Une pelle mécanique coupe votre fibre. Votre entreprise arrête combien de temps?

Il est 9 h 07. Une pelle mécanique travaille devant l'immeuble et, soudainement, tout s'arrête.

Outlook ne se synchronise plus. Teams cherche sa connexion. Les téléphones IP deviennent silencieux. Le logiciel de gestion affiche une erreur et le terminal de paiement tourne dans le vide. Quelqu'un propose de partager la connexion de son téléphone, mais le signal cellulaire passe mal dans l'entrepôt et personne ne sait quels systèmes doivent être rétablis en premier.

La fibre est coupée.

Il y a quelques années, une panne Internet empêchait surtout de naviguer sur le Web. Aujourd'hui, elle peut fermer virtuellement le bureau. La question n'est donc plus de savoir si votre fournisseur offre une bonne connexion. C'est plutôt de savoir ce qui se passe lorsque cette connexion disparaît.

Un seul câble, beaucoup plus qu'Internet

Le passage vers les services infonuagiques a considérablement amélioré la collaboration, le télétravail et la résilience des données. Il a aussi créé une nouvelle dépendance : pour accéder à ces services, il faut une connexion.

Dans une PME moderne, le lien Internet peut alimenter :

• la messagerie et Microsoft 365;
• la téléphonie VoIP;
• le CRM et le logiciel comptable;
• les applications de production;
• les terminaux de paiement;
• les accès VPN et le télétravail;
• les caméras, alarmes et systèmes de contrôle;
• les sauvegardes et la surveillance à distance.

Une seule panne peut donc toucher plusieurs départements en même temps. Ce n'est plus seulement un incident de réseautique : c'est un enjeu de continuité des opérations.

Le Canada en a eu une démonstration spectaculaire le 8 juillet 2022. Une panne du réseau IP central de Rogers a privé plus de 12 millions de clients de services filaires et sans fil pendant 26 heures — de 4 h 58 le 8 juillet à 7 h le 9 juillet, heure de l'Est. Des services essentiels ont également été touchés, dont les paiements électroniques et les virements Interac. L' évaluation indépendante publiée par le CRTC décrit en détail ce qui a prolongé la panne — et ces mécanismes ne sont pas réservés aux grands réseaux.

Votre panne ne fera probablement pas les manchettes nationales. Pour vos employés et vos clients, l'effet peut néanmoins être immédiat.

Deux factures ne garantissent pas deux chemins

La réponse semble évidente : prendre une deuxième connexion auprès d'un autre fournisseur. C'est une excellente base, mais elle ne garantit pas une véritable redondance.

Deux fournisseurs peuvent utiliser le même poteau, entrer dans l'immeuble par le même conduit ou louer une portion de réseau au même transporteur. Une pelle mécanique bien placée peut alors couper les deux services d'un seul coup.

Il faut donc distinguer deux notions :

• la diversité commerciale, soit deux contrats ou deux fournisseurs;
• la diversité physique, soit deux technologies ou deux chemins réellement indépendants.

Le rapport du CRTC est explicite là-dessus, et ses leçons dépassent le cas de Rogers. Parmi les recommandations formelles adressées à l'ensemble des exploitants de réseaux : fournir aux sites critiques une connectivité de secours provenant d'un opérateur tiers, doter le personnel critique de moyens de communication secondaires — comme des cartes SIM d'un autre fournisseur — et exploiter les constellations satellites en orbite basse pour la connectivité de relève des sites distants.

Pour une PME, cela ne signifie pas nécessairement de faire creuser une deuxième entrée de fibre. Une connexion principale filaire peut, par exemple, être jumelée à une relève cellulaire 5G ou, dans certains lieux, à une connexion satellite.

Le bon choix dépend du bâtiment, de la couverture, du nombre d'utilisateurs et des applications qui doivent continuer de fonctionner.

Une relève manuelle n'est pas vraiment une relève

Imaginons que votre connexion secondaire fonctionne parfaitement. Si la bascule exige qu'une personne se déplace, trouve un câble, appelle le fournisseur et reconfigure le pare-feu, votre entreprise vivra quand même une interruption.

Une vraie relève devrait s'activer automatiquement lorsque le lien principal devient indisponible. Le pare-feu ou l'équipement de gestion réseau vérifie continuellement l'état des connexions, détecte la panne, puis redirige le trafic vers le lien secondaire.

Selon la configuration, les employés peuvent ressentir une courte interruption, mais les activités essentielles reprennent sans qu'on transforme la salle des serveurs en centre de crise.

Cette bascule doit aussi fonctionner dans l'autre sens : lorsque le service principal revient, le trafic doit y retourner proprement, sans provoquer une nouvelle coupure.

