Peplink ou UniFi comme passerelle ? Séparer proprement les rôles

« Peplink ou UniFi ? » sonne comme une décision de produit et constitue en vérité une question de rôles. Les deux mondes ne se recoupent qu'en un seul endroit — la passerelle — et sont par ailleurs complémentaires.

Peplink est fort là où plusieurs lignes Internet doivent devenir une connexion robuste : agrégation, commutation sans interruption, redondance de paquets, priorisation au point de transfert vers Internet. C'est le cœur de SpeedFusion et cela n'existe pas à cette profondeur dans le portefeuille UniFi.

UniFi est fort dans le réseau situé derrière : beaucoup de ports, une alimentation PoE propre, un système Wi-Fi bien pensé avec une administration unifiée, des points d'accès économiques, une séparation par VLAN en quelques clics, et un concept d'utilisation avec lequel même des non-spécialistes s'en sortent.

La réponse sensée est donc presque toujours : les deux, avec un partage clair des rôles. Le Peplink est routeur et pare-feu au passage vers Internet. UniFi fournit le switch, les points d'accès et l'administration. Cela ne devient intéressant qu'en deux points — ce qui se passe lorsqu'on installe en plus une passerelle UniFi, et où la priorisation a sa place.

Les passerelles d'UniFi sont de bons routeurs. Elles maîtrisent plusieurs accès WAN, détectent la panne de la ligne primaire et commutent sur la deuxième. Pour la plupart des bureaux, cela suffit parfaitement.

La différence réside dans ce qui se passe pendant et après cette commutation. Un failover sans tunnel signifie : l'adresse publique change, les connexions existantes se rompent, les applications se rétablissent. Pour des sites Web et du courrier électronique, personne ne le remarque. Pendant une visioconférence en cours, tous les participants voient la rupture.

Deux capacités manquent au portefeuille UniFi sous cette forme :

• Agréger plusieurs lignes en une seule connexion — non pas répartir des sessions, mais porter une transmission unique simultanément sur plusieurs chemins.
• Redondance de paquets sur plusieurs lignes, c'est-à-dire envoyer le même paquet en parallèle et utiliser la première copie chez le destinataire. C'est exactement ce procédé qui rend une transmission immune contre les perturbations brèves.

Il en découle une règle de décision simple : si une transmission en cours doit survivre à une panne de ligne, la passerelle est un Peplink. S'il suffit que le bureau soit de nouveau en ligne après quelques secondes, une passerelle UniFi peut assumer ce rôle — et on économise un appareil.

Une proposition fréquente consiste à prendre le Peplink pour les lignes et à placer derrière une Dream Machine « pour l'expérience UniFi ». Cela fonctionne et n'est pourtant pas une bonne idée, car on exploite deux routeurs en série.

Les conséquences sont concrètes :

• Double traduction d'adresses. Chaque paquet est réécrit deux fois. Les redirections de port doivent être configurées à deux endroits, et les protocoles qui transportent des adresses dans la partie données demandent une double attention.
• Deux pare-feu. Chaque règle existe potentiellement deux fois, et le diagnostic demande, à chaque tentative de connexion bloquée : lequel des deux appareils était-ce ?
• Deux plages d'adresses et deux responsabilités DHCP. Les VLAN doivent être maintenus cohérents sur les deux appareils.
• Aucun gain. Les fonctions UniFi intéressantes — administration, Wi-Fi, VLAN, PoE, statistiques — dépendent du contrôleur, des switches et des points d'accès. Elles n'ont pas besoin d'une passerelle UniFi.

La variante plus propre est donc : le Peplink comme passerelle, UniFi comme niveau switch et Wi-Fi. Les points d'accès sont administrés via le contrôleur, les VLAN se terminent sur le Peplink, et il y a exactement un endroit où l'on route et où l'on filtre.

Il y a une exception : si un site exploite de toute façon une passerelle UniFi et que le Peplink ne doit sécuriser qu'une seule application critique, on peut aussi exploiter le Peplink comme simple appareil de tunnel derrière la passerelle. C'est une solution particulière assumée — pas l'architecture standard.

Une erreur de raisonnement répandue concerne la question de savoir où privilégier le trafic important. L'intuition dit : dans le switch, car c'est là que les câbles se rejoignent. La physique dit autre chose.

La priorisation n'agit qu'à l'endroit où cela devient réellement trop étroit. Avec un accès de 300 Mbit/s en upload et un switch 24 ports doté de ports Gigabit ou 2,5 Gbit, le goulot d'étranglement est clairement le passage vers Internet, et non le réseau local. Un switch qui dessert 24 ports Gigabit ne sature jamais avec quatre points d'accès et un poste de travail.

