Connexion privée cloud : IBM, Alibaba, Cloudflare, Wasabi, Salesforce et les autres services joignables sans Internet

Par Aurélie, M2M Network.

En bref : une connexion privée au cloud ne se limite pas à AWS, Microsoft Azure, Google Cloud, Oracle Cloud et OVHcloud. IBM Cloud (Direct Link), Alibaba Cloud (Express Connect), Tencent Cloud (Direct Connect), DigitalOcean (Partner Network Connect), 3DS Outscale (DirectLink) et Cloud Temple se joignent aussi par un lien qui ne passe pas par l’Internet public, comme le stockage objet Wasabi (Wasabi Direct Connect), le réseau de Cloudflare (Cloudflare Network Interconnect) et des logiciels en ligne tels que Salesforce, Snowflake ou Webex. Chaque entrée privée a ses règles : certaines passent par un autre cloud (Salesforce et Snowflake par AWS), d’autres n’ont aucun point d’entrée en France, et le caractère privé d’un lien ne vaut pas chiffrement.

Pour un parc de cartes SIM, une fois isolé dans un APN privé (réseau mobile) puis remis à une interconnexion cloud privée, le trafic des objets peut rejoindre ces services sans traverser Internet. Le principe est décrit dans notre guide de l’interconnexion cloud privée, et les cinq grands clouds ont chacun leur article : AWS Direct Connect, Azure ExpressRoute, Google Cloud Interconnect, Oracle FastConnect et OVHcloud Connect. Cette page recense les autres.

Connexion privée cloud : le tableau des autres destinations

Seuls figurent ici les services dont la documentation publique décrit une entrée privée. Les informations viennent de ces pages, consultées le 23 octobre 2026 ; débits et sites évoluent, et la console du service fait foi.

ServiceEntrée privée (nom exact)Emplacement en Europe publiéCe que ça relie
IBM CloudIBM Cloud Direct Link : Connect (par un partenaire, 50 Mbit/s à 5 Gbit/s) ou Dedicated (1 à 10 Gbit/s)Paris 1 (Global Switch PAR01), Paris 2 (Equinix PA2), Paris 3 (Equinix PA4) ; aucune région multizone en FranceLe réseau du client au réseau privé d’IBM Cloud
Alibaba CloudExpress Connect, circuit dédié ou partagé (par un partenaire)Régions Francfort, Londres et Paris (eu-west-2) ; points d’accès non publiés dans les pages consultéesUn centre de données à un VPC, par un réseau interne ; jusqu’à 100 Gbit/s par lien
Tencent CloudTencent Cloud Direct ConnectRégion Francfort (eu-frankfurt), seule région européenneLes centres de données du client à Tencent Cloud
DigitalOceanPartner Network Connect (« partner attachment »)Amsterdam (AMS) et Londres (LON)Jusqu’à cinq réseaux VPC d’une région à un autre cloud ou un centre de données
3DS OutscaleOUTSCALE DirectLink, fibre 1 GbE ou 10 GbERégion eu-west-2 : PAR1 (Magny-les-Hameaux), PAR4 (Pantin), PAR7 (Aubergenville)Le réseau du client aux ressources de toute une région
Cloud TemplePrivate Backbone : ports externes de 1 ou 10 Gbit/s, sur devisRégion FR1 (Paris) : sites PAR7S, TH3S et DATA4Un opérateur tiers ou un site du client au backbone privé
WasabiWasabi Direct Connect (WDX), dédié (1, 10 ou 100 Gbit/s) ou hébergé par un partenaire (1 ou 10 Gbit/s)Région eu-west-2 (France) chez Equinix PA3, Saint-Denis ; aussi Amsterdam, Francfort, Londres, MilanLe réseau du client à une région de stockage objet
Backblaze B2Aucune sur l’offre standard ; réseau privé avec B2 OverdriveNon publiéStockage et réseau réservés, de 100 Gbit/s à 1 Tbit/s, sur étude
CloudflareCloudflare Network Interconnect (CNI), offre EnterpriseDirect CNI : Paris (Equinix PA2, Telehouse Paris Voltaire TH2), Marseille (Digital Realty MRS1)Le réseau du client à celui de Cloudflare (Magic Transit, Cloudflare WAN, Zero Trust)
Salesforce (Hyperforce)AWS Direct Connect, interface virtuelle publique ; pas de Salesforce Express Connect sur HyperforceSites AWS Direct Connect : Paris (Equinix PA3, Digital Realty PAR7, Telehouse Voltaire), Marseille (Digital Realty MRS1)Le réseau du client aux adresses publiques d’AWS, dont Hyperforce
SnowflakeAWS PrivateLink (édition Business Critical ou supérieure), avec AWS Direct ConnectCelui du compte Snowflake sur AWSLes VPC du client à Snowflake par des points de terminaison privés
Cisco WebexWebex Edge ConnectAmsterdam, Londres et FrancfortLe réseau du client au backbone Webex (Meetings, Calling, Contact Center Enterprise)

