connaît les bases du réseau (B1-02). Il ne s’agit plus de dépanner, mais de concevoir : combien d’équipements, où, reliés comment, avec quelles adresses, pour quel coût, et le prouver par des documents que d’autres pourront relire et exploiter.
Architecture réseau
L’architecture réseau est l’organisation d’ensemble d’un réseau : ses équipements et leur emplacement, leurs liaisons, son découpage en segments, son plan d’adressage et de nommage, ses liens vers l’extérieur et les règles qui gouvernent les échanges. Elle se décrit par des schémas et des tableaux, et se justifie par un besoin.
Chaque étape produit un document qui alimente la suivante.
| Étape | Ce que l’on produit |
|---|---|
| 1. Analyser | cahier des charges technique, relevé de l’existant, étude d’impact |
| 2. Structurer | architecture en couches, liste des segments, matrice des flux |
| 3. Adresser et nommer | plan d’adressage IPv4 et IPv6, plan de nommage |
| 4. Dimensionner | tableaux de dimensionnement |
| 5. Relier | choix des liens, schéma d’interconnexion |
| 6. Choisir et chiffrer | spécifications techniques, coût de possession, dossier de choix |
| 7. Documenter | schémas physique et logique, tableaux de référence |
BDu besoin au cahier des charges technique
Gwenaëlle Le Bihan, directrice administrative et financière de Kervanet, a écrit : « Les clients doivent avoir un bon Wi-Fi dans tous les logements, la réception doit pouvoir travailler même si Internet est coupé, et on ne veut pas d’un réseau différent des autres hôtels. » Ces phrases sont justes, mais ne disent ni quoi installer, ni comment vérifier la réussite.
Expression de besoins, cahier des charges technique, spécification technique
- L’expression de besoins décrit, dans le langage du client, ce que le système doit permettre et pourquoi (B1-10 distingue besoins fonctionnels et non fonctionnels).
- Le cahier des charges technique traduit ces besoins en exigences techniques précises et vérifiables : performances, disponibilité, sécurité, compatibilité avec l’existant, contraintes de coût et de délai.
- Une spécification technique est une exigence de ce cahier, formulée de façon mesurable et, si possible, sans nom de marque : « commutateur 8 ports à 1 Gbit/s, alimentation électrique par le câble selon la norme 802.3at, budget d’au moins 120 W ».
Chaque exigence est rattachée à son besoin et au test de recette qui la vérifiera (SISR-10).
| Besoin exprimé par Kervanet | Exigence technique | Comment on la vérifiera |
|---|---|---|
| « un bon Wi-Fi dans tous les logements » | couverture des 36 logements avec un signal d’au moins −67 dBm (objectif interne de Vellacor) ; au plus 6 logements par borne | mesure dans chaque logement avec un outil de relevé radio |
| « la réception travaille même si Internet est coupé » | lien de secours 4G/5G avec bascule automatique en moins de 5 min | test de coupure de la fibre à la recette |
| « les clients ne doivent pas voir nos ordinateurs » | Wi-Fi des clients isolé dans le VLAN 30, accès à Internet seul | test de filtrage depuis un appareil du VLAN 30 |
CLes contraintes à chiffrer
Un besoin n’est jamais seul : il vient avec des contraintes. On les range en familles, pour n’en oublier aucune, et on les rend mesurables.
| Famille | Indicateur ou unité | Exemple pour TRA |
|---|---|---|
| Disponibilité | taux (%), minutes d’arrêt par mois | VPN du site compté dans la disponibilité de 99,5 % du contrat (CEJMA-04) |
| Performance | Mbit/s, nombre d’appareils, latence | Wi-Fi des clients le soir, téléphonie IP |
| Sécurité | segments, flux autorisés, besoins DICP (B3-01) | clients isolés, administration réservée à Vellacor |
| Coût | € HT, coût de possession sur 4 ans | budget du projet de 36 650 € HT (B1-10), hors abonnements et équipements des opérateurs |
| Délai | date, durée en jours ouvrés | personnel présent le jeudi 1er avril 2027 |
| Évolutivité | ports et adresses libres | une borne de plus, un 9e site |
| Exploitation | compatibilité avec l’existant | Zabbix, GLPI, ligne de commande des commutateurs |
Rendre une exigence mesurable
- Repère le mot flou : « bon », « rapide », « sécurisé », « fiable ».
- Demande ou fixe une grandeur et une unité : Mbit/s, %, minutes, nombre d’appareils, dBm.
- Précise les conditions : à quel moment (le soir en haute saison), où (dans chaque logement), pour qui.
- Indique la méthode de vérification : mesure, test, relecture.
- Fais valider la formulation par le client : c’est elle qui servira à la recette.
Une phrase qu’on ne sait pas tester n’est pas encore une exigence.
DAnalyser l’existant
On ne conçoit presque jamais sur une page blanche. Même un site neuf doit s’insérer dans un système existant : celui de Kervanet compte sept sites, un annuaire, des serveurs au siège, une supervision chez Vellacor et un contrat de service.
L’analyse de l’existant recense ce qui est en place et ce qui contraint la future solution : inventaire et versions, schémas, plan d’adressage, conventions (VLAN, nommage), services et flux, contrats (opérateurs, niveaux de service), locaux (câblage, local technique, alimentation, climatisation) et compétences de ceux qui exploiteront le réseau.
Lucas part de trois sources : l’inventaire de GLPI (B1-03), la documentation des sites existants et la visite du bâtiment faite par Julien et Mélodie Rochereau (B1-10). Il en tire le standard d’un site Kervanet, que TRA doit respecter, et les particularités du bâtiment, qui l’obligent à adapter ce standard.
Standard des sites : pare-feu OPNsense qui porte la
passerelle .1 de chaque VLAN, le DHCP et le VPN IPsec vers
le siège ; VLAN 10 gestion et réception, 20 serveurs locaux et
imprimantes, 30 Wi-Fi des clients avec portail captif, 40 téléphonie IP,
99 administration ; site n → réseaux 10.(40+n).VLAN.0/24 ; DNS internes
KV-DC01 et KV-DC02 au siège ; nommage
KV-<site>-<type><nn> ; supervision Zabbix
et inventaire GLPI chez Vellacor.
Particularités du bâtiment : ancien immeuble rénové de trois niveaux, sans câblage ni local technique, avec un placard au rez-de-chaussée pour la baie ; les 36 logements sont répartis sur les deux étages (18 par étage) ; l’accueil et les bureaux sont au rez-de-chaussée ; aucune fibre raccordée.
EMesurer l’impact d’une évolution
Ajouter un site, remplacer un pare-feu, changer un plan d’adressage : toute évolution touche d’autres éléments que celui qu’on modifie. Le référentiel demande d’étudier cet impact avant de décider.
L’étude d’impact recense, pour une évolution donnée, tous les éléments du système qui seront modifiés, sollicités ou menacés, les actions à prévoir et les risques. Elle complète le projet (tâches oubliées, coûts cachés) ou conduit à le revoir.
Conduire une étude d'impact
- Décris précisément l’évolution (quoi, où, quand).
- Passe en revue chaque domaine : adressage, VPN, filtrage, services, postes, supervision, sauvegarde, inventaire et licences, contrats, procédures, sécurité.
- Note l’effet et l’action à prévoir ; estimes-en la charge et le coût.
- Repère ce qui peut casser l’existant pendant la mise en œuvre et prévois un retour arrière.
