MPLS vs IPsec pour relier vos sites selon leurs contraintes réelles

Relier deux sites avec un tunnel IPsec est relativement simple. À vingt agences, avec de la téléphonie IP, un ERP centralisé et plusieurs accès opérateurs, le sujet change de nature. Le comparatif MPLS vs IPsec porte moins sur le protocole lui-même que sur le niveau de maîtrise attendu sur le transport des flux.

Le premier chiffre à regarder n’est donc pas le prix mensuel de la liaison. Il faut savoir ce que transporte chaque site, ce qui supporte une variation de latence, ce qui exige une QoS stable et ce que coûterait réellement une interruption.

Si l’arbitrage technique est déjà fait et que le besoin porte sur le déploiement du réseau, notre page consacrée au VPN d’entreprise multi-sites détaille la collecte des accès, la QoS, la supervision et les engagements de service.

MPLS vs IPsec reposent sur deux modèles de transport différents

Les deux architectures permettent d’interconnecter des réseaux distants. Elles n’agissent cependant pas au même niveau.

Un VPN IPsec chiffre les flux transportés sur un réseau IP

IPsec crée un tunnel chiffré entre deux extrémités. Dans une architecture intersites classique, il s’agit souvent de firewalls ou de routeurs installés sur chaque implantation.

Le trafic continue généralement d’emprunter Internet. IPsec protège alors sa confidentialité, son intégrité et l’authenticité des extrémités du tunnel.

Cette indépendance vis-à-vis d’un réseau privé opérateur constitue l’un de ses principaux intérêts. Une entreprise peut établir un tunnel entre deux sites raccordés par des fournisseurs différents, intégrer rapidement une implantation temporaire ou utiliser une fibre Internet standard.

L’administration ne doit toutefois pas être confondue avec le protocole. Un réseau IPsec peut être géré équipement par équipement, mais les firewalls modernes disposent également de plateformes de gestion centralisée.

Avec IPsec, le chiffrement est maîtrisé. La qualité du transport entre les deux extrémités dépend en revanche du réseau emprunté.

Un VPN MPLS confie davantage de transport au réseau opérateur

MPLS utilise des labels pour acheminer les flux à travers le réseau de l’opérateur. Une fois le trafic entré dans ce réseau, les équipements MPLS utilisent ces labels pour déterminer son traitement et son chemin logique.

Cette architecture permet notamment à l’opérateur d’appliquer des classes de service sur les différents flux et de mesurer la qualité du transport sur l’infrastructure qu’il exploite.

Le MPLS prend donc son intérêt quand l’entreprise veut aller au-delà de la simple connectivité IP.

Une voix téléphonique, une session de visioconférence et une sauvegarde peuvent emprunter le même lien physique sans être traitées avec la même priorité.

Pour comprendre le mécanisme plus en détail, notre guide consacré au fonctionnement du MPLS explique la commutation par labels, les classes de service et leur rôle dans un réseau WAN.

Tableau comparatif MPLS vs IPsec pour un réseau multi-sites

Critère	MPLS	IPsec sur Internet
Transport	Réseau opérateur	Réseau IP, généralement Internet
Chiffrement natif	Non	Oui
QoS de bout en bout	Possible si prévue par le service opérateur	Limitée au périmètre maîtrisé
Latence et gigue	Mesurables sur le réseau opérateur	Dépendent du parcours Internet
Multi-opérateurs	Possible selon l’offre de collecte	Naturellement possible
Administration	Souvent centralisée par l’opérateur	Locale ou centralisée selon les équipements
Mise en service	Dépend des accès opérateurs	Rapide si les accès Internet existent déjà
Site temporaire	Possible mais rarement le choix le plus simple	Très adapté
Site critique	Adapté aux flux exigeant QoS et SLA	Possible avec une architecture Internet suffisamment résiliente
Chiffrement supplémentaire	IPsec peut être ajouté	Déjà assuré par IPsec

Aucune des deux architectures n’est supérieure sur tous les critères. Le choix MPLS vs IPsec dépend du niveau de maîtrise nécessaire sur chaque site.

MPLS vs IPsec sur la sécurité réseau

Opposer un MPLS « sécurisé » à un IPsec « exposé » conduit rapidement à de mauvaises conclusions.

IPsec apporte une protection cryptographique. Les paquets sont chiffrés et authentifiés entre les extrémités du tunnel. Un tiers capable d’observer le trafic sur Internet ne peut pas simplement lire son contenu.

