Le SD-WAN expliqué simplement : utile pour une PME à plusieurs sites ?

Un siège, un dépôt, une agence à vingt kilomètres. Un fournisseur vous parle de SD-WAN, un autre de VPN, un troisième vous dit que tout est dans le cloud et qu’il ne faut rien. Le mot sonne comme un produit de grande entreprise. Voici ce qu’il recouvre vraiment, et comment savoir s’il vous sert.

Le SD-WAN, c’est quoi, en deux phrases ?

Le WAN est le réseau qui relie vos sites entre eux. Autrefois, c’étaient des lignes louées à un opérateur ; aujourd’hui, la liaison passe le plus souvent par Internet, chiffrée. Le SD, pour « software-defined », veut dire que ces liaisons se règlent depuis une console centrale, par logiciel, plutôt que site par site.

Chez Ubiquiti, le fabricant du matériel UniFi, la formule est claire : son SD-WAN simplifie la mise en place de VPN entre sites, pour partager des ressources et des applications entre plusieurs adresses. Autrement dit, le SD-WAN est une façon plus simple de faire ce qu’un VPN entre sites fait déjà.

La question de fond reste donc la même que pour tout réseau à plusieurs adresses : qu’est-ce qui doit circuler d’un site à l’autre ? Notre guide Relier plusieurs sites d’entreprise commence par cette liste, et c’est par là qu’il faut commencer aussi.

Qu’apporte-t-il de plus qu’un VPN classique ?

Un VPN entre sites classique se règle des deux côtés, à la main : adresses, clés, réseaux à partager. Avec trois ou quatre sites, chaque liaison est un réglage de plus à tenir à jour, et une erreur sur un site peut couper l’accès des autres.

Ubiquiti présente sa solution, Site Magic, comme une façon de relier ses passerelles UniFi sans le réglage fastidieux d’un VPN classique : la liaison se crée depuis UniFi Site Manager, l’interface de gestion à distance, sans se soucier des réseaux qui se chevauchent ni de la traduction d’adresses (le NAT) de la box.

	VPN entre sites classique	SD-WAN
Où se règle-t-il ?	Sur chaque site, à la main	Depuis une console centrale
Ajouter un site	Un nouveau réglage sur chaque site concerné	Le site rejoint le groupe depuis la console
Deux sites avec les mêmes adresses internes	À renuméroter à la main	Prévu par l’outil, selon le mode choisi
Matériel	Toutes marques, selon le protocole	En général, le même fabricant sur chaque site

Le revers est indiqué dans la dernière ligne : un SD-WAN de fabricant relie les passerelles de ce fabricant. Pour un site équipé d’une autre marque, on revient à un VPN classique.

Étoile ou maillage : comment les sites se relient-ils ?

Ubiquiti décrit deux organisations :

• En étoile : chaque site se relie à un site central, le siège. C’est le bon choix quand les ressources y sont regroupées, un serveur par exemple, ou quand un logiciel en ligne n’accepte que l’adresse IP du siège. Le fabricant annonce jusqu’à 1 000 liaisons, et la possibilité d’isoler les sites les uns des autres.
• En maillage : chaque site se relie directement aux autres, jusqu’à 20 sites. C’est le cas quand les ressources sont réparties. Ubiquiti précise qu’il faut alors des règles de pare-feu sur chaque site.

Dans les deux cas, au moins une passerelle doit avoir une adresse IP publique. Toutes les connexions n’en donnent pas d’office : c’est à vérifier avec l’opérateur avant de choisir l’organisation.

Et quand un site a deux connexions ?

C’est là que le SD-WAN devient intéressant pour une PME. En étoile, Ubiquiti indique qu’un site peut garder jusqu’à quatre liaisons actives avec le siège, une par combinaison de connexions, et que le passage de l’une à l’autre se fait alors sans interruption. Avec une seule liaison par site, la bascule entraîne une coupure temporaire. En maillage, une liaison de secours demande du temps pour se rétablir (documentation Ubiquiti).

La passerelle peut aussi juger une connexion sur sa qualité, pas seulement sur sa présence. Par défaut, elle vérifie en continu que la connexion répond ; on peut lui fixer des seuils de perte, de délai et de régularité, au-delà desquels elle bascule. Elle peut aussi réserver une connexion à un usage précis, comme les appels, le Wi-Fi des visiteurs ou les caméras (documentation Ubiquiti). C’est ce qu’on attend d’un SD-WAN : choisir le bon chemin selon ce qui passe.

Encore faut-il que chaque site ait deux connexions qui ne partagent rien : c’est le sujet de notre article sur le lien de secours.

Quand une PME en a-t-elle vraiment besoin ?

Le SD-WAN sert quand quelque chose doit passer d’un site à l’autre :

• un serveur ou un logiciel installé au siège, que le dépôt ou l’agence doit ouvrir ;
• un logiciel en ligne qui n’accepte que l’adresse IP du siège, cas que le fabricant cite pour l’organisation en étoile ;
• l’enregistreur des caméras d’un site, que l’on veut regarder depuis un autre ;
• plusieurs sites qui ont chacun deux connexions, et que l’on veut garder reliés quand l’une tombe.

Il ne sert à rien, ou presque, dans ces cas :

• tout est en ligne : messagerie, fichiers, logiciel de gestion. Chaque site parle directement à Internet ;
• un seul site, même grand ;
• plusieurs bâtiments sur le même terrain : on les relie par câble, fibre ou pont radio, pas par Internet.

Ce que le SD-WAN ne remplace pas

Le SD-WAN relie des sites ; il ne les rend pas plus solides un par un. Il reste à prévoir, sur chaque adresse :

• une connexion qui tient, et un lien de secours là où l’activité ne peut pas s’arrêter. Si la connexion d’un site tombe sans relais, ce site est coupé des autres ;
• un réseau bien rangé : réseaux séparés pour l’équipe, les visiteurs et les caméras, pare-feu réglé ;
• le même matériel, pour que la console centrale voie tous les sites.

Ce que fait SateLink

Romuald et son équipe commencent par la liste de ce qui doit circuler entre vos sites. Parfois, la réponse est qu’il ne faut ni SD-WAN ni VPN. Quand il en faut un, nous posons une passerelle UniFi sur chaque site, avec son réseau et son Wi-Fi, et nous réglons les liaisons entre sites. Pour chaque adresse, nous choisissons la connexion et, au besoin, un lien de secours : fibre, 4G ou 5G avec notre partenaire opérateur Belcenter, Starlink là où la fibre n’arrive pas (voir Connexion et lien de secours).

Avec la maintenance Sérénité, tous les sites sont supervisés à distance.

Chaque site se visite, gratuitement dans un rayon de 30 km autour d’Overijse, et le prix du réseau se donne après la visite.

SateLink Solution est une entreprise indépendante, qui pose et configure ce matériel sans appartenir à ces sociétés.

En résumé

• Le SD-WAN relie les réseaux de plusieurs sites par Internet, réglé depuis une console centrale.
• Il fait ce que fait un VPN entre sites, avec moins de réglages à la main, sur le matériel d’un même fabricant.
• Il sert quand un serveur, un logiciel ou un enregistreur reste sur un site, ou quand chaque site a deux connexions.
• Si tout est en ligne, une bonne connexion et un lien de secours par site suffisent souvent.

Vous avez plusieurs sites et un doute sur ce qu’il faut entre eux ? L’appel de cadrage est gratuit : trente minutes pour faire le tour de vos sites, de leurs connexions et de vos applications.