Il en découle : la priorisation appartient à la passerelle. Peplink y propose des groupes d'utilisateurs avec réservation de bande passante, des limitations par appareil, une priorisation liée aux applications et des règles de trafic qui dirigent des flux de données de manière ciblée dans un tunnel ou directement sur une ligne. C'est le niveau auquel on empêche une sauvegarde d'évincer un flux de conférence.

Les switches UniFi peuvent tout à fait prioriser — par port, des classes de trafic peuvent être reconnues, re-marquées et affectées à des files d'attente ; les séries supérieures apportent en plus des profils prêts à l'emploi pour les applications audio et vidéo. C'est utile, mais cela ne devient pertinent que lorsqu'un goulot d'étranglement apparaît dans le LAN : beaucoup de caméras et une sauvegarde par le même lien montant, ou un système de stockage qui remplit durablement une connexion Gigabit. Alors, la bonne réponse est de toute façon le plus souvent un lien montant plus rapide et un VLAN dédié, et non une file d'attente.

La règle empirique : au passage vers Internet, c'est le Peplink qui priorise ; dans le LAN, on évite les goulots d'étranglement par la topologie.

Un réseau UniFi a besoin d'un contrôleur. Il administre les points d'accès et les switches, conserve la configuration et les statistiques et fournit l'interface. Il y a trois voies pour cela.

Une console sur place — par exemple un Cloud Key. Éprouvé, facile à appréhender, cela coûte une unité de hauteur dans l'armoire, du courant et de la maintenance. Important à savoir : pour UniFi Protect, c'est-à-dire l'application caméra, une telle console Ubiquiti est impérativement requise selon les prescriptions du fabricant. Qui planifie des caméras en a donc besoin de toute façon — mieux vaut alors la prévoir tout de suite que d'y revenir deux fois.

Exploité soi-même sur un serveur propre. Ubiquiti le prend en charge pour l'application réseau, mais expressément uniquement pour celle-ci ; Protect, Access et les autres applications exigent du matériel Ubiquiti. Comme solution permanente pour un réseau en production, cela s'adresse plutôt à des exploitants qui administrent de toute façon des serveurs.

Hébergé. Nous exploitons un contrôleur UniFi dans notre centre de données et y intégrons les appareils sur demande — facturé par appareil intégré et par mois. Cela évite l'achat, la place dans l'armoire, la consommation électrique et surtout la maintenance : nous prenons en charge les mises à jour et la sauvegarde du contrôleur. Pour un réseau avec une poignée de points d'accès et un switch, c'est la variante la moins contraignante — et elle peut être basculée plus tard vers une console propre si des caméras s'ajoutent.

La décision dépend moins du prix que de la question de savoir qui met le contrôleur à jour en cas de besoin.

Pour un site avec plusieurs lignes Internet, des postes de travail filaires, du Wi-Fi et peut-être plus tard des caméras, le montage suivant a fait ses preuves :

1. Les lignes sur le Peplink. Deux accès WAN filaires sont la règle sur les modèles compacts ; un troisième chemin s'ajoute via un modem mobile intégré ou via la fonction Virtual WAN.
2. Un tunnel SpeedFusion avec un point distant dans un centre de données. À l'intérieur, un sous-tunnel avec redondance de paquets pour le trafic critique, le reste via la commutation sans interruption ou directement.
3. Un switch PoE d'UniFi comme unique centre de distribution. Il alimente les points d'accès et sépare les réseaux au niveau des ports.
4. Des VLAN avec une tâche claire : postes de travail et technique critique séparés du réseau privé ou invité, caméras dans un réseau dédié sans accès Internet, invités isolés.
5. Les points d'accès sur les câbles déjà posés. Deux appareils par étage sont une bonne taille de départ pour la plupart des plans ; c'est le placement qui est déterminant, pas le nombre.
6. Le contrôleur là où il est maintenu à jour de manière fiable — sur place ou hébergé.

Ainsi, il y a exactement un endroit où l'on route, filtre et priorise, et exactement un endroit où le Wi-Fi et les ports sont administrés. Cette séparation est la véritable raison pour laquelle la combinaison des deux fabricants fonctionne si bien — et pourquoi réunir les deux rôles dans un seul appareil est presque toujours le choix le moins bon.

Cet article a été documenté et rédigé avec l'assistance de l'IA, puis vérifié avant sa publication par les techniciens d'Ascend.