Réseau Scaleway : la carte avant de construire

Avant de créer un réseau chez Scaleway, quatre questions décident de tout : quelle brique fait quoi, laquelle coûte de l'argent, où chacune existe, et ce qu'on ne pourra plus changer après. Cette leçon donne la carte. Vous n'y construirez rien : vous y prendrez les décisions qu'on ne peut plus reprendre après coup, à commencer par le plan d'adressage, vous y lirez les quotas du volet, et vous découvrirez que ni Load Balancer ni Public Gateway n'existent dans la troisième zone de Paris, ce que l'API confirme d'un mot : Unknown service.

Ce que vous allez apprendre

• Situer les huit briques du réseau Scaleway et ce que chacune résout.
• Distinguer un objet régional d'un objet zonal, et pourquoi ça change une architecture.
• Séparer ce qui est gratuit de ce qui se facture à l'heure.
• Vérifier avec l'API où une brique existe, sans se fier à l'aide du CLI seule.
• Poser un plan d'adressage qui survivra à vos interconnexions futures.

Quelles sont les huit briques du réseau Scaleway ?

Le réseau Scaleway tient en huit objets, et les connaître par leur rôle plutôt que par leur nom évite le réflexe qui coûte cher : créer une brique facturée là où une brique gratuite suffisait. Le tableau se lit par la colonne Vous en avez besoin quand : c'est elle qui dit si la brique est pour vous aujourd'hui.

Brique	Ce qu'elle résout	Vous en avez besoin quand
VPC	l'enveloppe régionale qui contient tout le reste	toujours : depuis le 13 mai 2025, il n'y en a plus par défaut
Private Network	un réseau privé où vos ressources se parlent sans passer par Internet	dès la deuxième ressource
IPAM	la source de vérité des adresses attribuées	pour réserver une adresse stable, ou comprendre qui a quoi
Security Group	filtrer le trafic public d'une Instance	dès qu'une machine est exposée
Network ACL	filtrer le trafic entre Private Networks	dès que deux environnements cohabitent dans un VPC
Public Gateway	faire sortir vers Internet des machines sans adresse publique	quand vos machines doivent télécharger sans être joignables
Load Balancer	répartir le trafic entrant et terminer TLS	dès qu'il y a deux machines à servir, ou un certificat à gérer
Flexible IP	une adresse publique qui vous appartient et survit à la machine	quand l'adresse doit rester stable

Glissez pour voir

Une remarque de vocabulaire évite beaucoup de confusion si vous venez d'un autre cloud. Chez AWS, le VPC porte le plan d'adressage et les sous-réseaux le découpent. Chez Scaleway, c'est le Private Network qui porte le CIDR, et le VPC est l'enveloppe régionale qui les relie. Un Private Network Scaleway ressemble donc plus à un sous-réseau AWS qu'à un VPC AWS, malgré le mot « network ». La conséquence pratique est immédiate : ce qui, chez AWS, se décide au niveau du VPC (la plage d'adresses) se décide ici Private Network par Private Network, et deux Private Networks du même VPC peuvent porter des plages sans aucun rapport entre elles. Le VPC n'impose rien ; c'est vous qui tenez le plan d'adressage, et c'est l'objet de la dernière section de cette page.

Deux briques de plus vivent en périphérie de cette carte, et portent chacune leur date. Le VPC Peering relie deux VPC, de projets ou d'organisations différents, en disponibilité générale depuis le 23 juin 2026 (avec un connecteur facturé et une option de peering transitif). Les Network ACL sont en disponibilité générale, console comprise, depuis le 3 juin 2026 ; certaines pages de la documentation les présentent encore comme une bêta réservée à l'API, ce que le changelog dément.

Régional ou zonal : quelle distinction structure l'architecture ?

Une brique régionale existe pour toute la région ; une brique zonale n'existe que dans une zone de disponibilité. La conséquence est directe : tout ce qui est zonal doit être dupliqué si vous voulez survivre à la perte d'une zone, et tout ce qui est régional se partage naturellement.

