Relier votre réseau cloud à votre datacenter, ou à un autre cloud, se fait par trois moyens qui n'ont ni le même prix, ni la même latence, ni le même délai de mise en service. Le VPN se monte dans l'après-midi, le lien privé demande des semaines. Choisir avant de savoir ce que chacun implique conduit soit à payer un lien inutile, soit à découvrir en production qu'un tunnel ne tient pas la charge. Cette page pose les trois options, leurs coûts réels et le critère qui départage.
Ce que vous allez apprendre
Section intitulée « Ce que vous allez apprendre »- Choisir entre appairage, VPN et lien privé selon le débit, la latence et le délai.
- Anticiper le coût réel de chaque option, y compris ce qui n'est pas dans la brochure.
- Éviter le chevauchement d'adresses, qui interdit toute interconnexion.
- Comprendre ce que BGP apporte, sans avoir besoin d'être ingénieur réseau.
- Reconnaître les pannes classiques d'un tunnel qui « marche à moitié ».
Prérequis
Section intitulée « Prérequis »Les leçons sur l'adressage et sur les tables de routage.
Trois moyens, trois métiers
Section intitulée « Trois moyens, trois métiers »L'appairage relie deux réseaux du même fournisseur, le VPN relie n'importe quoi via Internet, le lien privé relie via un câble dédié. Voilà le résumé ; le tableau ci-dessous donne les différences qui décident.
| Appairage | VPN site à site | Lien privé dédié | |
|---|---|---|---|
| Ce qu'il relie | deux réseaux du même cloud | deux sites quelconques | votre datacenter au cloud |
| Chemin emprunté | le réseau interne du fournisseur | Internet, chiffré | un circuit dédié |
| Latence | très faible, stable | variable, dépend d'Internet | faible et garantie |
| Débit | élevé | limité par le tunnel, souvent 1 Gb/s | de 50 Mb/s à 100 Gb/s selon le contrat |
| Délai de mise en service | minutes | heures | semaines, parfois mois |
| Coût | trafic échangé | passerelle à l'heure + trafic | port mensuel + trafic, souvent moins cher au Go |
Le délai de mise en service est le critère qu'on oublie. Un lien privé implique un opérateur, un raccordement physique et un contrat : personne ne le met en place pour un projet qui démarre dans trois semaines. Le montage classique consiste donc à démarrer en VPN et à basculer vers un lien privé quand le volume le justifie.
L'appairage, et sa limite
Section intitulée « L'appairage, et sa limite »L'appairage relie deux réseaux privés comme s'ils n'en formaient qu'un, mais il n'est pas transitif. Cette dernière propriété surprend systématiquement.
Si le réseau A est appairé avec B, et B avec C, alors A ne joint pas C. Il faut un troisième appairage. Avec quatre réseaux, cela fait six liens ; avec dix, quarante-cinq. La croissance est quadratique, et c'est exactement le problème que résout l'architecture en étoile de la dernière leçon du parcours.
Retenez le seuil pratique : au-delà de trois ou quatre réseaux à interconnecter, l'appairage direct devient ingérable, et il faut passer à un concentrateur.
Le VPN, et ce qui le limite vraiment
Section intitulée « Le VPN, et ce qui le limite vraiment »Un VPN site à site chiffre le trafic et le fait transiter par Internet. Il se monte vite, coûte peu, et convient à la majorité des besoins. Ses limites sont ailleurs que là où on les attend.
Ce n'est pas le chiffrement qui limite le débit, les processeurs modernes chiffrent à plusieurs gigabits par seconde. Ce sont deux autres choses :
- Le tunnel a un plafond, souvent autour de 1 Gb/s par tunnel chez les grands fournisseurs. Passer outre demande plusieurs tunnels et une répartition, ce qui complique.
- Le chemin est Internet, donc la latence varie et rien n'est garanti. Une sauvegarde nocturne s'en accommode ; un accès à une base de données transactionnelle, beaucoup moins.
