APN und privater Zugang
Ein Access Point Name wählt den Datenausgang. Was ein öffentlicher APN, ein privater APN und ein IPsec-Tunnel über einen öffentlichen APN jeweils ändern.
Ein Access Point Name (APN) ist die Zeichenfolge, die ein Gerät sendet, um das Gateway für seine Datensitzung auszuwählen. Ein öffentlicher APN führt über das Gateway des Betreibers ins Internet; ein privater APN führt in ein Netz, das der Kunde kontrolliert. Der APN wählt den Pfad, nicht das Sicherheitsniveau.
Eckdaten
- Der APN wählt das Gateway und damit den Adresspool und die Richtlinie für eine Datensitzung.
- Ein Gerät kann sich im Netz anmelden und trotzdem keine Daten übertragen, wenn der APN falsch ist oder die Sitzung abgelehnt wird.
- Ein privater APN hält den Verkehr ab dem Gateway nach innen vom öffentlichen Internet fern; er ist für sich genommen keine Verschlüsselung.
- Ein IPsec-Tunnel über einen öffentlichen APN verschlüsselt den Verkehr, nutzt aber weiterhin das öffentliche Gateway des Betreibers.
Nach diesem Modul können Sie
- Erklären, was ein APN auswählt und was nicht.
- Zwischen einem öffentlichen APN, einem privaten APN und einem IPsec-Tunnel über einen öffentlichen APN wählen.
- Ein Gerät diagnostizieren, das sich im Netz anmeldet, den Server aber nicht erreicht.
Auf dieser Seite
Der APN wählt den Datenausgang
Ein Access Point Name ist eine kurze Zeichenfolge, meist ein domainähnlicher Name, die das Gerät sendet, wenn es eine Datensitzung anfordert. Das Netz löst sie in ein Gateway und eine Reihe von Richtlinien auf: welcher Adresspool verwendet wird, welche Dienste erlaubt sind und wo der Verkehr das Netz verlässt. Der APN ist die Wahl des Ausgangs.
Ein öffentlicher APN führt über das Gateway des Betreibers ins Internet. Er ist bei den meisten Endkunden- und IoT-Abonnements die Voreinstellung. Viele Geräte nutzen denselben Ausgang, doch jede Sitzung erhält weiterhin ihre eigene Adresse und Richtlinie. Einen Ausgang zu teilen ist nicht dasselbe, wie ein Abonnement zu teilen.
Der APN authentifiziert den Nutzer nicht und verschlüsselt keinen Verkehr. Die Authentifizierung gehört zum Abonnement und zum Kernnetz; die Verschlüsselung gehört zur Anwendung oder zu einem Tunnel oberhalb der IP-Schicht. Behandeln Sie den APN als Routing-Anweisung, nicht als Sicherheitsmaßnahme.
Gerät, Kernnetz, APN, Gateway, Internet
- Gerät
- Funkzugang (RAN)
- Mobilfunk-Kernnetz
- APN
- Gateway
- Öffentliches Internet
Textbeschreibung
Das Gerät meldet sich über das Funkzugangsnetz an. Das Kernnetz authentifiziert das Abonnement und liest den APN aus der Sitzungsanforderung. Der APN wählt ein Gateway und dessen Richtlinie, und das Gateway vergibt eine Adresse und leitet den Verkehr weiter. Ein öffentlicher APN führt ins Internet; ein privater APN führt in ein Netz, das der Kunde kontrolliert.
Was ein privater APN ändert
Ein privater APN führt in ein Netz, das der Kunde kontrolliert, meist über ein dediziertes Gateway und eine Verbindung zurück zum Unternehmen. Der Betreiber stellt weiterhin Funknetz und Kernnetz. Das Unternehmen sieht den Verkehr an seinem eigenen Netzrand und kann eigene Adressierung, Allowlists und Prüfungen anwenden.
Was der private APN bringt, ist die Trennung vom öffentlichen Internet ab dem Gateway nach innen. Er verschlüsselt den Funkpfad nicht und beweist nicht, wer ein Paket gesendet hat. Das sind separate Maßnahmen. Ein privater APN kann auch zusätzlichen Betriebsaufwand bedeuten: ein zweites Gateway, eine Routing-Vereinbarung, einen Adresspool und einen Plan für den Fall, dass die Verbindung ausfällt.
Ein privater APN ist bei Zahlungsterminals, Fahrzeugen, entfernten Anlagen und industriellen Gateways üblich. Der Grund ist meist eine feste Adresse, ein privater Adressbereich oder eine Richtlinie, die nicht vom öffentlichen Internet abhängen darf. Fragen Sie nach dem Adressplan und dem Failover-Pfad, bevor Sie bestellen.
Öffentlicher APN und privater APN
Öffentlicher APN
- Gerät
- Mobilfunk-Kernnetz
- Gateway
- Öffentliches Internet
- Gerät
- Mobilfunk-Kernnetz
- Gateway
- Privates Netz
Textbeschreibung
Im öffentlichen Zustand nutzt das Gerät das Gateway des Betreibers und erreicht das Internet. Im privaten Zustand erreichen dasselbe Gerät und dasselbe Kernnetz ein Gateway, das mit einem privaten Netz verbunden ist. Abonnement und Funknetz ändern sich nicht; der Ausgang ändert sich. Ein IPsec-Tunnel über den öffentlichen Zustand würde den Verkehr verschlüsseln, aber weiterhin das öffentliche Gateway nutzen.
