APN y acceso privado
El nombre de punto de acceso elige la salida de datos. Esto es lo que cambia un APN público, un APN privado y un túnel IPsec sobre un APN público.
Un nombre de punto de acceso (APN) es la cadena que envía el dispositivo para elegir la pasarela de su sesión de datos. Un APN público sale a internet por la pasarela del operador; un APN privado sale a una red que controla el cliente. El APN elige el camino, no el nivel de seguridad.
Hechos clave
- El APN elige la pasarela y, con ella, el pool de direcciones y la política de una sesión de datos.
- Un dispositivo puede conectarse a la red y no cursar datos si el APN es incorrecto o la sesión se rechaza.
- Un APN privado mantiene el tráfico fuera de internet desde la pasarela hacia dentro; no es cifrado por sí mismo.
- Un túnel IPsec sobre un APN público cifra el tráfico, pero sigue usando la pasarela pública del operador.
Al terminar este módulo podrá
- Explicar qué elige un APN y qué no elige.
- Elegir entre un APN público, un APN privado y un túnel IPsec sobre un APN público.
- Diagnosticar un dispositivo que se conecta pero no llega al servidor.
En esta página
El APN elige la salida de datos
Un nombre de punto de acceso es una cadena corta, normalmente con forma de dominio, que el dispositivo envía cuando pide una sesión de datos. La red lo resuelve a una pasarela y a un conjunto de políticas: qué pool de direcciones usar, qué servicios se permiten y por dónde sale el tráfico. El APN es la elección de salida.
Un APN público sale a internet por la pasarela del operador. Es lo habitual en la mayoría de las suscripciones de consumo e IoT. Muchos dispositivos usan la misma salida, pero cada sesión recibe su propia dirección y su propia política. Compartir una salida no es lo mismo que compartir una suscripción.
El APN no autentica al usuario ni cifra el tráfico. La autenticación corresponde a la suscripción y al núcleo; el cifrado corresponde a la aplicación o a un túnel por encima de la capa IP. Trate el APN como una instrucción de encaminamiento, no como un control de seguridad.
Dispositivo, núcleo, APN, pasarela, internet
- Dispositivo
- Acceso radio (RAN)
- Núcleo móvil
- APN
- Pasarela
- Internet pública
Descripción en texto
El dispositivo se conecta a través de la red de acceso radio. El núcleo autentica la suscripción y lee el APN de la solicitud de sesión. El APN elige una pasarela y su política, y la pasarela asigna una dirección y reenvía el tráfico. Un APN público sale a internet; un APN privado sale a una red que controla el cliente.
Qué cambia un APN privado
Un APN privado sale a una red que controla el cliente, normalmente mediante una pasarela dedicada y una conexión de vuelta a la empresa. El operador sigue llevando la radio y el núcleo. La empresa ve el tráfico en su propio borde y puede aplicar su direccionamiento, sus listas de permitidos y su inspección.
Lo que compra el APN privado es la separación de internet desde la pasarela hacia dentro. No cifra el tramo radio y no demuestra quién envió un paquete. Son controles distintos. Un APN privado también añade trabajo operativo: una segunda pasarela, un acuerdo de encaminamiento, un pool de direcciones y un plan para cuando falle el enlace.
Un APN privado es habitual en terminales de pago, vehículos, equipos remotos y pasarelas industriales. El motivo suele ser una dirección fija, un rango de direcciones privadas o una política que no debe depender de internet. Pida el plan de direcciones y la ruta de conmutación antes de contratar.
APN público y APN privado
APN público
- Dispositivo
- Núcleo móvil
- Pasarela
- Internet pública
- Dispositivo
- Núcleo móvil
- Pasarela
- Red privada
Descripción en texto
En el estado público, el dispositivo usa la pasarela del operador y llega a internet. En el estado privado, el mismo dispositivo y el mismo núcleo llegan a una pasarela que conecta con una red privada. La suscripción y la radio no cambian; la salida sí. Un túnel IPsec sobre el estado público cifraría el tráfico, pero seguiría usando la pasarela pública.