Brique	Portée	Ce que ça implique
VPC	régionale	un seul VPC couvre toutes les zones de la région
Private Network	régionale	des machines de zones différentes partagent le même réseau privé
Network ACL	régionale, une par VPC	une seule liste à tenir pour toute la région, en deux exemplaires IPv4 et IPv6
IPAM	régionale	la vue des adresses est régionale
Security Group	zonale	deux zones : deux groupes à garder identiques
Public Gateway	zonale	une passerelle par zone, donc autant de lignes de facture
Load Balancer	zonale	à doubler pour une vraie redondance
Flexible IP	zonale	une adresse ne se déplace pas d'une zone à l'autre

Glissez pour voir

Où chaque brique existe-t-elle vraiment ?

C'est le piège que l'on découvre au pire moment, en plein déploiement, et il se vérifie par deux sources qui ne disent pas toujours la même chose : l'aide du CLI et la réponse de l'API. Relevé le 8 septembre 2026 avec scw 2.56.3 :

Brique	Zones énumérées par scw … create -h	Réponse de l'API sur les zones manquantes
Security Group, Flexible IP	10
Public Gateway	9, sans fr-par-3	gateway-type list zone=fr-par-3 : Unknown service ; à it-mil-1 : trois types
Load Balancer	8, sans fr-par-3 ni it-mil-1	lb-types list zone=fr-par-3 : Unknown service ; à it-mil-1 : quatre types, et la création y est acceptée (vérifié le 2026-09-10)

Glissez pour voir

Autrement dit, une architecture répartie sur fr-par-1, fr-par-2 et fr-par-3 ne pourra pas placer de Load Balancer ni de Public Gateway dans la troisième zone : le CLI et l'API sont d'accord. Pour Milan, ils divergeaient, et le doute est maintenant levé. L'aide de scw lb lb create (2.56.3 comme 2.62.0) n'énumère pas it-mil-1, mais le test de création tranche : le 10 septembre 2026, scw lb lb create name=essai type=LB-S zone=it-mil-1 a été acceptée, identifiant rendu et statut to_create. Milan sert bien le Load Balancer, et c'est l'aide qui est en retard, parce qu'elle est figée dans le binaire au moment de sa compilation. Retenez l'ordre : l'API tranche, le catalogue confirme, l'aide oriente. Ce n'est pas bloquant, mais cela se décide avant, pas après avoir créé les machines.

Vérifiez toujours les deux avant de figer un choix de zone :

scw lb lb create -h | grep zone
scw lb lb-types list zone=fr-par-3
scw vpc-gw gateway-type list zone=fr-par-3

La première ligne doit afficher les zones que votre binaire connaît ; les deux suivantes doivent lister des types, ou répondre Unknown service si la brique n'est pas déployée dans la zone.

Qu'est-ce qui est gratuit, et qu'est-ce qui tourne au compteur ?

Le réseau Scaleway est gratuit tant que vous restez à l'intérieur ; vous ne payez qu'aux points de contact avec Internet, et cette règle simple explique l'essentiel de votre future facture réseau. Tarifs relevés sur la grille officielle le 8 septembre 2026 ; les débits viennent de scw lb lb-types list et scw vpc-gw gateway-type list.

Brique	Coût	Ordre de grandeur mensuel
VPC, Private Network	gratuit, trafic illimité et débit non plafonné	0 €
Network ACL	gratuit	0 €
IPAM, Security Group	gratuit	0 €
Public Gateway	à partir de 0,026 €/h (VPC-GW-S, 100 Mbit/s ; M 1 Gbit/s, L 3 Gbit/s, XL 10 Gbit/s)	environ 19 €
Load Balancer	à partir de 0,023 €/h (lb-s, 200 Mbit/s ; lb-gp-m 500 Mbit/s, lb-gp-l 1 Gbit/s et lb-gp-xl 4 Gbit/s en multicloud)	environ 17 €
Adresse IP supplémentaire	0,005 €/h	environ 3,65 €
Connecteur de VPC Peering	0,02 €/h	environ 14,60 €
DNS	5 millions de requêtes incluses par mois et par zone	0 € dans la plupart des cas

Glissez pour voir

Trois conséquences pratiques découlent de ce tableau. D'abord, découper finement en Private Networks ne coûte rien : ne vous en privez pas pour des raisons budgétaires. Ensuite, une architecture redondante sur deux zones double les lignes Load Balancer et Public Gateway, ce qui se chiffre avant d'être décidé. Enfin, une Flexible IP réservée et oubliée continue de tourner à 3,65 € par mois, ce qui est le reste de lab le plus fréquent sur cette formation.