L'impact de l'ajout du site TRA (extrait)
| Domaine | Effet | Action |
|---|---|---|
| Adressage | nouveaux réseaux 10.48.VLAN.0/24 | vérifier l’absence de chevauchement, mettre à jour le plan (partie 4) |
| VPN | 7e tunnel de site vers le siège (8e avec celui de Vellacor) ; le tunnel siège-Vellacor ne laisse passer que 10.40.0.0/13 | ajouter 10.48.0.0/16 aux réseaux autorisés dans ce tunnel (partie 4) |
| Supervision | pare-feu, commutateurs et bornes à surveiller | hôtes Zabbix et modèles de site |
| Inventaire et licences | 5 postes de plus, protection des postes : 74 appareils au lieu de 69 | GLPI, renouvellement des licences (CEJMA-02) |
| Contrat | le contrat d’infogérance couvre 7 sites et mesure la disponibilité de chaque VPN | avenant au contrat (CEJMA-03 et CEJMA-04) |
L’oubli le plus fréquent n’est pas technique : c’est le contrat. Un site ajouté sans avenant est soit hors du périmètre du prestataire, soit couvert sans être payé. L’étude d’impact doit toujours avoir une ligne « contrats et niveaux de service ».
FLe cadre juridique du projet
Le référentiel demande d’analyser le besoin et son contexte juridique. Trois points reviennent toujours :
- le contrat : cahier des charges et proposition engagent les deux parties ; le prestataire doit conseiller (signaler un choix risqué) et la recette dit quand l’installation est acceptée (CEJMA-03) ;
- les données personnelles : les journaux du Wi-Fi des clients sont inscrits au registre de Kervanet, avec une durée de conservation fixée par Kervanet (B3-02) ; l’architecture doit permettre de les conserver et de les protéger ;
- les licences et les sous-traitants : licences par appareil, câblage confié à un installateur choisi par Kervanet (CEJMA-02, CEJMA-05).
2. Organiser le réseau en couches
Un réseau qui grandit sans plan finit en enchevêtrement de commutateurs reliés au hasard. Le modèle hiérarchique donne à chaque équipement un rôle clair. Il rend le réseau prévisible, facile à étendre et à dépanner.
APourquoi une architecture hiérarchique
Dans un réseau à plat, tous les appareils sont dans un même réseau et les commutateurs sont chaînés au fil des besoins : chaque diffusion atteint tout le monde, une boucle de câblage se propage partout, et plus personne ne sait quel commutateur dessert quoi. L’architecture hiérarchique découpe le réseau en couches aux rôles distincts.
Modèle hiérarchique à trois couches
Le modèle hiérarchique organise un réseau local d’entreprise en trois couches :
- la couche accès, où se branchent les appareils (postes, téléphones, bornes Wi-Fi, imprimantes, caméras) ;
- la couche distribution, qui regroupe les commutateurs d’accès d’une zone, route entre les réseaux et applique les règles ;
- la couche cœur (core), qui relie à grande vitesse les blocs de distribution, les serveurs et la sortie vers l’extérieur.
BLe rôle de chaque couche
| Couche | Rôle | Ce qu’on y configure |
|---|---|---|
| Accès | connecter les appareils (commutateurs de 8 à 48 ports, bornes Wi-Fi) | VLAN de chaque port, alimentation des bornes et des téléphones, sécurité des ports (B3SISR-01) |
| Distribution | regrouper l’accès, relier les réseaux (commutateurs de niveau 3 ou pare-feu) | routage entre VLAN, filtrage, liens redondants vers le cœur |
| Cœur | transporter vite et sans interruption (liens doublés à 10 Gbit/s et plus) | le minimum : vitesse et redondance, pas de filtrage complexe |
CLe cœur replié pour un site moyen
Trois couches ne se justifient que sur un campus de plusieurs bâtiments. Sur un site d’un seul bâtiment, on fusionne distribution et cœur : c’est le cœur replié (collapsed core). La documentation de conception de Cisco le recommande pour les petits sites, après avoir vérifié la croissance attendue.
Exemples :
- Vellacor, à Niort (un plateau de bureaux) : des commutateurs administrables empilés forment un cœur replié ; une grappe de deux pare-feu OPNsense relie les VLAN à Internet et à la DMZ.
- Un site de Kervanet comme Royan : le
pare-feu du site joue le rôle de la distribution (il
porte les passerelles
.1et route entre les VLAN) ; un commutateur d’accès suffit. - TRA : même principe que Royan, mais le bâtiment s’étend sur trois niveaux ; il faudra plusieurs commutateurs d’accès, reliés en étoile à un commutateur central placé dans la baie.
On choisit le nombre de couches selon la taille et la croissance prévue : une seule couche d’accès derrière un pare-feu pour un petit site, un cœur replié pour un bâtiment, trois couches pour un campus. Ce qui ne change jamais : chaque équipement a un rôle, et les liaisons suivent la hiérarchie.
DTopologies et points uniques de défaillance
La topologie est la forme du réseau : en local, l’étoile et l’étoile étendue (commutateurs d’accès reliés à un commutateur central) ; le maillage se réserve au cœur et aux liaisons entre sites.
Une étoile a une faiblesse : son centre. Si le commutateur central tombe, toute l’étoile tombe. On appelle point unique de défaillance (SPOF, single point of failure) tout élément dont la panne arrête le service faute de remplaçant.
Repérer les points uniques de défaillance
- Trace le chemin d’un flux important (réceptionniste → logiciel hôtelier sur Internet).
- Pour chaque élément du chemin (câble, commutateur, pare-feu, lien opérateur, alimentation), demande-toi : « S’il tombe, le flux passe-t-il ailleurs ? »
- Si la réponse est non, c’est un point unique de défaillance.
- Pour chacun, choisis : le doubler (lien de secours, deuxième pare-feu), le protéger (onduleur), ou accepter le risque avec un mode dégradé et un délai de remplacement.
- Écris la décision dans le dossier : un risque accepté doit l’être par écrit.
| Élément | Décision du dossier |
|---|---|
| Lien fibre | doublé par un lien 4G/5G de secours (partie 6) |
| Coupure de courant | onduleur dans la baie pour le pare-feu, le commutateur central et le routeur 4G/5G |
| Pare-feu | accepté : un seul pare-feu, matériel de remplacement en stock chez Vellacor, mode dégradé papier de la réception (B1-05) |
| Commutateur central | accepté : modèle identique en stock ; un commutateur d’étage peut le remplacer en dépannage |
Les techniques qui suppriment ces points uniques (agrégation de liens, protocole d’arbre couvrant, redondance de passerelle, grappe de pare-feu) sont traitées en SISR-02 et en SISR-07.
ELa surréservation des liens montants
Un commutateur d’accès de 48 ports à 1 Gbit/s relié au cœur par deux liens à 10 Gbit/s ne pourrait pas écouler 48 Gbit/s d’un coup : le rapport entre la capacité des ports d’accès et celle des liens montants s’appelle la surréservation (oversubscription). On l’accepte parce que tous les appareils ne transmettent jamais au maximum en même temps.
Exemples : 48 ports à 1 Gbit/s et 2 liens montants à 10 Gbit/s donnent 48 ÷ 20 = 2,4 : 1 ; 24 ports à 1 Gbit/s et 2 liens à 1 Gbit/s donnent 12 : 1, acceptable pour de la bureautique, mais un goulot d’étranglement pour des bornes Wi-Fi chargées. Plus on monte vers le cœur, plus la surréservation doit être faible.
3. Segmenter le réseau
Mettre les postes de la réception, les téléphones et les smartphones des clients dans un même réseau serait simple, mais dangereux. Segmenter, c’est découper le réseau en zones qui ont chacune leurs règles. Ici, on décide quels segments créer ; leur réalisation par VLAN est l’objet de SISR-02.
APourquoi découper le réseau
Segment et domaine de diffusion
Un segment est une partie du réseau qui regroupe des appareils ayant le même niveau de confiance et le même usage, et qui forme un réseau IP distinct. Chaque segment est un domaine de diffusion : une trame de diffusion émise dans un segment ne sort pas de ce segment. Pour passer d’un segment à l’autre, il faut traverser un routeur ou un pare-feu, qui applique des règles.
