Quarante salariés, cent quatre-vingts équipements connectés
C'est le rapport que nous relevons sur la majorité des sites tertiaires audités dans la Marne. Les postes de travail y sont devenus minoritaires. Le reste, ce sont des caméras, des bornes Wi-Fi, des lecteurs de badge, des imprimantes, des écrans d'affichage dynamique, des sondes de gestion technique, des téléphones IP et, désormais, des bornes de recharge.
Cette population possède une particularité redoutable : elle ne se plaint jamais. Un poste lent produit un ticket dans l'heure ; une caméra qui perd 8 % de ses images ne dit rien, et une borne retombée en 100 Mbit/s parce qu'une paire est coupée ne dit rien non plus. La dégradation est silencieuse, et elle ne devient visible que le jour de l'incident.
Concevoir un réseau informatique d'entreprise, c'est donc trancher avant d'acheter : combien de domaines de diffusion, qui a le droit de parler à qui, par où passe le chemin de secours, quel flux prime sur quel autre, et comment on repère une anomalie avant l'utilisateur. Le matériel n'arrive qu'ensuite. Reprendre une installation existante commence d'ailleurs par exactement le même travail.
Les dix chantiers d'un réseau d'entreprise
Chacun de ces sujets a ses propres pièges et ses propres ordres de grandeur. Nous leur avons consacré une page dédiée plutôt qu'un paragraphe de catalogue.
Wi-Fi d'entreprise
Étude radio prédictive, site survey réel, Wi-Fi 6E et 7, densité maîtrisée et recette mesurée.
En savoir plusWi-Fi hôtelier
Portail captif, couplage au PMS, forfaits et QoS par chambre, isolation entre clients.
En savoir plusWi-Fi industriel
Entrepôts, chariots élévateurs, AGV et terminaux de préparation, roaming sans coupure.
En savoir plusMicrosegmentation
Cloisonner caméras, IoT, OT et bureautique, et arrêter la propagation latérale.
En savoir plusIoT & LoRaWAN
Capteurs longue portée sur pile, passerelles privées, remontée vers la supervision.
En savoir plusSites isolés
Faisceau hertzien, satellite en orbite basse, 4G/5G directionnelle et secours automatique.
En savoir plusSwitch & commutation
Cœur de réseau, stacking, uplinks 10 à 40 G, budget PoE réel et fin de support.
En savoir plusRéseaux industriels OT
Profinet, EtherNet/IP, anneaux MRP, modèle Purdue et cybersécurité industrielle.
En savoir plusSD-WAN multisite
Agrégation de liens, bascule sans coupure de session, priorisation applicative.
En savoir plusNAC & 802.1X
Authentification à la prise, affectation dynamique de VLAN, quarantaine et invités.
En savoir plusL'architecture en trois couches n'a pas vieilli
On l'annonce dépassée à chaque nouvelle mode technologique. Elle reste pourtant le seul modèle qui permette de dire, devant un plan, où passe quoi. La couche d'accès raccorde les équipements : ports cuivre à 1 Gbit/s, alimentation PoE des caméras et des bornes, authentification à la prise. La couche de distribution agrège les switches d'accès d'un étage ou d'un bâtiment et porte le routage local. Le cœur commute vite et ne fait presque rien d'autre : il interconnecte les distributions, la salle serveurs et la sortie internet.
En dessous de 150 ports environ, ces trois couches se replient sur deux : un cœur-distribution unique — le plus souvent une pile de deux commutateurs — et des switches d'accès en étoile autour. C'est l'architecture en cœur effondré, parfaitement légitime, à une condition : que ce cœur soit réellement doublé, puisque tout le site en dépend.
Le plan d'adressage s'écrit avant le premier brassage
Nous réservons un /22 par site, découpé en /24 par usage, avec une règle de lecture immédiate : le troisième octet porte le numéro du VLAN. VLAN 10 pour la bureautique, 20 pour la téléphonie, 30 pour la vidéoprotection, 40 pour les bornes, 50 pour l'IoT et la gestion technique, 99 pour l'administration des équipements. Un technicien qui lit une adresse sait à quoi il a affaire, y compris à trois heures du matin devant une baie qu'il ne connaît pas.
Ce plan conditionne directement ce que vous pourrez faire ensuite. Deux agences qui utilisent toutes les deux 192.168.1.0/24 ne se parleront jamais correctement une fois reliées en SD-WAN sans translation d'adresse. Le jour du rachat ou de la fusion, la dette se paie comptant.
Routage inter-VLAN : au cœur, mais sous conditions
Le routage entre VLAN se fait sur le commutateur de cœur, en niveau 3, pour éviter de faire remonter tout le trafic interne jusqu'au pare-feu et d'en faire un goulot d'étranglement. Mais router sans filtrer revient à n'avoir pas segmenté du tout. Nous posons donc des listes de contrôle d'accès dès la mise en service, au minimum un jeu qui interdit aux réseaux caméras, IoT et invités d'initier la moindre session vers la bureautique et les serveurs. La microsegmentation pousse ce raisonnement beaucoup plus loin, jusqu'au niveau de la machine.
