APN e accesso privato
Un access point name sceglie l’uscita dei dati. Ecco che cosa cambiano un APN pubblico, un APN privato e un tunnel IPsec su un APN pubblico.
Un access point name (APN) è la stringa che il dispositivo invia per selezionare il gateway utilizzato dalla sua sessione dati. Un APN pubblico esce su internet attraverso il gateway dell’operatore; un APN privato esce verso una rete controllata dal cliente. L’APN sceglie il percorso, non il livello di sicurezza.
Dati essenziali
- L’APN seleziona il gateway e, con esso, il pool di indirizzi e la policy di una sessione dati.
- Un dispositivo può registrarsi alla rete e non trasportare comunque dati se l’APN è errato o la sessione viene rifiutata.
- Un APN privato tiene il traffico fuori dalla rete internet pubblica dal gateway verso l’interno; di per sé non è cifratura.
- Un tunnel IPsec su un APN pubblico cifra il traffico ma utilizza comunque il gateway pubblico dell’operatore.
Dopo questo modulo potrà
- Spiegare che cosa seleziona un APN e che cosa non seleziona.
- Scegliere tra un APN pubblico, un APN privato e un tunnel IPsec su un APN pubblico.
- Diagnosticare un dispositivo che si registra alla rete ma non raggiunge il server.
In questa pagina
L’APN seleziona l’uscita dei dati
Un access point name è una breve stringa, di solito un nome simile a un dominio, che il dispositivo invia quando richiede una sessione dati. La rete la risolve in un gateway e in un insieme di policy: quale pool di indirizzi usare, quali servizi sono consentiti e da dove esce il traffico. L’APN è la scelta dell’uscita.
Un APN pubblico esce su internet attraverso il gateway dell’operatore. È l’impostazione predefinita della maggior parte degli abbonamenti consumer e IoT. Molti dispositivi usano la stessa uscita, ma ogni sessione riceve comunque il proprio indirizzo e la propria policy. Condividere un’uscita non equivale a condividere un abbonamento.
L’APN non autentica l’utente e non cifra il traffico. L’autenticazione spetta all’abbonamento e al core; la cifratura spetta all’applicazione o a un tunnel al di sopra del livello IP. L’APN va trattato come un’istruzione di instradamento, non come un controllo di sicurezza.
Dispositivo, core, APN, gateway, internet
- Dispositivo
- Accesso radio (RAN)
- Core mobile
- APN
- Gateway
- Internet pubblica
Descrizione testuale
Il dispositivo si registra attraverso la rete di accesso radio. Il core autentica l’abbonamento e legge l’APN dalla richiesta di sessione. L’APN seleziona un gateway e la relativa policy, e il gateway assegna un indirizzo e inoltra il traffico. Un APN pubblico esce su internet; un APN privato esce verso una rete controllata dal cliente.
Che cosa cambia un APN privato
Un APN privato esce verso una rete controllata dal cliente, di solito attraverso un gateway dedicato e una connessione di ritorno verso l’azienda. L’operatore continua a gestire la rete radio e il core. L’azienda vede il traffico al proprio edge e può applicare il proprio indirizzamento, le proprie allowlist e la propria ispezione.
Ciò che l’APN privato offre è la separazione dalla rete internet pubblica dal gateway verso l’interno. Non cifra il percorso radio e non dimostra chi ha inviato un pacchetto: si tratta di controlli distinti. Un APN privato può anche aggiungere lavoro operativo: un secondo gateway, un accordo di instradamento, un pool di indirizzi e un piano per ciò che accade quando il collegamento si interrompe.
Un APN privato è comune per terminali di pagamento, veicoli, apparecchiature remote e gateway industriali. Il motivo è di solito un indirizzo fisso, un intervallo di indirizzi privati o una policy che non deve dipendere dalla rete internet pubblica. Prima di ordinare, è opportuno chiedere il piano di indirizzamento e il percorso di failover.
APN pubblico e APN privato
APN pubblico
- Dispositivo
- Core mobile
- Gateway
- Internet pubblica
- Dispositivo
- Core mobile
- Gateway
- Rete privata
Descrizione testuale
Nello stato pubblico, il dispositivo utilizza il gateway dell’operatore e raggiunge internet. Nello stato privato, lo stesso dispositivo e lo stesso core raggiungono un gateway collegato a una rete privata. L’abbonamento e la rete radio non cambiano; cambia l’uscita. Un tunnel IPsec sullo stato pubblico cifrerebbe il traffico ma utilizzerebbe comunque il gateway pubblico.
