VPN pour l'IoT : quand l'utiliser et ce que Simbase prend en charge

Un VPN (Virtual Private Network) crée un tunnel chiffré entre deux points de terminaison. En IoT, on s'en sert surtout pour offrir à un appareil cellulaire un chemin sécurisé vers vos serveurs ou votre réseau d'entreprise, comme s'il était branché dans vos bureaux, alors qu'il est en réalité connecté via un réseau mobile public à l'autre bout du monde.

Cet article explique ce qu'est un VPN IoT, quand il est utile et ce que Simbase prend en charge. Pour la configuration, consultez les guides de la section Réseaux privés et IPsec.

À quoi sert un VPN IoT

Un tunnel VPN entre un appareil cellulaire et un point de terminaison distant vous apporte :

• Le chiffrement en transit. Le trafic dans le tunnel est illisible pour quiconque se trouve sur le chemin réseau.

• L'authentification. Les deux extrémités prouvent leur identité avant l'ouverture du tunnel. Un appareil sans identifiants valides ne peut pas établir le tunnel.

• L'appartenance logique au réseau. Une fois le tunnel établi, l'appareil semble faire partie du réseau distant. Il accède aux ressources internes par leurs adresses internes.

• Le contrôle du routage. Vous décidez quel trafic passe par le tunnel et lequel va directement sur Internet.

Un VPN ne remplace pas TLS pour le chiffrement au niveau applicatif. C'est une couche de transport située en dessous. La plupart des architectures IoT utilisent TLS dans tous les cas et n'ajoutent un VPN que pour une raison précise.

Quand un VPN vaut la peine pour l'IoT

Un VPN complique l'exploitation et augmente la charge CPU de l'appareil. Choisissez-le si l'un de ces cas s'applique :

• Vos appareils doivent accéder à des services internes. Les appareils doivent joindre une base de données, AD/LDAP, un broker MQTT interne ou une autre ressource de votre réseau d'entreprise. Un VPN intègre l'appareil à ce réseau.

• La conformité exige un transport chiffré en plus de TLS. Certains secteurs réglementés (santé, administration, défense) exigent que tout le trafic entre des points sensibles passe par un tunnel chiffré, quel que soit le chiffrement applicatif.

• Vous vous raccordez au réseau d'un client ou d'un partenaire. Beaucoup de déploiements IoT B2B font aboutir le trafic de la SIM dans le VPN du client, pour que son équipe IT garde la main sur le routage et les règles.

• Vous centralisez vers un seul point interne. Un point de terminaison VPN central est utile quand de nombreux appareils doivent joindre un seul service interne que vous ne voulez pas exposer publiquement.

• Vous voulez une IP source fixe pour le trafic des appareils. Un concentrateur VPN fait sortir tout le trafic des appareils avec une seule IP source, ce qui simplifie les listes d'autorisation sur les systèmes des partenaires.

Quand un VPN n'est pas la bonne réponse

• Vous avez seulement besoin de chiffrement. TLS s'en charge pour HTTPS, MQTTS et tout autre protocole applicatif moderne.

• L'appareil ne communique qu'avec des API publiques. Un VPN n'apporte rien.

• Vous devez rendre un seul appareil joignable depuis l'extérieur. Une IP publique est plus simple qu'un VPN.

• Vous voulez masquer la position de l'appareil. Les opérateurs mobiles savent toujours où se trouve l'appareil, et un VPN n'y change rien.

Ce que Simbase prend en charge

Simbase prend en charge deux protocoles VPN site à site, configurés au niveau de la passerelle réseau. Un troisième connecteur, NAT, donne aux SIM une IP publique sans tunnel :

Les deux se configurent une seule fois côté Simbase. Le trafic de votre flotte passe par le tunnel sans aucune configuration par appareil, ce qui est bien plus simple à exploiter que d'installer un client VPN sur chaque appareil.

Utilisez IPsec quand les appareils doivent rester joignables en permanence depuis votre réseau, quand le trafic circule dans les deux sens, ou quand vous l'intégrez à des équipements VPN que votre équipe IT gère déjà (Cisco ASA, Palo Alto, Fortinet, etc.). C'est le choix standard en production.

Utilisez WireGuard quand vous devez joindre les appareils de temps en temps plutôt qu'en continu, pour la maintenance, le diagnostic ou la récupération de logs. Il se met en place plus vite et se dépanne plus facilement, ce qui en fait aussi un bon choix pour le prototypage.

VPN sur l'appareil ou VPN au niveau du réseau

Il existe deux façons de mettre des appareils « sur un VPN » :

Questions fréquentes

Articles associés

• Réseaux privés : configurer WireGuard

• IPsec : déployer un tunnel IPsec

• IP publiques : pour être joignable depuis l'extérieur sans VPN

• APN (APN privé) : pour une intégration réseau encore plus étroite