Le projet en chiffres
- 8nœuds optiques (NRO) reliés en anneau
- 10 Gb/sentre chaque nœud, sur fibre noire en droit d’usage 20 ans
- ≈ 150bâtiments publics visés, sur une trentaine de communes
- ÷ 3coût télécom annuel visé, grâce à deux accès Internet mutualisés
Contexte
Un abonnement par bâtiment, ou un réseau pour tous
Chaque mairie, école, médiathèque ou crèche avait sa propre box, son abonnement et ses équipements, souvent anciens et sans supervision. Le réseau d’initiative publique du département offrait une autre voie : louer des fibres noires pour vingt ans et construire un groupe fermé d’utilisateurs (GFU), c’est-à-dire un réseau privé qui relie tous les sites à deux sorties Internet communes.
L’intercommunalité porte le cœur du réseau et le partage avec les communes volontaires par une convention de service commun. Le coût passe du fonctionnement à l’investissement, et le niveau de service monte : liens dédiés, segmentation, pare-feu central, supervision.
Architecture
Une fabric VXLAN sur trois couches
Le cœur a été conçu et installé avec un intégrateur. Les deux couches du bas sont celles où j’ai le plus travaillé.
Underlay et overlay
- 8 commutateurs Aruba CX 6300M, dont deux en stack VSF
- Liens point à point en OSPF, aire 0, MTU 9198
- BGP EVPN en iBGP, avec réflecteur de routes au cœur
- Chaque VLAN est transporté dans son VNI ; un VRF d’overlay pour le routage
Deux pare-feux, deux rôles
- Un pare-feu WAN pour les sorties Internet et les publications
- Un pare-feu LAN qui filtre entre communes et usages
- Raccordés au cœur en agrégats LACP
- Ancien pare-feu du siège gardé pendant la transition, relié par un VLAN d’interconnexion
Un switch par bâtiment
- Aruba CX 6100 raccordé au NRO par un SFP+ BiDi sur une seule fibre
- Un plan de VLAN par commune : serveurs, téléphonie, postes, Wi-Fi, impression, GTC, alarmes, vidéo
- VLAN mutualisés pour l’administration des switches et du Wi-Fi
- Supervision et configuration centralisées dans Aruba Central
Mon rôle
Passer du réseau livré au réseau utilisé
Une fois la boucle en service, il restait le plus long : faire basculer chaque bâtiment sans interrompre ceux qui y travaillent. J’ai pris en charge une grande part de cette phase, du relevé sur place à la recette, et la documentation qui permet à l’équipe de l’exploiter.
- Audit des sites avant migration : relevé des prises, tables MAC et voisins LLDP de l’ancien switch, inventaire des équipements et des flux.
- Préparation et pose des switches d’accès : plus de 50 configurations écrites et tenues à jour, une description par port.
- Migration des bornes Wi-Fi vers la gestion cloud, sans coupure, avec une procédure que j’ai écrite.
- Préparation de la bascule des publications Internet vers le nouveau pare-feu : recensement de chaque flux entrant et de sa cible.
- Exploitation : supervision, mises à jour de firmware, gestion des comptes et des licences dans Aruba Central.
- Suivi du déploiement site par site : état du raccordement, matériel, ce qui reste à migrer.
Méthode
La migration d’un site, dans l’ordre
Le même déroulé sert pour une école à un switch comme pour un bâtiment technique avec GTC, alarmes et vidéoprotection. Seule la fiche site change.
Audit sur place
Sauvegarde de la configuration existante, tables MAC, voisins LLDP, photos du câblage et des uplinks, relevé prise par prise.
Fiche site
Sous-réseaux et passerelles, équipements critiques, flux entre VLAN et vers l’extérieur, cas particuliers : téléphonie, GTC, contrôle d’accès, alarmes.
Configuration
Le modèle de switch rempli avec les variables du site, puis relu par un autre administrateur avant d’être chargé en atelier.
Panel test
Le nouveau switch posé à côté de l’ancien. Une ou deux personnes testent session, partages, Internet, téléphone, Wi-Fi et impression.
Bascule
Coupure annoncée, câbles étiquetés et reportés, uplink fibre vers le NRO. Le retour arrière est prêt : il suffit de remettre l’ancien switch.
Recette
VLAN actifs, uplink UP/UP, route par défaut, DHCP dans le bon sous-réseau. Fiche signée, inventaire et photos archivés.
