SD-WAN vs MPLS : comment réduire votre facture télécom de 40% tout en gagnant en flexibilité ?

En tant que DSI, vous êtes face à un paradoxe constant : les coûts de vos liaisons MPLS ne cessent d’augmenter, tandis que la performance perçue par vos utilisateurs, notamment sur les services cloud comme Office 365 ou Salesforce, se dégrade. Le trafic est centralisé, créant des goulots d’étranglement, et chaque nouvelle ouverture de site se transforme en un projet de plusieurs mois, plombant l’agilité de l’entreprise. Vous entendez parler du SD-WAN comme d’une solution miracle, mais vous vous méfiez des promesses marketing et craignez pour la sécurité et la fiabilité de vos flux critiques.

L’approche classique consiste à opposer frontalement les deux technologies. Pourtant, cette vision binaire est dépassée. La véritable question n’est plus de choisir entre MPLS et SD-WAN, mais de comprendre comment les faire coexister pour bâtir une architecture réseau résiliente, performante et surtout, économiquement viable. L’enjeu est de passer d’une logique de « tuyaux » subis à une stratégie de « flux » maîtrisés.

Cet article n’est pas un simple comparatif. C’est un guide stratégique conçu pour vous, DSI, afin de vous donner les clés pour auditer votre existant, identifier les quick wins, et piloter une transition intelligente. Nous verrons comment le SD-WAN répond aux nouveaux usages, comment sécuriser des liens internet publics, optimiser la voix sur IP, et finalement, quelle stratégie adopter pour les accès distants dans un monde où le périmètre de l’entreprise n’existe plus.

Pour naviguer efficacement à travers les différentes facettes de cette transformation réseau, cet article est structuré en plusieurs sections clés. Chacune aborde un défi spécifique que vous rencontrez au quotidien et propose des solutions pragmatiques basées sur une orchestration intelligente des technologies SD-WAN et MPLS.

Pourquoi le MPLS devient-il un frein à l’adoption des services cloud comme Office 365 ?

Le MPLS a été conçu à une époque où les applications étaient hébergées au siège. Le trafic des agences était logiquement rapatrié vers le data center central avant de sortir (ou non) vers Internet. Aujourd’hui, avec l’explosion des services SaaS, cette architecture devient un véritable goulot d’étranglement. Le trafic destiné à Office 365, hébergé dans le cloud Microsoft, est obligé de faire un aller-retour inutile jusqu’à votre data center avant de repartir vers sa destination. Ce phénomène, appelé backhauling ou « effet trombone », engendre une latence considérable.

Cette latence n’est pas anecdotique ; elle a un impact direct sur la productivité. Selon une enquête, plus de 37% des entreprises citent la latence excessive comme le principal frein à un déploiement réussi d’Office 365. Les utilisateurs se plaignent de lenteurs sur SharePoint, de coupures sur Teams, et finissent par percevoir le service comme étant de mauvaise qualité, alors que le problème réside dans l’infrastructure réseau.

L’illustration ci-dessous schématise parfaitement ce trajet inefficace du trafic en mode MPLS traditionnel, comparé à l’accès direct et optimisé permis par le SD-WAN.

Le SD-WAN résout ce problème en instaurant une intelligence au niveau des agences. Le boîtier SD-WAN est capable d’identifier le trafic destiné au cloud (comme Office 365) et de le router directement vers Internet via un lien local sécurisé. C’est ce qu’on appelle le « Local Breakout ». Le trafic critique destiné au siège, lui, peut continuer à passer par un lien MPLS s’il en existe un. Cette approche granulaire assure la meilleure performance pour chaque application, sans sacrifier la sécurité.

Comment le SD-WAN sécurise-t-il le trafic d’entreprise sur une simple ligne fibre grand public ?

La principale crainte des DSI concernant le SD-WAN est d’exposer le trafic de l’entreprise sur l’Internet public, perçu comme bien moins sûr qu’un réseau MPLS privé et isolé. C’est une préoccupation légitime, mais qui ignore les multiples couches de sécurité natives du SD-WAN. Contrairement au MPLS où la sécurité est souvent une option coûteuse, le SD-WAN est conçu dès le départ avec une approche « security-by-design ».

Le premier mécanisme est le chiffrement systématique. Tout le trafic qui transite entre les boîtiers SD-WAN (que ce soit entre deux sites ou entre un site et le cloud) est encapsulé dans un tunnel sécurisé. La norme est le chiffrement AES-256, le même standard que celui utilisé par les gouvernements et les banques. Même si un acteur malveillant parvenait à intercepter les paquets sur le lien fibre, il ne pourrait absolument rien en faire car les données seraient indéchiffrables.

