# APN et accès privé

Un nom de point d’accès (APN) est la chaîne que l’appareil envoie pour choisir la passerelle de sa session de données. Un APN public sort vers internet par la passerelle de l’opérateur ; un APN privé sort vers un réseau contrôlé par le client. L’APN choisit le chemin, pas le niveau de sécurité.

- L’APN choisit la passerelle et, avec elle, le pool d’adresses et la politique d’une session de données.

- Un appareil peut s’attacher au réseau sans transporter de données si l’APN est faux ou si la session est refusée.

- Un APN privé garde le trafic hors d’internet depuis la passerelle vers l’intérieur ; ce n’est pas du chiffrement en soi.

- Un tunnel IPsec sur un APN public chiffre le trafic, mais utilise toujours la passerelle publique de l’opérateur.

## L’APN choisit la sortie des données

Un nom de point d’accès est une chaîne courte, souvent de forme domaine, que l’appareil envoie lorsqu’il demande une session de données. Le réseau la résout vers une passerelle et un ensemble de politiques : quel pool d’adresses utiliser, quels services sont autorisés et par où le trafic sort. L’APN est le choix de la sortie.
Un APN public sort vers internet par la passerelle de l’opérateur. C’est le cas par défaut de la plupart des abonnements grand public et IoT. De nombreux appareils utilisent la même sortie, mais chaque session reçoit sa propre adresse et sa propre politique. Partager une sortie n’est pas partager un abonnement.
L’APN n’authentifie pas l’utilisateur et ne chiffre pas le trafic. L’authentification relève de l’abonnement et du cœur de réseau ; le chiffrement relève de l’application ou d’un tunnel au-dessus de la couche IP. Traitez l’APN comme une instruction de routage, pas comme un contrôle de sécurité.

### Appareil, cœur, APN, passerelle, internet

L’appareil atteint la radio, le cœur choisit la passerelle indiquée par l’APN et la passerelle sort vers internet ou vers un réseau privé. L’APN nomme la sortie ; ce n’est pas un niveau de sécurité.

Alt: Un chemin de l’appareil vers l’accès radio, le cœur mobile, l’APN, la passerelle et l’internet public, avec l’APN marqué comme la sortie choisie.

L’appareil s’attache via le réseau d’accès radio. Le cœur authentifie l’abonnement et lit l’APN dans la demande de session. L’APN choisit une passerelle et sa politique ; la passerelle attribue une adresse et achemine le trafic. Un APN public sort vers internet ; un APN privé sort vers un réseau contrôlé par le client.

| Item | Value | Note |
| --- | --- | --- |
| Premier état · 1 | Appareil |  |
| Premier état · 2 | Accès radio (RAN) |  |
| Premier état · 3 | Cœur mobile |  |
| Premier état · 4 | APN |  |
| Premier état · 5 | Passerelle |  |
| Premier état · 6 | Internet public |  |

Source: 3GPP TS 23.401 et TS 23.060 : l’APN choisit la passerelle PDN (https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/)

## Ce qu’un APN privé change

Un APN privé sort vers un réseau contrôlé par le client, souvent via une passerelle dédiée et une liaison de retour vers l’entreprise. L’opérateur continue de porter la radio et le cœur. L’entreprise voit le trafic à sa propre frontière et peut appliquer son adressage, ses listes d’autorisation et son inspection.
Ce que l’APN privé apporte, c’est la séparation d’avec internet depuis la passerelle vers l’intérieur. Il ne chiffre pas le segment radio et ne prouve pas qui a envoyé un paquet. Ce sont des contrôles différents. Un APN privé ajoute aussi du travail d’exploitation : une seconde passerelle, un accord de routage, un pool d’adresses et un plan pour la panne de la liaison.
Un APN privé est courant pour les terminaux de paiement, les véhicules, les équipements distants et les passerelles industrielles. La raison est souvent une adresse fixe, une plage d’adresses privées ou une politique qui ne doit pas dépendre d’internet. Demandez le plan d’adressage et le chemin de bascule avant de commander.

### APN public et APN privé

Le sélecteur montre un APN public qui sort vers internet et un APN privé qui sort vers un réseau privé. La radio et le cœur sont identiques dans les deux états.

Alt: Deux schémas de chemin. APN public : appareil, cœur, passerelle, internet public. APN privé : appareil, cœur, passerelle, réseau privé.

Dans l’état public, l’appareil utilise la passerelle de l’opérateur et atteint internet. Dans l’état privé, le même appareil et le même cœur atteignent une passerelle reliée à un réseau privé. L’abonnement et la radio ne changent pas ; la sortie si. Un tunnel IPsec sur l’état public chiffrerait le trafic, mais utiliserait toujours la passerelle publique.

| Item | Value | Note |
| --- | --- | --- |
| APN public · 1 | Appareil |  |
| APN public · 2 | Cœur mobile |  |
| APN public · 3 | Passerelle |  |
| APN public · 4 | Internet public |  |
| APN privé · 1 | Appareil |  |
| APN privé · 2 | Cœur mobile |  |
| APN privé · 3 | Passerelle |  |
| APN privé · 4 | Réseau privé |  |

