IP fixe pour l’IoT cellulaire : comment les MSP accèdent à leurs équipements à distance

Accéder à distance à un routeur, une caméra, une borne ou tout autre équipement via le réseau cellulaire n’est pas toujours aussi simple qu’avec une connexion internet classique. De nombreuses connexions cellulaires utilisent le CGNAT (carrier-grade NAT), ce qui signifie que, par défaut, l’équipement n’est pas joignable directement depuis l’internet public.

Selon le déploiement, les MSP (fournisseurs de services managés) peuvent résoudre ce problème avec une IP publique fixe, un réseau privé ou une connexion VPN initiée par l’équipement. Ce guide explique le fonctionnement de chaque approche, quand l’utiliser et ce qu’il faut prendre en compte avant de déployer l’accès à distance sur les sites de vos clients.

Pourquoi les équipements cellulaires sont difficiles à joindre à distance

Les connexions cellulaires utilisent couramment le carrier-grade NAT, ou CGNAT.

Avec le CGNAT, plusieurs connexions cellulaires peuvent partager la même adresse IP publique. L’équipement reçoit lui-même une adresse privée, tandis que le réseau cellulaire traduit son trafic sortant via une adresse publique partagée.

Comme plusieurs connexions partagent cette adresse publique, les connexions entrantes non sollicitées ne peuvent généralement pas être acheminées directement vers un équipement donné derrière le CGNAT.

L’équipement peut initier des connexions sortantes, mais un accès entrant direct nécessite une autre approche réseau.

Les adresses IP peuvent aussi changer lorsque les équipements cellulaires se déconnectent puis se reconnectent. C’est une difficulté supplémentaire lorsqu’une règle de pare-feu, une liste d’autorisation ou une configuration d’accès à distance dépend d’une adresse stable.

Pour un MSP, cela peut affecter des tâches comme :

• Gérer à distance des routeurs et des passerelles

• Accéder à des caméras, des bornes ou des automates

• Relier des systèmes de supervision à des équipements distants

• Créer des listes d’autorisation sur le pare-feu

• Mettre en place certaines configurations VPN

Il existe plusieurs façons de résoudre le problème. La bonne dépend de ce qui doit communiquer avec l’équipement, du nombre d’équipements que vous gérez et de la manière dont vous souhaitez sécuriser l’accès à distance.

Option 1 : IP publique fixe

Une IP publique fixe attribue à une connexion cellulaire une adresse IP publique stable, au lieu de dépendre d’une adresse variable ou partagée.

Les MSP disposent ainsi d’un point de terminaison prévisible pour les déploiements qui nécessitent une connectivité entrante, des listes d’autorisation par IP ou certaines configurations VPN.

Ce que permet une IP fixe

Une IP publique fixe peut fournir une adresse stable pour :

• Les listes d’autorisation par IP

• Les configurations VPN

• La supervision à distance

• Une connectivité entrante maîtrisée

• Les processus d’accès à distance

Selon la configuration du routeur, du pare-feu et de l’équipement, elle peut aussi permettre une connectivité entrante vers les équipements situés derrière le routeur cellulaire.

Avantages d’une IP publique fixe

Un adressage stable. L’adresse ne change pas à chaque reconnexion de la liaison cellulaire.

Une intégration simple. Les systèmes existants qui dépendent d’une IP source ou de destination connue peuvent continuer à utiliser des règles basées sur l’IP.

Aucun tunnel côté équipement requis. Le point de terminaison n’a pas forcément besoin d’établir son propre VPN sortant uniquement pour rester joignable.

Points d’attention

Une IP publique fixe rend le point de terminaison cellulaire joignable en permanence depuis internet. Les mesures de sécurité sont donc indispensables.

Les règles de pare-feu doivent limiter le trafic entrant au strict nécessaire pour le déploiement, et l’administration à distance doit reposer sur des protocoles chiffrés et une authentification adaptée.

Vérifiez également :

• Si le fournisseur propose une IP fixe publique ou privée

• Comment l’IP est provisionnée

• Si le trafic entrant est filtré

• Si certains ports sont bloqués

• Si l’accès entrant peut être limité à des adresses source approuvées

• Comment l’IP fixe se comporte sur les différents réseaux accessibles à la SIM

• Quels coûts supplémentaires s’appliquent

Une IP publique fixe est utile lorsqu’un déploiement exige précisément une adresse stable, exposée sur internet.

Une IP fixe apporte la joignabilité, pas la sécurité.

Attribuer une IP publique fixe rend un point de terminaison cellulaire joignable en permanence. Cela n’authentifie pas les utilisateurs et ne sécurise pas l’équipement à lui seul. Associez-la à des règles de pare-feu, des protocoles chiffrés, des adresses source restreintes et des contrôles d’authentification adaptés.

Option 2 : réseau privé

Tous les équipements gérés à distance n’ont pas besoin d’être joignables directement depuis l’internet public.

Un réseau privé offre un chemin maîtrisé entre les équipements cellulaires et les systèmes qui doivent communiquer avec eux, sans exposer directement ces équipements à l’internet public.

