Configurer IPsec pour votre réseau privé Simbase
IPsec crée un tunnel site à site chiffré et bidirectionnel entre la passerelle dédiée de votre réseau privé et un concentrateur VPN de votre côté : votre réseau d'entreprise ou un VPC cloud. Une fois le tunnel établi, le trafic entre les deux réseaux est chiffré et authentifié. Vos SIM accèdent alors aux ressources de votre réseau, et votre réseau peut joindre les SIM.
Pour l'architecture des réseaux privés et la configuration de WireGuard, consultez Réseaux privés et configuration WireGuard.
Présentation
La plupart des déploiements IoT utilisent un serveur d'application doté d'une adresse IP publique, vers lequel les appareils envoient leurs données via l'internet public. Un traceur GPS qui transmet sa position toutes les cinq minutes en est l'exemple type, et il n'a besoin d'aucun tunnel.
IPsec s'adresse aux déploiements qui ont besoin de l'inverse : un chemin privé entre votre propre réseau et le sous-réseau de vos SIM. Une fois le tunnel établi, les SIM peuvent joindre des serveurs que vous n'avez jamais exposés à internet, et votre réseau peut joindre les SIM.
Le paramètre Remote network de la phase 2 détermine la part du trafic qui emprunte ce chemin. Avec 0.0.0.0/0, tout ce que les SIM envoient passe par le tunnel : votre propre passerelle internet gère leur accès à internet et vous contrôlez chaque paquet entrant et sortant. Avec un sous-réseau précis, seul le trafic destiné à ce réseau passe par le tunnel, et le reste accède à internet normalement via la passerelle de Simbase.
Le schéma ci-dessous illustre le cas 0.0.0.0/0, où tout le trafic des SIM est acheminé vers le réseau du client.
Configurer un tunnel IPsec
Avant de configurer le tunnel, déployez votre réseau privé et préparez un concentrateur VPN. Les étapes principales :
Déployez un réseau privé. Consultez Réseaux privés et configuration WireGuard.
Déployez un concentrateur VPN avec une adresse IP publique dans votre réseau d'entreprise ou cloud. Simbase recommande pfSense si vous n'en avez pas déjà un.
Configurez le tunnel IPsec dans le tableau de bord Simbase.
Configurez le tunnel IPsec sur votre concentrateur VPN avec les mêmes paramètres.
Testez le tunnel dans un environnement de test avant de le passer en production. Les étapes exactes dépendent de la marque et du logiciel de votre concentrateur : consultez sa documentation. Pour des configurations plus grandes ou plus complexes, faites appel à un ingénieur réseau.
Configurer IPsec (tableau de bord Simbase)
Général
| Paramètre | Description |
|---|---|
Key exchange version | Négocie le tunnel. IKEv2 est plus rapide et plus sûr qu'IKEv1, et à privilégier si votre concentrateur le prend en charge. En cas de doute, choisissez auto. |
Simbase IP address | L'adresse IP du concentrateur VPN de Simbase. Notez-la : vous en aurez besoin pour configurer votre côté. |
Remote IP address | L'adresse IPv4 publique de votre concentrateur VPN. |
Pre-shared key | Authentifie les deux extrémités du tunnel. Utilisez une clé longue et aléatoire, ou copiez celle proposée. Évitez les caractères spéciaux. Ne la partagez jamais ! Toute personne disposant de cette clé peut compromettre le tunnel. |
Key exchange version
Simbase IP address
Remote IP address
Pre-shared key
Phase 1 (échange de clés)
| Paramètre | Description |
|---|---|
Encryption algorithm | Chiffre le trafic d'échange de clés. AES128-GCM (128 bits) est recommandé pour le meilleur équilibre entre sécurité et performances. |
Hash algorithm | Vérifie l'intégrité du trafic d'échange de clés. SHA256 est recommandé. SHA1 est généralement considéré comme non sûr et à éviter. |
DH group key | Groupe Diffie-Hellman pour l'échange de clés. DH Group 14 (2048 bits) est recommandé. |
Lifetime | Durée de la session de phase 1 avant renégociation, en secondes. 28800 est une bonne valeur par défaut. Réglez une extrémité sur cette valeur et l'autre au moins 10 % plus haut (par ex. 31680) pour éviter les chevauchements. Plage : 20000–86400 secondes. |
Dead peer detection | Vérifie que le pair est toujours actif à l'aide d'échanges IKEv2 INFORMATIONAL ou de messages IKEv1 R_U_THERE. Ne s'exécute que si aucun paquet IKE ou ESP/AH n'a été reçu pendant le délai configuré. En cas de doute, réglez-le sur disabled. |
Encryption algorithm
Hash algorithm
DH group key
Lifetime
Dead peer detection
Phase 2 (session de données)
| Paramètre | Description |
|---|---|
SIM network | Le sous-réseau utilisé par vos SIM. Fixe, non modifiable. |
Remote network | Le sous-réseau de votre côté du tunnel, en notation CIDR. Réglez-le sur 0.0.0.0/0 pour acheminer tout le trafic des SIM vers votre réseau. |
ESP | Encapsulating Security Payload : assure le chiffrement et l'authentification du trafic du tunnel. Non modifiable. |
Encryption algorithm | Chiffre le trafic du tunnel. AES128-GCM (128 bits) est recommandé. |
Hash algorithm | Vérifie l'intégrité du trafic du tunnel. SHA256 est recommandé. SHA1 est généralement considéré comme non sûr et à éviter. |
DH group key | Groupe Diffie-Hellman pour la session de données. DH Group 14 (2048 bits) est recommandé. |
Lifetime | Durée de la session de données avant l'expiration de la Child SA, en secondes. Doit être supérieure au délai de renouvellement des clés (rekey). Réglez une extrémité sur cette valeur et l'autre au moins 10 % plus haut, par exemple 5400, pour éviter les chevauchements. Plage : 1800 à 7200 secondes. |
SIM network
Remote network
ESP
Encryption algorithm
Hash algorithm
DH group key
Lifetime
Configurer IPsec (votre côté)
La configuration d'IPsec de votre côté dépend de votre concentrateur. La démo ci-dessous montre la procédure dans pfSense.
Questions fréquentes
Oui. Le tunnel aboutit à la passerelle dédiée de votre réseau privé : déployez donc d'abord le réseau et attribuez-lui des SIM. Consultez Réseaux privés et la configuration WireGuard.
Black, Green et Red : passerelles aux États-Unis et dans l'UE. Blue et Yellow : passerelles dans l'UE uniquement
Oui. Les tunnels sont facturés par tunnel et par jour, en plus du réseau privé auquel le tunnel est connecté. Consultez Éléments facturables.
Tout concentrateur compatible avec IPsec standard, notamment Cisco ASA, Palo Alto et Fortinet. Simbase recommande pfSense si vous n'en avez pas déjà un.
Articles associés
Réseaux privés et configuration WireGuard : l'architecture à passerelle dédiée et la configuration de WireGuard
VPN : quand un VPN vaut la complexité supplémentaire
Network Address Translation (NAT) : ce que cela implique pour l'IoT
IP publiques : pour joindre une seule SIM depuis l'extérieur sans réseau privé
Vérifier la compatibilité : vérifiez la compatibilité de vos appareils avant le déploiement
© 2026 Simbase. Tous droits réservés.