Au-delà du chiffrement, le SD-WAN apporte des concepts de sécurité avancés qui surpassent souvent les capacités d’un réseau MPLS classique. La micro-segmentation permet de créer des réseaux virtuels complètement isolés pour différents types de trafic (par exemple, un segment pour les terminaux de paiement, un pour les invités, un pour les serveurs). Si un appareil est compromis dans un segment, il ne peut pas infecter les autres. C’est une protection bien plus granulaire que les simples VLANs.

Le tableau suivant synthétise les différences d’approche en matière de sécurité entre les deux technologies.

Finalement, l’évolution naturelle du SD-WAN est l’architecture SASE (Secure Access Service Edge), qui fusionne les fonctionnalités réseau et sécurité dans un service cloud unique. Cela inclut le pare-feu nouvelle génération (NGFW), la prévention d’intrusion (IPS), et la protection anti-malware, directement gérés depuis l’orchestrateur central. Le SD-WAN ne se contente donc pas de sécuriser le trafic sur Internet, il élève le niveau de sécurité global du réseau d’entreprise. D’après une analyse de FS Community,  » avec l’architecture SD-WAN, une entreprise peut bénéficier d’un cryptage de bout en bout sur l’ensemble du réseau, y compris le WAN sans fil, l’Internet et le MPLS privé. »

L’erreur de configuration qui hache la voix sur vos appels inter-sites

La voix sur IP (VoIP) est l’une des applications les plus sensibles à la qualité du réseau. Un simple e-mail peut attendre quelques millisecondes de plus sans que personne ne s’en aperçoive. Mais pour une conversation téléphonique, la moindre dégradation (latence, gigue, perte de paquets) se traduit immédiatement par des hachures, des échos ou une coupure pure et simple. Beaucoup de DSI pensent à tort que le SD-WAN, en utilisant des liens internet, est incapable de garantir une qualité de voix équivalente à celle du MPLS. C’est faux.

L’erreur n’est pas dans la technologie, mais dans sa configuration. La clé du succès pour la VoIP en SD-WAN réside en trois lettres : QoS (Quality of Service). Une solution SD-WAN de qualité professionnelle offre des mécanismes de QoS extrêmement fins qui permettent de prioriser le trafic voix sur tout le reste. Un paquet de voix doit être traité comme un VIP, passant devant les téléchargements de fichiers lourds ou la simple navigation web. Un réseau MPLS de qualité opérateur offrira une livraison de paquets entre sites distants dans une proportion de 99,9%, un standard que le SD-WAN peut atteindre et même dépasser grâce à sa gestion intelligente.

Le SD-WAN va même plus loin que le MPLS. Grâce à sa capacité à agréger plusieurs liens (par exemple, une fibre et une 4G/5G), il peut dupliquer les paquets de voix critiques sur les deux liens simultanément. Le premier paquet arrivé à destination est utilisé, l’autre est descarté. Cette technique, appelée « Packet Duplication », élimine virtuellement la perte de paquets et garantit une qualité de conversation parfaite, même si l’un des liens connaît une micro-coupure. De plus, la mesure en temps réel de la latence et de la gigue sur chaque lien permet au SD-WAN de basculer la voix sur le meilleur chemin disponible à tout instant.

Ne pas configurer la QoS sur un réseau SD-WAN est l’erreur la plus commune, et celle qui mène inévitablement à une mauvaise expérience utilisateur. Il est impératif de définir des règles claires pour que le système puisse identifier et choyer le trafic voix.

Comment connecter une nouvelle agence au réseau d’entreprise en moins de 48h ?

Dans un environnement MPLS traditionnel, l’ouverture d’une nouvelle agence est un processus long et coûteux. Il faut commander une nouvelle ligne auprès de l’opérateur, ce qui peut prendre de 2 à 6 mois selon la localisation. Ensuite, un technicien doit se déplacer pour installer et configurer le routeur. Cette lenteur est en contradiction totale avec les besoins d’agilité des entreprises modernes qui doivent pouvoir ouvrir ou déplacer des sites rapidement.

Le SD-WAN révolutionne ce processus grâce à un concept appelé Zero Touch Provisioning (ZTP). L’idée est d’une simplicité déconcertante : le boîtier SD-WAN est expédié directement sur le nouveau site, sans aucune configuration préalable. N’importe quel employé sur place peut le brancher : une prise électrique, un câble vers la box internet locale (fibre, ADSL…) et éventuellement une antenne 4G/5G. C’est tout.

