A VPN (Réseau privé virtuel) crée un tunnel crypté entre deux points d'extrémité. Dans le cadre de l'IoT, il sert généralement à fournir à un appareil mobile une connexion sécurisée vers vos serveurs ou votre réseau d'entreprise, comme si l'appareil était branché dans vos locaux, alors qu'il est en réalité connecté via un réseau mobile public à l'autre bout du monde.

Cet article explique ce qu'est un VPN IoT, dans quels cas il apporte une valeur ajoutée et quelles sont les fonctionnalités prises en charge par Simbase. Pour la configuration, consultez les guides disponibles sous Réseaux privés et IPsec.

Le rôle d'un VPN IoT

Un tunnel VPN entre un appareil mobile et un terminal distant vous offre :

• Chiffrement en cours de transmission. Le trafic à l'intérieur du tunnel est illisible pour toute entité se trouvant sur le chemin du réseau.

• Authentification. Les deux extrémités vérifient leur identité avant l'établissement du tunnel. Les appareils ne disposant pas d'identifiants valides ne peuvent pas établir le tunnel.

• Appartenance logique à un réseau. Une fois le tunnel établi, l'appareil apparaît comme si il se trouvait sur le réseau distant. Il peut accéder aux ressources internes via leurs adresses internes.

• Contrôle du routage. C'est vous qui décidez quel trafic passe par le tunnel et quel trafic est acheminé directement vers Internet.

Un VPN ne remplace pas le protocole TLS pour le chiffrement au niveau de l'application. Il s'agit d'une couche de transport située en dessous. La plupart des conceptions IoT utilisent de toute façon le protocole TLS, et un VPN est ajouté par-dessus uniquement lorsqu'il y a une raison particulière de le faire.

Quand un VPN est-il utile pour l'IoT ?

Un VPN accroît la complexité opérationnelle et la charge du processeur sur l'appareil. Optez pour cette solution dans l'un des cas suivants :

• Vous devez rendre les services internes accessibles aux appareils. Les appareils doivent pouvoir accéder à une base de données, à un service AD/LDAP, à un courtier MQTT interne ou à toute autre ressource hébergée au sein de votre réseau d'entreprise. Un VPN permet à l'appareil de se connecter à ce réseau.

• La conformité exige un transport chiffré allant au-delà du protocole TLS. Certains secteurs réglementés (santé, administration publique, défense) exigent que tout le trafic entre des terminaux sensibles transite par un tunnel chiffré, indépendamment du chiffrement au niveau de l'application.

• Vous vous connectez au réseau d'un client ou d'un partenaire. Dans de nombreux déploiements IoT B2B, le trafic de la carte SIM est acheminé vers le VPN du client, ce qui permet à l'équipe informatique de ce dernier de contrôler le routage et les règles d'accès.

• Vous procédez à une consolidation vers un seul point de terminaison interne. Un point d'accès VPN centralisé peut s'avérer utile lorsque de nombreux appareils doivent accéder à un service interne unique que vous ne souhaitez pas rendre accessible au public.

• Vous souhaitez que le trafic de l'appareil provienne d'une adresse IP source fixe. Un concentrateur VPN peut faire apparaître l'ensemble du trafic des appareils sous une seule adresse IP source, ce qui facilite la mise en place de listes d'autorisation sur les systèmes des partenaires.

Lorsqu'un VPN est pas la bonne réponse

• Le chiffrement suffit. Le protocole TLS gère cela pour le HTTPS, le MQTT et tout autre protocole d'application moderne.

• L'appareil communique uniquement avec des API publiques. Un VPN n'apporte rien.

• Vous avez besoin d'une accessibilité entrante pour un seul appareil. A Adresse IP publique est plus simple qu'un VPN.

• Vous essayez de masquer la localisation de l'appareil. Les opérateurs de téléphonie mobile savent toujours où se trouve l'appareil, et un VPN n'y change rien.

Ce que prend en charge Simbase

Simbase prend en charge deux protocoles VPN site à site, configurés au niveau de la passerelle réseau. Un troisième connecteur, le NAT, attribue aux SIM une adresse IP publique sans passer par un tunnel :

Les deux sont configurés une seule fois du côté de Simbase. Le trafic de votre flotte transite par le tunnel sans qu'aucune configuration ne soit nécessaire sur chaque appareil, ce qui est bien plus simple d'un point de vue opérationnel que de devoir déployer un client VPN sur chaque appareil.

Utiliser IPsec lorsque les appareils doivent être accessibles en permanence depuis votre réseau, lorsque le trafic circule dans les deux sens, ou lorsque vous effectuez une intégration avec des équipements VPN déjà gérés par votre équipe informatique (Cisco ASA, Palo Alto, Fortinet et autres). C'est le choix standard pour les environnements de production.

Utiliser WireGuard lorsque vous devez accéder à des appareils de manière ponctuelle plutôt qu'en continu, que ce soit pour la maintenance, le diagnostic ou l'extraction de journaux. La mise en place est plus rapide et le dépannage plus facile, ce qui en fait également une solution idéale pour le prototypage.

VPN sur l'appareil ou VPN au niveau du réseau

Il existe deux façons différentes de connecter des appareils à un « VPN » :

Questions fréquentes

Related

• Réseaux privés — Configuration de WireGuard

• IPsec — mettre en place un tunnel IPsec

• Adresses IP publiques — pour une accessibilité entrante sans VPN

• APN (APN privé) — pour une intégration encore plus étroite au réseau