La segmentation sert la sécurité (un appareil infecté sur le Wi-Fi des clients n’atteint pas la réception), la performance (moins de trafic de diffusion), la qualité de service (la voix isolée se priorise facilement, SISR-07), l’exploitation (une règle par segment) et la conformité (séparation des clients démontrable).
BChoisir les segments
Pour définir les segments d’un site :
- Liste les catégories d’appareils et d’utilisateurs : postes du personnel, serveurs, imprimantes, téléphones, invités ou clients, équipements à administrer, services exposés à Internet.
- Pour chaque catégorie, note son niveau de confiance (personnel identifié, invité anonyme, équipement critique) et son besoin particulier (priorité de la voix, isolement, accès depuis Internet).
- Regroupe dans un même segment ce qui a le même niveau de confiance et les mêmes règles.
- Sépare ce qui doit être isolé : invités, administration, services exposés (DMZ, B1-02).
- Vérifie que chaque segment justifie une politique différente : sinon, fusionne.
| VLAN | Segment | Pourquoi un segment à part |
|---|---|---|
| 10 | gestion et réception | personnel identifié par l’annuaire, accès aux applications de Kervanet |
| 20 | serveurs locaux et imprimantes | équipements à adresse fixe, joints par les postes sur des ports précis (impression IPP sur 631/TCP) |
| 30 | Wi-Fi des clients | appareils inconnus : accès à Internet seul, portail captif |
| 40 | téléphonie IP | flux de voix à prioriser, téléphones gérés par le serveur du siège |
| 99 | administration | interfaces de gestion des commutateurs, bornes et pare-feu, réservées aux administrateurs de Vellacor |
Créer un segment par service ou par étage (« VLAN comptabilité », « VLAN 2e étage ») multiplie les règles sans gain de sécurité si ces segments ont les mêmes droits. Un nouveau segment se justifie par une politique différente, pas par un organigramme.
CLa matrice des flux
Une fois les segments choisis, on écrit qui a le droit de parler à qui : c’est la matrice des flux. Elle sera traduite en règles de filtrage sur le pare-feu (SISR-03, puis B3SISR-02).
La matrice des flux est un tableau qui croise des sources et des destinations (segments, serveurs, Internet) et indique, pour chaque couple, si le flux est autorisé, avec quels protocoles et ports, et pourquoi. Tout ce qui n’y figure pas est interdit.
| Source | Destination | Autorisé | Protocoles | Justification |
|---|---|---|---|---|
| VLAN 10 de TRA | imprimantes du VLAN 20 de TRA | oui | IPP, 631/TCP | impression de la liste des arrivées |
| VLAN 10 de TRA | DNS du siège (10.41.20.11 et .12) | oui | DNS, 53 | résolution des noms de l’annuaire |
| VLAN 10 de TRA | serveurs du siège (10.41.20.0/24) par le VPN | oui | ports des applications | annuaire, fichiers, KerMaint |
| VLAN 10 de TRA | Internet | oui | HTTP et HTTPS | logiciel hôtelier en ligne, messagerie |
| VLAN 30 de TRA | Internet | oui | HTTP, HTTPS, DNS du pare-feu | Wi-Fi des clients |
| VLAN 30 de TRA | tous les réseaux internes | non | — | isolement des clients |
| VLAN 99 de Vellacor (10.20.99.0/24) | VLAN 99 de TRA | oui | SSH, HTTPS, SNMP | administration et supervision |
| VLAN 10 de TRA | VLAN 99 de TRA | non | — | l’administration n’est pas accessible aux utilisateurs |
4. Construire le plan d’adressage
Le plan d’adressage est la colonne vertébrale du réseau : il est presque impossible à changer une fois des centaines d’appareils configurés. B1-02 t’a appris à calculer un réseau ; ici, tu apprends à construire et à faire évoluer un plan entier.
ALes règles d’un bon plan
Le plan d’adressage attribue à chaque segment un réseau IP (adresse et préfixe), fixe dans chaque réseau les zones d’adresses (passerelle, adresses fixes, plage du DHCP) et attribue les adresses fixes des équipements. Il est unique pour toute l’organisation et tenu à jour.
Un bon plan d’adressage est :
- privé en interne (plages de la RFC 1918 : 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) ;
- sans chevauchement, y compris avec les réseaux auxquels on se relie par VPN (prestataire, partenaires) ;
- hiérarchique : tous les réseaux d’un site tiennent dans un bloc unique, ce qui permet de les résumer (voir « Résumer les routes ») ;
- lisible : une règle permet de retrouver le réseau d’un segment sans document ;
- dimensionné avec une marge pour la croissance ;
- documenté et vérifié à chaque modification.
Le réseau 192.168.1.0/24 des boxes grand public est le
plus mauvais choix pour une entreprise : c’est celui du domicile de
chaque salarié en télétravail, et un VPN entre deux réseaux identiques
ne sait plus où envoyer les paquets. Les grandes plages de 10.0.0.0/8
laissent de la place pour un plan hiérarchique.
BUn plan structuré par site
Kervanet a choisi un plan structuré : chaque site reçoit un bloc 10.(40+n).0.0/16, et chaque VLAN un réseau /24 dont le troisième octet reprend le numéro du VLAN. Cela gaspille des adresses, mais 10.0.0.0/8 est immense et la règle se retient de tête.
Dans chaque /24, des zones fixes :
| Adresses | Usage | Exemple |
|---|---|---|
.1 |
passerelle, portée par le pare-feu du site | 10.48.10.1 |
.2 à .19 |
équipements réseau (VLAN 99) | commutateurs de TRA : 10.48.99.2 à .5 |
.20 à .49 |
adresses fixes : imprimantes du VLAN 20, bornes Wi-Fi du VLAN 99 à
partir de .31 |
imprimante 10.48.20.21 |
.50 à .200 |
plage du DHCP (151 adresses) | postes et téléphones |
.201 à .254 |
réserve | — |
Le plan IPv4 de TRA
Données : site n = 8 ; règle 10.(40+n).VLAN.0/24 ;
passerelle .1.
Calcul : 40 + 8 = 48.
| VLAN | Réseau | Masque | Passerelle | Diffusion | Hôtes |
|---|---|---|---|---|---|
| 10 | 10.48.10.0/24 | 255.255.255.0 | 10.48.10.1 | 10.48.10.255 | 254 |
| 20 | 10.48.20.0/24 | 255.255.255.0 | 10.48.20.1 | 10.48.20.255 | 254 |
| 30 | 10.48.30.0/24 | 255.255.255.0 | 10.48.30.1 | 10.48.30.255 | 254 |
| 40 | 10.48.40.0/24 | 255.255.255.0 | 10.48.40.1 | 10.48.40.255 | 254 |
| 99 | 10.48.99.0/24 | 255.255.255.0 | 10.48.99.1 | 10.48.99.255 | 254 |
Vérification : aucun de ces cinq réseaux ne chevauche les 42 réseaux déjà utilisés (35 réseaux des sept sites, 6 VLAN de Vellacor et sa DMZ 172.20.0.0/24). Adresse publique de la fibre de TRA : 203.0.113.48, selon la règle 203.0.113.(40+n).
Interprétation : la règle du plan suffit à adresser le site ; le travail de conception porte sur les zones et les exceptions (Wi-Fi des clients, partie 5).
CRésumer les routes
Le siège et Vellacor n’ont pas besoin de connaître un par un les 40 réseaux des huit sites : « tout ce qui commence par 10.48 part vers TRA » suffit.
Résumé de routes
Un résumé de routes (ou agrégation) est un préfixe unique qui couvre plusieurs réseaux contigus : 10.48.0.0/16 résume les cinq /24 de TRA. Il réduit la taille des tables de routage et le nombre de réseaux à déclarer dans un VPN. Il n’est exact que si tous les réseaux qu’il couvre appartiennent bien à la même destination.