Une fois sous tension et connecté à Internet, le boîtier contacte automatiquement l’orchestrateur central dans le cloud. Il s’identifie grâce à son numéro de série unique, est reconnu par la plateforme, et télécharge instantanément toute sa configuration : règles de sécurité, politiques de QoS, tunnels VPN vers les autres sites… En quelques minutes, sans aucune intervention manuelle d’un ingénieur réseau, la nouvelle agence est entièrement intégrée au réseau de l’entreprise, de manière sécurisée et optimisée.

Cette approche change radicalement la donne pour le déploiement de nouveaux sites. La dépendance vis-à-vis des délais des opérateurs télécoms est levée. Vous pouvez démarrer l’activité d’un site temporaire ou d’un pop-up store en quelques heures en utilisant uniquement une connexion 4G/5G, puis basculer de manière transparente sur une connexion fibre une fois qu’elle est disponible, sans aucune interruption de service. Cette agilité opérationnelle est l’un des bénéfices les plus tangibles et les plus immédiatement rentables du SD-WAN.

Quand conserver une ligne MPLS critique tout en délestant le trafic web sur du SD-WAN ?

La migration vers le SD-WAN ne doit pas être une approche « big bang » où l’on remplace 100% du MPLS du jour au lendemain. Une telle stratégie serait risquée et ignorerait la principale force du SD-WAN : sa capacité à gérer intelligemment plusieurs types de liens. L’approche la plus pragmatique et la plus rentable est la stratégie hybride. Elle consiste à conserver un lien MPLS, souvent de plus faible débit et donc moins cher, pour les applications absolument critiques, tout en délestant la majorité du trafic sur des liens internet à haut débit et à bas coût.

La question n’est plus « MPLS ou SD-WAN ? » mais « Quel trafic sur quel lien ? ». La réponse dépend de la nature de vos applications. Pour un flux de réplication de données entre deux data centers ou une application de trading haute fréquence, où chaque milliseconde compte et où la perte d’un seul paquet est inacceptable, le MPLS avec son SLA (Service Level Agreement) garanti reste souvent la meilleure option. En revanche, pour la navigation web des employés, les mises à jour logicielles ou l’accès aux applications SaaS non critiques, un lien fibre internet standard est plus que suffisant et coûte une fraction du prix.

L’orchestrateur SD-WAN est le chef d’orchestre qui applique cette politique de routage. Il identifie chaque flux applicatif et le dirige vers le « bon » tuyau en fonction des règles que vous avez définies. C’est cette intelligence qui permet de réaliser des économies drastiques. Selon l’enquête IDC Global SD-WAN Survey, près d’un tiers des entreprises s’attendent à économiser plus de 20% sur leurs coûts WAN grâce à cette approche. En pratique, en délestant 80% du trafic sur des liens internet, les économies peuvent atteindre et même dépasser les 40%.

La matrice de décision ci-dessous vous aide à classifier vos applications et à choisir la bonne stratégie de transport pour chacune.

VPN Client-to-Site : comment garantir que le PC du télétravailleur n’infecte pas le réseau principal ?

Avec la généralisation du télétravail, le périmètre de sécurité de l’entreprise a volé en éclats. Le VPN traditionnel, qui crée un simple tunnel chiffré entre le PC du collaborateur et le réseau de l’entreprise, repose sur une confiance aveugle. Une fois l’utilisateur authentifié, son appareil est considéré comme « de confiance » et a une visibilité potentiellement large sur le réseau interne. C’est un risque majeur : si le PC du télétravailleur est infecté par un malware, celui-ci peut se propager librement sur le réseau de l’entreprise via le tunnel VPN.

Pour contrer ce risque, une nouvelle approche s’est imposée : le Zero Trust Network Access (ZTNA). Comme son nom l’indique, ce modèle part du principe qu’il ne faut faire confiance à personne par défaut, ni à l’utilisateur, ni à son appareil. L’accès n’est pas accordé à l’ensemble du réseau, mais de manière granulaire, application par application, et pour une session unique, après une vérification rigoureuse de multiples facteurs.

Le ZTNA, souvent une composante de l’architecture SASE (qui combine SD-WAN et sécurité cloud), va bien au-delà de la simple vérification d’un mot de passe. Avant d’autoriser l’accès à une application, le système va contrôler la « posture » de l’appareil demandeur. Est-ce que le système d’exploitation est à jour ? L’antivirus est-il activé et ses signatures sont-elles récentes ? Le disque dur est-il bien chiffré ? L’appareil possède-t-il un certificat d’entreprise valide ?