Le réflexe qui économise une passerelle

Une Public Gateway sert à faire sortir des machines qui n'ont pas d'adresse publique. Avant d'en créer une, posez-vous la question : ces machines ont-elles vraiment besoin de sortir ?

Une machine qui n'a besoin que de télécharger des paquets au premier démarrage peut le faire pendant qu'elle a encore une adresse publique, ou depuis un miroir interne. Une machine qui ne parle qu'à votre base et à votre stockage n'a besoin d'aucune sortie. Dans ces deux cas, la passerelle est une dépense mensuelle qui ne sert que quelques minutes.

Quelles décisions ne se reprennent pas ?

Quatre décisions de ce volet sont irréversibles ou coûteuses à défaire, et elles se prennent toutes avant la première commande. Le tableau se lit par la colonne Pourquoi : c'est elle qui dit ce qui casse si l'on se trompe.

Décision	Quand la prendre	Pourquoi elle ne se reprend pas
Le bloc CIDR de chaque Private Network	avant de créer le premier	deux plages qui se chevauchent ne s'interconnectent jamais, ni entre elles ni avec votre réseau d'entreprise ; on renumérote un environnement en service
Le bloc IPv6	il est imposé	un /64 attribué automatiquement, non modifiable, à la création comme après
La zone des briques zonales	avant les machines	un volume, une Flexible IP, un Load Balancer ne changent pas de zone ; fr-par-3 n'a ni LB ni passerelle
Le découpage en Private Networks	avant les machines	rien ne filtre à l'intérieur d'un Private Network ; ce qu'on veut pouvoir séparer doit déjà être séparé
L'activation du routage sur un VPC	à la création	une fois activé, le routage ne se désactive pas ; sur un VPC créé depuis le 1er juillet 2025, les routes personnalisées sont annoncées à tout le VPC

Glissez pour voir

La décision qu'on ne prend qu'une fois : le plan d'adressage

Le CIDR de vos Private Networks est le seul choix de cette leçon qui ne se rattrape pas. Deux réseaux dont les plages se chevauchent ne pourront jamais être interconnectés, ni entre eux, ni avec votre réseau d'entreprise. Le jour où le besoin apparaît, la seule issue est de renuméroter un environnement en service.

La méthode tient en trois décisions, à prendre maintenant et à écrire quelque part :

1. Réservez un bloc large pour l'ensemble de vos environnements

   Par exemple 172.16.0.0/16, en vérifiant qu'il n'est utilisé nulle part dans votre organisation, ni dans les réseaux de vos partenaires.

2. Découpez par environnement, pas par équipe

   Les équipes se réorganisent, les environnements durent. Un /22 par Private Network offre un peu plus de mille adresses, ce qui est confortable et laisse de la place :

   Environnement	Plage
   production, applicatif	172.16.8.0/22
   production, données	172.16.20.0/22
   recette	172.16.40.0/22
   bac à sable	172.16.60.0/22

   Glissez pour voir

3. Laissez des trous entre les blocs

   Les plages ci-dessus ne se suivent pas, et c'est volontaire : un environnement qui doit grandir prend la place d'à côté sans renuméroter le voisin.

Ne cherchez pas à être économe en adresses. Ces plages sont privées, elles ne coûtent rien, et un /22 qui se révèle trop petit est un problème bien plus coûteux qu'un /22 à moitié vide. La FAQ VPC ajoute un argument : la taille du CIDR ne change pas le nombre de ressources attachables, plafonné à 512 par Private Network quelle que soit la plage.

