APNとプライベートアクセス
APN（アクセスポイント名）はデータの出口を選択します。パブリックAPN、プライベートAPN、パブリックAPN上のIPsecトンネルがそれぞれ何を変えるのかを解説します。
APN（アクセスポイント名）は、デバイスが送信する文字列で、データセッションが使うゲートウェイを選択します。パブリックAPNは事業者のゲートウェイを経てインターネットに出ます。プライベートAPNは顧客が管理するネットワークに出ます。APNが選ぶのは経路であり、セキュリティレベルではありません。
主な情報
- APNはゲートウェイを選択し、それに伴ってデータセッションのアドレスプールとポリシーも決まります。
- APNが誤っている場合やセッションが拒否された場合、デバイスはネットワークにアタッチしていてもデータを送受信できないことがあります。
- プライベートAPNは、ゲートウェイから内側でトラフィックが公衆インターネットを通らないようにします。それ自体は暗号化ではありません。
- パブリックAPN上のIPsecトンネルはトラフィックを暗号化しますが、引き続き事業者のパブリックゲートウェイを使います。
このモジュールを終えるとできること
- APNが何を選択し、何を選択しないかを説明できるようになる。
- パブリックAPN、プライベートAPN、パブリックAPN上のIPsecトンネルのいずれかを選べるようになる。
- アタッチはできるがサーバーに到達できないデバイスの原因を切り分けられるようになる。
このページの内容
APNはデータの出口を選択する
APN（アクセスポイント名）は短い文字列で、通常はドメイン名に似た形式です。デバイスはデータセッションを要求するときにこれを送信します。ネットワークはこれをゲートウェイと一連のポリシーに解決します。どのアドレスプールを使うか、どのサービスを許可するか、トラフィックがどこから出ていくかが決まります。APNとは出口の選択です。
パブリックAPNは、事業者のゲートウェイを経てインターネットに出ます。コンシューマー向けやIoT向けの多くの契約では、これがデフォルトです。多くのデバイスが同じ出口を使いますが、各セッションにはそれぞれ独自のアドレスとポリシーが割り当てられます。出口を共有することは、契約を共有することとは異なります。
APNはユーザーを認証せず、トラフィックを暗号化することもありません。認証は契約とコアが担い、暗号化はアプリケーションまたはIP層より上のトンネルが担います。APNはセキュリティ制御ではなく、ルーティングの指示として扱ってください。
デバイス、コア、APN、ゲートウェイ、インターネット
- デバイス
- 無線アクセス（RAN）
- モバイルコア
- APN
- ゲートウェイ
- パブリックインターネット
テキストによる説明
デバイスは無線アクセスネットワークを通じてアタッチします。コアは契約を認証し、セッション要求からAPNを読み取ります。APNはゲートウェイとそのポリシーを選択し、ゲートウェイはアドレスを割り当ててトラフィックを転送します。パブリックAPNはインターネットに出ます。プライベートAPNは顧客が管理するネットワークに出ます。
プライベートAPNで変わること
プライベートAPNは顧客が管理するネットワークに出ます。通常は専用ゲートウェイと、企業側への接続を経由します。無線とコアは引き続き事業者が担います。企業は自社のエッジでトラフィックを把握し、独自のアドレッシング、許可リスト、検査を適用できます。
プライベートAPNで得られるのは、ゲートウェイから内側での公衆インターネットからの分離です。無線区間を暗号化するものではなく、誰がパケットを送信したかを証明するものでもありません。それらは別の制御です。プライベートAPNは運用の手間を増やすこともあります。2つ目のゲートウェイ、ルーティングの取り決め、アドレスプール、リンク障害時の対応計画が必要になります。
プライベートAPNは、決済端末、車両、遠隔設備、産業用ゲートウェイでよく使われます。理由は通常、固定アドレス、プライベートアドレス範囲、または公衆インターネットに依存してはならないポリシーです。注文の前に、アドレス計画とフェイルオーバーの経路を確認してください。
パブリックAPNとプライベートAPN
パブリックAPN
- デバイス
- モバイルコア
- ゲートウェイ
- パブリックインターネット
- デバイス
- モバイルコア
- ゲートウェイ
- プライベートネットワーク
テキストによる説明