Quelle architecture pour quelle taille de site
Nous partons du nombre d'équipements réellement raccordés — caméras, bornes, lecteurs et automates compris — et non de l'effectif, qui ne dit plus grand-chose du besoin.
| Profil de site | Équipements raccordés | Architecture retenue | Redondance à prévoir |
|---|---|---|---|
| TPE, un local | 20 à 60 | Un commutateur PoE managé 24 ou 48 ports, routage porté par le pare-feu | Onduleur dimensionné, switch de rechange en étagère |
| PME, un bâtiment | 60 à 250 | Cœur effondré : pile de deux switches de niveau 3, accès raccordé en fibre | Stacking, double alimentation, uplinks agrégés |
| Site multi-bâtiments | 250 à 800 | Cœur dédié, distribution par bâtiment, liens fibre 10 ou 25 G | MLAG, deux cheminements fibre distincts, tableau secouru |
| Industrie et logistique | 150 à 1 000 | Cœur informatique et anneaux industriels séparés, switches durcis en atelier | Anneau à reconvergence rapide, double attachement des zones critiques |
| Groupe multisite | 1 000 et plus | Un gabarit d'architecture répliqué par site, interconnexion SD-WAN | Deux opérateurs par site, bascule automatique testée |
↔ Faites défiler le tableau pour consulter toutes les colonnes.
Redondance : ce qui tient réellement le jour de la panne
Agrégation de liens
Deux fibres entre un switch d'accès et le cœur, réunies en un seul lien logique par LACP : la bande passante s'additionne et la coupure d'un brin ne se voit pas. Attention toutefois à l'illusion courante : l'agrégation répartit les flux par hachage, elle ne donne pas 20 Gbit/s à une seule copie de fichier. Elle sert d'abord la disponibilité.
Le spanning-tree, version 2026
On ne le désactive pas, on le maîtrise. RSTP ou MSTP selon la topologie, priorité de racine fixée explicitement sur le cœur — jamais laissée à l'élection automatique, qui finit toujours par désigner le vieux switch du sous-sol —, BPDU guard sur tous les ports d'accès, root guard côté distribution, et détection de boucle sur les ports où les utilisateurs branchent des mini-switches. Une boucle en salle de réunion ne doit plus pouvoir arrêter un bâtiment.
Stacking, châssis et MLAG
Le stacking réunit plusieurs commutateurs en un seul équipement logique, avec une seule configuration à maintenir. Simple et efficace, mais une mise à jour logicielle redémarre parfois toute la pile. Le MLAG conserve deux équipements indépendants, avec deux plans de contrôle distincts, tout en offrant un lien agrégé aux équipements raccordés : plus exigeant à configurer, nettement plus confortable en maintenance. Sur un cœur de site industriel ou hospitalier, nous privilégions le second.
QoS : la voix ne se rattrape jamais
Un transfert de fichier ralenti se termine plus tard, personne ne s'en aperçoit. Un paquet de voix arrivé 200 ms trop tard est perdu définitivement, et l'utilisateur l'entend. C'est toute la raison d'être de la qualité de service. Nous marquons la téléphonie en EF (DSCP 46), la visioconférence en AF41, la vidéoprotection en AF31, la bureautique en best effort, et nous appliquons ces marquages de bout en bout — y compris sur les liens Wi-Fi, où la correspondance avec les catégories WMM est souvent oubliée. Une QoS configurée sur le seul routeur de sortie ne sert à rien quand la congestion se produit sur un uplink d'étage.
PoE : un budget, pas une case à cocher
Un switch annoncé « 48 ports PoE+ » ne délivre presque jamais 30 W sur 48 ports. Son budget réel tourne souvent autour de 370 ou 740 W selon l'alimentation installée. Nous additionnons donc les consommations réelles : 4 à 7 W pour un téléphone IP, 8 à 12 W pour une caméra fixe, 15 à 25 W pour une caméra motorisée avec chauffage, 15 à 30 W pour une borne Wi-Fi 6E, jusqu'à 60 W pour une borne Wi-Fi 7 ou un écran alimenté en PoE++. Ce calcul détermine le modèle de switch et la taille de l'onduleur — les deux, pas l'un sans l'autre. Notre page consacrée au PoE détaille les classes et les longueurs de câble admissibles.
Comment nous menons un projet réseau
Relevé de l'existant et inventaire réel
Nous branchons une sonde sur le réseau, lisons les tables MAC des switches, comptons ce qui est réellement raccordé et repérons les équipements en fin de support. Neuf fois sur dix, l'inventaire révèle 20 à 30 % d'équipements que personne n'avait listés.
Conception et document d'architecture
Schéma logique et physique, plan de VLAN, plan d'adressage, matrice des flux autorisés, politique de QoS, budget PoE par baie, choix des uplinks. Ce document est validé avec vous avant la moindre commande de matériel.
Préparation en atelier
Les commutateurs sont configurés, mis à jour et étiquetés chez nous, pas dans votre local technique un mardi soir. Les configurations sont générées à partir d'un gabarit, ce qui élimine les divergences entre équipements.
