# APN 与专网接入

APN（接入点名称）是设备申请数据会话时发送的一串名称，用来选择这次会话使用的网关。公网 APN 经运营商网关进入互联网，专有 APN 进入客户自己控制的网络。APN 选的是路径，不是安全等级。

- APN 选择网关，也决定这次数据会话的地址池与策略。

- APN 写错或会话被拒时，设备可以附着到网络却传不了数据。

- 专有 APN 让流量从网关往里不再经过公网，但它本身不是加密。

- 公网 APN 上的 IPsec 隧道会加密流量，但仍然使用运营商的公网网关。

## APN 决定数据出口

接入点名称是一小段字符串，通常长得像域名。设备申请数据会话时把它发给网络，网络据此解析出网关和一组策略：用哪个地址池、允许哪些服务、流量从哪里出去。APN 选的就是出口。
公网 APN 经运营商的网关进入互联网。多数消费类和 IoT 签约默认用它。很多设备共用同一个出口，但每次会话仍有自己的地址和策略。共用出口不等于共用签约。
APN 不做用户鉴权，也不加密流量。鉴权属于签约和核心网，加密属于应用或 IP 层之上的隧道。把 APN 当作路由指令，而不是安全控制。

### 设备、核心网、APN、网关、互联网

设备接入无线网，核心网按 APN 选择网关，网关再通向互联网或专网。APN 命名的是出口，不是安全等级。

Alt: 一条从设备到无线接入、移动核心网、APN、网关和公网的路径，APN 被标为选定的出口。

设备经无线接入网附着。核心网鉴权签约，并从会话请求中读出 APN。APN 选定网关及其策略，网关分配地址并转发流量。公网 APN 通向互联网，专有 APN 通向客户自己控制的网络。

| Item | Value | Note |
| --- | --- | --- |
| 状态一 · 1 | 设备 |  |
| 状态一 · 2 | 无线接入（RAN） |  |
| 状态一 · 3 | 移动核心网 |  |
| 状态一 · 4 | APN |  |
| 状态一 · 5 | 网关 |  |
| 状态一 · 6 | 公网 |  |

Source: 3GPP TS 23.401 与 TS 23.060：APN 选择 PDN 网关 (https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/)

## 专有 APN 改变了什么

专有 APN 通向客户自己控制的网络，通常经过一台专用网关和一条回企业的连接。运营商仍然承载无线网和核心网。企业在自己的边界看到流量，可以套用自己的地址规划、白名单和检查策略。
专有 APN 买到的是“从网关往里不走公网”，不是加密，也不证明数据包是谁发的。加密和鉴权是另外两套控制。它还会带来运维工作：第二台网关、一份路由安排、一个地址池，以及链路故障时的处置方案。
支付终端、车辆、远程设备和工业网关常用专有 APN。原因通常是固定地址、私有地址段，或者一条不能依赖公网的策略。下单前先要地址规划和故障切换路径。

### 公网 APN 与专有 APN

切换后可以看到：公网 APN 通向互联网，专有 APN 通向专网。两种状态下，无线网和核心网都一样。

Alt: 两张路径图。公网 APN：设备、核心网、网关、公网。专有 APN：设备、核心网、网关、专网。

在公网状态下，设备使用运营商网关到达互联网。在专有状态下，同一台设备和同一个核心网到达一台连接专网的网关。签约和无线网没有变，变的是出口。若在公网状态上再建 IPsec 隧道，流量会被加密，但使用的仍然是公网网关。

| Item | Value | Note |
| --- | --- | --- |
| 公网 APN · 1 | 设备 |  |
| 公网 APN · 2 | 移动核心网 |  |
| 公网 APN · 3 | 网关 |  |
| 公网 APN · 4 | 公网 |  |
| 专网 APN · 1 | 设备 |  |
| 专网 APN · 2 | 移动核心网 |  |
| 专网 APN · 3 | 网关 |  |
| 专网 APN · 4 | 专网 |  |

