VPN für IoT: wann es sinnvoll ist und was Simbase unterstützt

Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel zwischen zwei Endpunkten auf. Im IoT-Bereich gibst du damit meist einem Mobilfunkgerät einen sicheren Weg zurück zu deinen Servern oder deinem Firmennetz. Das Gerät verhält sich dann so, als wäre es in deinem Büro angeschlossen, obwohl es über ein öffentliches Mobilfunknetz am anderen Ende der Welt verbunden ist.

Dieser Artikel erklärt, was ein IoT-VPN ist, wann es sich lohnt und was Simbase unterstützt. Anleitungen zur Einrichtung findest du unter Private Netzwerke und IPsec.

Was ein IoT-VPN macht

Ein VPN-Tunnel zwischen einem Mobilfunkgerät und einem entfernten Endpunkt bietet dir:

• Verschlüsselung bei der Übertragung. Der Datenverkehr im Tunnel ist für niemanden auf dem Netzwerkpfad lesbar.

• Authentifizierung. Beide Seiten weisen ihre Identität nach, bevor der Tunnel steht. Geräte ohne gültige Zugangsdaten können keinen Tunnel aufbauen.

• Logische Netzwerkzugehörigkeit. Sobald der Tunnel steht, erscheint das Gerät als Teil des entfernten Netzwerks. Es erreicht interne Ressourcen über deren interne Adressen.

• Kontrolle über das Routing. Du entscheidest, welcher Verkehr durch den Tunnel läuft und welcher direkt ins Internet geht.

Ein VPN ersetzt TLS nicht für die Verschlüsselung auf Anwendungsebene. Es ist eine Transportschicht darunter. Die meisten IoT-Designs nutzen TLS ohnehin, ein VPN kommt nur dazu, wenn es einen konkreten Grund gibt.

Wann sich ein VPN für IoT lohnt

Ein VPN erhöht den Betriebsaufwand und die CPU-Last auf dem Gerät. Setz es ein, wenn einer dieser Fälle zutrifft:

• Geräte sollen auf interne Dienste zugreifen. Geräte müssen eine Datenbank, AD/LDAP, einen internen MQTT-Broker oder eine andere Ressource in deinem Firmennetz erreichen. Ein VPN holt das Gerät in dieses Netz.

• Compliance verlangt verschlüsselten Transport über TLS hinaus. Manche regulierten Branchen (Gesundheitswesen, Behörden, Verteidigung) verlangen, dass jeder Verkehr zwischen sensiblen Endpunkten durch einen verschlüsselten Tunnel läuft, unabhängig von der Verschlüsselung auf Anwendungsebene.

• Du verbindest dich mit dem Netz eines Kunden oder Partners. Viele B2B-IoT-Projekte leiten den Verkehr der SIM in das VPN des Kunden. So steuert das IT-Team des Kunden Routing und Richtlinien.

• Du bündelst alles auf einen internen Endpunkt. Ein zentraler VPN-Endpunkt ist praktisch, wenn viele Geräte einen einzelnen internen Dienst erreichen müssen, den du nicht öffentlich zugänglich machen willst.

• Du brauchst eine feste Quell-IP für den Geräteverkehr. Ein VPN-Konzentrator lässt den gesamten Geräteverkehr von einer Quell-IP kommen. Das vereinfacht Allowlisting auf Partnersystemen.

Wann ein VPN nicht die richtige Lösung ist

• Du brauchst nur Verschlüsselung. Das übernimmt TLS bei HTTPS, MQTTS und jedem anderen modernen Anwendungsprotokoll.

• Das Gerät spricht nur mit öffentlichen APIs. Ein VPN bringt hier nichts.

• Ein einzelnes Gerät soll von außen erreichbar sein. Eine öffentliche IP ist einfacher als ein VPN.

• Du willst den Standort des Geräts verbergen. Mobilfunkbetreiber wissen immer, wo das Gerät ist, und ein VPN ändert daran nichts.

Was Simbase unterstützt

Simbase unterstützt zwei Site-to-Site-VPN-Protokolle, die auf Ebene des Netzwerk-Gateways konfiguriert werden. Ein dritter Connector, NAT, gibt SIMs eine öffentliche IP ohne Tunnel:

Beide werden einmalig auf Seiten von Simbase eingerichtet. Der Verkehr deiner Flotte läuft ohne Konfiguration pro Gerät durch den Tunnel. Das ist im Betrieb viel einfacher, als auf jedem Gerät einen VPN-Client einzurichten.

Nutze IPsec, wenn Geräte dauerhaft aus deinem Netz erreichbar sein müssen, wenn Verkehr in beide Richtungen fließt oder wenn du VPN-Appliances anbindest, die dein IT-Team schon betreibt (Cisco ASA, Palo Alto, Fortinet und ähnliche). Es ist die Standardwahl für den Produktivbetrieb.

Nutze WireGuard, wenn du Geräte nur gelegentlich statt dauerhaft erreichen musst, etwa für Wartung, Diagnose oder zum Abrufen von Logs. Es ist schneller eingerichtet und leichter zu debuggen und passt daher auch gut für Prototypen.

VPN auf dem Gerät vs. VPN im Netz

Es gibt zwei Wege, Geräte "in ein VPN" zu bringen:

Häufige Fragen

Weiterführende Artikel

• Private Netzwerke: WireGuard einrichten

• IPsec: einen IPsec-Tunnel aufbauen

• Öffentliche IPs: für Erreichbarkeit von außen ohne VPN

• APN (privater APN): für eine noch engere Netzwerkintegration