Quando è indicato un tunnel cifrato
Un tunnel IPsec su un APN pubblico è una terza opzione. Il dispositivo utilizza comunque il gateway pubblico dell’operatore, ma costruisce un tunnel cifrato verso l’edge aziendale prima di inviare il traffico applicativo. Il tunnel protegge riservatezza e integrità lungo il percorso pubblico; non cambia il gateway selezionato dall’operatore.
Il tunnel è la scelta giusta quando il requisito è la riservatezza su un percorso condiviso e il dispositivo dispone del margine di CPU e del throughput necessari per l’overhead del tunnel. L’APN privato è la scelta giusta quando il requisito è un indirizzo privato, un’uscita controllata o una policy che deve risiedere nel core dell’operatore. Molte implementazioni utilizzano entrambi.
Il tunnel ha una propria modalità di guasto. Se l’endpoint del tunnel non è raggiungibile, il dispositivo può registrarsi e non trasportare comunque nulla. Il tunnel e l’APN vanno testati separatamente, così che il primo guasto non nasconda il secondo.
Il dispositivo si registra ma non raggiunge il server
Si parte dalla stringa dell’APN. Un errore di battitura o uno spazio finale bastano a selezionare il gateway sbagliato o nessun gateway. I nomi APN seguono la sintassi dei nomi DNS (3GPP TS 23.003 §9.1), quindi le sole maiuscole o minuscole non dovrebbero cambiare il gateway; un dispositivo o un modem che le gestisce male può comunque fallire. Si confronta il valore nel dispositivo con quello indicato nell’ordine, carattere per carattere.
Poi si verificano le credenziali e il tipo di IP. Una sessione che richiede nome utente e password fallisce se il dispositivo non li invia. Un APN che offre solo IPv4 non completerà una richiesta solo IPv6. Quindi si verifica che il servizio dati sia attivo sull’abbonamento e se il dispositivo imposta l’APN automaticamente o usa un profilo manuale ormai obsoleto.
Se il dispositivo si registra e ottiene un indirizzo ma non raggiunge il server, probabilmente l’APN è corretto e la rotta è sbagliata. Si controllano il pool di indirizzi, la rotta di ritorno e la policy sul gateway. Un APN privato che funziona da un sito e non da un altro è di solito una questione di instradamento o di firewall, non di rete radio. La guida al roaming mostra perché il punto di uscita cambia il percorso.
Verifichi la sua comprensione
-
Il dispositivo si registra ma non raggiunge il server: che cosa si controlla per primo?
La stringa dell’APN e lo stato della sessione. Si conferma che il dispositivo abbia selezionato l’APN previsto, poi si controllano l’indirizzo, le credenziali e il tipo di IP prima di testare la rete radio.
-
Che cosa offre un APN privato e che cosa non offre?
Tiene il traffico fuori dalla rete internet pubblica dal gateway verso l’interno e può fornire un indirizzo privato e un’uscita controllata. Non cifra il percorso e non dimostra chi ha inviato un pacchetto.
-
Quando un tunnel cifrato su un APN pubblico è la soluzione più adatta?
Quando il requisito principale è la riservatezza su un percorso condiviso e il dispositivo è in grado di sostenere il tunnel. Un APN privato è più adatto quando servono un indirizzo privato o una policy nel core dell’operatore.
Le risposte vengono mostrate su richiesta. Nulla viene valutato, salvato o inviato.
Domande frequenti
Un APN è un controllo di sicurezza?
Un APN privato può funzionare in roaming?
Serve un APN per ogni cliente?
Fonti
- 3GPP TS 23.401: miglioramenti GPRS per l’accesso E-UTRAN
- 3GPP TS 23.060: descrizione del General Packet Radio Service
- 3GPP TS 23.003 §9.1: struttura dell’APN e sintassi dei nomi DNS
- 3GPP TS 27.007: set di comandi AT per l’apparecchiatura utente
- Generatore di configurazione APN, comandi AT e nmcli: nota metodologica
Termini che incontrerà
Correlati
- Roaming permanente, paese per paese
Per quanto tempo una SIM estera può restare in roaming prima di richiedere un profilo locale in Brasile, Messico e Colombia, con il percorso decisionale verso il prodotto adatto.
- SGP.32 per dispositivi IoT
Cosa cambia SGP.32 per le flotte IoT, quali dispositivi sono idonei e perché i dispositivi SGP.02 non possono essere aggiornati over the air.
- Identificativo eUICC (EID)
L’identificativo dell’eUICC, distinto dall’abbonamento.
Prodotti correlati
Metterlo in pratica
Ci indichi il traffico, la destinazione e la misurazione di cui ha bisogno; le risponderemo con il passo successivo.