VPN voor IoT: wanneer je er een nodig hebt en wat Simbase ondersteunt

Een VPN (Virtual Private Network) maakt een versleutelde tunnel tussen twee eindpunten. Bij IoT gebruik je die meestal om een mobiel apparaat een veilige route naar je servers of bedrijfsnetwerk te geven. Het apparaat gedraagt zich dan alsof het op kantoor is aangesloten, ook al zit het via een openbaar mobiel netwerk aan de andere kant van de wereld.

Dit artikel legt uit wat een IoT-VPN is, wanneer het iets toevoegt en wat Simbase ondersteunt. Voor de configuratie, zie de handleidingen onder Privénetwerken en IPsec.

Wat een IoT-VPN doet

Een VPN-tunnel tussen een mobiel apparaat en een extern eindpunt geeft je:

• Versleuteling onderweg. Verkeer in de tunnel is onleesbaar voor iedereen op het netwerkpad.

• Authenticatie. Beide kanten bewijzen wie ze zijn voordat de tunnel opkomt. Apparaten zonder geldige credentials kunnen geen tunnel opzetten.

• Logisch lidmaatschap van het netwerk. Zodra de tunnel actief is, lijkt het apparaat op het externe netwerk te zitten. Het bereikt interne resources via hun interne adressen.

• Controle over routing. Jij bepaalt welk verkeer door de tunnel gaat en welk verkeer direct naar internet gaat.

Een VPN vervangt TLS niet voor versleuteling op applicatieniveau. Het is een transportlaag daaronder. De meeste IoT-ontwerpen gebruiken hoe dan ook TLS en voegen alleen een VPN toe als daar een specifieke reden voor is.

Wanneer een VPN zinvol is voor IoT

Een VPN maakt het beheer complexer en kost rekenkracht op het apparaat. Kies ervoor als een van deze situaties geldt:

• Je wilt interne diensten bereikbaar maken voor apparaten. Apparaten moeten een database, AD/LDAP, een interne MQTT-broker of een andere resource binnen je bedrijfsnetwerk bereiken. Een VPN haalt het apparaat binnen dat netwerk.

• Compliance vereist versleuteld transport naast TLS. Sommige gereguleerde sectoren (zorg, overheid, defensie) eisen dat al het verkeer tussen gevoelige eindpunten door een versleutelde tunnel gaat, ongeacht versleuteling op applicatieniveau.

• Je koppelt aan het netwerk van een klant of partner. Veel B2B-IoT-toepassingen leiden het verkeer van de SIM naar de VPN van de klant, zodat het IT-team van de klant routing en beleid beheert.

• Je bundelt alles naar één intern eindpunt. Een centraal VPN-eindpunt is handig als veel apparaten één interne dienst moeten bereiken die je niet publiek wilt openstellen.

• Je wilt een vast bron-IP voor het verkeer van je apparaten. Een VPN-concentrator laat al het apparaatverkeer vanaf één bron-IP vertrekken. Dat maakt allowlisting op systemen van partners eenvoudiger.

Wanneer een VPN niet de juiste keuze is

• Je hebt alleen versleuteling nodig. Dat regelt TLS al voor HTTPS, MQTTS en elk ander modern applicatieprotocol.

• Het apparaat praat alleen met publieke API's. Een VPN voegt dan niets toe.

• Je wilt één apparaat van buitenaf bereikbaar maken. Een publiek IP-adres is eenvoudiger dan een VPN.

• Je wilt de locatie van het apparaat verbergen. Mobiele operators weten altijd waar het apparaat is, en een VPN verandert daar niets aan.

Wat Simbase ondersteunt

Simbase ondersteunt twee site-to-site VPN-protocollen, die je op het niveau van de netwerkgateway configureert. Een derde connector, NAT, geeft SIM's een publiek IP-adres zonder tunnel:

Beide configureer je één keer aan de kant van Simbase. Het verkeer van je vloot loopt door de tunnel zonder configuratie per apparaat. Dat is in de praktijk veel eenvoudiger dan op elk apparaat een VPN-client inrichten.

Gebruik IPsec als apparaten doorlopend bereikbaar moeten zijn vanuit je netwerk, als verkeer in twee richtingen gaat, of als je koppelt met VPN-apparatuur die je IT-team al draait (Cisco ASA, Palo Alto, Fortinet en vergelijkbaar). Het is de standaardkeuze voor productie.

Gebruik WireGuard als je apparaten af en toe wilt bereiken in plaats van continu, voor onderhoud, diagnose of het ophalen van logs. Het is sneller opgezet en makkelijker te troubleshooten, en daardoor ook geschikt voor prototypes.

VPN op het apparaat vs. VPN in het netwerk

Er zijn twee manieren om apparaten "op een VPN" te zetten:

Veelgestelde vragen

Gerelateerd

• Privénetwerken: WireGuard instellen

• IPsec: een IPsec-tunnel opzetten

• Publieke IP-adressen: bereikbaar van buitenaf zonder VPN

• APN (privé-APN): voor een nog nauwere netwerkintegratie