パブリックの状態では、デバイスは事業者のゲートウェイを使ってインターネットに到達します。プライベートの状態では、同じデバイスとコアが、プライベートネットワークに接続するゲートウェイに到達します。契約と無線は変わらず、出口が変わります。パブリックの状態でIPsecトンネルを使うとトラフィックは暗号化されますが、引き続きパブリックゲートウェイを使います。
暗号化トンネルが適する場合
パブリックAPN上のIPsecトンネルは3つ目の選択肢です。デバイスは引き続き事業者のパブリックゲートウェイを使いますが、アプリケーションのトラフィックを送信する前に、企業のエッジまでの暗号化トンネルを確立します。トンネルはパブリックな経路全体で機密性と完全性を保護しますが、事業者が選択したゲートウェイを変えるものではありません。
要件が共有経路上での機密性であり、デバイスにトンネルのオーバーヘッドを処理できるCPUの余裕とスループットがある場合は、トンネルを選んでください。要件がプライベートアドレス、管理された出口、または事業者のコアに置く必要のあるポリシーである場合は、プライベートAPNを選んでください。両方を併用する導入事例も多くあります。
トンネルには固有の障害モードがあります。トンネルのエンドポイントに到達できない場合、デバイスはアタッチしていても何も送受信できないことがあります。最初の障害が2つ目の障害を隠さないよう、トンネルとAPNは別々にテストしてください。
デバイスはアタッチするがサーバーに到達できない
まずAPN文字列を確認します。入力ミスや末尾のスペースがあるだけで、誤ったゲートウェイが選択されたり、ゲートウェイが選択されなかったりします。APN名はDNS名の構文（3GPP TS 23.003 §9.1）に従うため、大文字と小文字の違いだけでゲートウェイが変わることは本来ありません。ただし、大文字と小文字を正しく扱えないデバイスやモデムでは失敗することがあります。デバイスに設定された値と注文時の値を1文字ずつ照合してください。
次に、認証情報とIPタイプを確認します。ユーザー名とパスワードが必要なセッションは、デバイスがそれを送信しなければ失敗します。IPv4のみを提供するAPNでは、IPv6のみの要求は完了しません。さらに、契約でデータサービスが有効になっているか、デバイスがAPNを自動で設定しているか、それとも古くなった手動プロファイルを使っているかを確認してください。
デバイスがアタッチしてアドレスを取得したのにサーバーに到達できない場合、APNはおそらく正しく、ルートが誤っています。アドレスプール、戻りのルート、ゲートウェイのポリシーを確認してください。ある拠点からは動作し別の拠点からは失敗するプライベートAPNは、通常、無線ではなくルーティングやファイアウォールの問題です。ローミングの解説で、出口の位置によって経路が変わる理由を説明しています。
理解度の確認
-
デバイスはアタッチするがサーバーに到達できません。最初に何を確認しますか。
APN文字列とセッションの状態です。デバイスが意図したAPNを選択したことを確認し、無線をテストする前に、アドレス、認証情報、IPタイプを確認します。
-
プライベートAPNが提供するものと、提供しないものは何ですか。
ゲートウェイから内側でトラフィックが公衆インターネットを通らないようにし、プライベートアドレスと管理された出口を提供できます。経路を暗号化したり、誰がパケットを送信したかを証明したりはしません。
-
パブリックAPN上の暗号化トンネルのほうが適しているのはどのような場合ですか。
共有経路上での機密性が主な要件で、デバイスがトンネルを処理できる場合です。プライベートアドレスや事業者のコアに置くポリシーが必要な場合は、プライベートAPNのほうが適しています。
回答は要求したときに表示されます。採点、保存、送信は一切行いません。
よくある質問
APNはセキュリティ制御ですか。
プライベートAPNはローミング中も使えますか。
顧客ごとに1つのAPNが必要ですか。
関連
- 常時ローミング：国別の確認ポイント
ブラジル、メキシコ、コロンビアで、海外SIMがローカルプロファイルを必要とするまでにどのくらいローミングできるかと、適切な製品を選ぶための判断手順を説明します。
- IoTデバイス向けSGP.32
SGP.32がIoTフリートにもたらす変化、対象となるデバイス、SGP.02デバイスをOTAでアップグレードできない理由。
- eUICC識別子（EID）
eUICCの識別子で、加入とは別のものです。
実践する
トラフィック、接続先、必要な測定内容をお知らせください。次のステップをご案内します。