Regarder l'existant avant de construire

Une carte se lit mieux quand on a vu le terrain. Ces commandes ne créent rien et ne coûtent rien : elles vous montrent ce que votre compte contient déjà, et vous familiarisent avec la forme des réponses.

scw vpc vpc list region=fr-par
scw vpc private-network list region=fr-par
scw instance security-group list zone=fr-par-1
scw instance ip list zone=fr-par-1

Sur un compte neuf, les deux premières listes sont vides et la troisième contient un unique Default security group, créé par Scaleway. La quatrième doit être vide : si elle ne l'est pas, vous avez une adresse facturée qui traîne, et c'est le bon moment pour la libérer.

Une dernière commande mérite d'être connue, elle donne les régions et zones réellement ouvertes sur votre compte :

scw account project list -o json | python3 -c 'import sys,json; print(len(json.load(sys.stdin)), "projet(s)")'
scw instance server list -h | grep -A1 'zone='

La première ligne doit afficher au moins 1 projet(s) ; la seconde, les dix zones que votre version du CLI connaît.

Limites, quotas et plafonds

Ces valeurs viennent de la FAQ VPC (validée le 2025-09-24), de la page des Network ACL, de la page des quotas d'Organisation et des relevés du 8 septembre 2026 ; elles bornent le volet avant la première commande.

Plafond	Valeur	Source
Ressources par Private Network	512, dont 250 au plus en Elastic Metal et Apple silicon	FAQ VPC
Private Networks par Instance	8 ; 1 pour les bases managées, Serverless Functions et Containers	FAQ VPC, quotas (8 NIC privées)
Bloc IPv4 par défaut	/22 (1 024 adresses, 4 réservées)	concepts VPC, concepts IPAM
Bloc IPv6	/64 imposé, non modifiable	FAQ VPC
Règles de Network ACL	255 IPv4 et 255 IPv6 par VPC	doc Network ACL
Adresses IP d'Instances	20 avant vérification d'identité, 50 après	quotas d'Organisation
Groupes de sécurité et règles	99 999 groupes, 500 règles	quotas d'Organisation
Bande passante d'une Instance	s'applique par connexion : autant vers Internet que vers chaque Private Network	FAQ VPC
Débits des passerelles	VPC-GW-S 100 Mbit/s, M 1 Gbit/s, L 3 Gbit/s, XL 10 Gbit/s	scw vpc-gw gateway-type list
Débits des Load Balancers	lb-s 200 Mbit/s, lb-gp-m 500 Mbit/s, lb-gp-l 1 Gbit/s, lb-gp-xl 4 Gbit/s	scw lb lb-types list
Zones sans Load Balancer ni Public Gateway	fr-par-3 (Unknown service)	relevé API du 2026-09-08
VPC par défaut dans un projet créé après le 13 mai 2025	0	concepts VPC

Glissez pour voir

Antipatterns à éviter

Ces erreurs ont un point commun : elles paraissent économes ou simples le premier jour, et se paient en renumérotation, en facture ou en trou de sécurité.

Antipattern	Conséquence	Discipline
Laisser Scaleway choisir le CIDR de chaque Private Network	plages qui finissent par se chevaucher, peering et VPN impossibles	un plan d'adressage écrit, un /22 par environnement, des trous entre les blocs
Tout dans un seul Private Network « pour simplifier »	rien ne filtre à l'intérieur : recette et production se parlent librement	un Private Network par étage et par environnement, la NACL entre eux
Une Public Gateway par réflexe pour chaque réseau	19 € par mois et par zone pour des machines qui ne sortent jamais	se demander si les machines doivent sortir, et quand
Compter sur l'aide du CLI pour la disponibilité par zone	zone crue absente ou présente à tort ; Milan en est l'exemple	lb-types list et gateway-type list dans la zone visée, puis la page de disponibilité
Placer Load Balancer et machines dans une seule zone « pour l'instant »	une panne de zone coupe tout ; la redondance se décide avant les machines	deux zones dès le plan, avec le doublement des lignes facturées assumé
Réserver des Flexible IP « d'avance »	3,65 € par mois chacune, indéfiniment, détachées	réserver au moment d'attacher, libérer au moment de détacher

Glissez pour voir

Le réseau Scaleway sous l'angle Well-Architected

Reliability : ce qui est zonal se duplique

Que reste-t-il si fr-par-1 tombe ? Le VPC, les Private Networks, la NACL et l'IPAM, tous régionaux ; mais pas les Instances, volumes, Flexible IP, Load Balancers ni passerelles de cette zone. La discipline est un Private Network régional partagé par des machines de deux zones, un Load Balancer par zone, et un plan qui a exclu fr-par-3 des briques qui n'y existent pas.