C’est en préparant l’étude d’impact que Lucas a ouvert la configuration du tunnel VPN entre le siège de Kervanet et Vellacor. Côté Kervanet, ce tunnel déclare un seul réseau : 10.40.0.0/13. Le TRA y entre-t-il ?
Le résumé 10.40.0.0/13 couvre-t-il TRA ?
Données : sites 1 à 7 → 10.41.0.0/16 à 10.47.0.0/16 ; TRA → 10.48.0.0/16 ; résumé déclaré : 10.40.0.0/13.
Calcul : un /13 laisse libres 16 − 13 = 3 bits du deuxième octet, soit 23 = 8 blocs /16 : de 10.40.0.0 à 10.47.255.255. En binaire, 40 = 0010 1000, 47 = 0010 1111, mais 48 = 0011 0000 : les cinq premiers bits de 48 (00110) ne sont pas ceux de 40 (00101).
Résultat : les sites 1 à 7 sont couverts ; TRA (10.48) ne l’est pas. Sans modification, Vellacor ne pourrait ni administrer ni superviser le nouveau site.
Interprétation : deux corrections sont possibles. Ajouter 10.48.0.0/16 au tunnel (changement minimal) ; ou remplacer le résumé par le plus petit préfixe qui couvre 10.41 à 10.48. Les bits communs à 41 (0010 1001) et à 48 (0011 0000) sont les trois premiers (001) : le résumé est 10.32.0.0/11 (8 + 3 = 11 bits), qui va de 10.32.0.0 à 10.63.255.255 et couvre les sites n = 1 à 23. Julien retient l’ajout de 10.48.0.0/16, sans risque pour les sept sites en service, et fait noter dans le plan que le bloc 10.32.0.0/11 est réservé à Kervanet.
Trouver le résumé d'un ensemble de réseaux
- Écris en binaire l’octet qui varie (ici le deuxième) pour le plus petit et le plus grand réseau.
- Compte les bits identiques en partant de la gauche.
- Préfixe du résumé = bits des octets fixes + bits identiques (8 + 3 = 11).
- Adresse du résumé = bits identiques suivis de zéros (0010 0000 = 32 → 10.32.0.0).
- Vérifie que le résumé ne couvre aucun réseau appartenant à une autre destination (ici, Vellacor en 10.20 et sa DMZ en 172.20 restent en dehors).
DDécouper à la juste taille
Un /24 par segment convient quand l’espace d’adresses est abondant. Quand il est compté (un bloc imposé, des adresses publiques), on donne à chaque segment un réseau à sa taille : c’est le découpage à longueur de masque variable.
Masque de longueur variable (VLSM)
Le VLSM (variable length subnet mask) consiste à découper un bloc d’adresses en sous-réseaux de tailles différentes, chacun dimensionné selon son besoin. Un réseau de préfixe /p contient 2(32 − p) − 2 adresses d’hôtes utilisables.
Découper un bloc en VLSM
- Liste les segments et leur nombre d’hôtes, en comptant la passerelle et les équipements réseau.
- Ajoute une marge de croissance (Vellacor applique 20 %) et arrondis à l’entier supérieur.
- Pour chaque segment, cherche le plus petit préfixe dont le nombre d’hôtes couvre ce besoin.
- Classe les segments du plus grand au plus petit.
- Attribue les réseaux dans cet ordre, chacun commençant juste après le précédent : chaque réseau tombe ainsi sur une adresse multiple de sa taille.
- Note les adresses restantes sous forme de réseaux libres, pour la croissance.
Le réseau de l'Atelier Marsault en VLSM
Données (exemple) : Vellacor réorganise le réseau de l’Atelier Marsault, menuiserie de 18 salariés à Parthenay, dans le bloc 10.60.18.0/24. Besoins : postes et portables 45 ; Wi-Fi des invités 25 ; serveurs et impression 12 ; machines de l’atelier 10 ; administration des équipements 6. Marge : 20 %.
Calcul :
| Segment | Besoin | Avec marge | Préfixe (hôtes) | Réseau | Passerelle | Diffusion |
|---|---|---|---|---|---|---|
| Postes et portables | 45 | 54 | /26 (62) | 10.60.18.0/26 | 10.60.18.1 | 10.60.18.63 |
| Wi-Fi des invités | 25 | 30 | /27 (30) | 10.60.18.64/27 | 10.60.18.65 | 10.60.18.95 |
| Serveurs et impression | 12 | 15 | /27 (30) | 10.60.18.96/27 | 10.60.18.97 | 10.60.18.127 |
| Machines de l’atelier | 10 | 12 | /28 (14) | 10.60.18.128/28 | 10.60.18.129 | 10.60.18.143 |
| Administration | 6 | 8 | /28 (14) | 10.60.18.144/28 | 10.60.18.145 | 10.60.18.159 |
Résultat : 160 adresses attribuées ; restent 96 adresses, soit les réseaux libres 10.60.18.160/27 et 10.60.18.192/26.
Interprétation : sans marge, l’administration aurait reçu un /29 de 6 hôtes, plein dès le premier jour. Le /28 laisse de la place pour un commutateur ou une borne de plus.
Si l’on attribue les réseaux du plus petit au plus grand, le /26 ne peut pas commencer n’importe où : il doit débuter sur un multiple de 64. Après deux /28 et deux /27 (96 adresses), il faut sauter à 10.60.18.128 et 32 adresses restent inutilisables entre les deux. Commencer par le plus grand évite ces trous.
EIntroduire IPv6 dans le plan
B1-02 t’a montré l’écriture et les types d’adresses IPv6, et le plan de Vellacor en double pile. Concevoir un plan IPv6 obéit à des règles différentes de celles d’IPv4 : on ne compte plus les adresses, on organise des préfixes.
- Un réseau local IPv6 est toujours un /64 : c’est la condition de l’autoconfiguration sans état (SLAAC). Pas de VLSM à l’intérieur d’un réseau local.
- L’organisation reçoit un préfixe plus court (souvent un /48) qu’elle découpe : un /56 par site donne 28 = 256 réseaux /64 par site, un /48 contient 256 /56.
- On découpe de préférence sur des frontières de chiffre hexadécimal (4 bits), pour que le plan se lise directement dans l’adresse.
- Plus de translation d’adresses : toutes les adresses globales sont routables. Le filtrage du pare-feu devient la seule protection (B3SISR-02).
L’IETF (RFC 6177, BCP 157, 2011) ne fixe pas de taille unique : un site doit recevoir plusieurs /64, le /56 étant cité en exemple. Kervanet n’utilise pas encore IPv6 en interne ; Lucas prépare une proposition de plan, sur le modèle de Vellacor.
La proposition de plan IPv6 de Kervanet
Données : préfixe de Kervanet 2001:db8:4b40::/48 (plage de documentation ; distinct de celui de Vellacor, 2001:db8:4a20::/48) ; site n → 2001:db8:4b40:n00::/56 ; VLAN v → 2001:db8:4b40:n‹v›::/64, le quatrième groupe s’écrivant avec le numéro du site suivi du numéro du VLAN sur deux chiffres.
Calcul pour TRA (n = 8) : site 2001:db8:4b40:800::/56, qui va de 2001:db8:4b40:800:: à 2001:db8:4b40:8ff:ffff:ffff:ffff:ffff.
| VLAN | Préfixe IPv6 | Passerelle |
|---|---|---|
| 10 | 2001:db8:4b40:810::/64 | 2001:db8:4b40:810::1 |
| 20 | 2001:db8:4b40:820::/64 | 2001:db8:4b40:820::1 |
| 30 | 2001:db8:4b40:830::/64 | 2001:db8:4b40:830::1 |
| 40 | 2001:db8:4b40:840::/64 | 2001:db8:4b40:840::1 |
| 99 | 2001:db8:4b40:899::/64 | 2001:db8:4b40:899::1 |
Interprétation : « 810 » se lit « site 8, VLAN 10 », comme « 10.48.10.0 » en IPv4. C’est une convention de lecture : 810 est un nombre hexadécimal (2 064 en décimal), et 899 reste bien dans le /56 du site, qui s’arrête à 8ff.