Bascule par lots, jamais en une nuit
Nous migrons étage par étage ou service par service, avec un retour arrière possible à chaque étape. Les services critiques — téléphonie, production, vidéoprotection — basculent en dernier, une fois le socle stabilisé.
Recette, supervision et transfert
Tests de coupure réellement joués : on débranche un uplink, on coupe une alimentation, on chronomètre la reconvergence. Puis mise en supervision, seuils d'alerte, et remise du dossier d'exploitation à vos équipes.
Superviser, mesurer, documenter
Un réseau non supervisé est un réseau dont vous apprendrez les pannes par téléphone. Nous mettons en place trois niveaux. La disponibilité d'abord : état des ports, des alimentations, des ventilateurs, des modules optiques, avec alerte sur perte de lien. La métrologie ensuite : taux d'occupation des uplinks, erreurs CRC, rejets de file d'attente, température des baies, consommation PoE par switch. Les erreurs CRC sont particulièrement précieuses : elles montent bien avant qu'un câble ne lâche, et désignent la paire abîmée. Enfin l'observation des flux, par NetFlow ou équivalent, qui répond à la question « qui consomme cette bande passante » sans supposition.
Le parc IoT et les caméras ont changé la donne
Sur un site tertiaire récent, les équipements non bureautiques représentent couramment 55 à 65 % des ports occupés. Ces objets partagent trois défauts : un système embarqué rarement mis à jour, des identifiants par défaut qui survivent des années, et aucune capacité à se défendre. Ils n'ont donc rien à faire dans le même domaine de diffusion que vos serveurs. Nous les plaçons dans des VLAN dédiés, avec interdiction d'initier du trafic sortant hors de leur plateforme de gestion, et authentification par adresse MAC lorsque le contrôle d'accès réseau est en place. Un parc de caméras de vidéoprotection bien cloisonné, c'est aussi un parc dont les flux ne perturbent plus la bureautique aux heures de sauvegarde.
La documentation fait partie de la livraison
Schémas à jour, tableau de brassage par baie, inventaire des numéros de série et des dates de fin de support, sauvegardes de configuration versionnées, procédures de redémarrage et coordonnées d'escalade. Ce dossier reste votre propriété et doit permettre à un tiers de reprendre l'exploitation. C'est exactement le niveau d'exigence que nous appliquons à la certification du câblage : sans procès-verbal de mesure, une infrastructure n'est pas livrée, elle est seulement posée.
Questions fréquentes
Combien coûte la refonte du réseau informatique d'une PME ?
Pour un site de 80 à 150 équipements raccordés, une refonte complète — étude, commutateurs managés PoE, cœur redondé, pare-feu, mise en service et documentation — se situe généralement entre 12 000 et 35 000 €. L'écart tient surtout à trois postes : la qualité du câblage existant, le budget PoE à couvrir et le niveau de redondance retenu. Nous chiffrons toujours le matériel, la mise en œuvre et le maintien en condition séparément, pour que vous puissiez arbitrer poste par poste.
Faut-il tout remplacer d'un coup ou migrer progressivement ?
Progressivement, dans l'immense majorité des cas. Nous commençons par le cœur et le plan d'adressage, puisque tout en dépend, puis nous reprenons les switches d'accès étage par étage. Les équipements récents sont réutilisés lorsqu'ils sont encore suivis par leur constructeur. Une bascule « big bang » ne se justifie que lors d'un déménagement ou d'une livraison de bâtiment neuf, où il n'y a de toute façon pas d'existant à ménager.
Combien de VLAN faut-il créer dans une entreprise ?
Il n'y a pas de bon chiffre absolu, mais une règle utile : un VLAN par famille d'équipements qui partagent la même politique de sécurité. En pratique, six à dix suffisent sur un site unique — bureautique, téléphonie, vidéoprotection, bornes Wi-Fi, invités, IoT et gestion technique, administration, serveurs. Multiplier les VLAN sans écrire la matrice des flux autorisés ne sécurise rien : c'est le filtrage entre eux qui produit l'effet, pas leur nombre.
Un switch non managé peut-il suffire pour une petite structure ?
Il fonctionne, mais il vous prive de tout ce qui permet d'exploiter un réseau : pas de VLAN, pas de QoS, pas de supervision, aucune visibilité sur les erreurs, aucune protection contre les boucles. Dès que vous avez des caméras, de la téléphonie IP ou du Wi-Fi d'entreprise, l'écart de prix avec un modèle managé — quelques centaines d'euros — est sans commune mesure avec le temps perdu au premier incident. Nous n'en posons plus, sauf en extension ponctuelle et documentée.
Quel délai pour concevoir et déployer un réseau complet ?
Comptez deux à trois semaines pour le relevé et le document d'architecture, deux à six semaines d'approvisionnement selon les références — les délais constructeurs restent irréguliers — puis une à trois semaines de déploiement pour un site de taille moyenne. Les bascules se font par lots, souvent en soirée ou le samedi pour les services sensibles. Un projet de PME rémoise typique se déroule ainsi sur six à dix semaines de bout en bout.