Cost Optimization : on ne paie qu'aux frontières

Combien coûte ce réseau une fois les machines éteintes ? Les passerelles, les Load Balancers et les Flexible IP, à l'heure, tant qu'ils existent. La discipline est de compter les briques zonales facturées avant de choisir deux zones, de ne créer une passerelle que pour des machines qui sortent, et de relister scw instance ip list en fin de session.

Security : le découpage est le seul point de contrôle interne

Qui peut parler à la base de données ? Tout ce qui partage son Private Network, sans filtre possible côté Scaleway. La discipline est de placer dans des Private Networks distincts ce qu'on veut pouvoir séparer, puis de poser une Network ACL en drop par défaut, en deux exemplaires, IPv4 et IPv6.

Pièges courants

Le tableau se lit par la colonne Symptôme : c'est ce que vous voyez à l'écran, message exact compris quand il y en a un ; la colonne Cause dit ce qui se passe réellement, et la colonne Solution la commande ou le geste qui débloque.

Symptôme	Cause	Solution
Unknown service sur lb-types list ou gateway-type list	la brique n'est pas déployée dans cette zone (cas de fr-par-3)	choisir une zone où elle existe
La zone visée n'apparaît pas dans scw lb lb create -h alors que l'API répond	aide figée dans le binaire, en retard sur le catalogue (cas de it-mil-1)	page officielle de disponibilité, test de création, mise à jour du CLI
Impossible de créer un Private Network	aucun VPC dans la région (projet créé après le 13 mai 2025)	créer un VPC d'abord
Deux réseaux ne peuvent pas être reliés par peering	CIDR qui se chevauchent	plan d'adressage avec des plages distinctes, dès le départ
scw instance ip list n'est pas vide alors qu'aucune Instance ne tourne	Flexible IP détenue, facturée	scw instance ip delete <id>
La recette parle à la production	même Private Network, ou NACL vide (accept par défaut)	Private Networks séparés, NACL en drop, IPv4 et IPv6

Glissez pour voir

FAQ : questions fréquentes sur le réseau Scaleway

Ces réponses courtes couvrent les questions que se posent ceux qui arrivent d'AWS ou qui hésitent sur ce que coûte un VPC ; chacune renvoie à une leçon du volet pour le détail et la manipulation.

Quelle différence entre VPC et Private Network chez Scaleway ?

Le VPC est une enveloppe de couche 3, régionale, qui contient et route des Private Networks. Le Private Network est un réseau de couche 2 qui porte le bloc CIDR, IPv4 et IPv6, où les ressources se parlent en privé. Chez Scaleway, c'est le Private Network qui ressemble au sous-réseau AWS.

Le VPC Scaleway est-il gratuit ?

Oui. VPC, routage, Private Networks, Network ACL, IPAM et réservations d'adresses privées sont gratuits, trafic interne illimité. Seuls les points de contact avec Internet se paient : Public Gateway dès 0,026 euro par heure, Load Balancer dès 0,023 euro par heure, IP 0,005 euro par heure.

Groupe de sécurité ou Network ACL chez Scaleway : lequel filtre quoi ?

Le groupe de sécurité filtre le trafic public d'une Instance, dans une zone, et peut être stateful. La Network ACL filtre entre les Private Networks d'un VPC, est stateless, vide et permissive par défaut, avec des listes IPv4 et IPv6 indépendantes. Rien ne filtre dans un même Private Network.

Une Flexible IP Scaleway est-elle facturée quand elle est détachée ?