Le MPLS répond à une autre logique. Les flux d’un client sont séparés logiquement des autres VPN présents sur le réseau de l’opérateur et ne sont pas routés comme du trafic Internet public.

Un VPN MPLS ne chiffre toutefois pas nativement les données.

Cette distinction compte pour les organisations qui ont une obligation de chiffrement des communications ou qui considèrent le réseau opérateur comme une infrastructure qui ne doit pas être implicitement approuvée.

Dans ce cas, IPsec peut parfaitement être superposé au transport MPLS.

Comparer directement la sécurité du MPLS et d’IPsec mélange deux mécanismes différents. MPLS isole logiquement le trafic sur le réseau opérateur. IPsec chiffre les données.

Il faut plutôt distinguer deux besoins. Le premier consiste à réduire l’exposition du transport. Le second consiste à rendre les données illisibles pendant leur acheminement.

MPLS agit principalement sur le premier. IPsec répond directement au second.

QoS MPLS et VPN IPsec ne maîtrisent pas le même périmètre

C’est sur les applications temps réel que la différence devient la plus visible.

Un firewall peut prioriser des paquets avant leur entrée dans un tunnel IPsec. Cette politique reste utile sur le lien local. Elle ne contraint cependant pas les routeurs Internet situés entre les deux sites à respecter cette priorité.

Une congestion plus loin sur le parcours peut donc augmenter la latence, la gigue ou la perte de paquets.

MPLS change le périmètre de contrôle lorsque le service opérateur intègre réellement des classes de QoS.

La QoS MPLS peut suivre les flux sur le réseau exploité par l’opérateur, là où la QoS d’un VPN IPsec sur Internet s’arrête aux infrastructures que l’entreprise ou son fournisseur contrôle.

Pour une application Web classique, cette différence peut passer inaperçue.

Pour la téléphonie IP, elle devient rapidement audible. Quelques variations de gigue ou de perte ont beaucoup plus d’effet sur une conversation que sur le téléchargement d’un document. Les contraintes de transport propres à la voix sont détaillées dans notre article sur la QoS pour la téléphonie IP.

Le même raisonnement vaut pour la visioconférence, certains postes de travail distants ou des applications interactives hébergées sur un site central.

VPN IPsec et MPLS n’ont pas le même overhead réseau

IPsec ajoute des informations supplémentaires à chaque paquet pour assurer l’encapsulation, le chiffrement et l’authentification.

La quantité exacte dépend du mode IPsec, des algorithmes utilisés, de la présence éventuelle de NAT-T et de la taille des paquets. Il n’est donc pas sérieux d’appliquer un pourcentage fixe à toutes les architectures.

Le sujet opérationnel à surveiller est surtout la MTU.

Un tunnel mal configuré peut provoquer de la fragmentation ou nécessiter un ajustement du MSS TCP, avec des effets qui ressemblent parfois à un problème de débit alors qu’ils viennent de la taille des paquets.

MPLS ajoute également des informations d’acheminement, mais leur poids reste faible. Chaque label MPLS ajoute quatre octets et plusieurs labels peuvent être empilés selon l’architecture du réseau.

Sur les liens de faible capacité ou les flux composés de petits paquets, l’overhead IPsec mérite d’être intégré au dimensionnement du VPN.

Ce n’est généralement pas ce critère qui départage deux architectures sur une fibre à plusieurs centaines de mégabits. Il peut en revanche compter sur un petit accès ou un lien de secours.

La supervision d’un VPN MPLS dépend surtout du service opérateur

Le protocole ne crée pas à lui seul un bon outil de supervision.

Une architecture IPsec peut parfaitement être supervisée depuis une plateforme centralisée si les firewalls remontent leurs métriques et leurs journaux vers le même outil.

De la même façon, un réseau MPLS sans portail exploitable peut laisser une DSI avec très peu de visibilité.

La différence se situe plutôt dans les données accessibles.

Sur un réseau MPLS opéré, le fournisseur peut mesurer ce qui se passe sur son propre réseau et sur les accès qu’il supervise. Latence, gigue, perte de paquets, disponibilité ou occupation des classes de service peuvent alors être suivies sur un périmètre plus large.

La supervision du VPN devient réellement utile lorsqu’elle permet de distinguer un problème d’accès, une saturation, un défaut de QoS et un comportement applicatif.

C’est ce niveau de lecture qu’il faut demander au fournisseur avant de comparer deux offres.