FLe plan de nommage
Une adresse se change, un nom reste. Le plan de nommage donne à chaque équipement un nom qui dit où il est et ce qu’il est.
Un bon nom est unique, stable (pas de nom de personne, qui change de poste), lisible (site, type, numéro) et compatible avec les systèmes : lettres, chiffres et tirets seulement, sans accent, espace ni tiret bas, et 15 caractères au plus pour un ordinateur Windows (limite du nom NetBIOS, documentation Microsoft).
Kervanet applique la convention de B1-03 :
KV-<site>-<type><nn>. Pour TRA, Lucas a
besoin d’un type que la convention ne prévoyait pas, le routeur 4G/5G de
secours : il propose RT, validé par Julien et ajouté à la
liste des types.
| Nom | Équipement | Emplacement | Adresse |
|---|---|---|---|
KV-TRA-FW01 |
pare-feu OPNsense | baie, rez-de-chaussée | .1 de chaque VLAN ; 203.0.113.48 sur la fibre |
KV-TRA-RT01 |
routeur 4G/5G de secours | baie | lien vers le pare-feu |
KV-TRA-SW01 à SW04 |
commutateurs : baie, bureaux, 1er étage, 2e étage | baie et étages | 10.48.99.2 à 10.48.99.5 |
KV-TRA-AP01 à AP08 |
bornes Wi-Fi : accueil, bureaux, trois par étage | plafonds | 10.48.99.31 à 10.48.99.38 |
KV-TRA-IMP01 |
imprimante multifonction (en location) | bureaux | 10.48.20.21 |
KV-TRA-REC01, REC02 |
postes de réception | accueil | DHCP du VLAN 10 |
KV-TRA-ADM01 à ADM03 |
postes administratifs | bureaux | DHCP du VLAN 10 |
5. Dimensionner le réseau
Dimensionner, c’est passer des besoins aux quantités : combien de ports, combien de watts, combien de mégabits par seconde, combien de bornes. Un réseau sous-dimensionné sature dès la première saison ; un réseau surdimensionné coûte cher pour rien.
ACompter les ports
Dimensionner les commutateurs d'accès
- Fais l’inventaire des appareils filaires par zone : postes, téléphones, bornes, imprimantes, caméras, liaisons vers les autres commutateurs et le pare-feu.
- Note ceux qui ont besoin d’être alimentés par le câble.
- Tiens compte des raccourcis possibles : un téléphone IP possède souvent un second port pour le poste, ce qui fait un seul port pour les deux.
- Ajoute une marge (Vellacor vise 20 % de ports libres à la mise en service).
- Arrondis à une taille du commerce (8, 16, 24 ou 48 ports) et vérifie les distances : un câble cuivre ne dépasse pas 100 m entre le commutateur et l’appareil, cordons compris.
La limite de 100 m explique l’architecture de TRA : depuis la baie du rez-de-chaussée, les plafonds du 2e étage seraient trop loin pour certains câbles. Un commutateur par étage, relié à la baie, rapproche l’accès des bornes.
Les ports des commutateurs de TRA
Données : 4 commutateurs de 8 ports (budget B1-10) ; postes branchés derrière leur téléphone IP.
| Commutateur | Ports utilisés | Libres | Occupation |
|---|---|---|---|
| SW01 baie : pare-feu, SW02, SW03, SW04, 2 postes de réception, borne AP01 | 7 | 1 | 87,5 % |
| SW02 bureaux : lien vers SW01, 3 postes administratifs, imprimante, borne AP02 | 6 | 2 | 75 % |
| SW03 1er étage : lien vers SW01, bornes AP03 à AP05 | 4 | 4 | 50 % |
| SW04 2e étage : lien vers SW01, bornes AP06 à AP08 | 4 | 4 | 50 % |
Résultat : 21 ports utilisés sur 32, 11 libres. SW01 n’a qu’un port libre (12,5 %), sous l’objectif de 20 %.
Interprétation : l’écart est signalé et accepté par Julien : les ajouts iront sur SW02 à SW04, et SW01 serait remplacé par un 16 ports si la baie devait accueillir un appareil de plus. Un écart vu, justifié et écrit n’est pas une faute.
BLe budget d’alimentation par le câble
Alimentation par le câble Ethernet (PoE)
Le PoE (Power over Ethernet) transporte l’électricité dans le câble réseau. Le commutateur est la source (PSE, power sourcing equipment), l’appareil alimenté est le récepteur (PD, powered device). Chaque commutateur a un budget PoE total, en watts, qu’il répartit entre ses ports.
| Type | Norme | Puissance max. fournie par port | Puissance max. disponible pour l’appareil | Paires utilisées |
|---|---|---|---|---|
| 1 | 802.3af | 15,4 W | 13 W | 2 |
| 2 | 802.3at (« PoE+ ») | 30 W | 25,5 W | 2 |
| 3 | 802.3bt | 60 W | 51 W | 2 ou 4 |
| 4 | 802.3bt | 90 W | 71,3 W | 4 |
L’écart entre les deux colonnes est perdu dans le câble. On dimensionne côté commutateur, au pire cas : la puissance réservée selon la classe annoncée par l’appareil.
Le budget PoE de TRA
Données (hypothèses du dossier) : budget PoE de chaque commutateur 120 W ; borne Wi-Fi annoncée en classe PoE+ → 30 W réservés ; téléphone IP en classe 2 → 7 W réservés.
Calcul : SW01 = 2 × 7 + 30 = 44 W (36,7 %) ; SW02 = 3 × 7 + 30 = 51 W (42,5 %) ; SW03 = SW04 = 3 × 30 = 90 W (75 %).
Interprétation : tout passe. Une quatrième borne au 2e étage porterait SW04 à 4 × 30 = 120 W, soit 100 % du budget. Sa consommation réelle (environ 15 W selon la fiche) laisse de la marge seulement si le commutateur alloue selon la consommation mesurée : réglage à vérifier.
« 8 ports PoE » ne veut pas dire « 8 appareils PoE à pleine puissance ». Un commutateur de 8 ports PoE+ avec un budget de 120 W ne peut alimenter que 4 appareils réclamant 30 W chacun. Lis toujours le budget total dans la fiche technique.
CEstimer les débits
Pour chaque usage (Wi-Fi des clients, postes, téléphonie, sauvegardes), on calcule utilisateurs × débit unitaire × taux de simultanéité au moment le plus chargé, on additionne, on ajoute une marge (30 % chez Vellacor), puis on compare au débit utile des offres, dans les deux sens. On estime aussi le débit du mode dégradé, celui qui doit passer sur le lien de secours.
Le débit nécessaire à TRA
Données (hypothèses du dossier) : 36 logements, la moitié actifs en même temps le soir, 8 Mbit/s par logement actif (vidéo en haute définition) ; 5 postes à 2 Mbit/s ; 5 téléphones, environ 0,1 Mbit/s par communication (la voix non compressée G.711 occupe 87,2 kbit/s par sens, en-têtes compris).
Calcul : Wi-Fi 36 × 0,5 × 8 = 144 Mbit/s ; postes 5 × 2 = 10 Mbit/s ; téléphonie 5 × 0,1 = 0,5 Mbit/s ; total 154,5 Mbit/s ; avec 30 % de marge : 154,5 × 1,3 ≈ 201 Mbit/s.
Interprétation : il faut un accès d’au moins 200 Mbit/s utiles. Sur le lien 4G/5G de secours, on ne garde que l’essentiel : postes et téléphonie (10,5 Mbit/s) et un Wi-Fi des clients bridé à 20 Mbit/s, soit environ 30,5 Mbit/s. La limitation se règle sur le pare-feu (SISR-07).