Oui. Une Flexible IP est facturée de sa réservation à sa libération, attachée ou non, environ 0,005 euro par heure soit 3,65 euros par mois. Elle survit à la suppression de l'Instance sauf si on passe with-ip=true, et elle ne se déplace qu'entre ressources du même produit et de la même zone.

Combien de ressources peut-on attacher à un Private Network Scaleway ?

Au maximum 512 ressources par Private Network, dont 250 au plus pour les serveurs Elastic Metal et Apple silicon, indépendamment de la taille du bloc CIDR. Une Instance peut rejoindre jusqu'à 8 Private Networks ; les bases managées et le serverless n'en acceptent qu'un.

Le Load Balancer Scaleway est-il disponible dans toutes les zones ?

Non. Au 8 septembre 2026, ni Load Balancer ni Public Gateway n'existent en fr-par-3 : l'API répond Unknown service. Pour it-mil-1, l'API renvoie des types de Load Balancer alors que l'aide de scw 2.56.3 et 2.62.0 n'énumère pas cette zone ; la page officielle de disponibilité par région tranche.

Faut-il une Public Gateway pour qu'une Instance Scaleway sans IP publique accède à Internet ?

Oui, pour un accès sortant permanent : une Public Gateway attachée au Private Network, qui annonce la route par défaut, fait sortir les machines sans adresse publique. Elle est facturée à partir de 0,026 euro par heure ; une machine qui ne doit rien télécharger n'en a pas besoin.

Contrôle de connaissances

Vérifiez que l'essentiel de ce guide est acquis. Les questions portent uniquement sur ce qui vient d'être expliqué ici.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

À retenir

• Le réseau Scaleway tient en huit briques, et les connaître par leur rôle évite d'en payer une là où une gratuite suffisait ; le VPC Peering est en disponibilité générale depuis le 23 juin 2026, les Network ACL depuis le 3 juin 2026, console comprise.
• Chez Scaleway, c'est le Private Network qui porte le CIDR, pas le VPC. Un Private Network ressemble à un sous-réseau AWS, pas à un VPC AWS.
• VPC, Private Network, Network ACL, IPAM et Security Group sont gratuits. On ne paie qu'aux points de contact avec Internet.
• Public Gateway et Load Balancer démarrent autour de 17 à 19 € par mois (VPC-GW-S 100 Mbit/s, lb-s 200 Mbit/s), et une architecture sur deux zones double ces lignes.
• Une Flexible IP oubliée coûte environ 3,65 € par mois, indéfiniment.
• Ni Load Balancer ni Public Gateway en fr-par-3 (Unknown service). À l'inverse, it-mil-1 sert bien le Load Balancer alors que l'aide du CLI ne l'énumère pas : l'aide est figée dans le binaire, c'est l'API qui tranche.
• Ce qui est zonal se duplique pour survivre à la perte d'une zone ; ce qui est régional se partage.
• Le plan d'adressage est la seule décision irrattrapable. Des plages qui se chevauchent interdisent toute interconnexion future ; le CIDR ne change pas le plafond de 512 ressources par Private Network.

Pour aller plus loin

• IPAM et Flexible IP : La source de vérité des adresses, les quatre adresses réservées par bloc, et l'adresse publique qui survit à la machine.
• Filtrer le trafic : groupes de sécurité, NACL et pare-feu système : Qui filtre quoi, avec les quatre pièges du CLI et une panne à provoquer soi-même.
• Sécurité et identité Scaleway : la carte : Le pendant de cette carte pour les identités, les secrets et l'audit.

Ressources externes

Les pages officielles sur lesquelles cette leçon s'appuie, avec ce qu'on y cherche ; leur champ de validation date chaque fait cité.

• Tarifs réseau Scaleway : la grille complète, à revérifier avant tout arbitrage.
• VPC FAQ : gratuité, 512 ressources par Private Network, 8 réseaux par ressource, bande passante par connexion.
• Understanding VPC routing : tables de routage, routes personnalisées, comportement depuis le 1er juillet 2025.
• Understanding Network ACLs : priorité des règles, statelessness, quotas de 255 règles.
• Documentation Public Gateway : les interactions avec IPAM et les évolutions de la génération actuelle.

×

📖 Voir la documentation →