Source: 3GPP TS 23.401：PDN 连接与网关选择 (https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/)

## 什么时候适合加密隧道

公网 APN 上的 IPsec 隧道是第三种做法。设备仍然使用运营商的公网网关，但在发送应用流量之前，先建一条到企业边界的加密隧道。隧道保护公网路径上的机密性和完整性，不改变运营商选定的网关。
如果需求是在共享路径上保证机密性，而设备又有足够的 CPU 余量和吞吐来承担隧道开销，就选隧道。如果需求是私有地址、可控出口，或者必须落在运营商核心网里的策略，就选专有 APN。很多项目两者都用。
隧道有自己的故障模式。隧道对端不可达时，设备可能照样附着，却什么都传不出去。把隧道和 APN 分开测试，免得第一个故障掩盖第二个。

## 设备附着了，却到不了服务器

先查 APN 字符串。一个拼写错误或结尾多一个空格，就足以选错网关，甚至选不到网关。APN 名称遵循 DNS 语法（3GPP TS 23.003 §9.1），因此仅大小写不同不应改变网关，但设备或模组处理大小写有误时仍可能失败。把设备里的值和订单上的值逐字符比对。
再查凭据和 IP 类型。需要用户名密码的会话，如果设备没发凭据，会话就会被拒。只提供 IPv4 的 APN 完不成纯 IPv6 请求。然后确认签约上的数据服务已启用，并确认设备是自动设置 APN，还是用了一份已经过时的手工配置。
如果设备附着并拿到了地址，却到不了服务器，APN 多半是对的，路由不对。查地址池、回程路由和网关上的策略。专有 APN 在一个站点能用、在另一个站点不能用，通常是路由或防火墙问题，不是无线问题。[漫游说明](/zh/resources/learn/home-routing-vs-local-breakout/)解释了出口位置为什么会改变路径。

这里只是通用示例。请替换成您自己 SIM 供应商给出的值。

[Open the tool](/zh/tools/apn-gen/?src=learn-what-is-an-apn&scenario=private-apn&apn=apn.example&auth=none)

### 自测

**设备附着了，却到不了服务器：先查什么？**

先查 APN 字符串和会话状态。确认设备选的是预期 APN，再查地址、凭据和 IP 类型，最后才去测无线。

**专有 APN 提供了什么，没提供什么？**

它让流量从网关往里不再经过公网，可以提供私有地址和可控出口。它不加密路径，也不证明数据包是谁发的。

**什么时候公网 APN 上的加密隧道更合适？**

当主要需求是共享路径上的机密性，且设备扛得住隧道开销时。需要私有地址或核心网内策略时，专有 APN 更合适。

## FAQ

**APN 是安全控制吗？**

不是。它选择网关和随之而来的策略。加密与鉴权是另外的控制。

**专有 APN 在漫游时能用吗？**

取决于漫游协议和拜访网络。先问专有网关能否从拜访核心网到达，再做测试。

**每个客户都要单独一个 APN 吗？**

不一定。地址规划和策略允许时，一个 APN 可以服务很多客户。单独开 APN 是运维选择，不是硬性要求。

## Sources

- [3GPP TS 23.401：E-UTRAN 接入的 GPRS 增强](https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/) — Accessed: 2026-10-19
- [3GPP TS 23.060：通用分组无线业务描述](https://www.3gpp.org/ftp/Specs/archive/23_series/23.060/) — Accessed: 2026-10-19
- [3GPP TS 23.003 §9.1：APN 结构与 DNS 名称语法](https://www.3gpp.org/ftp/Specs/archive/23_series/23.003/) — Accessed: 2026-10-19
- [3GPP TS 27.007：用户设备的 AT 命令集](https://www.3gpp.org/ftp/Specs/archive/27_series/27.007/) — Accessed: 2026-10-19
- [APN、AT 命令与 nmcli 配置生成器：方法说明](https://unicomam.com/en/tools/apn-gen/) — Accessed: 2026-10-19

Updated: 2026-10-19