Source: 3GPP TS 23.401 : connexion PDN et sélection de passerelle (https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/)

## Quand un tunnel chiffré convient

Un tunnel IPsec sur un APN public est une troisième option. L’appareil utilise toujours la passerelle publique de l’opérateur, mais construit un tunnel chiffré vers la frontière de l’entreprise avant d’envoyer le trafic applicatif. Le tunnel protège la confidentialité et l’intégrité sur le chemin public ; il ne change pas la passerelle choisie par l’opérateur.
Choisissez le tunnel lorsque le besoin est la confidentialité sur un chemin partagé et que l’appareil dispose de la marge CPU et du débit nécessaires pour la surcharge du tunnel. Choisissez l’APN privé lorsque le besoin est une adresse privée, une sortie maîtrisée ou une politique qui doit résider dans le cœur de l’opérateur. Beaucoup de déploiements utilisent les deux.
Le tunnel a son propre mode de panne. Si l’extrémité du tunnel est injoignable, l’appareil peut s’attacher sans rien transporter. Testez le tunnel et l’APN séparément, pour que la première panne ne cache pas la seconde.

## L’appareil s’attache mais n’atteint pas le serveur

Commencez par la chaîne de l’APN. Une faute de frappe ou un espace final suffit à choisir la mauvaise passerelle, ou aucune. Les noms d’APN suivent la syntaxe DNS (3GPP TS 23.003 §9.1) : la casse seule ne devrait donc pas changer la passerelle ; un appareil ou un modem qui la gère mal peut encore échouer. Comparez la valeur de l’appareil avec celle de la commande, caractère par caractère.
Vérifiez ensuite les identifiants et le type d’IP. Une session qui exige un nom d’utilisateur et un mot de passe échoue si l’appareil n’en envoie pas. Un APN qui n’offre que de l’IPv4 ne terminera pas une demande IPv6 seule. Vérifiez aussi que le service de données est activé sur l’abonnement et que l’appareil configure l’APN automatiquement ou utilise un profil manuel devenu obsolète.
Si l’appareil s’attache et obtient une adresse mais n’atteint pas le serveur, l’APN est probablement correct et la route ne l’est pas. Vérifiez le pool d’adresses, la route de retour et la politique sur la passerelle. Un APN privé qui fonctionne depuis un site et échoue depuis un autre relève souvent du routage ou du pare-feu, pas de la radio. L’[explication du roaming](/fr/resources/learn/home-routing-vs-local-breakout/) montre pourquoi le point de sortie change le chemin.

Un exemple générique. Remplacez-le par la valeur de votre propre fournisseur de SIM.

[Open the tool](/fr/tools/apn-gen/?src=learn-what-is-an-apn&scenario=private-apn&apn=apn.example&auth=none)

### Vérifiez votre compréhension

**L’appareil s’attache mais n’atteint pas le serveur : que vérifiez-vous d’abord ?**

La chaîne de l’APN et l’état de la session. Confirmez que l’appareil a choisi l’APN prévu, puis vérifiez l’adresse, les identifiants et le type d’IP avant de tester la radio.

**Qu’apporte un APN privé, et qu’il n’apporte pas ?**

Il garde le trafic hors d’internet depuis la passerelle vers l’intérieur et peut fournir une adresse privée et une sortie maîtrisée. Il ne chiffre pas le chemin et ne prouve pas qui a envoyé un paquet.

**Quand un tunnel chiffré sur un APN public convient-il mieux ?**

Lorsque la confidentialité sur un chemin partagé est le besoin principal et que l’appareil peut porter le tunnel. Un APN privé convient mieux lorsqu’il faut une adresse privée ou une politique dans le cœur de l’opérateur.

## FAQ

**L’APN est-il un contrôle de sécurité ?**

Non. Il choisit la passerelle et la politique associée. Le chiffrement et l’authentification sont des contrôles distincts.

**Un APN privé fonctionne-t-il en itinérance ?**

Cela dépend de l’accord d’itinérance et du réseau visité. Demandez si la passerelle privée est joignable depuis le cœur visité, et testez.

**Faut-il un APN par client ?**

Pas toujours. Un APN peut servir plusieurs clients si l’adressage et la politique le permettent. Un APN séparé est un choix d’exploitation, pas une obligation.

## Sources

- [3GPP TS 23.401 : améliorations GPRS pour l’accès E-UTRAN](https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/) — Accessed: 2026-10-19
- [3GPP TS 23.060 : description du service général de radiocommunication par paquets](https://www.3gpp.org/ftp/Specs/archive/23_series/23.060/) — Accessed: 2026-10-19
- [3GPP TS 23.003 §9.1 : structure de l’APN et syntaxe des noms DNS](https://www.3gpp.org/ftp/Specs/archive/23_series/23.003/) — Accessed: 2026-10-19
- [3GPP TS 27.007 : jeu de commandes AT pour l’équipement utilisateur](https://www.3gpp.org/ftp/Specs/archive/27_series/27.007/) — Accessed: 2026-10-19
- [Générateur d’APN, de commandes AT et de nmcli : note de méthode](https://unicomam.com/en/tools/apn-gen/) — Accessed: 2026-10-19

Updated: 2026-10-19