Wann ein verschlüsselter Tunnel passt
Ein IPsec-Tunnel über einen öffentlichen APN ist eine dritte Option. Das Gerät nutzt weiterhin das öffentliche Gateway des Betreibers, baut aber einen verschlüsselten Tunnel zum Netzrand des Unternehmens auf, bevor es Anwendungsverkehr sendet. Der Tunnel schützt Vertraulichkeit und Integrität über den öffentlichen Pfad; er ändert nicht das Gateway, das der Betreiber ausgewählt hat.
Wählen Sie den Tunnel, wenn die Anforderung Vertraulichkeit über einen gemeinsam genutzten Pfad ist und das Gerät genügend CPU-Reserven und Durchsatz für den Overhead des Tunnels hat. Wählen Sie den privaten APN, wenn die Anforderung eine private Adresse, ein kontrollierter Ausgang oder eine Richtlinie ist, die im Kernnetz des Betreibers liegen muss. Viele Installationen nutzen beides.
Der Tunnel hat sein eigenes Fehlerbild. Ist der Tunnelendpunkt nicht erreichbar, kann sich das Gerät anmelden und trotzdem nichts übertragen. Testen Sie Tunnel und APN getrennt, damit der erste Fehler den zweiten nicht verdeckt.
Das Gerät meldet sich an, erreicht den Server aber nicht
Beginnen Sie mit der APN-Zeichenfolge. Ein Tippfehler oder ein Leerzeichen am Ende genügt, um das falsche Gateway oder gar keines auszuwählen. APN-Namen folgen der DNS-Namenssyntax (3GPP TS 23.003 §9.1), daher sollte Groß- und Kleinschreibung allein das Gateway nicht ändern; ein Gerät oder Modem, das die Schreibweise falsch verarbeitet, kann dennoch scheitern. Vergleichen Sie den Wert im Gerät Zeichen für Zeichen mit dem Wert in der Bestellung.
Prüfen Sie dann die Zugangsdaten und den IP-Typ. Eine Sitzung, die Benutzername und Passwort erfordert, scheitert, wenn das Gerät keine sendet. Ein APN, der nur IPv4 anbietet, schließt eine reine IPv6-Anforderung nicht ab. Prüfen Sie dann, ob der Datendienst im Abonnement aktiviert ist und ob das Gerät den APN automatisch setzt oder ein manuelles Profil verwendet, das inzwischen veraltet ist.
Wenn sich das Gerät anmeldet und eine Adresse erhält, den Server aber nicht erreicht, ist der APN wahrscheinlich richtig und die Route falsch. Prüfen Sie den Adresspool, die Rückroute und die Richtlinie am Gateway. Ein privater APN, der an einem Standort funktioniert und an einem anderen scheitert, ist meist eine Frage von Routing oder Firewall, keine Funkfrage. Die Roaming-Erklärung zeigt, warum der Ausgangspunkt den Pfad ändert.
Prüfen Sie Ihr Verständnis
-
Das Gerät meldet sich an, erreicht den Server aber nicht: Was prüfen Sie zuerst?
Die APN-Zeichenfolge und den Sitzungsstatus. Bestätigen Sie, dass das Gerät den vorgesehenen APN ausgewählt hat, und prüfen Sie dann Adresse, Zugangsdaten und IP-Typ, bevor Sie das Funknetz testen.
-
Was bietet ein privater APN, und was nicht?
Er hält den Verkehr ab dem Gateway nach innen vom öffentlichen Internet fern und kann eine private Adresse und einen kontrollierten Ausgang bereitstellen. Er verschlüsselt den Pfad nicht und beweist nicht, wer ein Paket gesendet hat.
-
Wann passt ein verschlüsselter Tunnel über einen öffentlichen APN besser?
Wenn Vertraulichkeit über einen gemeinsam genutzten Pfad die Hauptanforderung ist und das Gerät den Tunnel tragen kann. Ein privater APN passt besser, wenn Sie eine private Adresse oder eine Richtlinie im Kernnetz des Betreibers benötigen.
Antworten werden auf Wunsch angezeigt. Nichts wird bewertet, gespeichert oder gesendet.
FAQ
Ist ein APN eine Sicherheitsmaßnahme?
Funktioniert ein privater APN auch beim Roaming?
Brauche ich einen APN pro Kunde?
Begriffe, die Ihnen begegnen
Verwandte Inhalte
- Permanentes Roaming, Land für Land
Wie lange eine ausländische SIM roamen darf, bevor sie ein lokales Profil braucht – für Brasilien, Mexiko und Kolumbien, mit dem Entscheidungsweg zum passenden Produkt.
- SGP.32 für IoT-Geräte
Was SGP.32 für IoT-Flotten ändert, welche Geräte infrage kommen und warum SGP.02-Geräte nicht over the air aufgerüstet werden können.
- eUICC-Kennung (EID)
Die Kennung der eUICC, getrennt vom Abonnement.
Verwandte Produkte
In die Praxis umsetzen
Nennen Sie uns den Verkehr, das Ziel und die benötigte Messung; wir antworten mit dem nächsten Schritt.