Selon le fournisseur et l’architecture, cela peut passer par un adressage privé, une configuration d’APN, une connectivité VPN ou d’autres mécanismes de routage.

Comme les fournisseurs n’emploient pas tous les termes « APN privé » et « réseau privé » de la même manière, demandez un schéma réseau qui montre comment le trafic circule entre l’équipement cellulaire et votre infrastructure.

Ce que permet un réseau privé

Un réseau privé permet aux équipements distants et aux systèmes centraux de communiquer via une connectivité privée plutôt que via des adresses publiques exposées sur internet.

C’est utile lorsque :

• De nombreux équipements communiquent avec la même infrastructure centrale

• Les équipements ne doivent pas être exposés directement à l’internet public

• Un MSP a besoin d’un contrôle centralisé du routage et des accès

• Le déploiement comporte des exigences réseau ou de sécurité supplémentaires

Avantages d’un réseau privé

Une exposition publique réduite. Les équipements n’ont pas besoin d’une adresse IP publique individuelle pour communiquer avec l’infrastructure autorisée.

Une architecture centralisée. La connectivité entre les équipements et les systèmes centraux peut être gérée dans le cadre d’une conception réseau plus large.

Adapté aux déploiements de grande taille. Un réseau privé offre une architecture cohérente à mesure que le nombre d’équipements déployés augmente.

Points d’attention

Un réseau privé demande plus de préparation que la simple attribution d’une IP publique.

Selon la mise en œuvre, vous devrez peut-être définir :

• Les plages d’adresses privées

• Le routage

• Les contrôles d’accès

• La façon dont votre infrastructure se connecte au réseau privé

• Les systèmes autorisés à communiquer avec les équipements déployés

• La manière dont la connexion privée sera supervisée

L’architecture exacte varie selon le fournisseur de connectivité : comprenez bien le fonctionnement de son offre de réseau privé avant de concevoir votre solution autour.

Un réseau privé est utile lorsque les équipements ont besoin d’une connectivité maîtrisée vers une infrastructure centrale, sans exposition directe à l’internet public.

Option 3 : VPN ou tunnel sécurisé initié par l’équipement

Une troisième approche consiste à laisser le routeur ou l’équipement initier une connexion chiffrée vers une infrastructure contrôlée par le MSP, le client ou un prestataire de confiance.

Comme l’équipement initie la connexion en sortie, cette approche fonctionne derrière le CGNAT sans nécessiter d’IP publique fixe.

Une fois la connexion sécurisée établie, les systèmes autorisés peuvent communiquer avec l’équipement à travers le tunnel.

Selon le matériel et le déploiement, cela peut reposer sur des technologies comme IPsec, OpenVPN ou WireGuard, ou sur le service de gestion à distance sécurisé d’un fabricant.

Avantages d’un VPN initié par l’équipement

Fonctionne derrière le CGNAT. L’équipement établit la connexion en sortie : aucune connectivité entrante directe depuis le réseau cellulaire n’est nécessaire.

Réduit l’exposition directe à internet. L’équipement n’a pas à accepter de connexions entrantes non sollicitées depuis l’internet public.

Fonctionne sur différents types de connexion. La même approche peut servir lorsqu’un site bascule entre une connexion filaire et une connexion cellulaire.

Réduit la dépendance à l’adressage IP. L’accès à distance ne dépend pas du maintien d’une IP publique précise sur la connexion cellulaire.

Points d’attention

Le routeur ou l’équipement doit prendre en charge le tunnel ou la méthode d’accès à distance choisis.

Votre équipe doit aussi se poser les questions suivantes :

• Qui exploite la passerelle VPN ou le service d’accès à distance

• Comment les équipements sont provisionnés

• Comment l’authentification est gérée

• Si les tunnels se reconnectent automatiquement

• Ce qui se passe lorsque la connectivité change

• Comment la disponibilité du tunnel est supervisée

• Ce qui se passe si le tunnel lui-même tombe

Pour les déploiements critiques, demandez-vous s’il faut un autre chemin d’accès au cas où la méthode d’accès principale deviendrait indisponible.

Quelle option d’accès à distance choisir ?

Partez du besoin plutôt que de la technologie.

Si l’équipement n’a besoin que d’envoyer des données en sortie

La connectivité cellulaire standard peut suffire.

Un équipement qui envoie de la télémétrie vers une application cloud, par exemple, n’a pas forcément besoin d’accès entrant.

Si vous avez besoin d’une adresse publique stable

Envisagez une IP publique fixe.

C’est utile pour les listes d’autorisation par IP, certaines configurations VPN et les déploiements qui exigent un point de terminaison prévisible exposé sur internet.

Si de nombreux équipements ont besoin d’un accès maîtrisé à une infrastructure centrale

Envisagez un réseau privé.

Vous obtenez ainsi une architecture plus centralisée, sans que chaque équipement déployé ait besoin d’une IP joignable publiquement.

