VPN site à site vs SD-WAN : quel choix pour les entreprises multi-sites ?

Le VPN site à site : la solution traditionnelle

Le VPN site à site (IPsec ou SSL) crée un tunnel chiffré entre deux ou plusieurs sites via Internet. Il est géré par des pare-feu ou des routeurs à chaque extrémité. Avantages : technologie mature, coût faible (le tunnel IPsec est souvent inclus dans les pare-feu existants), bonne sécurité si bien configuré. Inconvénients : performances limitées (le trafic de tous les sites transite souvent par le siège — effet dit de trombone), gestion complexe quand le nombre de sites augmente (N sites = N*(N-1)/2 tunnels), et absence d'optimisation des flux selon la qualité des liens.

Le SD-WAN : intelligence et flexibilité

Le SD-WAN (Software-Defined Wide Area Network) est une approche de virtualisation du réseau étendu. Il utilise un plan de contrôle centralisé pour piloter de façon intelligente plusieurs liens WAN (fibre, ADSL, 4G, MPLS). Chaque site dispose d'un équipement SD-WAN (boîtier physique ou virtuel) qui mesure en temps réel la qualité de chaque lien et route les flux critiques sur le meilleur chemin disponible. La VoIP passe par la fibre, la sauvegarde par le lien secondaire.

Performances : la grande différence

Avec un VPN classique, une communication entre l'agence de Metz et l'agence de Mulhouse peut transiter par le siège à Nancy (effet trombone), ajoutant de la latence inutile. Avec le SD-WAN, le trafic peut emprunter le chemin direct entre les deux sites. De plus, le SD-WAN compense automatiquement les problèmes de qualité du lien : si un lien présente de la perte de paquets, le flux est rerouted sur un autre lien en quelques millisecondes. Pour la VoIP multi-sites, la différence de qualité est significative.

Coût et complexité

Le VPN site à site est généralement inclus dans le coût des pare-feu (Fortigate, PfSense), donc son surcoût par rapport à une connexion Internet simple est faible. Le SD-WAN représente un investissement plus important : les boîtiers SD-WAN coûtent de 500 à 3 000 € par site selon le constructeur (Fortinet Secure SD-WAN, Cisco Meraki, Silver Peak), plus un abonnement de gestion. Pour 2 sites, le VPN est souvent suffisant. À partir de 3 à 4 sites avec des besoins VoIP importants, le SD-WAN commence à se justifier économiquement.

Recommandation : quel choix selon votre situation ?

2 sites, usage modéré : VPN site à site sur pare-feu existants, suffisant et économique. 3 à 5 sites avec VoIP et cloud intensifs : SD-WAN pour optimiser les flux et améliorer la résilience. Plus de 5 sites ou croissance prévue : SD-WAN avec orchestration centralisée, indispensable pour gérer la complexité. Dans tous les cas, HEConcept réalise un audit réseau et dimensionne la solution la mieux adaptée à votre topologie de sites, vos flux métiers et votre budget.

Questions fréquentes