Cuándo encaja un túnel cifrado
Un túnel IPsec sobre un APN público es una tercera opción. El dispositivo sigue usando la pasarela pública del operador, pero construye un túnel cifrado hasta el borde de la empresa antes de enviar tráfico de aplicación. El túnel protege la confidencialidad y la integridad en el tramo público; no cambia la pasarela que eligió el operador.
Elija el túnel cuando el requisito sea confidencialidad sobre un camino compartido y el dispositivo tenga margen de CPU y caudal para la sobrecarga del túnel. Elija el APN privado cuando el requisito sea una dirección privada, una salida controlada o una política que deba residir en el núcleo del operador. Muchos despliegues usan ambos.
El túnel tiene su propio modo de fallo. Si el extremo del túnel no es alcanzable, el dispositivo puede conectarse y no cursar nada. Pruebe el túnel y el APN por separado, para que el primer fallo no oculte el segundo.
El dispositivo se conecta pero no llega al servidor
Empiece por la cadena del APN. Un error de escritura o un espacio al final bastan para elegir la pasarela equivocada o ninguna. Los nombres de APN siguen la sintaxis DNS (3GPP TS 23.003 §9.1), así que las mayúsculas por sí solas no deberían cambiar la pasarela; un dispositivo o módem que gestione mal las mayúsculas sí puede fallar. Compare el valor del dispositivo con el del pedido, carácter por carácter.
Después revise las credenciales y el tipo de IP. Una sesión que necesita usuario y contraseña falla si el dispositivo no envía ninguno. Un APN que solo ofrece IPv4 no completará una petición solo IPv6. Compruebe también que el servicio de datos esté habilitado en la suscripción y si el dispositivo configura el APN automáticamente o usa un perfil manual que ya quedó obsoleto.
Si el dispositivo se conecta y obtiene una dirección pero no llega al servidor, probablemente el APN sea correcto y la ruta no. Revise el pool de direcciones, la ruta de retorno y la política de la pasarela. Un APN privado que funciona desde una sede y falla desde otra suele ser un problema de encaminamiento o de cortafuegos, no de radio. El explicador de roaming muestra por qué el punto de salida cambia el camino.
Compruebe lo que ha entendido
-
El dispositivo se conecta pero no llega al servidor: ¿qué revisa primero?
La cadena del APN y el estado de la sesión. Confirme que el dispositivo eligió el APN previsto y después revise la dirección, las credenciales y el tipo de IP antes de probar la radio.
-
¿Qué aporta un APN privado y qué no aporta?
Mantiene el tráfico fuera de internet desde la pasarela hacia dentro y puede dar una dirección privada y una salida controlada. No cifra el camino ni demuestra quién envió un paquete.
-
¿Cuándo encaja mejor un túnel cifrado sobre un APN público?
Cuando la confidencialidad sobre un camino compartido es el requisito principal y el dispositivo puede soportar el túnel. Un APN privado encaja mejor cuando necesita una dirección privada o una política en el núcleo del operador.
Las respuestas se muestran a petición. No se puntúa, guarda ni envía nada.
Preguntas frecuentes
¿El APN es un control de seguridad?
¿Un APN privado funciona en roaming?
¿Necesito un APN por cliente?
Fuentes
- 3GPP TS 23.401: mejoras de GPRS para acceso E-UTRAN
- 3GPP TS 23.060: descripción del servicio general de radio por paquetes
- 3GPP TS 23.003 §9.1: estructura del APN y sintaxis de nombres DNS
- 3GPP TS 27.007: conjunto de comandos AT para equipos de usuario
- Generador de APN, comandos AT y nmcli: nota de método
Términos que encontrará
Relacionado
- Roaming permanente, país por país
Cuánto tiempo puede hacer roaming una SIM extranjera antes de necesitar un perfil local en Brasil, México y Colombia, y cómo elegir el producto.
- SGP.32 para dispositivos IoT
Qué cambia SGP.32 para las flotas de IoT, qué dispositivos califican y por qué los dispositivos SGP.02 no pueden actualizarse por aire.
- Identificador de eUICC (EID)
El identificador de la eUICC, separado de la suscripción.
Productos relacionados
Póngalo en práctica
Cuéntenos el tráfico, el destino y la medición que necesita; respondemos con el siguiente paso.