Si l’équipement peut établir sa propre connexion sécurisée

Un VPN ou tunnel sécurisé initié par l’équipement peut fournir l’accès à distance dont vous avez besoin sans connectivité entrante via l’opérateur cellulaire.

Ces approches ne s’excluent pas nécessairement. La bonne architecture peut combiner différentes méthodes selon les déploiements de vos clients.

En résumé, une IP publique fixe est utile lorsque vous avez besoin d’une adresse stable exposée sur internet, un réseau privé est utile lorsque les équipements ont besoin d’une connectivité maîtrisée vers une infrastructure centrale, et un VPN initié par l’équipement permet un accès à distance sans connectivité entrante via l’opérateur cellulaire.

Sécurité de l’accès à distance en cellulaire

Dès que vous rendez un équipement distant accessible, la sécurité doit faire partie de l’architecture, et non venir après coup.

C’est particulièrement important avec une IP publique fixe.

Limitez l’accès entrant

N’autorisez que les connexions réellement nécessaires au déploiement. Dans la mesure du possible, limitez l’accès entrant à des adresses source connues et désactivez les services inutiles exposés côté WAN.

Utilisez des protocoles chiffrés

Utilisez des protocoles chiffrés et authentifiés pour la gestion à distance. N’exposez jamais directement sur l’internet public des protocoles d’administration non chiffrés.

Remplacez les identifiants par défaut

Utilisez des identifiants robustes et uniques, et désactivez les comptes par défaut lorsque c’est possible.

Exigez une authentification adaptée

Activez l’authentification multifacteur sur les plateformes de gestion et les outils d’accès à distance qui la prennent en charge.

Maintenez les équipements à jour

Mettez en place un processus de mise à jour du firmware et des correctifs de sécurité, et documentez les versions de tous les équipements déployés.

Supervisez les accès

Journalisez les tentatives d’accès et les modifications de configuration lorsque le matériel et les outils de gestion le permettent.

Surveillez la consommation de données

Une hausse inattendue du trafic cellulaire peut signaler un problème de configuration, un comportement anormal de l’équipement ou une activité potentiellement non autorisée.

Le suivi de la consommation et des plafonds d’usage aide à détecter rapidement ces changements.

Checklist de mise en place de l’accès à distance

Suivez un processus cohérent chaque fois que vous ajoutez un accès cellulaire à distance à un nouvel équipement ou un nouveau site client.

Planifier

• Identifiez les équipements qui nécessitent un accès à distance.

• Documentez pourquoi l’accès à distance est nécessaire.

• Identifiez les systèmes qui doivent initier la connexion.

• Déterminez si une adresse IP publique stable est requise.

• Choisissez entre IP fixe, réseau privé ou VPN initié par l’équipement selon le besoin.

• Vérifiez que le matériel prend en charge l’approche choisie.

• Vérifiez que le fournisseur de connectivité propose l’option réseau requise.

Configurer

• Provisionnez l’IP fixe ou le service de réseau privé nécessaire.

• Configurez le routage et les règles de pare-feu.

• Limitez le trafic entrant dans la mesure du possible.

• Désactivez les services et interfaces d’administration inutilisés.

• Configurez les VPN ou tunnels sécurisés pour qu’ils se reconnectent automatiquement, le cas échéant.

• Définissez des identifiants robustes et des contrôles d’authentification adaptés.

Tester

• Vérifiez que l’accès à distance autorisé fonctionne depuis l’extérieur du site client.

• Redémarrez l’équipement cellulaire et vérifiez que l’accès revient sans intervention manuelle.

• Testez la reconnexion du VPN ou du tunnel, le cas échéant.

• Si vous utilisez le basculement cellulaire, simulez une coupure de la connexion principale et vérifiez que la méthode d’accès à distance se comporte comme prévu.

• Analysez la consommation de données pour mesurer la charge générée par la supervision, les keepalives et la gestion à distance.

Documenter et superviser

• Enregistrez l’équipement, la SIM et la méthode d’accès à distance.

• Documentez les adresses IP, les configurations réseau et les règles d’accès concernées.

• Notez pourquoi l’architecture retenue a été choisie.

• Configurez des alertes adaptées sur la connectivité et la consommation.

• Planifiez des tests réguliers pour les déploiements critiques.

Mettez en place l’accès à distance pour vos déploiements cellulaires

Simbase offre aux MSP plusieurs façons de construire une connectivité cellulaire adaptée aux exigences réseau des déploiements de leurs clients.

Ajoutez une IP publique fixe lorsqu’un équipement a besoin d’une adresse stable exposée sur internet, ou utilisez un réseau privé lorsque les équipements ont besoin d’une connectivité maîtrisée vers votre infrastructure sans exposition publique directe.

Gérez la connectivité cellulaire depuis la plateforme Simbase et utilisez l’API pour automatiser sa gestion à mesure que vos déploiements grandissent.

Besoin d’aide pour choisir la bonne configuration ?

Parlez à un expert IoT de notre équipe des exigences réseau de votre déploiement.