IPsec für dein privates Simbase-Netzwerk einrichten
IPsec baut einen verschlüsselten Site-to-Site-Tunnel in beide Richtungen zwischen dem dedizierten Gateway deines privaten Netzwerks und einem VPN-Konzentrator auf deiner Seite auf, also deinem Firmennetzwerk oder einer Cloud-VPC. Steht der Tunnel, wird der Verkehr zwischen beiden Netzwerken verschlüsselt und authentifiziert. So erreichen deine SIMs Ressourcen in deinem Netzwerk und dein Netzwerk erreicht die SIMs.
Zur Architektur privater Netzwerke und zur Einrichtung von WireGuard siehe Private Netzwerke und WireGuard-Setup.
Überblick
Die meisten IoT-Anwendungen nutzen einen Applikationsserver mit öffentlicher IP-Adresse, an den die Geräte ihre Daten über das öffentliche Internet senden. Ein GPS-Tracker, der alle fünf Minuten seinen Standort meldet, ist der typische Fall. Dafür braucht es überhaupt keinen Tunnel.
IPsec ist für Anwendungen gedacht, die das Gegenteil brauchen: einen privaten Weg zwischen deinem eigenen Netzwerk und dem Subnetz, in dem deine SIMs liegen. Steht der Tunnel, erreichen die SIMs Server, die du nie ins Internet gestellt hast, und dein Netzwerk erreicht die SIMs.
Die Einstellung Remote network in Phase 2 bestimmt, wie viel Verkehr diesen Weg nimmt. Bleibt sie auf 0.0.0.0/0, läuft alles, was die SIMs senden, durch den Tunnel. Dein eigenes Internet-Gateway übernimmt dann ihren Internetzugang und du kontrollierst jedes ein- und ausgehende Paket. Trägst du ein bestimmtes Subnetz ein, nutzt nur Verkehr für dieses Netzwerk den Tunnel. Der Rest geht wie gewohnt über das Gateway von Simbase ins Internet.
Das Diagramm unten zeigt den Fall 0.0.0.0/0, bei dem der gesamte SIM-Verkehr ins Kundennetzwerk geleitet wird.
IPsec-Tunnel einrichten
Bevor du den Tunnel konfigurierst, richte dein privates Netzwerk ein und halte einen VPN-Konzentrator bereit. Die Schritte im Überblick:
Richte ein privates Netzwerk ein. Siehe Private Netzwerke und WireGuard-Setup.
Richte in deinem Firmen- oder Cloud-Netzwerk einen VPN-Konzentrator mit öffentlicher IP-Adresse ein. Simbase empfiehlt pfSense, falls du noch keinen hast.
Konfiguriere den IPsec-Tunnel im Simbase-Dashboard.
Konfiguriere den IPsec-Tunnel passend dazu auf deinem VPN-Konzentrator.
Teste den Tunnel in einer Testumgebung, bevor du ihn produktiv nutzt. Die genauen Schritte hängen von Hersteller und Software deines Konzentrators ab. Schau in dessen Dokumentation und zieh bei größeren oder komplexeren Setups einen Netzwerkingenieur hinzu.
