APN et accès privé
Le nom de point d’accès choisit la sortie des données. Voici ce qu’un APN public, un APN privé et un tunnel IPsec sur un APN public changent.
Un nom de point d’accès (APN) est la chaîne que l’appareil envoie pour choisir la passerelle de sa session de données. Un APN public sort vers internet par la passerelle de l’opérateur ; un APN privé sort vers un réseau contrôlé par le client. L’APN choisit le chemin, pas le niveau de sécurité.
Faits clés
- L’APN choisit la passerelle et, avec elle, le pool d’adresses et la politique d’une session de données.
- Un appareil peut s’attacher au réseau sans transporter de données si l’APN est faux ou si la session est refusée.
- Un APN privé garde le trafic hors d’internet depuis la passerelle vers l’intérieur ; ce n’est pas du chiffrement en soi.
- Un tunnel IPsec sur un APN public chiffre le trafic, mais utilise toujours la passerelle publique de l’opérateur.
À la fin de ce module, vous saurez
- Expliquer ce qu’un APN choisit et ce qu’il ne choisit pas.
- Choisir entre un APN public, un APN privé et un tunnel IPsec sur un APN public.
- Diagnostiquer un appareil qui s’attache mais n’atteint pas le serveur.
Sur cette page
L’APN choisit la sortie des données
Un nom de point d’accès est une chaîne courte, souvent de forme domaine, que l’appareil envoie lorsqu’il demande une session de données. Le réseau la résout vers une passerelle et un ensemble de politiques : quel pool d’adresses utiliser, quels services sont autorisés et par où le trafic sort. L’APN est le choix de la sortie.
Un APN public sort vers internet par la passerelle de l’opérateur. C’est le cas par défaut de la plupart des abonnements grand public et IoT. De nombreux appareils utilisent la même sortie, mais chaque session reçoit sa propre adresse et sa propre politique. Partager une sortie n’est pas partager un abonnement.
L’APN n’authentifie pas l’utilisateur et ne chiffre pas le trafic. L’authentification relève de l’abonnement et du cœur de réseau ; le chiffrement relève de l’application ou d’un tunnel au-dessus de la couche IP. Traitez l’APN comme une instruction de routage, pas comme un contrôle de sécurité.
Appareil, cœur, APN, passerelle, internet
- Appareil
- Accès radio (RAN)
- Cœur mobile
- APN
- Passerelle
- Internet public
Description textuelle
L’appareil s’attache via le réseau d’accès radio. Le cœur authentifie l’abonnement et lit l’APN dans la demande de session. L’APN choisit une passerelle et sa politique ; la passerelle attribue une adresse et achemine le trafic. Un APN public sort vers internet ; un APN privé sort vers un réseau contrôlé par le client.
Ce qu’un APN privé change
Un APN privé sort vers un réseau contrôlé par le client, souvent via une passerelle dédiée et une liaison de retour vers l’entreprise. L’opérateur continue de porter la radio et le cœur. L’entreprise voit le trafic à sa propre frontière et peut appliquer son adressage, ses listes d’autorisation et son inspection.
Ce que l’APN privé apporte, c’est la séparation d’avec internet depuis la passerelle vers l’intérieur. Il ne chiffre pas le segment radio et ne prouve pas qui a envoyé un paquet. Ce sont des contrôles différents. Un APN privé ajoute aussi du travail d’exploitation : une seconde passerelle, un accord de routage, un pool d’adresses et un plan pour la panne de la liaison.
Un APN privé est courant pour les terminaux de paiement, les véhicules, les équipements distants et les passerelles industrielles. La raison est souvent une adresse fixe, une plage d’adresses privées ou une politique qui ne doit pas dépendre d’internet. Demandez le plan d’adressage et le chemin de bascule avant de commander.
APN public et APN privé
APN public
- Appareil
- Cœur mobile
- Passerelle
- Internet public
- Appareil
- Cœur mobile
- Passerelle
- Réseau privé
Description textuelle
Dans l’état public, l’appareil utilise la passerelle de l’opérateur et atteint internet. Dans l’état privé, le même appareil et le même cœur atteignent une passerelle reliée à un réseau privé. L’abonnement et la radio ne changent pas ; la sortie si. Un tunnel IPsec sur l’état public chiffrerait le trafic, mais utiliserait toujours la passerelle publique.