Clouds : un point d’entrée à Paris ne veut pas dire des données en France

Pour un parc français, ce qui distingue surtout ces clouds, c’est l’endroit où tournent réellement les serveurs.

  • IBM Cloud publie trois emplacements Direct Link à Paris, mais aucune région ni région multizone en France : à Paris, seul le datacenter d’infrastructure classique Paris 01 (PAR01) est listé, et les régions multizones européennes sont Francfort, Londres et Madrid. La redondance n’est pas incluse : il faut deux connexions sur des routeurs distincts, chacune avec sa session BGP.
  • Alibaba Cloud distingue le circuit dédié et la connexion partagée, où un partenaire déjà relié à Alibaba ne pose que le dernier tronçon ; le déploiement prend alors en général moins d’un mois. Sa liste de régions compte une région France (Paris), eu-west-2 ; la présence d’un point d’accès Express Connect en France se vérifie dans la console.
  • Tencent Cloud n’a qu’une région européenne, Francfort. La plupart de ses points d’accès Direct Connect sont installés dans des datacenters neutres et acceptent n’importe quel fournisseur de connexion.
  • DigitalOcean rattache une connexion partenaire à une région entière. Le palier de débit (de 1 à 10 Gbit/s dans l’exemple de la documentation) se choisit à la création et ne se modifie plus. En Europe, le service est ouvert à Amsterdam et à Londres, pas à Francfort.
  • 3DS Outscale raccorde une fibre 1 GbE ou 10 GbE, dans un site physique d’OUTSCALE, aux ressources de toute la région correspondante, sans utiliser Internet. Il faut une interface DirectLink par Net (le réseau privé du client chez Outscale), chacune sur son propre VLAN, et un routeur qui parle BGP.
  • Cloud Temple répartit sa région FR1 sur trois sites en région parisienne (PAR7S, TH3S et DATA4), distants de plus de 30 km à vol d’oiseau, avec une latence garantie inférieure à 4 ms entre eux ; ses ports externes raccordent notamment des opérateurs tiers.

Pour un parc de cartes SIM dont les données doivent rester en France, les candidats de cette famille sont donc Outscale (eu-west-2), Cloud Temple (FR1) et, sous réserve d’un point d’accès Express Connect, Alibaba Cloud (Paris). Chez Tencent Cloud et DigitalOcean, le trafic reste privé mais les serveurs sont hors de France ; chez IBM, seul le datacenter classique PAR01 est à Paris.

Stockage objet : envoyer les vidéos d’un parc sans Internet

Wasabi présente Wasabi Direct Connect (WDX) comme une connexion Ethernet qui joint son stockage sans passer par l’Internet public, en formule dédiée ou hébergée par un partenaire d’interconnexion ; d’après la documentation, deux de ces partenaires couvrent toutes les régions de stockage, dont la région française eu-west-2 (Equinix PA3, Saint-Denis). Point de vigilance : en routage BGP, Wasabi cite la bascule dynamique vers l’Internet public. Si le flux ne doit jamais toucher Internet, cette bascule n’a pas sa place dans la configuration.

Backblaze pose clairement la limite : l’offre B2 standard se joint par des points d’accès HTTPS publics régionaux, et Backblaze prévient qu’une remise sur les frais de sortie ne signifie pas, à elle seule, qu’une connexion est privée. Les options de réseau privé relèvent de B2 Overdrive (paliers de 100 Gbit/s à 1 Tbit/s), à valider avec son service commercial.

Cas type : des caméras 4G installées sur des sites isolés déposent leurs séquences dans un compartiment de stockage objet. Avec une entrée privée comme WDX, le flux sort de l’APN privé, emprunte l’interconnexion et arrive dans la région de Saint-Denis sans traverser Internet ; le pare-feu placé derrière l’APN n’a qu’une destination à autoriser.