Le lien privé, et quand il devient rentable
Section intitulée « Le lien privé, et quand il devient rentable »Un lien privé est un circuit dédié entre votre datacenter et le cloud, sans passer par Internet. Il apporte une latence stable, un débit garanti, et souvent un tarif de transfert plus bas.
Ce dernier point est celui qui décide, et il se calcule. Le lien privé se paie par un port mensuel fixe, auquel s'ajoute un trafic facturé moins cher qu'en sortie Internet. Il existe donc un volume à partir duquel le lien coûte moins que le VPN, malgré son abonnement.
Le raisonnement à tenir, sans chercher de chiffre universel :
- relevez votre volume sortant mensuel réel, pas estimé ;
- multipliez-le par le tarif de sortie Internet de votre fournisseur ;
- comparez au port mensuel plus le même volume au tarif du lien privé ;
- ajoutez au VPN ce que coûte sa passerelle, facturée à l'heure.
Le point de bascule dépend entièrement de votre fournisseur et de votre volume. Chez ceux qui incluent le trafic sortant, comme OUTSCALE, OVHcloud ou Scaleway, l'arbitrage économique disparaît presque : il ne reste que la latence et la garantie de débit comme motifs. Les tarifs par fournisseur sont dans le coût du transfert sortant.
BGP, expliqué sans jargon
Section intitulée « BGP, expliqué sans jargon »BGP est le protocole par lequel deux réseaux s'annoncent mutuellement les plages d'adresses qu'ils savent joindre. Vous n'avez pas besoin de le maîtriser pour l'utiliser, mais savoir ce qu'il fait évite deux erreurs courantes.
Sans BGP, vous écrivez les routes à la main des deux côtés. Cela fonctionne, et chaque nouveau sous-réseau demande une modification manuelle sur le routeur distant, que quelqu'un oubliera.
Avec BGP, chaque côté annonce ses plages, et l'autre les apprend automatiquement. Ajouter un sous-réseau suffit à le rendre joignable. En contrepartie, deux pièges apparaissent :
- Annoncer trop. Si vous annoncez
0.0.0.0/0par erreur, tout le trafic du site distant part vers le cloud, y compris sa navigation Internet. La facture de transfert s'en ressent immédiatement. - Annoncer des plages qui se recouvrent, ce qui rend le chemin imprévisible.
La bonne pratique tient en une phrase : filtrez ce que vous annoncez et ce que vous acceptez, plutôt que de laisser passer toutes les annonces.
Ce qu'il faut vérifier avant de brancher
Section intitulée « Ce qu'il faut vérifier avant de brancher »-
Les plages ne se chevauchent pas. Comparez les plans d'adressage des deux côtés avant toute configuration. C'est bloquant.
-
Le chemin de retour existe. Une interconnexion se configure des deux côtés : le cloud doit savoir joindre le datacenter, et le datacenter doit savoir joindre le cloud. La moitié des tunnels « qui ne marchent pas » ont une route manquante d'un seul côté.
-
Le filtrage autorise le flux. Un tunnel monté ne dit rien du filtrage : les groupes de sécurité de la leçon précédente s'appliquent toujours au trafic qui en sort.
-
Le MTU est ajusté, avec le test décrit plus haut. Faites-le avant la mise en production, pas pendant l'incident.
À retenir
Section intitulée « À retenir »- Trois options, trois délais : appairage en minutes, VPN en heures, lien privé en semaines. Le délai décide souvent avant la technique.
- L'appairage n'est pas transitif. Au-delà de trois ou quatre réseaux, passez à une architecture en étoile.
- Le VPN plafonne autour de 1 Gb/s par tunnel et emprunte Internet : la latence varie, rien n'est garanti.
- Le lien privé se justifie par le volume, la latence ou la garantie, et son point de bascule se calcule sur votre volume réel.
- Le chevauchement d'adresses interdit toute interconnexion routée directe. Restent la translation ou la publication de service, au prix d'un diagnostic plus difficile.
- Le MTU mal ajusté donne une panne trompeuse : les petites requêtes passent, les gros transferts se figent.
- Avec BGP, filtrez vos annonces. Annoncer une route par défaut par erreur redirige tout le trafic d'un site vers le cloud.