IPsec konfigurieren (Simbase-Dashboard)
Allgemein
| Einstellung | Beschreibung |
|---|---|
Key exchange version | Handelt den Tunnel aus. IKEv2 ist schneller und sicherer als IKEv1 und die bessere Wahl, wenn dein Konzentrator es unterstützt. Im Zweifel wähle auto. |
Simbase IP address | Die IP-Adresse des Simbase-VPN-Konzentrators. Notier sie dir: Du brauchst sie für die Konfiguration deiner Seite. |
Remote IP address | Die öffentliche IPv4-Adresse deines VPN-Konzentrators. |
Pre-shared key | Authentifiziert die beiden Enden des Tunnels. Verwende einen langen, zufälligen Schlüssel oder kopiere den vorgeschlagenen. Vermeide Sonderzeichen. Gib ihn niemals weiter! Wer diesen Schlüssel hat, kann den Tunnel kompromittieren. |
Key exchange version
Simbase IP address
Remote IP address
Pre-shared key
Phase 1 (Schlüsselaustausch)
| Einstellung | Beschreibung |
|---|---|
Encryption algorithm | Verschlüsselt den Verkehr beim Schlüsselaustausch. Empfohlen wird AES128-GCM (128 Bit), weil es Sicherheit und Leistung am besten ausbalanciert. |
Hash algorithm | Prüft die Integrität des Verkehrs beim Schlüsselaustausch. Empfohlen wird SHA256. SHA1 gilt allgemein als unsicher und sollte vermieden werden. |
DH group key | Diffie-Hellman-Gruppe für den Schlüsselaustausch. Empfohlen wird DH Group 14 (2048 Bit). |
Lifetime | Wie lange die Phase-1-Sitzung besteht, bevor neu verhandelt wird, in Sekunden. 28800 ist ein sinnvoller Standardwert. Setze einen Endpunkt auf diesen Wert und den anderen mindestens 10 % höher (z. B. 31680), um Überschneidungen zu vermeiden. Bereich: 20000–86400 Sekunden. |
Dead peer detection | Prüft per IKEv2-INFORMATIONAL-Austausch oder IKEv1-R_U_THERE-Nachrichten, ob die Gegenstelle noch aktiv ist. Läuft nur, wenn während der eingestellten Verzögerung kein IKE- oder ESP/AH-Paket empfangen wurde. Im Zweifel setze es auf disabled. |
Encryption algorithm
Hash algorithm
DH group key
Lifetime
Dead peer detection
Phase 2 (Datensitzung)
| Einstellung | Beschreibung |
|---|---|
SIM network | Das Subnetz deiner SIMs. Fest vorgegeben, kann nicht geändert werden. |
Remote network | Das Subnetz auf deiner Seite des Tunnels, in CIDR-Notation. Setze es auf 0.0.0.0/0, um den gesamten SIM-Verkehr in dein Netzwerk zu leiten. |
ESP | Encapsulating Security Payload: übernimmt Verschlüsselung und Authentifizierung des Tunnelverkehrs. Kann nicht geändert werden. |
Encryption algorithm | Verschlüsselt den Tunnelverkehr. Empfohlen wird AES128-GCM (128 Bit). |
Hash algorithm | Prüft die Integrität des Tunnelverkehrs. Empfohlen wird SHA256. SHA1 gilt allgemein als unsicher und sollte vermieden werden. |
DH group key | Diffie-Hellman-Gruppe für die Datensitzung. Empfohlen wird DH Group 14 (2048 Bit). |
Lifetime | Wie lange die Datensitzung besteht, bevor die Child SA abläuft, in Sekunden. Muss größer sein als die Rekey-Zeit. Setze einen Endpunkt auf diesen Wert und den anderen mindestens 10 % höher, zum Beispiel 5400, um Überschneidungen zu vermeiden. Bereich: 1800 bis 7200 Sekunden. |
SIM network
Remote network
ESP
Encryption algorithm
Hash algorithm
DH group key
Lifetime
IPsec konfigurieren (deine Seite)
Wie du IPsec auf deiner Seite konfigurierst, hängt von deinem Konzentrator ab. Die Demo unten zeigt den Ablauf in pfSense.
Häufige Fragen
Ja. Der Tunnel endet am dedizierten Gateway deines privaten Netzwerks. Richte also zuerst das Netzwerk ein und weise ihm SIMs zu. Siehe Private Netzwerke und WireGuard-Setup.
Black, Green und Red: Gateways in den USA und der EU. Blue und Yellow: nur Gateways in der EU
Ja. Tunnel werden pro Tunnel und Tag abgerechnet, zusätzlich zum privaten Netzwerk, mit dem der Tunnel verbunden ist. Siehe Abrechnungsposten.
Jeden, der Standard-IPsec unterstützt, darunter Cisco ASA, Palo Alto und Fortinet. Simbase empfiehlt pfSense, falls du noch keinen hast.
Weiterführende Artikel
Private Netzwerke und WireGuard-Setup: die Architektur mit dediziertem Gateway und die Einrichtung von WireGuard
VPN: wann sich ein VPN trotz zusätzlicher Komplexität lohnt
Network Address Translation (NAT): was das für IoT bedeutet
Öffentliche IPs: für eingehende Erreichbarkeit einer einzelnen SIM ohne privates Netzwerk
Kompatibilität prüfen: prüfe vor dem Rollout, ob deine Geräte kompatibel sind
© 2026 Simbase. Alle Rechte vorbehalten.