DDimensionner le Wi-Fi
Le Wi-Fi se conçoit selon la couverture (le signal arrive-t-il partout ?) et la capacité (la borne sert-elle tous les appareils ?). Dans un hôtel, c’est presque toujours la capacité qui fixe le nombre de bornes.
| Nom commercial | Norme IEEE | Bandes de fréquences |
|---|---|---|
| Wi-Fi 4 | 802.11n | 2,4 et 5 GHz |
| Wi-Fi 5 | 802.11ac | 5 GHz |
| Wi-Fi 6 | 802.11ax | 2,4 et 5 GHz |
| Wi-Fi 6E | 802.11ax | 6 GHz en plus |
| Wi-Fi 7 | 802.11be | 2,4, 5 et, en option, 6 GHz |
La bande de 2,4 GHz porte loin mais est étroite : en canaux de 20 MHz, seuls trois canaux ne se recouvrent pas (1, 6 et 11), que les bornes voisines alternent. La bande de 5 GHz offre plus de canaux et de débit, avec moins de portée. En France, la partie basse de la bande des 6 GHz (5 945 à 6 425 MHz) est ouverte au Wi-Fi depuis décembre 2021 (décision de l’Arcep n° 2021-2184) : elle est réservée aux appareils récents, compatibles Wi-Fi 6E ou 7.
Dimensionner le Wi-Fi d'un hôtel
- Compte les appareils au pic : logements × occupants × appareils par occupant.
- Fixe une règle de capacité : Vellacor retient au plus 6 logements et environ 30 appareils actifs par borne.
- Place les bornes dans les couloirs ou les logements selon le plan, en alternant les canaux.
- Vérifie la couverture par un relevé radio (mesure du signal) avant la pose définitive, puis à la recette.
- Vérifie le plan d’adressage : la plage du DHCP doit couvrir tous les appareils du pic.
- Limite le nombre de réseaux Wi-Fi (SSID) par borne : chaque SSID diffuse ses propres annonces, qui consomment du temps d’antenne.
Le Wi-Fi des clients de TRA
Données (hypothèses du dossier) : 36 logements, 3
personnes par logement en moyenne en été, 1,5 appareil Wi-Fi par
personne ; 6 bornes dans les étages ; plage du DHCP du standard :
.50 à .200.
Calcul : appareils au pic = 36 × 3 × 1,5 = 162 ; par borne d’étage : 162 ÷ 6 = 27 ; logements par borne : 36 ÷ 6 = 6. Plage standard : 200 − 50 + 1 = 151 adresses, soit 11 de moins que le pic.
Décision : le VLAN 30 de TRA reçoit une plage DHCP
élargie de .20 à .250 (231
adresses, occupation au pic : 162 ÷ 231 ≈ 70,1 %) et un
bail court, mesure que B1-02 recommandait déjà pour le Wi-Fi des clients
de Port-Neuf. Le réseau reste un /24, conforme au plan ; l’exception est
écrite dans le tableau d’adressage du site.
6. Relier les sites
Un site de Kervanet ne vit pas seul : ses postes utilisent l’annuaire et les fichiers du siège, et Vellacor l’administre depuis Niort. Il faut choisir les liens qui le raccordent et la façon de faire circuler en sécurité les flux internes à travers Internet.
ALes liens des opérateurs
Le lien d’accès est souvent l’élément le plus fragile d’un site distant (coupure de Royan par des travaux de voirie, B1-06). Les offres de fibre se distinguent surtout par leurs garanties.
GTI et GTR
- La garantie de temps d’intervention (GTI) engage l’opérateur à commencer à traiter la panne dans un délai donné.
- La garantie de temps de rétablissement (GTR) l’engage à rétablir le service dans un délai donné (par exemple 4 heures). Seule la GTR protège vraiment le client ; elle se paie par un abonnement plus élevé.
| Offre | Infrastructure | Débit | Garantie de rétablissement | Usage typique |
|---|---|---|---|---|
| FTTH grand public ou « pro » | fibre partagée avec les particuliers | élevé, généralement non garanti | en option, souvent de 8 h à un jour ouvré | petits sites, avec un lien de secours |
| FTTE (fibre entreprise) | fibre partagée jusqu’au point de mutualisation, dédiée ensuite | garanti, généralement symétrique | 4 h | sites qui ne supportent pas de longue coupure |
| FTTO (fibre optique dédiée) | boucle locale dédiée, indépendante | garanti et symétrique, jusqu’à 10 Gbit/s | contractuelle | siège, centre de données |
À ces offres s’ajoutent les liens radio : un routeur 4G/5G fait un excellent lien de secours, à condition que la couverture mobile soit bonne dans le local technique. Pour qu’un secours serve vraiment, il ne doit pas tomber en même temps que le lien principal : on vise la diversité (autre technologie, autre opérateur, autre chemin physique).
BLe VPN entre les sites
Les réseaux internes de Kervanet sont privés : on ne peut pas les faire circuler tels quels sur Internet. Chaque pare-feu de site monte un tunnel VPN IPsec vers le pare-feu du siège (B1-02), en IKEv2, avec une clé prépartagée propre à chaque site (B3-06).
VPN de site à site
Un VPN de site à site relie deux réseaux privés à travers Internet par un tunnel chiffré monté entre deux équipements (pare-feu ou routeurs). Chaque extrémité déclare les réseaux locaux et les réseaux distants autorisés dans le tunnel : un paquet dont la source ou la destination n’y figure pas n’y entre pas.
Deux organisations des tunnels sont possibles :
- en étoile (hub and spoke) : un tunnel par site vers le siège, soit n − 1 = 7 tunnels pour 8 sites ;
- en maillage complet : un tunnel par paire de sites, soit n × (n − 1) ÷ 2 = 28 tunnels à configurer et superviser.
Kervanet a choisi l’étoile, car presque tous les flux vont vers le siège ou vers Internet ; Vellacor rejoint les sites par son propre tunnel vers le siège.
Autres solutions : le VPN d’opérateur (réseau privé garanti par l’opérateur, par exemple en MPLS) et le SD-WAN (un contrôleur répartit les flux sur plusieurs liens selon leur qualité), plus chers ou plus complexes. Routage entre sites : SISR-03 ; sécurité des VPN : B3SISR-02.
| Extrémité | Réseaux locaux | Réseaux distants |
|---|---|---|
| Pare-feu de TRA | 10.48.0.0/16 | 10.41.0.0/16 (siège) et 10.20.99.0/24 (administration de Vellacor, à travers le siège) |
| Pare-feu du siège | 10.41.0.0/16 et 10.20.99.0/24 | 10.48.0.0/16 |
Le tunnel déclare le bloc entier du site ; c’est le filtrage du pare-feu qui interdit au VLAN 30 des clients d’y entrer (matrice des flux de la partie 3).
CFiabiliser l’accès d’un site
Le contrat mesure la disponibilité du VPN de chaque site, même en cas de coupure de l’opérateur (CEJMA-04). Avec les calculs en série et en parallèle de B1-05, Lucas vérifie si TRA tiendrait 99,5 % sans secours.
La disponibilité de l'accès de TRA
Données (hypothèses de B1-05) : fibre d’un site 99,5 % ; 4G/5G de secours 98 % ; pare-feu 99,9 %. Mois de 30 jours = 43 200 min ; engagement 99,5 %, soit 216 min d’arrêt au plus.
Calcul : sans secours, fibre et pare-feu en série : 0,995 × 0,999 = 99,401 %, soit environ 259 min d’arrêt par mois. Avec secours, fibre et 4G/5G en parallèle : 1 − (0,005 × 0,02) = 99,990 % ; puis en série avec le pare-feu : 0,9999 × 0,999 = 99,890 %, soit environ 47,5 min par mois.
Interprétation : sans secours, TRA ne tiendrait pas en moyenne l’engagement ; avec le 4G/5G et une bascule automatique (SISR-07), si. Le pare-feu unique devient le maillon faible.
