APN 与专网接入
接入点名称决定数据从哪儿出去。公网 APN、专有 APN 和公网 APN 上的 IPsec 隧道，各自改变了什么。
APN（接入点名称）是设备申请数据会话时发送的一串名称，用来选择这次会话使用的网关。公网 APN 经运营商网关进入互联网，专有 APN 进入客户自己控制的网络。APN 选的是路径，不是安全等级。
要点
- APN 选择网关，也决定这次数据会话的地址池与策略。
- APN 写错或会话被拒时，设备可以附着到网络却传不了数据。
- 专有 APN 让流量从网关往里不再经过公网，但它本身不是加密。
- 公网 APN 上的 IPsec 隧道会加密流量，但仍然使用运营商的公网网关。
学完本模块，您能
- 说清 APN 选了什么、没选什么。
- 在公网 APN、专有 APN 和公网 APN 上的 IPsec 隧道之间做选择。
- 诊断能附着却到不了服务器的设备。
本页内容
APN 决定数据出口
接入点名称是一小段字符串，通常长得像域名。设备申请数据会话时把它发给网络，网络据此解析出网关和一组策略：用哪个地址池、允许哪些服务、流量从哪里出去。APN 选的就是出口。
公网 APN 经运营商的网关进入互联网。多数消费类和 IoT 签约默认用它。很多设备共用同一个出口，但每次会话仍有自己的地址和策略。共用出口不等于共用签约。
APN 不做用户鉴权，也不加密流量。鉴权属于签约和核心网，加密属于应用或 IP 层之上的隧道。把 APN 当作路由指令，而不是安全控制。
设备、核心网、APN、网关、互联网
- 设备
- 无线接入（RAN）
- 移动核心网
- APN
- 网关
- 公网
文字说明
设备经无线接入网附着。核心网鉴权签约，并从会话请求中读出 APN。APN 选定网关及其策略，网关分配地址并转发流量。公网 APN 通向互联网，专有 APN 通向客户自己控制的网络。
专有 APN 改变了什么
专有 APN 通向客户自己控制的网络，通常经过一台专用网关和一条回企业的连接。运营商仍然承载无线网和核心网。企业在自己的边界看到流量，可以套用自己的地址规划、白名单和检查策略。
专有 APN 买到的是“从网关往里不走公网”，不是加密，也不证明数据包是谁发的。加密和鉴权是另外两套控制。它还会带来运维工作：第二台网关、一份路由安排、一个地址池，以及链路故障时的处置方案。
支付终端、车辆、远程设备和工业网关常用专有 APN。原因通常是固定地址、私有地址段，或者一条不能依赖公网的策略。下单前先要地址规划和故障切换路径。
公网 APN 与专有 APN
公网 APN
- 设备
- 移动核心网
- 网关
- 公网
- 设备
- 移动核心网
- 网关
- 专网
文字说明
在公网状态下，设备使用运营商网关到达互联网。在专有状态下，同一台设备和同一个核心网到达一台连接专网的网关。签约和无线网没有变，变的是出口。若在公网状态上再建 IPsec 隧道，流量会被加密，但使用的仍然是公网网关。
什么时候适合加密隧道
公网 APN 上的 IPsec 隧道是第三种做法。设备仍然使用运营商的公网网关，但在发送应用流量之前，先建一条到企业边界的加密隧道。隧道保护公网路径上的机密性和完整性，不改变运营商选定的网关。
如果需求是在共享路径上保证机密性，而设备又有足够的 CPU 余量和吞吐来承担隧道开销，就选隧道。如果需求是私有地址、可控出口，或者必须落在运营商核心网里的策略，就选专有 APN。很多项目两者都用。
隧道有自己的故障模式。隧道对端不可达时，设备可能照样附着，却什么都传不出去。把隧道和 APN 分开测试，免得第一个故障掩盖第二个。
设备附着了，却到不了服务器
先查 APN 字符串。一个拼写错误或结尾多一个空格，就足以选错网关，甚至选不到网关。APN 名称遵循 DNS 语法（3GPP TS 23.003 §9.1），因此仅大小写不同不应改变网关，但设备或模组处理大小写有误时仍可能失败。把设备里的值和订单上的值逐字符比对。
再查凭据和 IP 类型。需要用户名密码的会话，如果设备没发凭据，会话就会被拒。只提供 IPv4 的 APN 完不成纯 IPv6 请求。然后确认签约上的数据服务已启用，并确认设备是自动设置 APN，还是用了一份已经过时的手工配置。
如果设备附着并拿到了地址，却到不了服务器，APN 多半是对的，路由不对。查地址池、回程路由和网关上的策略。专有 APN 在一个站点能用、在另一个站点不能用，通常是路由或防火墙问题，不是无线问题。漫游说明解释了出口位置为什么会改变路径。
自测
-
设备附着了，却到不了服务器：先查什么？
先查 APN 字符串和会话状态。确认设备选的是预期 APN，再查地址、凭据和 IP 类型，最后才去测无线。
-
专有 APN 提供了什么，没提供什么？
它让流量从网关往里不再经过公网，可以提供私有地址和可控出口。它不加密路径，也不证明数据包是谁发的。
-
什么时候公网 APN 上的加密隧道更合适？
当主要需求是共享路径上的机密性，且设备扛得住隧道开销时。需要私有地址或核心网内策略时，专有 APN 更合适。
答案按需展开。不评分、不存储、不外传。
常见问题
APN 是安全控制吗？
专有 APN 在漫游时能用吗？
每个客户都要单独一个 APN 吗？
相关内容
- 永久漫游：逐国怎么判断
在巴西、墨西哥和哥伦比亚，境外 SIM 卡可以漫游多久才需要本地配置，以及通往合适产品的决策路径。
- 面向物联网设备的 SGP.32
SGP.32 为物联网设备群带来哪些变化、哪些设备符合条件，以及为什么 SGP.02 设备无法通过空中升级。
- eUICC 标识（EID）
eUICC 的标识，与签约分离。
把结论用起来
告诉我们流量、目的地和需要的测量项，我们会回复下一步。