APN e acesso privado
O nome de ponto de acesso escolhe a saída de dados. Veja o que um APN público, um APN privado e um túnel IPsec sobre um APN público mudam.
Um nome de ponto de acesso (APN) é a sequência que o dispositivo envia para escolher o gateway da sua sessão de dados. Um APN público sai para a internet pelo gateway da operadora; um APN privado sai para uma rede controlada pelo cliente. O APN escolhe o caminho, não o nível de segurança.
Fatos-chave
- O APN escolhe o gateway e, com ele, o pool de endereços e a política de uma sessão de dados.
- Um dispositivo pode se conectar à rede e não cursar dados se o APN estiver errado ou a sessão for rejeitada.
- Um APN privado mantém o tráfego fora da internet do gateway para dentro; não é criptografia por si só.
- Um túnel IPsec sobre um APN público criptografa o tráfego, mas continua usando o gateway público da operadora.
Ao terminar este módulo você pode
- Explicar o que o APN escolhe e o que não escolhe.
- Escolher entre um APN público, um APN privado e um túnel IPsec sobre um APN público.
- Diagnosticar um dispositivo que se conecta mas não chega ao servidor.
Nesta página
O APN escolhe a saída de dados
Um nome de ponto de acesso é uma sequência curta, geralmente com forma de domínio, que o dispositivo envia quando pede uma sessão de dados. A rede o resolve para um gateway e um conjunto de políticas: qual pool de endereços usar, quais serviços são permitidos e por onde o tráfego sai. O APN é a escolha da saída.
Um APN público sai para a internet pelo gateway da operadora. É o padrão na maioria das assinaturas de consumo e IoT. Muitos dispositivos usam a mesma saída, mas cada sessão recebe seu próprio endereço e sua própria política. Compartilhar uma saída não é o mesmo que compartilhar uma assinatura.
O APN não autentica o usuário nem criptografa o tráfego. A autenticação pertence à assinatura e ao core; a criptografia pertence à aplicação ou a um túnel acima da camada IP. Trate o APN como uma instrução de roteamento, não como um controle de segurança.
Dispositivo, core, APN, gateway, internet
- Dispositivo
- Acesso rádio (RAN)
- Núcleo móvel
- APN
- Gateway
- Internet pública
Descrição em texto
O dispositivo se conecta pela rede de acesso rádio. O core autentica a assinatura e lê o APN do pedido de sessão. O APN escolhe um gateway e sua política, e o gateway atribui um endereço e encaminha o tráfego. Um APN público sai para a internet; um APN privado sai para uma rede controlada pelo cliente.
O que um APN privado muda
Um APN privado sai para uma rede controlada pelo cliente, geralmente por um gateway dedicado e uma conexão de volta para a empresa. A operadora continua levando o rádio e o core. A empresa vê o tráfego na sua própria borda e pode aplicar seu endereçamento, suas listas de permitidos e sua inspeção.
O que o APN privado compra é a separação da internet do gateway para dentro. Ele não criptografa o trecho rádio nem prova quem enviou um pacote. São controles diferentes. Um APN privado também acrescenta trabalho operacional: um segundo gateway, um acordo de roteamento, um pool de endereços e um plano para quando o link falhar.
Um APN privado é comum em terminais de pagamento, veículos, equipamentos remotos e gateways industriais. O motivo costuma ser um endereço fixo, uma faixa de endereços privados ou uma política que não deve depender da internet. Peça o plano de endereços e o caminho de failover antes de contratar.
APN público e APN privado
APN público
- Dispositivo
- Núcleo móvel
- Gateway
- Internet pública
- Dispositivo
- Núcleo móvel
- Gateway
- Rede privada
Descrição em texto
No estado público, o dispositivo usa o gateway da operadora e chega à internet. No estado privado, o mesmo dispositivo e o mesmo core chegam a um gateway que conecta a uma rede privada. A assinatura e o rádio não mudam; a saída sim. Um túnel IPsec sobre o estado público criptografaria o tráfego, mas ainda usaria o gateway público.