C'est un aspect fondamental d'une bonne gestion de réseau informatique : la relève n'est pas seulement un abonnement supplémentaire. C'est une configuration surveillée et testée.

Le piège dont personne ne parle : l'adresse IP

Voici l'obstacle qui fait échouer les relèves techniquement bien configurées.

Une bascule automatique règle le trafic sortant : vos employés retrouvent Microsoft 365, le Web, les applications infonuagiques. Mais tout ce qui entre de l'extérieur peut cesser de fonctionner, même quand la relève s'active correctement.

La raison est simple : votre adresse IP publique change. Et une connexion cellulaire de relève arrive rarement avec une adresse IP fixe — elle est souvent dynamique, et fréquemment placée derrière un mécanisme de partage d'adresses qui empêche toute connexion entrante.

Concrètement, pendant la panne, ce qui risque de tomber malgré la relève :

• les tunnels VPN site-à-site vers vos autres bureaux;
• l'accès distant entrant de vos employés ou de votre fournisseur TI;
• toute redirection de port vers un serveur, une caméra ou un système de contrôle;
• les services hébergés sur place que des tiers doivent joindre;
• les règles de pare-feu ou les listes d'autorisation d'un partenaire qui filtrent par adresse IP.

Ce point se règle à la conception, pas pendant la panne. Les solutions existent — deuxième lien filaire avec IP fixe, service de tunnel infonuagique, architecture SD-WAN, hébergement du point de rencontre VPN à l'extérieur plutôt que chez vous. Mais elles supposent qu'on ait posé la question avant.

Votre outil de dépannage dépend-il du lien à dépanner?

C'est la leçon la plus transférable du rapport du CRTC, et elle est passée inaperçue dans la couverture médiatique.

Le réseau de gestion de Rogers — celui qui sert justement à diagnostiquer et à réparer — reposait sur le réseau IP central de l'entreprise. Quand celui-ci est tombé, les employés à distance n'ont plus pu y accéder. Le centre d'opérations réseau et les sites critiques n'avaient pas de connectivité de secours provenant d'un autre fournisseur. Résultat : Rogers a dû dépêcher du personnel sur place pour accéder physiquement aux routeurs, ce qui a retardé le rétablissement. Et comme le personnel de gestion des incidents utilisait lui-même les services mobiles de l'entreprise pour communiquer, il a fallu expédier des cartes SIM d'autres opérateurs vers les sites distants avant que les équipes puissent se parler.

Transposez à l'échelle d'une PME. Pendant une panne :

• votre outil de gestion à distance ne rejoint plus vos postes et vos serveurs;
• votre fournisseur TI ne peut plus se connecter pour diagnostiquer;
• votre surveillance ne remonte plus d'alertes — ou vous en envoie une seule, celle qui dit que tout est injoignable;
• vos sauvegardes hors site ne se font plus;
• et si votre téléphonie passe par le même lien, vous ne pouvez même pas appeler pour signaler la panne.

Autrement dit, le moment où vous avez le plus besoin de votre fournisseur TI est précisément celui où il ne peut plus rien faire à distance. Une relève bien conçue doit prévoir un chemin d'administration indépendant — même modeste, même lent. Il ne sert qu'à une chose, mais il sert le jour où tout le reste est tombé.

Tout ne peut pas être prioritaire

Une connexion 5G de secours n'aura probablement pas la même capacité qu'une fibre dédiée. Elle peut suffire pour les courriels, la téléphonie et les transactions critiques, mais pas pour soutenir simultanément les sauvegardes, les vidéoconférences de toute l'équipe et le téléchargement de fichiers volumineux.

Il faut donc décider à l'avance ce qui passe en premier.

Pendant une panne, une entreprise pourrait prioriser :

1. la téléphonie et les communications avec les clients;
2. les applications nécessaires aux ventes ou à la production;
3. les paiements et transactions;
4. les accès administratifs essentiels;
5. la messagerie et la collaboration de base.

Les usages moins urgents peuvent être ralentis ou suspendus temporairement. Cette hiérarchie empêche la connexion de relève d'être saturée au moment précis où l'entreprise en a le plus besoin.

Le téléphone dépend-il du même lien?

Avec la fin progressive du téléphone traditionnel , de plus en plus d'entreprises utilisent la VoIP. La technologie est flexible et efficace, mais elle dépend généralement du réseau local, de l'alimentation électrique et d'Internet.

Une stratégie de relève doit donc inclure la voix, pas uniquement les données. Les appels peuvent-ils automatiquement utiliser le lien secondaire? Peuvent-ils être redirigés vers des téléphones cellulaires? L'équipe possède-t-elle une liste de contacts accessible sans Microsoft 365?

