# APN e accesso privato

Un access point name (APN) è la stringa che il dispositivo invia per selezionare il gateway utilizzato dalla sua sessione dati. Un APN pubblico esce su internet attraverso il gateway dell’operatore; un APN privato esce verso una rete controllata dal cliente. L’APN sceglie il percorso, non il livello di sicurezza.

- L’APN seleziona il gateway e, con esso, il pool di indirizzi e la policy di una sessione dati.

- Un dispositivo può registrarsi alla rete e non trasportare comunque dati se l’APN è errato o la sessione viene rifiutata.

- Un APN privato tiene il traffico fuori dalla rete internet pubblica dal gateway verso l’interno; di per sé non è cifratura.

- Un tunnel IPsec su un APN pubblico cifra il traffico ma utilizza comunque il gateway pubblico dell’operatore.

## L’APN seleziona l’uscita dei dati

Un access point name è una breve stringa, di solito un nome simile a un dominio, che il dispositivo invia quando richiede una sessione dati. La rete la risolve in un gateway e in un insieme di policy: quale pool di indirizzi usare, quali servizi sono consentiti e da dove esce il traffico. L’APN è la scelta dell’uscita.
Un APN pubblico esce su internet attraverso il gateway dell’operatore. È l’impostazione predefinita della maggior parte degli abbonamenti consumer e IoT. Molti dispositivi usano la stessa uscita, ma ogni sessione riceve comunque il proprio indirizzo e la propria policy. Condividere un’uscita non equivale a condividere un abbonamento.
L’APN non autentica l’utente e non cifra il traffico. L’autenticazione spetta all’abbonamento e al core; la cifratura spetta all’applicazione o a un tunnel al di sopra del livello IP. L’APN va trattato come un’istruzione di instradamento, non come un controllo di sicurezza.

### Dispositivo, core, APN, gateway, internet

Il dispositivo raggiunge la rete radio, il core seleziona il gateway indicato dall’APN e il gateway esce su internet o verso una rete privata. L’APN indica l’uscita; non è un livello di sicurezza.

Alt: Un percorso dal dispositivo all’accesso radio, al core mobile, all’APN, al gateway e alla rete internet pubblica, con l’APN evidenziato come uscita selezionata.

Il dispositivo si registra attraverso la rete di accesso radio. Il core autentica l’abbonamento e legge l’APN dalla richiesta di sessione. L’APN seleziona un gateway e la relativa policy, e il gateway assegna un indirizzo e inoltra il traffico. Un APN pubblico esce su internet; un APN privato esce verso una rete controllata dal cliente.

| Item | Value | Note |
| --- | --- | --- |
| Primo stato · 1 | Dispositivo |  |
| Primo stato · 2 | Accesso radio (RAN) |  |
| Primo stato · 3 | Core mobile |  |
| Primo stato · 4 | APN |  |
| Primo stato · 5 | Gateway |  |
| Primo stato · 6 | Internet pubblica |  |

Source: 3GPP TS 23.401 e TS 23.060: l’APN seleziona un PDN gateway (https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/)

## Che cosa cambia un APN privato

Un APN privato esce verso una rete controllata dal cliente, di solito attraverso un gateway dedicato e una connessione di ritorno verso l’azienda. L’operatore continua a gestire la rete radio e il core. L’azienda vede il traffico al proprio edge e può applicare il proprio indirizzamento, le proprie allowlist e la propria ispezione.
Ciò che l’APN privato offre è la separazione dalla rete internet pubblica dal gateway verso l’interno. Non cifra il percorso radio e non dimostra chi ha inviato un pacchetto: si tratta di controlli distinti. Un APN privato può anche aggiungere lavoro operativo: un secondo gateway, un accordo di instradamento, un pool di indirizzi e un piano per ciò che accade quando il collegamento si interrompe.
Un APN privato è comune per terminali di pagamento, veicoli, apparecchiature remote e gateway industriali. Il motivo è di solito un indirizzo fisso, un intervallo di indirizzi privati o una policy che non deve dipendere dalla rete internet pubblica. Prima di ordinare, è opportuno chiedere il piano di indirizzamento e il percorso di failover.

### APN pubblico e APN privato

Il selettore mostra un APN pubblico che esce su internet e un APN privato che esce verso una rete privata. La rete radio e il core sono gli stessi in entrambi gli stati.

Alt: Due schemi di percorso. APN pubblico: dispositivo, core, gateway, internet pubblica. APN privato: dispositivo, core, gateway, rete privata.