Sécurité et réseau : Cloudflare Network Interconnect

Cloudflare Network Interconnect (CNI) relie un réseau d’entreprise à celui de Cloudflare plutôt que par l’Internet public. Réservé aux clients Enterprise, il existe en trois formes : Direct Interconnect (une fibre dans un datacenter partagé, avec des ports de 10 ou 100 Gbit/s), Partner Interconnect (une connexion virtuelle par un partenaire de connectivité) et Cloud Interconnect (depuis les environnements cloud du client).

CNI sert de raccordement aux services réseau de Cloudflare : Magic Transit (protection contre les dénis de service), Cloudflare WAN, que Cloudflare décrit comme un backbone privé reliant utilisateurs, applications, sites et clouds, et Zero Trust. Pour un parc de cartes SIM, l’intérêt est de soumettre le trafic des objets aux mêmes règles de filtrage que le reste de l’entreprise, sans détour par Internet entre le réseau mobile et Cloudflare.

Logiciels en ligne : Salesforce, Snowflake, Webex

Salesforce demande le plus de précision. Hyperforce, son architecture d’infrastructure de nouvelle génération, est déployée sur AWS. Un article cosigné par un ingénieur réseau de Salesforce et un architecte d’AWS indique que Salesforce Express Connect (SEC), fourni par un partenaire télécom, ne vaut que pour l’infrastructure exploitée par Salesforce elle-même et n’est pas pris en charge sur Hyperforce. L’accès direct passe par AWS Direct Connect avec une interface virtuelle publique, créée dans un compte AWS du client. Pour un parc de cartes SIM, cela impose des adresses IP publiques (l’article suggère un bloc non annoncé sur Internet) : les adresses privées de l’APN doivent être présentées sous ces adresses.

Snowflake s’appuie sur AWS PrivateLink, qui crée des points de terminaison privés dans les VPC du client sans traverser l’Internet public ; la fonction exige l’édition Business Critical ou supérieure. Pour des sites physiques, Snowflake renvoie à AWS Direct Connect, service distinct à mettre en place séparément. Cas type : des capteurs remontent leurs mesures par l’APN privé, l’interconnexion les remet dans un VPC du client, et l’outil d’ingestion les écrit dans l’entrepôt de données Snowflake par le point de terminaison PrivateLink.

Webex Edge Connect est une connexion d’appairage privée (peering) qui contourne l’Internet public et relie le réseau du client au backbone Webex. Cisco demande un port actif chez un échange cloud partenaire et un numéro de système autonome BGP, public ou privé ; un second lien, vers un autre centre de données Webex, assure la redondance et il est inclus dans le prix pour Webex Dedicated Instance. En Europe, les points de raccordement sont Amsterdam, Londres et Francfort.

Privé ne veut pas dire chiffré

Une liaison privée isole le trafic d’Internet ; elle ne le chiffre pas d’office. Microsoft l’écrit pour sa propre entrée privée : par défaut, le trafic d’une connexion ExpressRoute n’est pas chiffré. Le MACsec n’y est possible que sur ExpressRoute Direct, pas sur un circuit fourni par un partenaire, et le chiffrement de bout en bout passe par un tunnel IPsec monté sur le peering privé. La même logique se retrouve ailleurs : chez IBM, le MACsec n’existe que sur Direct Link Dedicated, et sa liste MACsec pour l’Europe, le Moyen-Orient et l’Afrique ne compte que des sites de Madrid ; les pages consultées d’Alibaba Express Connect et de Cloudflare CNI ne décrivent aucun chiffrement du lien.

Côté AWS, le MACsec est publié en 10 et 100 Gbit/s chez Equinix PA3 et Telehouse Voltaire, pas chez Digital Realty PAR7 ni à Marseille ; pour Hyperforce, AWS et Salesforce le recommandent sans qu’il remplace le chiffrement applicatif (TLS). Le chiffrement se décide donc à part : tunnel IPsec dans le lien privé, MACsec là où le service le documente, TLS dans l’application.