MPLS et IPsec peuvent tous les deux être redondés

La résilience n’est native ni au MPLS ni à IPsec.

Elle dépend de l’architecture des accès.

Un tunnel IPsec peut fonctionner sur deux connexions Internet et basculer de l’une à l’autre lorsque le firewall sait gérer plusieurs WAN.

Un site MPLS peut lui aussi disposer de plusieurs accès, par exemple une FTTO principale et une connexion 4G/5G de secours.

La résilience se mesure surtout au comportement du réseau pendant la panne.

Quels flux basculent ? Combien de temps prend la détection ? Le lien secondaire possède-t-il assez de capacité ? Les sessions restent-elles actives ? La QoS est-elle encore appliquée ?

Un lien de secours n’a pas besoin de reproduire toute la capacité du lien principal. Il doit d’abord maintenir les usages qui empêchent l’entreprise de s’arrêter.

C’est particulièrement vrai pour une 4G ou une 5G utilisée comme accès de continuité.

Le télétravail ne tranche pas vraiment le débat MPLS vs IPsec

L’accès d’un collaborateur distant et l’interconnexion permanente de deux sites sont deux sujets différents.

Un utilisateur nomade peut rejoindre les ressources de l’entreprise avec un VPN IPsec d’accès distant, que le WAN intersites soit construit en MPLS, en IPsec ou avec une architecture hybride.

Le point de terminaison peut lui aussi être centralisé.

Il n’y a donc aucune raison technique d’associer systématiquement MPLS à un firewall central et IPsec à un firewall local.

Le choix porte davantage sur l’architecture de sécurité retenue par l’entreprise.

L’accès VPN reste par ailleurs une première barrière, pas une preuve suffisante de confiance. Le modèle Zero Trust complète cette approche en prenant également en compte l’identité, le terminal et le contexte de la connexion.

L’architecture hybride MPLS et IPsec est souvent la plus rationnelle

Un réseau de trente sites contient rarement trente sites identiques.

Le siège peut concentrer l’ERP, la téléphonie et les applications critiques. Certaines agences peuvent avoir les mêmes contraintes. D’autres n’utilisent que des services cloud accessibles depuis Internet.

L’architecture hybride évite de payer une qualité de transport élevée là où elle n’apporte rien, sans dégrader les sites qui en ont réellement besoin.

Un site critique peut rejoindre le réseau en MPLS avec QoS et accès redondé.

Une petite implantation peut utiliser un tunnel IPsec sur fibre Internet.

Un site temporaire peut être raccordé en 4G ou 5G.

Une agence encore engagée chez un autre opérateur peut rejoindre temporairement le réseau par IPsec avant sa migration.

Cette approche demande cependant une politique d’architecture commune à l’ensemble des sites. Ajouter les technologies les unes après les autres sans modèle d’exploitation commun finit par recréer la complexité que le WAN était censé supprimer.

MPLS vs IPsec selon le profil du site

Profil de site	Architecture généralement pertinente	Pourquoi
Siège avec applications critiques	MPLS ou hybride	QoS, SLA, supervision et redondance
Agence avec téléphonie et ERP centralisés	MPLS ou hybride	Sensibilité à la latence et à la gigue
Petit bureau orienté SaaS	IPsec sur Internet	Peu de flux intersites critiques
Site temporaire	IPsec sur Internet ou 4G/5G	Rapidité de déploiement
Site nécessitant un chiffrement strict	IPsec, éventuellement sur MPLS	Chiffrement du trafic
Réseau avec plusieurs liens par site	SD-WAN, éventuellement avec MPLS et IPsec	Sélection dynamique des chemins

Si ces critères conduisent à une architecture mixte, ce n’est pas un compromis bancal.

Deux agences de même taille peuvent justifier des architectures différentes si l’une reçoit des appels clients en continu et l’autre travaille principalement dans Microsoft 365.

SD-WAN, MPLS et IPsec peuvent appartenir au même réseau

Le SD-WAN introduit une couche supplémentaire dans cet arbitrage.

Il ne fournit pas lui-même le support physique. Il utilise les accès disponibles et applique des politiques pour choisir le chemin adapté aux applications.

Un site peut donc posséder une liaison MPLS pour les flux critiques, une fibre Internet pour le trafic Web et une 4G/5G de secours. Le SD-WAN décide ensuite comment exploiter ces chemins.

Notre comparatif SD-WAN vs MPLS détaille les situations dans lesquelles ce pilotage dynamique apporte réellement quelque chose.