Le ZTNA donne une ‘clé pour une seule porte (application), pour une seule session’, après avoir vérifié l’identité de l’utilisateur ET l’état de son appareil

– Expert en sécurité réseau, Napsis – SD-WAN vs MPLS

Si l’une de ces conditions n’est pas remplie, l’accès est refusé, ou l’utilisateur peut être redirigé vers un « VLAN de remédiation » avec des instructions pour mettre son poste en conformité. Cette approche garantit qu’un appareil non sécurisé ne pourra jamais se connecter aux ressources critiques de l’entreprise, créant ainsi une barrière efficace contre la propagation des menaces.

Comment configurer votre DMZ pour exposer vos services web sans mettre en danger le réseau interne ?

La Zone Démilitarisée (DMZ) est un concept fondamental en sécurité réseau. C’est une zone tampon qui héberge les services devant être accessibles depuis Internet (serveur web, serveur mail…) tout en les isolant du réseau interne (LAN). Traditionnellement, la DMZ est créée physiquement avec des pare-feux dédiés, ce qui la rend rigide, coûteuse et complexe à faire évoluer.

La philosophie du SD-WAN, basée sur la virtualisation et l’orchestration centralisée, permet de réinventer ce concept. On ne parle plus d’une seule DMZ monolithique, mais de micro-DMZ virtuelles. Grâce à la micro-segmentation, il est possible de créer des dizaines de segments réseau complètement isolés les uns des autres, chacun pouvant agir comme une DMZ dédiée à une seule application ou à un seul service. Cette approche offre une sécurité et une agilité bien supérieures.

Imaginez que votre serveur web, hébergé dans une micro-DMZ, soit compromis. Dans une architecture classique, l’attaquant pourrait tenter de « rebondir » depuis ce serveur pour attaquer d’autres services dans la même DMZ. Avec la micro-segmentation, le serveur web est dans sa propre bulle hermétique. L’attaquant ne peut aller nulle part, l’attaque est contenue. De plus, la gestion est radicalement simplifiée : la création ou la suppression d’une micro-DMZ se fait en quelques clics depuis l’orchestrateur SD-WAN, sans avoir à reconfigurer des équipements physiques. Cette agilité est essentielle dans un environnement où de nouvelles applications sont déployées en continu. D’ailleurs, l’adoption de ces technologies s’accélère : selon une étude Command Link, 26% des organisations avaient déjà déployé le SD-WAN en 2024, avec une large part prévoyant de le faire.

Le tableau ci-dessous met en évidence les avantages de cette approche moderne par rapport à la DMZ traditionnelle.

VPN vs Zero Trust : quelle stratégie d’accès distant pour une entreprise sans périmètre fixe ?

La transformation numérique a fait voler en éclats le concept de périmètre d’entreprise. Les applications sont dans le cloud, les données sont partout et les utilisateurs travaillent depuis n’importe où. Dans ce contexte, la stratégie du « château fort » défendue par les VPN traditionnels n’est plus tenable. Donner un accès large au « réseau » n’a plus de sens ; il faut donner un accès minimal et contrôlé à des « ressources » spécifiques.

C’est tout le changement de paradigme qu’apporte le Zero Trust. La migration d’un modèle basé sur le VPN à une architecture ZTNA ne se fait pas en un jour. C’est un projet stratégique qui doit être planifié par phases, pour une transition en douceur, sans perturber l’activité des utilisateurs et en démontrant la valeur à chaque étape. Les déploiements SD-WAN continuent de croître, tirés par la connectivité cloud et l’intérêt pour les solutions SASE. Le marché de l’infrastructure SD-WAN, qui a connu une croissance de 25% en 2022, devrait atteindre 7,5 milliards de dollars d’ici 2027.

Cette transition est une évolution naturelle qui accompagne la maturité de votre infrastructure réseau. En commençant par une approche hybride MPLS/SD-WAN pour vos sites, vous construisez les fondations techniques et la culture de la sécurité granulaire nécessaires pour, à terme, adopter une véritable stratégie Zero Trust à l’échelle de l’entreprise. Ce n’est plus une question de technologie, mais de vision stratégique de la sécurité et de l’accès à l’information.

La feuille de route suivante présente un plan de migration pragmatique, étalé sur 18 mois, pour passer d’un environnement VPN vieillissant à une architecture ZTNA moderne et sécurisée.

Maintenant que vous avez les clés pour analyser votre trafic et comprendre les bénéfices d’une architecture hybride, l’étape suivante consiste à réaliser un audit précis de vos flux applicatifs pour quantifier les économies potentielles et bâtir un business case solide pour votre direction.