7. Choisir et chiffrer les solutions
Plusieurs solutions répondent presque toujours au même besoin. Le technicien ne choisit pas au goût : il rédige des spécifications neutres, compare le coût complet de chaque solution sur sa durée de vie, puis présente une recommandation argumentée au client, qui décide.
ARédiger les spécifications techniques
Une bonne spécification décrit ce que doit faire l’équipement, pas quel produit acheter : elle permet de comparer plusieurs fournisseurs et d’accepter ou refuser un matériel livré.
| Équipement | Exigences |
|---|---|
| Pare-feu | compatible avec la supervision et la sauvegarde de configuration de Vellacor (OPNsense) ; au moins 4 ports à 1 Gbit/s (fibre, secours, réseau local, réserve) ; VPN IPsec IKEv2 ; débit chiffré d’au moins 300 Mbit/s ; bascule automatique entre deux accès |
| Commutateurs | administrables (ligne de commande, SSH, SNMP v3) ; 8 ports à 1 Gbit/s ; VLAN 802.1Q ; PoE+ 802.3at avec un budget d’au moins 120 W ; garantie d’au moins 5 ans |
| Bornes Wi-Fi | Wi-Fi 6 (802.11ax) bi-bande au moins ; alimentation 802.3at ; plusieurs SSID associés à des VLAN ; gérées par l’outil centralisé existant |
| Accès Internet | débit utile d’au moins 200 Mbit/s ; adresse IPv4 fixe ; lien de secours 4G/5G d’au moins 30 Mbit/s |
Une spécification qui recopie la fiche d’un produit (« modèle X ou équivalent ») oriente le choix et empêche toute comparaison honnête : écris le besoin, avec des valeurs minimales chiffrées.
BLe coût de possession
Le prix d’achat n’est qu’une partie du coût : licences annuelles, heures d’administration, coupures non garanties ne figurent pas sur le devis.
Coût de possession (TCO)
Le coût de possession (TCO, total cost of ownership) est le coût complet d’une solution sur sa durée d’utilisation : acquisition, mise en œuvre, exploitation et fin de vie. Il permet de comparer des solutions dont les coûts ne tombent pas au même moment.
| Composante | Contenu | Exemples pour TRA |
|---|---|---|
| Acquisition | matériel, licences perpétuelles, câblage | pare-feu, commutateurs, bornes, onduleur, baie ; câblage du bâtiment |
| Mise en œuvre | étude, installation, configuration, recette, formation, frais de mise en service | journées de Vellacor (B1-10), mise en service de la fibre |
| Exploitation | abonnements, licences annuelles, maintenance, support, supervision, énergie, administration | abonnement fibre et 4G/5G, part du forfait de Vellacor, électricité |
| Pertes et risques | coût des arrêts prévisibles | heures de coupure du site non couvertes par le secours |
| Fin de vie | désinstallation, effacement des données, recyclage, remplacement | reprise des équipements usagés, effacement des configurations |
On compare toujours les solutions sur la même durée (Vellacor retient 4 ans, la durée d’amortissement du matériel chez Kervanet) et avec les mêmes composantes.
CComparer les solutions
Pour l’accès Internet de TRA, Lucas compare deux offres, chacune complétée par le même lien de secours 4G/5G.
Deux accès Internet pour TRA sur 4 ans
Données (prix fictifs du dossier, à remplacer par les devis des opérateurs) :
- solution A, FTTH pro à 1 Gbit/s non garanti, sans GTR : mise en service 150 € HT, abonnement 60 € HT par mois ;
- solution B, FTTE à 300 Mbit/s garantis et symétriques, GTR 4 h : mise en service 900 € HT, abonnement 250 € HT par mois ;
- secours 4G/5G identique pour les deux (B1-05) : routeur 290 € HT, abonnement 35 € HT par mois. Comme la fibre, il est hors du budget du projet de B1-10 : Kervanet commande ses accès, routeur compris, sur son budget d’exploitation. Il entre donc ici, dans le coût de possession ;
- pannes (hypothèses de B3-01 et B1-05) : une coupure par an, de 8 h sans GTR, de 4 h avec la GTR ; le secours évite 90 % de la perte ; une heure de coupure d’un site coûte 150 €.
Formule : coût de possession = mise en service + 48 × abonnement + secours + pertes sur 4 ans.
Calcul :
| Composante (€ HT) | A FTTH pro | B FTTE |
|---|---|---|
| Mise en service | 150 | 900 |
| Abonnement 48 mois | 2 880 | 12 000 |
| Secours 4G/5G (290 + 48 × 35) | 1 970 | 1 970 |
| Pertes : 4 × heures × 150 × 10 % | 480 | 240 |
| Total sur 4 ans | 5 480 | 15 110 |
Interprétation : B coûte 9 630 € de plus sur 4 ans (environ 200 € par mois) pour une garantie que le secours apporte déjà en grande partie ; A n’offre pas de débit garanti : il faudra le mesurer.
Le coût ne suffit pas : le référentiel demande d’arbitrer entre coût, délai et qualité. On utilise une grille de choix pondérée.
Construire une grille de choix pondérée
- Choisis 3 à 6 critères tirés du cahier des charges (coût de possession, garanties, adéquation au besoin, délai, compatibilité avec l’existant).
- Donne à chaque critère un poids (total 100 %), validé par le client avant de noter.
- Note chaque solution sur chaque critère (de 1 à 5), en justifiant chaque note par un fait.
- Calcule la note pondérée : somme des poids × notes.
- Vérifie la robustesse : le classement change-t-il si un poids bouge un peu ? Si oui, dis-le.
- Rédige la recommandation et ses réserves ; la décision revient au client.
La grille de choix de l'accès de TRA
Données : poids validés par Gwenaëlle Le Bihan : coût de possession 40 %, garanties 25 %, adéquation au débit nécessaire 20 %, délai de raccordement 15 %. Notes de 1 à 5 : A = 5, 2, 4, 4 ; B = 2, 5, 4, 2 (B : délai annoncé plus long par l’opérateur, hypothèse du dossier).
Calcul : A = 0,40 × 5 + 0,25 × 2 + 0,20 × 4 + 0,15 × 4 = 3,9 / 5 ; B = 0,40 × 2 + 0,25 × 5 + 0,20 × 4 + 0,15 × 2 = 3,15 / 5.
Interprétation : la solution A est recommandée. Elle reste devant avec garanties à 30 % et coût à 35 % (3,75 contre 3,3) ; B ne passe devant que si les garanties pèsent plus que le coût (40 % et 25 % : 3,6 contre 3,45). Réserve écrite dans le dossier : mesurer le débit réel le soir en haute saison, et reconsidérer B si le besoin dépasse durablement ce que la fibre partagée délivre.
DLe dossier de choix
Le dossier de choix présente au décideur les solutions étudiées pour répondre à un besoin, leur comparaison selon des critères annoncés et une recommandation argumentée. Il trace la décision : qui a choisi quoi, quand, et pourquoi. Il se compose en général de : le contexte et le besoin (avec les exigences du cahier des charges) ; les critères et leurs poids ; les solutions étudiées (au moins deux, dont parfois « ne rien changer ») ; la comparaison (spécifications, coût de possession, grille) ; la recommandation et ses réserves ; les risques ; la décision, datée et signée. Le prestataire recommande, le client décide : c’est la répartition entre maîtrise d’œuvre et maîtrise d’ouvrage vue en B1-10. Le choix d’une solution d’hébergement ou de virtualisation suit la même démarche (SISR-06).
8. Documenter l’architecture
Le réseau de TRA sera installé par Lucas, exploité par le centre de services, dépanné un samedi soir par l’astreinte et peut-être repris un jour par un autre prestataire. Tous dépendront de la documentation. Une architecture non documentée n’existe que dans la tête de son auteur.
