IPsec instellen voor je Simbase-privénetwerk
IPsec bouwt een versleutelde site-to-site-tunnel in twee richtingen tussen de dedicated gateway van je privénetwerk en een VPN-concentrator aan jouw kant: je bedrijfsnetwerk of een cloud-VPC. Zodra de tunnel actief is, wordt het verkeer tussen beide netwerken versleuteld en geauthenticeerd. Je SIM's bereiken dan resources in je netwerk en je netwerk bereikt de SIM's.
Voor de architectuur van privénetwerken en het instellen van WireGuard, zie Privénetwerken en WireGuard-setup.
Overzicht
De meeste IoT-toepassingen gebruiken een applicatieserver met een publiek IP-adres, waar apparaten hun data via het openbare internet naartoe sturen. Een gps-tracker die elke vijf minuten zijn locatie doorgeeft is het typische voorbeeld. Die heeft helemaal geen tunnel nodig.
IPsec is voor toepassingen die het omgekeerde nodig hebben: een privéverbinding tussen je eigen netwerk en het subnet waar je SIM's op zitten. Zodra de tunnel actief is, bereiken SIM's servers die je nooit aan het internet hebt blootgesteld, en bereikt je netwerk de SIM's.
De instelling Remote network in fase 2 bepaalt hoeveel verkeer die route neemt. Staat die op 0.0.0.0/0, dan gaat alles wat de SIM's versturen door de tunnel. Je eigen internetgateway regelt dan hun internettoegang en je hebt controle over elk pakket dat in- en uitgaat. Stel je een specifiek subnet in, dan gaat alleen verkeer voor dat netwerk door de tunnel. De rest bereikt het internet gewoon via de gateway van Simbase.
Het diagram hieronder toont de situatie met 0.0.0.0/0, waarbij al het SIM-verkeer naar het klantnetwerk gaat.
Een IPsec-tunnel instellen
Zet eerst je privénetwerk op en zorg dat je een VPN-concentrator klaar hebt staan. De stappen in het kort:
Zet een privénetwerk op. Zie Privénetwerken en WireGuard-setup.
Zet een VPN-concentrator met een publiek IP-adres op in je bedrijfs- of cloudnetwerk. Simbase raadt pfSense aan als je er nog geen hebt.
Configureer de IPsec-tunnel in het Simbase-dashboard.
Configureer de IPsec-tunnel op je VPN-concentrator met dezelfde instellingen.
Test de tunnel in een testomgeving voordat je hem in productie gebruikt. De precieze stappen hangen af van het merk en de software van je concentrator, dus raadpleeg de documentatie. Betrek bij grotere of complexere setups een netwerkengineer.
IPsec configureren (Simbase-dashboard)
Algemeen
| Instelling | Beschrijving |
|---|---|
Key exchange version | Onderhandelt over de tunnel. IKEv2 is sneller en veiliger dan IKEv1 en heeft de voorkeur als je concentrator het ondersteunt. Twijfel je, kies dan auto. |
Simbase IP address | Het IP-adres van de VPN-concentrator van Simbase. Noteer dit: je hebt het nodig als je je eigen kant configureert. |
Remote IP address | Het publieke IPv4-adres van je VPN-concentrator. |
Pre-shared key | Authenticeert beide uiteinden van de tunnel. Gebruik een lange, willekeurige sleutel of kopieer de voorgestelde. Vermijd speciale tekens. Deel hem nooit! Iedereen met deze sleutel kan de tunnel compromitteren. |
Key exchange version
Simbase IP address
Remote IP address
Pre-shared key
Fase 1 (sleuteluitwisseling)
| Instelling | Beschrijving |
|---|---|
Encryption algorithm | Versleutelt het verkeer van de sleuteluitwisseling. AES128-GCM (128-bit) wordt aanbevolen voor de beste balans tussen veiligheid en prestaties. |
Hash algorithm | Controleert de integriteit van het verkeer van de sleuteluitwisseling. SHA256 wordt aanbevolen. SHA1 geldt over het algemeen als onveilig en kun je beter vermijden. |
DH group key | Diffie-Hellman-groep voor de sleuteluitwisseling. DH Group 14 (2048-bit) wordt aanbevolen. |
Lifetime | Hoe lang de fase 1-sessie duurt voordat er opnieuw wordt onderhandeld, in seconden. 28800 is een goede standaardwaarde. Stel één endpoint in op deze waarde en het andere minstens 10% hoger (bijv. 31680) om overlap te voorkomen. Bereik: 20000–86400 seconden. |
Dead peer detection | Controleert of de peer nog actief is via IKEv2 INFORMATIONAL-uitwisselingen of IKEv1 R_U_THERE-berichten. Draait alleen als er gedurende de ingestelde vertraging geen IKE- of ESP/AH-pakket is ontvangen. Twijfel je, zet het dan op disabled. |
Encryption algorithm
Hash algorithm
DH group key
Lifetime
Dead peer detection
Fase 2 (datasessie)
| Instelling | Beschrijving |
|---|---|
SIM network | Het subnet dat je SIM's gebruiken. Vast, kan niet worden gewijzigd. |
Remote network | Het subnet aan jouw kant van de tunnel, in CIDR-notatie. Zet dit op 0.0.0.0/0 om al het SIM-verkeer naar je netwerk te routeren. |
ESP | Encapsulating Security Payload: verzorgt de versleuteling en authenticatie van het tunnelverkeer. Kan niet worden gewijzigd. |
Encryption algorithm | Versleutelt het tunnelverkeer. AES128-GCM (128-bit) wordt aanbevolen. |
Hash algorithm | Controleert de integriteit van het tunnelverkeer. SHA256 wordt aanbevolen. SHA1 geldt over het algemeen als onveilig en kun je beter vermijden. |
DH group key | Diffie-Hellman-groep voor de datasessie. DH Group 14 (2048-bit) wordt aanbevolen. |
Lifetime | Hoe lang de datasessie duurt voordat de Child SA verloopt, in seconden. Moet groter zijn dan de rekey-tijd. Stel één endpoint in op deze waarde en het andere minstens 10% hoger, bijvoorbeeld 5400, om overlap te voorkomen. Bereik: 1800 tot 7200 seconden. |
SIM network
Remote network
ESP
Encryption algorithm
Hash algorithm
DH group key
Lifetime
IPsec configureren (jouw kant)
Hoe je IPsec aan jouw kant configureert, hangt af van je concentrator. De demo hieronder laat het proces in pfSense zien.
Veelgestelde vragen
Ja. De tunnel eindigt op de dedicated gateway van je privénetwerk, dus zet eerst het netwerk op en wijs er SIM's aan toe. Zie Privénetwerken en WireGuard-setup.
Black, Green en Red: gateways in de VS en EU. Blue en Yellow: alleen gateways in de EU
Ja. Tunnels worden per tunnel per dag gefactureerd, bovenop het privénetwerk waarmee de tunnel verbonden is. Zie Wat je betaalt.
Elke concentrator die standaard IPsec ondersteunt, waaronder Cisco ASA, Palo Alto en Fortinet. Simbase raadt pfSense aan als je er nog geen hebt.
Gerelateerd
Privénetwerken en WireGuard-setup: de architectuur met dedicated gateway en het instellen van WireGuard
VPN: wanneer een VPN de extra complexiteit waard is
Network Address Translation (NAT): wat het betekent voor IoT
Publieke IP-adressen: voor inkomende bereikbaarheid van één SIM zonder privénetwerk
Compatibiliteit checken: controleer vóór de uitrol of je apparaten compatibel zijn
© 2026 Simbase. Alle rechten voorbehouden.