Quand un tunnel chiffré convient
Un tunnel IPsec sur un APN public est une troisième option. L’appareil utilise toujours la passerelle publique de l’opérateur, mais construit un tunnel chiffré vers la frontière de l’entreprise avant d’envoyer le trafic applicatif. Le tunnel protège la confidentialité et l’intégrité sur le chemin public ; il ne change pas la passerelle choisie par l’opérateur.
Choisissez le tunnel lorsque le besoin est la confidentialité sur un chemin partagé et que l’appareil dispose de la marge CPU et du débit nécessaires pour la surcharge du tunnel. Choisissez l’APN privé lorsque le besoin est une adresse privée, une sortie maîtrisée ou une politique qui doit résider dans le cœur de l’opérateur. Beaucoup de déploiements utilisent les deux.
Le tunnel a son propre mode de panne. Si l’extrémité du tunnel est injoignable, l’appareil peut s’attacher sans rien transporter. Testez le tunnel et l’APN séparément, pour que la première panne ne cache pas la seconde.
L’appareil s’attache mais n’atteint pas le serveur
Commencez par la chaîne de l’APN. Une faute de frappe ou un espace final suffit à choisir la mauvaise passerelle, ou aucune. Les noms d’APN suivent la syntaxe DNS (3GPP TS 23.003 §9.1) : la casse seule ne devrait donc pas changer la passerelle ; un appareil ou un modem qui la gère mal peut encore échouer. Comparez la valeur de l’appareil avec celle de la commande, caractère par caractère.
Vérifiez ensuite les identifiants et le type d’IP. Une session qui exige un nom d’utilisateur et un mot de passe échoue si l’appareil n’en envoie pas. Un APN qui n’offre que de l’IPv4 ne terminera pas une demande IPv6 seule. Vérifiez aussi que le service de données est activé sur l’abonnement et que l’appareil configure l’APN automatiquement ou utilise un profil manuel devenu obsolète.
Si l’appareil s’attache et obtient une adresse mais n’atteint pas le serveur, l’APN est probablement correct et la route ne l’est pas. Vérifiez le pool d’adresses, la route de retour et la politique sur la passerelle. Un APN privé qui fonctionne depuis un site et échoue depuis un autre relève souvent du routage ou du pare-feu, pas de la radio. L’explication du roaming montre pourquoi le point de sortie change le chemin.
Vérifiez votre compréhension
-
L’appareil s’attache mais n’atteint pas le serveur : que vérifiez-vous d’abord ?
La chaîne de l’APN et l’état de la session. Confirmez que l’appareil a choisi l’APN prévu, puis vérifiez l’adresse, les identifiants et le type d’IP avant de tester la radio.
-
Qu’apporte un APN privé, et qu’il n’apporte pas ?
Il garde le trafic hors d’internet depuis la passerelle vers l’intérieur et peut fournir une adresse privée et une sortie maîtrisée. Il ne chiffre pas le chemin et ne prouve pas qui a envoyé un paquet.
-
Quand un tunnel chiffré sur un APN public convient-il mieux ?
Lorsque la confidentialité sur un chemin partagé est le besoin principal et que l’appareil peut porter le tunnel. Un APN privé convient mieux lorsqu’il faut une adresse privée ou une politique dans le cœur de l’opérateur.
Les réponses s’affichent sur demande. Rien n’est noté, stocké ni envoyé.
Questions fréquentes
L’APN est-il un contrôle de sécurité ?
Un APN privé fonctionne-t-il en itinérance ?
Faut-il un APN par client ?
Sources
- 3GPP TS 23.401 : améliorations GPRS pour l’accès E-UTRAN
- 3GPP TS 23.060 : description du service général de radiocommunication par paquets
- 3GPP TS 23.003 §9.1 : structure de l’APN et syntaxe des noms DNS
- 3GPP TS 27.007 : jeu de commandes AT pour l’équipement utilisateur
- Générateur d’APN, de commandes AT et de nmcli : note de méthode
Termes rencontrés
Voir aussi
- Itinérance permanente, pays par pays
Combien de temps une SIM étrangère peut itinérer avant d’avoir besoin d’un profil local, pour le Brésil, le Mexique et la Colombie.
- SGP.32 pour les appareils IoT
Ce que SGP.32 change pour les parcs IoT, quels appareils sont éligibles, et pourquoi les appareils SGP.02 ne peuvent pas être mis à niveau à distance.
- Identifiant eUICC (EID)
L’identifiant de l’eUICC, distinct de l’abonnement.
Produits associés
Passez à la pratique
Indiquez le trafic, la destination et la mesure nécessaire ; nous répondons avec l’étape suivante.