Trois questions avant de regarder un catalogue
Elles suffisent à écarter 80 % des références et à éviter les deux erreurs les plus coûteuses : le sous-dimensionnement PoE et l'uplink unique.
Combien d'équipements, et non combien de salariés
C'est la question qui remet tout à l'endroit. Un cabinet d'expertise comptable de 25 personnes raccorde facilement 70 équipements : postes fixes, portables en station d'accueil, téléphones IP, imprimantes multifonctions, bornes Wi-Fi, caméras, lecteurs de badge, écrans d'accueil, sonde de climatisation, onduleurs. Le ratio dépasse deux ports et demi par salarié dans le tertiaire classique, et grimpe bien plus haut dès qu'il y a de la vidéoprotection.
À ce chiffre s'ajoute une réserve. Nous prévoyons systématiquement 20 à 25 % de ports libres : un déménagement de service, l'ajout de deux caméras ou l'arrivée d'une borne de recharge ne doivent pas déclencher l'achat d'un commutateur supplémentaire et d'une nouvelle baie.
Combien de watts, réellement
Le nombre de ports PoE affiché sur la fiche produit n'est pas une capacité, c'est une possibilité. Ce qui compte est le budget total de l'alimentation. Un modèle 48 ports annoncé PoE+ avec 370 W de budget peut alimenter 48 téléphones IP sans difficulté, mais seulement douze caméras motorisées avec chauffage. Nous additionnons donc les consommations réelles, majorées de 20 %, et nous vérifions que l'onduleur suit.
Combien de bande passante vers le cœur
Un switch d'accès de 48 ports à 1 Gbit/s relié au cœur par un seul lien 1 G présente un rapport de suralimentation de 48 pour 1. Cela passe en bureautique pure, et cela s'effondre dès qu'un flux vidéo permanent ou une sauvegarde s'invite. Deux liens 10 G agrégés ramènent ce rapport à moins de 3 pour 1 et suppriment le point unique de défaillance.
Managé, non managé, administrable : ce que vous perdez vraiment
| Famille | Ce qu'il sait faire | Ce qui manque | Usage que nous en faisons |
|---|---|---|---|
| Non managé | Commuter, rien de plus | Ni VLAN, ni QoS, ni supervision, ni protection contre les boucles | Aucun en infrastructure — au mieux, un dépannage documenté et daté |
| Administrable d'entrée de gamme | VLAN, un peu de QoS, interface web | Pas de routage, journalisation pauvre, suivi logiciel irrégulier | Petites annexes sans PoE critique |
| Managé niveau 2 | VLAN, LACP, spanning-tree, SNMP, 802.1X, PoE géré | Pas de routage inter-VLAN | Couche d'accès de la majorité de nos installations |
| Managé niveau 3 | Tout le niveau 2, plus routage et listes de contrôle d'accès | Coût plus élevé, configuration plus exigeante | Cœur de réseau, distribution, sites multi-VLAN |
| Durci / rail DIN | Plage de température étendue, alimentation 24 V, format armoire | Densité de ports faible, coût par port élevé | Ateliers, extérieur, réseaux industriels |
↔ Faites défiler le tableau pour consulter toutes les colonnes.
Le cœur de réseau : trois architectures possibles
Pile de commutateurs (stacking)
Deux à huit châssis reliés par des câbles dédiés se comportent comme un seul équipement : une configuration, une adresse d'administration, des liens agrégés répartis sur plusieurs membres. Simple et économique. Réserve : certaines mises à jour logicielles redémarrent l'ensemble de la pile.
Châssis modulaire
Un ou deux commutateurs de supervision, des cartes de ports interchangeables, des alimentations redondantes à chaud. C'est la solution des grands sites et des salles serveurs denses, avec une longévité supérieure mais un ticket d'entrée nettement plus élevé.
MLAG — deux cœurs indépendants
Deux commutateurs distincts, deux systèmes, deux configurations, qui présentent malgré tout un lien agrégé unique aux équipements raccordés. On met à jour l'un pendant que l'autre travaille. Plus exigeant à concevoir, nettement plus confortable à exploiter dans la durée.
Ce que nous refusons de faire : poser un cœur de réseau unique, non redondé, dans un site où une interruption arrête la production ou la prise de commande. Un commutateur tombe rarement, mais son alimentation, son ventilateur ou une mise à jour ratée, si. Lorsque le budget ne permet pas la redondance immédiate, nous choisissons au minimum un modèle à double alimentation et nous prévoyons un équipement de rechange préconfiguré sur site.
Les réglages qui font la différence à la mise en service
Trunk et VLAN natif. Sur chaque lien entre commutateurs, nous déclarons explicitement la liste des VLAN autorisés plutôt que de tout laisser passer, et nous plaçons le VLAN natif sur un identifiant inutilisé. Cela ferme une famille entière d'attaques par double étiquetage et évite qu'un VLAN se propage là où il n'a rien à faire.
Protection des boucles. BPDU guard sur tous les ports d'accès : un mini-switch personnel branché sous un bureau ne pourra pas prendre le rôle de racine. Détection de boucle activée, storm control sur les diffusions. Une boucle créée par un câble replié dans une salle de réunion doit rester un incident local de quelques secondes, pas un arrêt de bâtiment.