Un SD-WAN ne transforme pas un mauvais accès Internet en liaison fiable. Il permet surtout d’utiliser plus intelligemment les liens dont l’entreprise dispose déjà.

MPLS vs IPsec se choisissent d’abord selon les applications

Un site qui travaille principalement avec des applications SaaS n’a pas nécessairement besoin d’un transport MPLS pour tous ses flux.

À l’inverse, raccorder un siège, quinze agences et plusieurs centaines de téléphones IP uniquement avec des tunnels Internet parce que le coût d’accès est inférieur peut déplacer la dépense vers l’exploitation, le diagnostic et la gestion des incidents.

Le choix se fait donc site par site.

Il faut connaître les applications transportées, leur sensibilité à la latence, la capacité disponible, les exigences de chiffrement, la durée acceptable d’une panne et les compétences de l’équipe qui exploitera le réseau.

Si ces critères conduisent à une architecture mixte, ce n’est pas un compromis bancal. C’est souvent le signe que le réseau a été dimensionné en fonction des usages plutôt qu’en fonction d’un catalogue.

Pour passer de cet arbitrage à une architecture opérée, la page consacrée au VPN d’entreprise multi-sites présente la manière dont MPLS, IPsec, accès Internet et liens de secours peuvent être réunis dans un même réseau supervisé.

Questions fréquentes sur MPLS et IPsec

Quelle est la différence entre MPLS et IPsec ?

Le MPLS organise le transport des flux sur un réseau opérateur tandis qu’IPsec chiffre les communications entre deux extrémités. Un service MPLS peut appliquer une QoS sur le réseau maîtrisé par l’opérateur. IPsec peut fonctionner au-dessus d’Internet ou d’un autre réseau IP et apporte une protection cryptographique indépendante du transport.

Un VPN MPLS chiffre-t-il les données ?

Un VPN MPLS ne chiffre pas nativement les données transportées. Le trafic est séparé logiquement des autres VPN du réseau opérateur, mais cette isolation ne remplace pas le chiffrement. IPsec peut être ajouté au-dessus de MPLS lorsque les exigences de sécurité ou de conformité l’imposent.

Peut-on combiner MPLS et IPsec dans un même réseau ?

Une architecture multi-sites peut parfaitement combiner MPLS et IPsec. Les sites sensibles à la QoS peuvent être raccordés en MPLS tandis que d’autres utilisent IPsec sur Internet. Cette organisation évite d’appliquer le même niveau de service et le même coût à toutes les implantations.

Le MPLS est-il meilleur que l’IPsec pour la téléphonie IP ?

Le MPLS est généralement plus adapté lorsque la téléphonie IP nécessite une QoS maîtrisée entre plusieurs sites. IPsec protège les paquets, mais un tunnel sur Internet ne contrôle pas la manière dont ils seront traités sur tout leur parcours. La qualité dépend donc davantage des accès et des conditions du réseau public.

L’IPsec est-il moins sécurisé que le MPLS ?

IPsec n’est pas moins sécurisé que MPLS, les deux technologies ne répondent simplement pas au même problème. IPsec apporte chiffrement, intégrité et authentification. MPLS sépare les flux sur le réseau de l’opérateur mais ne les chiffre pas nativement. Les deux mécanismes peuvent être combinés.

MPLS ou IPsec coûte-t-il le moins cher ?

Un VPN IPsec sur des accès Internet standards coûte généralement moins cher à raccorder qu’un service MPLS comparable. Le coût complet dépend toutefois aussi des firewalls, des licences, de la redondance, de la supervision et du temps consacré à l’exploitation. Comparer uniquement le prix mensuel de l’accès donne donc une vision incomplète.

Le SD-WAN remplace-t-il MPLS et IPsec ?

Le SD-WAN ne remplace pas nécessairement MPLS ou IPsec puisqu’il peut utiliser les deux. Il mesure les chemins disponibles et oriente les applications selon des règles définies. Un réseau SD-WAN peut donc combiner MPLS, Internet, tunnels IPsec et accès 4G/5G.

Un VPN IPsec suffit-il pour une PME multi-sites ?

Un VPN IPsec peut suffire à une PME multi-sites lorsque les flux intersites sont peu sensibles à la latence et que les accès Internet sont correctement redondés. Si la téléphonie, un ERP ou d’autres applications critiques dépendent fortement du WAN, un transport avec QoS et SLA mérite d’être étudié.