Le rapport du CRTC le dit d'ailleurs explicitement dans ses leçons : il faut fournir au personnel critique des moyens de communication secondaires. Chez Rogers, l'absence de tels moyens a ralenti la réponse à la panne. Dans une PME, ça se traduit par une question simple : si le réseau tombe, comment votre équipe se coordonne-t-elle?

Votre plan de communication doit survivre à la panne qu'il est censé gérer.

N'oubliez pas l'électricité

La fibre peut fonctionner, la connexion 5G peut être disponible et la bascule automatique peut être correctement configurée. Si le pare-feu et les commutateurs s'éteignent pendant une panne de courant, rien de tout cela ne servira.

Les équipements essentiels — modem, pare-feu, commutateurs, contrôleur Wi-Fi et, selon l'environnement, téléphones — devraient être protégés par une alimentation sans interruption adaptée. Il faut aussi connaître son autonomie réelle : dix minutes permettent d'absorber une microcoupure, mais pas nécessairement une panne prolongée.

Internet, le réseau local et l'électricité forment une chaîne. La relève est aussi solide que son maillon le plus faible.

Le test que personne ne veut faire

Beaucoup d'entreprises paient une connexion secondaire pendant des années sans jamais vérifier si elle prend réellement la relève. Le premier test arrive alors le jour de la panne — exactement au pire moment.

Le rapport du CRTC contient à ce sujet un détail qui devrait faire réfléchir tout le monde. La panne de Rogers est survenue pendant la sixième phase d'une mise à niveau en sept étapes. L'entreprise avait initialement évalué le risque de ce processus comme « élevé ». Mais comme les phases précédentes s'étaient déroulées sans incident, l'algorithme d'évaluation a rétrogradé le risque de la sixième phase à « faible » — ce qui a dispensé le personnel des tests en laboratoire et des approbations supplémentaires normalement exigés pour ce type de changement.

Ça avait fonctionné cinq fois, donc on a arrêté de vérifier.

C'est exactement le mécanisme qui fait qu'une connexion de relève n'est jamais testée : elle n'a jamais servi, donc on suppose qu'elle fonctionne. Le rapport recommande d'ailleurs, pour tous les exploitants de réseaux, de simuler et de pratiquer des scénarios de panne afin de découvrir les déficiences avant qu'elles se manifestent.

Un exercice contrôlé permet de répondre à des questions très simples :

• La bascule se fait-elle automatiquement?
• Combien de temps prend-elle?
• Les téléphones fonctionnent-ils encore?
• Les applications critiques demeurent-elles accessibles?
• Les accès entrants — VPN, télétravail, administration à distance — survivent-ils au changement d'adresse IP?
• La connexion secondaire supporte-t-elle la charge prévue?
• Les alertes se rendent-elles à la bonne personne?
• Le retour au lien principal se fait-il correctement?

Ce test devrait être planifié périodiquement, comme on teste une restauration de sauvegarde ou un plan de reprise après sinistre . Il vaut mieux découvrir un problème pendant un exercice de quinze minutes que pendant une journée complète d'arrêt.

Six questions pour faire le point

Une panne Internet peut venir d'une excavation, d'un équipement défectueux, d'une panne électrique, d'une erreur de configuration ou d'un problème majeur chez le fournisseur. Vous ne contrôlez pas toujours la cause. Vous contrôlez toutefois la façon dont votre entreprise réagit.

Vous pouvez dresser un premier portrait avec six questions :

1. Quelles activités cessent si Internet tombe maintenant?
2. Avons-nous une deuxième connexion réellement indépendante — pas seulement une deuxième facture?
3. La bascule est-elle automatique et surveillée?
4. Nos accès entrants survivent-ils au changement d'adresse IP?
5. Notre fournisseur TI peut-il encore nous rejoindre pendant la panne?
6. Quand avons-nous testé le scénario pour la dernière fois?

Si la réponse à la dernière question est « jamais », vous avez déjà trouvé la prochaine étape.

La meilleure connexion de relève n'est pas nécessairement la plus rapide ni la plus coûteuse. C'est celle qui utilise un chemin suffisamment indépendant, s'active sans improvisation, protège les services essentiels, laisse une porte ouverte à ceux qui doivent intervenir — et a déjà prouvé qu'elle fonctionne.

Si une pelle mécanique coupe votre fibre demain matin, vos employés attendront-ils le technicien — ou continueront-ils à travailler?

Un projet TI ou une question?

MMO Techno peut évaluer vos dépendances, configurer une connexion de relève et tester la bascule avec votre équipe avant qu'une vraie panne mette vos opérations sur pause.

Parlez à un expert MMO Techno .