Agrégation LACP correctement configurée. Mode actif des deux côtés, même vitesse, même duplex, et algorithme de répartition adapté au trafic. Un LACP mal négocié produit un lien qui fonctionne en apparence mais bascule en boucle ou perd la moitié des trames.
Administration séparée. Les interfaces de gestion vivent dans un VLAN dédié, accessible depuis un poste d'administration identifié. Accès en SSH uniquement, comptes nominatifs, authentification centralisée, sauvegarde automatique des configurations après chaque modification. C'est le complément naturel de la segmentation.
Supervision : les trois compteurs à regarder
Les erreurs CRC d'abord. Elles trahissent un câble abîmé, un connecteur mal serti ou une perturbation électromagnétique. Un port qui accumule des CRC finira par lâcher, mais il commence par dégrader silencieusement les performances : c'est l'alerte la plus rentable à configurer. Les rejets de file d'attente ensuite, qui révèlent une congestion sur un uplink bien avant que les utilisateurs ne se plaignent. Enfin la consommation PoE par équipement, qui permet de repérer une caméra qui redémarre en boucle ou une borne qui bascule en mode dégradé.
Ces trois indicateurs se relèvent en SNMP, sur n'importe quelle supervision. Leur configuration prend une demi-journée et évite des mois de diagnostics approximatifs. Lorsqu'une erreur CRC s'installe, la vérification se termine d'ailleurs souvent par une mesure certifiée du lien, qui désigne précisément la paire en cause.
La fin de support, ce coût qu'on oublie de provisionner
Un commutateur fonctionne quinze ans sans broncher. Son logiciel, lui, cesse d'être corrigé bien avant. Les constructeurs annoncent généralement une fin de commercialisation, puis une fin de support logiciel cinq ans plus tard, puis une fin de support matériel. Passé ce cap, une vulnérabilité découverte sur le système embarqué ne sera jamais corrigée sur votre équipement.
Nous tenons donc, pour chaque parc que nous exploitons, un tableau des dates de fin de support. Il permet d'étaler les remplacements sur trois exercices plutôt que de découvrir l'échéance lors d'un audit d'assurance ou après un incident. C'est également le moment opportun pour reprendre le plan d'adressage, la politique PoE et le niveau de redondance, plutôt que de remplacer à l'identique un équipement choisi il y a douze ans.
- Inventaire des numéros de série
- Dates de fin de support
- Sauvegardes de configuration versionnées
- Plan de brassage à jour
- Optiques et cordons de rechange
- Procédure de remplacement testée
Questions fréquentes
Combien de ports faut-il prévoir pour une entreprise de 40 personnes ?
Comptez entre 100 et 130 ports utiles, réserve comprise. Le calcul part des équipements : environ 45 postes et portables, 40 téléphones IP si la téléphonie n'est pas portée par les ordinateurs, une dizaine de bornes Wi-Fi et d'imprimantes, les caméras, les lecteurs de badge et les équipements techniques. Cela correspond en pratique à deux ou trois commutateurs 48 ports PoE, plus un cœur. Dimensionner sur 40 ports parce qu'il y a 40 salariés conduit droit à une extension dans l'année.
Quelle différence entre PoE, PoE+ et PoE++ ?
Ce sont trois niveaux de puissance normalisés. Le PoE d'origine délivre jusqu'à 15,4 W au port, soit environ 13 W utiles après pertes en ligne : suffisant pour un téléphone ou une caméra fixe. Le PoE+ monte à 30 W au port et couvre les caméras motorisées et la plupart des bornes Wi-Fi. Le PoE++ atteint 60 ou 90 W et sert aux bornes Wi-Fi 7, aux écrans, aux points d'accès multi-radio et à certains équipements de sûreté. Le détail des classes figure sur notre page dédiée.
Peut-on mélanger des switches de marques différentes ?
Oui pour les fonctions normalisées — VLAN, spanning-tree, LACP, SNMP, 802.1X fonctionnent entre constructeurs. Non pour les fonctions propriétaires : le stacking, le MLAG et les protocoles de découverte ne s'entendent pas d'une marque à l'autre. En pratique, nous homogénéisons le cœur et la distribution, et nous acceptons davantage d'hétérogénéité sur la couche d'accès, où le surcoût d'exploitation reste limité si la supervision est commune.
Un switch de cœur doit-il forcément être en niveau 3 ?
Dès qu'il y a plusieurs VLAN et un volume de trafic interne significatif, oui. Faire remonter tout le routage inter-VLAN jusqu'au pare-feu fonctionne sur un petit site, mais crée un goulot d'étranglement et une dépendance inconfortable : une maintenance du pare-feu coupe alors les échanges internes. Sur un site de moins de cinquante équipements avec deux ou trois VLAN, un cœur de niveau 2 et un routage sur le pare-feu restent parfaitement acceptables.
Faut-il un onduleur sur chaque commutateur ?
Sur tous ceux qui portent un service qui doit survivre à une micro-coupure, oui — et cela inclut les switches PoE alimentant caméras, téléphonie et contrôle d'accès. Un onduleur mal dimensionné est toutefois inutile : il faut compter la consommation propre du commutateur plus l'intégralité du budget PoE mobilisé. C'est fréquemment le poste sous-estimé d'un projet, et celui qui fait qu'une baie tient trois minutes au lieu des trente annoncées.