ALes schémas d’architecture
Schéma physique et schéma logique
- Le schéma physique montre où sont les équipements et comment ils sont câblés : locaux, baies, commutateurs, ports, prises, types de liens.
- Le schéma logique montre comment circulent les données : réseaux IP et VLAN, passerelles, zones de sécurité, tunnels, flux principaux, sans détailler les câbles.
Un schéma d’architecture utile a toujours : un titre, une date et un numéro de version ; une légende des symboles et des types de liens ; un seul niveau de détail (physique ou logique, pas les deux mêlés) ; les noms et les adresses du plan ; et il est tenu à jour à chaque changement.
Les symboles varient selon les outils : la légende les explique. Outils de simulation : SISR-10.
BLes tableaux de référence
Les tableaux donnent le détail. Un dossier d’architecture contient au moins :
- le plan d’adressage : réseau, passerelle, zones et exceptions de chaque VLAN (partie 4) ;
- la table des VLAN : numéro, nom, usage, réseaux associés, SSID éventuel ;
- l’inventaire : nom, modèle, numéro de série, emplacement, adresse, version du logiciel interne, garantie (GLPI, B1-03) ;
- le tableau de brassage : pour chaque port de commutateur, la prise murale, l’appareil et le VLAN ;
- la matrice des flux (partie 3).
| Port | Prise ou liaison | Appareil | VLAN | PoE |
|---|---|---|---|---|
| 1 | liaison vers SW01, port 3 | — | trunk : 10, 20, 30, 40, 99 étiquetés, natif 999 (SISR-02) | non |
| 2 | prise E1-01, couloir nord | KV-TRA-AP03 |
trunk : 10 et 30 (SSID), 99 (gestion de la borne), étiquetés, natif 999 | oui, 30 W réservés |
| 3 | prise E1-02, couloir centre | KV-TRA-AP04 |
idem | oui |
| 4 | prise E1-03, couloir sud | KV-TRA-AP05 |
idem | oui |
| 5 à 8 | libres | — | désactivés | — |
Désactive les ports libres et note-le dans le tableau de brassage : un port actif dans un couloir d’hôtel est une prise ouverte sur ton réseau. La sécurisation des ports est traitée en B3SISR-01.
CLe dossier d’architecture
Le dossier d’architecture rassemble tout ce qui décrit et justifie un réseau : besoin et cahier des charges, existant et étude d’impact, choix et leur justification, schémas, tableaux de référence, procédures particulières, historique des versions. Il est versionné, rangé dans un emplacement connu (GLPI, dépôt GitLab de Vellacor) et mis à jour à chaque changement.
Le dossier de TRA réutilise le modèle de site de
Kervanet et ne détaille que les différences (commutateurs d’étage, plage
DHCP du VLAN 30, lien 4G/5G, type RT). Documentation de
mise en production et documentation des utilisateurs : SISR-10.
DPrésenter son architecture à l’E6
À l’E6, la commission te remet une expression de besoins sur l’une de tes deux réalisations. La phase 1 (30 min de préparation, 20 min d’entretien) attend la démarche de ce chapitre ; la phase 2 (1 h de réalisation, 20 min de recette) vérifie que ta solution fonctionne.
Réussir la phase 1 de l'E6 sur un sujet d'architecture
- Reformule le besoin et liste tes questions (volumes, contraintes, délai, existant).
- Écris les exigences mesurables et l’impact sur l’existant.
- Propose l’architecture (segment, adressage, équipements), chaque choix justifié par une exigence.
- Dessine un schéma logique légendé.
- Annonce la démarche de la phase 2 et les tests de recette.
Erreurs fréquentes et points de vigilance
| Erreur | Ce qu’il faut faire |
|---|---|
| Écrire des exigences invérifiables (« rapide », « sécurisé ») | chaque exigence a une grandeur, une unité et une méthode de vérification |
| Utiliser 192.168.1.0/24 en entreprise | plan hiérarchique dans 10.0.0.0/8, sans chevauchement avec les partenaires |
| Croire qu’un résumé couvre tous les réseaux « proches » | vérifier en binaire : 10.40.0.0/13 s’arrête à 10.47.255.255 |
| Attribuer les sous-réseaux VLSM du plus petit au plus grand | du plus grand au plus petit, sur des adresses alignées |
| Compter 8 appareils PoE+ sur un commutateur « 8 ports PoE » | vérifier le budget PoE total en watts |
| Un schéma sans date, sans légende, mêlant câbles et réseaux IP | un schéma physique et un schéma logique, datés, versionnés, légendés |
L’essentiel du chapitre
À retenir
- Concevoir : analyser, structurer, adresser et nommer, dimensionner, relier, choisir et chiffrer, documenter.
- Analyser : exigences mesurables (disponibilité, performance, sécurité, coût, délai, évolutivité, exploitation) ; existant ; étude d’impact domaine par domaine, contrat compris ; contexte juridique (CEJMA-03, B3-02).
- Couches : accès, distribution, cœur ; cœur replié pour un bâtiment ; points uniques de défaillance à doubler, protéger ou accepter par écrit ; surréservation = accès ÷ liens montants.
- Segmenter : un segment = une politique ; matrice des flux (le reste est interdit).
- Adresser : privé, sans chevauchement, hiérarchique,
lisible, avec marge ; résumé = bits communs
(10.40.0.0/13 s’arrête à 10.47) ; VLSM du plus grand au
plus petit ; IPv6 : /48, /56 par site, /64 par réseau local ; noms
KV-<site>-<type><nn>, 15 caractères au plus. - Dimensionner : ports + 20 %, 100 m ; budget PoE au pire cas (15,4, 30, 60, 90 W) ; débit = utilisateurs × débit × simultanéité + marge ; Wi-Fi par la capacité, plage DHCP ≥ pic.
- Relier : FTTH, FTTE, FTTO, GTR ; secours 4G/5G ; VPN IPsec en étoile (n − 1 tunnels).
- Choisir : spécifications sans marque, coût de possession sur une même durée, grille pondérée, dossier de choix : le prestataire recommande, le client décide.
- Documenter : schémas physique et logique, plan d’adressage, VLAN, inventaire, brassage, flux ; dossier versionné.
Sources et références
- Arrêté du 29 avril 2019 (BTS SIO) modifié par les arrêtés du 8 juillet 2024 et du 22 novembre 2024 ; référentiel de la fiche RNCP40792 (bloc 2 option A, activité A2.1, savoirs associés, épreuve E6).
- Cisco, Medium Enterprise Design Profile — LAN Design, chapitre 2 (couches, architecture à deux niveaux), consulté le 20/10/2026.
- Ethernet Alliance, Overview of 802.3bt (v2.1), types PoE 1 à 4, consulté le 20/10/2026.
- Arcep, Guide numérique des entreprises, édition 2026, fiche « Les offres d’accès fixe à internet » ; décision n° 2021-2184 (bande 5 945-6 425 MHz), consultées le 20/10/2026.
- HPE Aruba Networking, Wi-Fi Generations, consulté le 20/10/2026.
- Microsoft Learn, Naming conventions in Active Directory (nom NetBIOS de 15 caractères), consulté le 20/10/2026.
- IETF : RFC 1918, 3849, 5737, 6177 (BCP 157, consultée le 20/10/2026), 7296 (IKEv2).
- FuturBTS : B1-02, B1-03, B1-05, B1-10, B3-01, B3-02, B3-06, CEJMA-02 à 05, SISR-02 à 10, B3SISR-01 et 02.
Contenu original FuturBTS. Vellacor Services Numériques, Kervanet Hôtels & Résidences, l’Atelier Marsault et les personnes citées sont fictifs ; les prix des offres sont fictifs ; toutes les adresses publiques et tous les préfixes IPv6 sont tirés des plages réservées à la documentation. Aucun passage, exemple ou exercice n’est repris d’un manuel existant.