Cinq questions avant de choisir une entrée privée

  1. Où tournent les serveurs ? Un raccordement à Paris (IBM) ne dit rien de la région d’hébergement ; Tencent Cloud, DigitalOcean et Webex n’affichent en Europe que des sites hors de France.
  2. Faut-il un compte chez un autre cloud ? Salesforce Hyperforce et Snowflake se joignent par AWS, depuis un compte AWS du client.
  3. Quelle offre ouvre l’accès ? Cloudflare CNI est réservé à l’offre Enterprise, PrivateLink chez Snowflake à l’édition Business Critical ou supérieure, le réseau privé de Backblaze à B2 Overdrive.
  4. Quel adressage la session de routage accepte-t-elle ? L’interface publique d’AWS utilisée pour Hyperforce impose des adresses publiques ; Wasabi admet des préfixes publics ou privés (RFC 1918). Le plan d’adressage de l’APN doit être compatible, ou traduit.
  5. Qui assure la redondance ? IBM ne l’inclut pas ; Webex propose un second lien ; DigitalOcean documente l’ajout de la haute disponibilité ; Cloud Temple livre ses circuits dédiés sur deux chemins optiques.

Ce que propose M2M Network

M2M Network propose un réseau privé de cartes SIM : APN dédié à chaque client, pare-feu administré par le client lui-même, puis livraison du trafic en VPN, MPLS ou VPLS jusqu’à ses sites, ou directement dans son cloud par une interconnexion cloud privée, sans passer par Internet. Pour les services cités dans cet article, la faisabilité s’étudie au cas par cas, selon l’entrée privée du service et l’emplacement retenu. L’APN privé classique reste proposé, et le groupe MUONA héberge aussi en France avec Guardis, sur une infrastructure certifiée ISO 27001 et HDS. Pour étudier un raccordement, décrivez-nous votre parc et le service visé.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

Questions fréquentes

Peut-on relier Salesforce à son réseau sans passer par Internet ?

Pour les organisations hébergées sur Hyperforce, déployé sur AWS, Salesforce et AWS indiquent que Salesforce Express Connect n’est pas pris en charge et que l’accès direct passe par AWS Direct Connect avec une interface virtuelle publique. Il faut un compte AWS au nom du client et des adresses IP publiques. Salesforce Express Connect reste réservé à l’infrastructure exploitée par Salesforce elle-même.

IBM Cloud a-t-il une entrée privée en France ?

IBM liste trois emplacements Direct Link à Paris : Global Switch PAR01, Equinix PA2 et Equinix PA4. Mais IBM Cloud n’a pas de région multizone en France : à Paris, seul le datacenter classique Paris 01 est listé, et les régions européennes sont Francfort, Londres et Madrid. Une entrée à Paris ne garantit donc pas un hébergement en France.

Une connexion privée au cloud est-elle chiffrée ?

Pas par défaut : Microsoft l’écrit pour ExpressRoute, et le MACsec n’existe souvent que sur les ports dédiés (ExpressRoute Direct, IBM Direct Link Dedicated). Pour chiffrer, on ajoute un tunnel IPsec dans le lien privé, et l’on garde le chiffrement applicatif (TLS), qu’AWS et Salesforce recommandent de conserver.

Comment envoyer les vidéos de caméras 4G vers un stockage objet sans Internet ?

Wasabi Direct Connect relie un réseau à une région de stockage Wasabi sans passer par l’Internet public, en dédié (1, 10 ou 100 Gbit/s) ou par un partenaire (1 ou 10 Gbit/s). La région eu-west-2 de Wasabi est en France, chez Equinix PA3 à Saint-Denis. Chez Backblaze, l’offre B2 standard passe par des points d’accès HTTPS publics, et le réseau privé relève de B2 Overdrive, sur étude.

Quels services de cette liste n’ont pas de point d’entrée en France ?

D’après leur documentation, Tencent Cloud n’a qu’une région européenne, à Francfort, DigitalOcean ouvre Partner Network Connect à Amsterdam et à Londres, et Webex Edge Connect cite Amsterdam, Londres et Francfort pour l’Europe. Le trafic d’un parc français y arrive donc par un chemin privé qui sort du territoire, ce qui compte si les données doivent rester en France.

Cloudflare Network Interconnect est-il ouvert à toutes les entreprises ?

Non, Cloudflare le réserve à ses clients Enterprise. Il sert notamment à Magic Transit, Cloudflare WAN et Zero Trust, en connexion directe (Paris et Marseille en France), par un partenaire de connectivité ou depuis un autre cloud.

Sources