Quando um túnel criptografado encaixa
Um túnel IPsec sobre um APN público é uma terceira opção. O dispositivo continua usando o gateway público da operadora, mas constrói um túnel criptografado até a borda da empresa antes de enviar tráfego de aplicação. O túnel protege a confidencialidade e a integridade no trecho público; não muda o gateway que a operadora escolheu.
Escolha o túnel quando o requisito for confidencialidade em um caminho compartilhado e o dispositivo tiver folga de CPU e vazão para a sobrecarga do túnel. Escolha o APN privado quando o requisito for um endereço privado, uma saída controlada ou uma política que precise ficar no core da operadora. Muitos projetos usam os dois.
O túnel tem seu próprio modo de falha. Se o extremo do túnel não for alcançável, o dispositivo pode se conectar e não cursar nada. Teste o túnel e o APN separadamente, para que a primeira falha não esconda a segunda.
O dispositivo se conecta mas não chega ao servidor
Comece pela sequência do APN. Um erro de digitação ou um espaço no fim basta para escolher o gateway errado ou nenhum. Os nomes de APN seguem a sintaxe DNS (3GPP TS 23.003 §9.1), então maiúsculas e minúsculas por si só não deveriam mudar o gateway; um dispositivo ou modem que trate maiúsculas e minúsculas de forma errada ainda pode falhar. Compare o valor no dispositivo com o valor no pedido, caractere por caractere.
Depois verifique as credenciais e o tipo de IP. Uma sessão que exige usuário e senha falha se o dispositivo não envia nenhum. Um APN que oferece apenas IPv4 não completa um pedido somente IPv6. Verifique também se o serviço de dados está habilitado na assinatura e se o dispositivo configura o APN automaticamente ou usa um perfil manual que ficou desatualizado.
Se o dispositivo se conecta e obtém um endereço mas não chega ao servidor, provavelmente o APN está certo e a rota está errada. Verifique o pool de endereços, a rota de retorno e a política no gateway. Um APN privado que funciona em um site e falha em outro costuma ser uma questão de roteamento ou firewall, não de rádio. O explicador de roaming mostra por que o ponto de saída muda o caminho.
Confira o que você entendeu
-
O dispositivo se conecta mas não chega ao servidor: o que você verifica primeiro?
A sequência do APN e o estado da sessão. Confirme que o dispositivo escolheu o APN previsto e depois verifique o endereço, as credenciais e o tipo de IP antes de testar o rádio.
-
O que um APN privado oferece e o que não oferece?
Mantém o tráfego fora da internet do gateway para dentro e pode dar um endereço privado e uma saída controlada. Não criptografa o caminho nem prova quem enviou um pacote.
-
Quando um túnel criptografado sobre um APN público encaixa melhor?
Quando a confidencialidade em um caminho compartilhado é o requisito principal e o dispositivo consegue carregar o túnel. Um APN privado encaixa melhor quando você precisa de um endereço privado ou de uma política no core da operadora.
As respostas aparecem sob demanda. Nada é pontuado, armazenado ou enviado.
Perguntas frequentes
O APN é um controle de segurança?
Um APN privado funciona em roaming?
Preciso de um APN por cliente?
Fontes
Termos que você encontrará
Relacionado
- Roaming permanente, país por país
Quanto tempo um SIM estrangeiro pode fazer roaming antes de precisar de um perfil local, no Brasil, no México e na Colômbia, e qual produto escolher.
- SGP.32 para dispositivos IoT
O que o SGP.32 muda para frotas de IoT, quais dispositivos se qualificam e por que dispositivos SGP.02 não podem ser atualizados pelo ar.
- Identificador de eUICC (EID)
O identificador da eUICC, separado da assinatura.
Produtos relacionados
Coloque em prática
Informe o tráfego, o destino e a medição necessária; respondemos com o próximo passo.