La migration du WAN traditionnel vers le SD-WAN est l’un des chantiers réseau les plus transformateurs pour les entreprises multi-sites. Le SD-WAN promet flexibilité, performance et réduction des coûts. Mais cette transition soulève une question légitime : en abandonnant les circuits MPLS privés au profit de liens Internet, n’expose-t-on pas le réseau à de nouvelles menaces de sécurité ?
La réponse est nuancée. Le SD-WAN introduit effectivement de nouvelles surfaces d’attaque, mais il apporte aussi des mécanismes de sécurité avancés que le WAN traditionnel n’offrait pas. CityPassenger déploie des architectures SD-WAN sécurisées qui combinent performance et protection pour ses clients multi-sites.
Les limites sécuritaires du WAN traditionnel
Le WAN classique, basé sur des circuits MPLS, offre une sécurité de transport par isolation : les données circulent sur un réseau privé de l’opérateur, séparé d’Internet. Mais cette sécurité est souvent surestimée. Le MPLS ne chiffre pas les données en transit — elles sont « simplement » isolées. Un accès physique au réseau opérateur ou une compromission interne permet théoriquement l’interception.
De plus, l’architecture hub-and-spoke du WAN classique concentre tout le trafic Internet sur un point unique (le siège ou le datacenter central), ce qui crée un goulet d’étranglement et un point de défaillance unique. Le trafic cloud d’un site distant doit traverser le WAN jusqu’au siège, sortir sur Internet, puis revenir — un détour qui dégrade les performances.
Les nouvelles surfaces d’attaque introduites par le SD-WAN
Utilisation de liens Internet publics : le SD-WAN utilise typiquement des connexions Internet (fibre, 4G/5G) au lieu de circuits MPLS privés. Ces liens sont par nature exposés aux menaces Internet (DDoS, man-in-the-middle, scans de ports). Le chiffrement IPsec de bout en bout est donc impératif — et heureusement, c’est une fonctionnalité native de tout SD-WAN sérieux.
Breakout Internet local : le SD-WAN permet aux sites distants d’accéder directement à Internet sans passer par le siège. C’est excellent pour la performance (le trafic cloud prend le chemin le plus court) mais chaque site devient un point d’entrée potentiel pour les menaces. Chaque breakout doit être protégé par un pare-feu managé.
Complexité de gestion accrue : le SD-WAN introduit une couche de virtualisation et d’orchestration qui augmente la complexité. Une erreur de configuration (règle de routage mal définie, tunnel non chiffré) peut exposer des données sensibles. La gestion centralisée par un prestataire expert comme CityPassenger élimine ce risque.
Les mécanismes de sécurité natifs du SD-WAN
Chiffrement de bout en bout : tout le trafic inter-sites transite dans des tunnels IPsec AES-256, un niveau de chiffrement considéré comme incassable avec les technologies actuelles. Contrairement au MPLS qui transporte les données en clair, le SD-WAN garantit la confidentialité même si un lien est compromis.
Segmentation micro-applicative : le SD-WAN permet de définir des politiques de sécurité par application. Le trafic ERP emprunte un chemin chiffré via MPLS, le trafic web bureautique sort en local via Internet, le trafic VoIP est priorisé sur le lien le plus stable. Cette granularité dépasse largement ce que le WAN classique permettait.
Visibilité applicative complète : le SD-WAN identifie les applications en temps réel (Deep Packet Inspection) et peut bloquer les applications non autorisées, détecter les flux suspects et fournir des rapports d’utilisation détaillés. La plateforme DigiLAN centralise cette visibilité sur l’ensemble des sites.
L’architecture SASE : la convergence SD-WAN et sécurité
La tendance actuelle est à la convergence du SD-WAN et de la sécurité réseau dans une architecture unifiée appelée SASE (Secure Access Service Edge). Le SASE combine les fonctions SD-WAN (routage intelligent, QoS, résilience) avec des fonctions de sécurité cloud (firewall as a service, CASB, Zero Trust Network Access, secure web gateway).
Cette approche élimine le dilemme performance vs sécurité. Chaque site bénéficie d’un breakout Internet local protégé par une stack de sécurité cloud complète, sans nécessiter d’équipement de sécurité on-premise coûteux sur chaque site.
CityPassenger intègre progressivement les composantes SASE dans ses offres SD-WAN managé, combinant pare-feu managé, authentification RADIUS et monitoring centralisé via DigiLAN pour une posture de sécurité cohérente sur tous les sites.
Réussir la migration WAN vers SD-WAN en toute sécurité
La migration ne doit pas être un big bang. CityPassenger recommande une approche progressive : déployer le SD-WAN en overlay sur l’infrastructure existante (les liens MPLS restent actifs), migrer site par site en commençant par les sites non critiques, valider la sécurité et les performances à chaque étape, puis décommissionner les circuits MPLS une fois le SD-WAN stabilisé.
Cette approche hybride temporaire élimine le risque de rupture de service et permet de revenir en arrière si un problème est détecté. La plateforme DigiLAN orchestre cette cohabitation et fournit une visibilité unifiée sur l’ensemble du réseau (MPLS + SD-WAN) pendant la transition.
FAQ : sécurité du SD-WAN
Le SD-WAN est-il plus sécurisé que le MPLS ?
Paradoxalement, oui — à condition d’être correctement configuré. Le SD-WAN chiffre nativement tout le trafic (ce que le MPLS ne fait pas), offre une visibilité applicative supérieure et permet des politiques de sécurité granulaires par application et par site.
Faut-il conserver un lien MPLS avec le SD-WAN ?
C’est recommandé pendant la phase de transition et pour les applications ultra-critiques qui nécessitent une latence minimale garantie. À terme, la majorité des entreprises migrent entièrement sur SD-WAN avec des liens Internet fibre. CityPassenger dimensionne l’architecture selon votre contexte.
Le SD-WAN est-il conforme aux exigences de sécurité NIS 2 ?
Le SD-WAN managé avec chiffrement, segmentation, monitoring et gestion des incidents répond aux exigences de la directive NIS 2 en matière de sécurité des réseaux et systèmes d’information. CityPassenger documente la conformité dans ses rapports de service.