Extrait de configuration
Un switch d’école, port par port
Extrait réécrit à partir d’une configuration réelle : noms, numéros et adresses sont fictifs, la structure est celle du terrain.
- vlan 41 à 49, 410
- La commune n° 4 a sa dizaine de VLAN ; l’usage se lit dans le dernier chiffre. Une règle simple, que tout le monde retient.
- description
- Chaque port dit ce qui y est branché et où. C’est le relevé de prises fait sur place, reporté dans le switch.
- shutdown
- Une prise vide reste coupée : rien ne se branche par hasard sur le réseau.
hostname COM4-6100-112-ECOLE ! VLAN de la commune 4 (dizaine 4x) vlan 41 name COM4_LAN_SRV vlan 43 name COM4_LAN_USER vlan 44 name COM4_LAN_WIFI vlan 45 name COM4_LAN_PRT ! VLAN mutualisés : administration vlan 1104 name MUTU_MGMT_SW vlan 1107 name MUTU_MGMT_WIFI spanning-tree ! Uplink vers le NRO : SFP+ BiDi, une fibre interface 1/1/28 description UPLINK NRO-3 port 1/1/14 no shutdown vlan trunk native 1 vlan trunk allowed 41-49,410,1104,1107 interface 1/1/1 description P1 - IMPRIMANTE SALLE DES MAITRES no shutdown vlan access 45 interface 1/1/4 description P4 - BORNE WIFI COULOIR no shutdown vlan trunk native 1107 vlan trunk allowed 44,1107 interface 1/1/5 description P5 - VIDE shutdown
Cas concret
Migrer une borne Wi-Fi sans couper le Wi-Fi
Une borne doit d’abord joindre son cloud de gestion par un VLAN d’administration, recevoir sa politique, puis seulement passer en trunk avec les VLAN de ses réseaux sans fil. Faire les deux à la fois, c’est perdre la borne. J’ai écrit une procédure courte qui fixe l’ordre et garde un ping continu du début à la fin : on ne passe à l’étape suivante que quand le ping le permet.
- Port en accès sur le VLAN d’administration du Wi-Fi, puis shut / no shut pour que la borne refasse sa demande DHCP.
- La borne apparaît dans le cloud : affecter la politique et vérifier le modèle de configuration.
- Lancer un ping continu depuis le pare-feu LAN, puis la mise à jour de la borne.
- Quand le ping s’arrête (redémarrage), passer le port en trunk avec les VLAN des réseaux sans fil.
- Le ping revient : la borne est en place. Vérifier chaque SSID.
Documents produits
Ce que l’équipe garde après moi
Guide d’exploitation Aruba Central
Supervision et alertes, groupes et sites, firmware, console à distance, édition de plusieurs switches à la fois.
Gestion des accès administrateurs
Création des comptes, rôles et périmètre sur la plateforme cloud, pour qu’un nouvel arrivant soit autonome.
Fiches de migration de site
Audit, plan d’adressage, inventaire et flux pour chaque bâtiment, sur le modèle commun du projet.
Procédure des bornes Wi-Fi
La bascule sans coupure décrite plus haut, étape par étape.
Tableau des publications Internet
Chaque flux entrant, son port et sa cible interne, rassemblés avant la bascule vers le nouveau pare-feu.
Suivis de déploiement et de licences
L’état de chaque site, le matériel à commander ou à récupérer, les licences par commune et leurs échéances.
Compétences mobilisées
Outils et savoir-faire
Réseau
- VLAN
- VXLAN
- BGP EVPN
- OSPF
- LACP
- VSF
- STP
- DHCP relay
Matériel
- Aruba CX 6300 / 6100
- AOS-CX
- SFP+ BiDi
- Bornes Wi-Fi cloud
- FortiGate
- Stormshield
Exploitation
- Aruba Central
- HPE GreenLake
- Firmware
- Licences
- Supervision
- NAT / publications
Conduite
- Audit de site
- Plan de migration
- Retour arrière
- Recette
- Documentation
- Lien utilisateurs
Ce que j’en retiens
Le schéma du cœur tient sur une page. La difficulté est dans chaque bâtiment : une alarme branchée sur une box, une GTC sur un vieux switch, une imprimante que personne n’a déclarée.
L’audit sur place et le panel de test ont évité la plupart des surprises. Le retour arrière préparé à chaque fois a permis d’avancer vite sans prendre de risque pour les usagers.