Nello stato pubblico, il dispositivo utilizza il gateway dell’operatore e raggiunge internet. Nello stato privato, lo stesso dispositivo e lo stesso core raggiungono un gateway collegato a una rete privata. L’abbonamento e la rete radio non cambiano; cambia l’uscita. Un tunnel IPsec sullo stato pubblico cifrerebbe il traffico ma utilizzerebbe comunque il gateway pubblico.

| Item | Value | Note |
| --- | --- | --- |
| APN pubblico · 1 | Dispositivo |  |
| APN pubblico · 2 | Core mobile |  |
| APN pubblico · 3 | Gateway |  |
| APN pubblico · 4 | Internet pubblica |  |
| APN privato · 1 | Dispositivo |  |
| APN privato · 2 | Core mobile |  |
| APN privato · 3 | Gateway |  |
| APN privato · 4 | Rete privata |  |

Source: 3GPP TS 23.401: connessione PDN e selezione del gateway (https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/)

## Quando è indicato un tunnel cifrato

Un tunnel IPsec su un APN pubblico è una terza opzione. Il dispositivo utilizza comunque il gateway pubblico dell’operatore, ma costruisce un tunnel cifrato verso l’edge aziendale prima di inviare il traffico applicativo. Il tunnel protegge riservatezza e integrità lungo il percorso pubblico; non cambia il gateway selezionato dall’operatore.
Il tunnel è la scelta giusta quando il requisito è la riservatezza su un percorso condiviso e il dispositivo dispone del margine di CPU e del throughput necessari per l’overhead del tunnel. L’APN privato è la scelta giusta quando il requisito è un indirizzo privato, un’uscita controllata o una policy che deve risiedere nel core dell’operatore. Molte implementazioni utilizzano entrambi.
Il tunnel ha una propria modalità di guasto. Se l’endpoint del tunnel non è raggiungibile, il dispositivo può registrarsi e non trasportare comunque nulla. Il tunnel e l’APN vanno testati separatamente, così che il primo guasto non nasconda il secondo.

## Il dispositivo si registra ma non raggiunge il server

Si parte dalla stringa dell’APN. Un errore di battitura o uno spazio finale bastano a selezionare il gateway sbagliato o nessun gateway. I nomi APN seguono la sintassi dei nomi DNS (3GPP TS 23.003 §9.1), quindi le sole maiuscole o minuscole non dovrebbero cambiare il gateway; un dispositivo o un modem che le gestisce male può comunque fallire. Si confronta il valore nel dispositivo con quello indicato nell’ordine, carattere per carattere.
Poi si verificano le credenziali e il tipo di IP. Una sessione che richiede nome utente e password fallisce se il dispositivo non li invia. Un APN che offre solo IPv4 non completerà una richiesta solo IPv6. Quindi si verifica che il servizio dati sia attivo sull’abbonamento e se il dispositivo imposta l’APN automaticamente o usa un profilo manuale ormai obsoleto.
Se il dispositivo si registra e ottiene un indirizzo ma non raggiunge il server, probabilmente l’APN è corretto e la rotta è sbagliata. Si controllano il pool di indirizzi, la rotta di ritorno e la policy sul gateway. Un APN privato che funziona da un sito e non da un altro è di solito una questione di instradamento o di firewall, non di rete radio. La [guida al roaming](/it/resources/learn/home-routing-vs-local-breakout/) mostra perché il punto di uscita cambia il percorso.

Un esempio generico. Lo sostituisca con il valore del suo fornitore di SIM.

[Open the tool](/it/tools/apn-gen/?src=learn-what-is-an-apn&scenario=private-apn&apn=apn.example&auth=none)

### Verifichi la sua comprensione

**Il dispositivo si registra ma non raggiunge il server: che cosa si controlla per primo?**

La stringa dell’APN e lo stato della sessione. Si conferma che il dispositivo abbia selezionato l’APN previsto, poi si controllano l’indirizzo, le credenziali e il tipo di IP prima di testare la rete radio.

**Che cosa offre un APN privato e che cosa non offre?**

Tiene il traffico fuori dalla rete internet pubblica dal gateway verso l’interno e può fornire un indirizzo privato e un’uscita controllata. Non cifra il percorso e non dimostra chi ha inviato un pacchetto.

**Quando un tunnel cifrato su un APN pubblico è la soluzione più adatta?**

Quando il requisito principale è la riservatezza su un percorso condiviso e il dispositivo è in grado di sostenere il tunnel. Un APN privato è più adatto quando servono un indirizzo privato o una policy nel core dell’operatore.

## FAQ

**Un APN è un controllo di sicurezza?**

No. Seleziona il gateway e la policy a esso associata. Cifratura e autenticazione sono distinte.

**Un APN privato può funzionare in roaming?**

Dipende dall’accordo di roaming e dalla rete visitata. Occorre chiedere se il gateway privato è raggiungibile dal core visitato, e testarlo.

**Serve un APN per ogni cliente?**

Non sempre. Un solo APN può servire molti clienti se l’indirizzamento e la policy lo consentono. Un APN separato è una scelta operativa, non un requisito.

## Sources

- [3GPP TS 23.401: miglioramenti GPRS per l’accesso E-UTRAN](https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/) — Accessed: 2026-10-19
- [3GPP TS 23.060: descrizione del General Packet Radio Service](https://www.3gpp.org/ftp/Specs/archive/23_series/23.060/) — Accessed: 2026-10-19
- [3GPP TS 23.003 §9.1: struttura dell’APN e sintassi dei nomi DNS](https://www.3gpp.org/ftp/Specs/archive/23_series/23.003/) — Accessed: 2026-10-19
- [3GPP TS 27.007: set di comandi AT per l’apparecchiatura utente](https://www.3gpp.org/ftp/Specs/archive/27_series/27.007/) — Accessed: 2026-10-19
- [Generatore di configurazione APN, comandi AT e nmcli: nota metodologica](https://unicomam.com/en/tools/apn-gen/) — Accessed: 2026-10-19

Updated: 2026-10-19