Feste IP-Adresse im Mobilfunk: So erreichen MSPs Geräte aus der Ferne

Der Fernzugriff auf einen Router, eine Kamera, ein Kiosk-Terminal oder ein anderes Gerät über Mobilfunk ist nicht immer so einfach wie bei Geräten an einem klassischen Internetanschluss. Viele Mobilfunkverbindungen nutzen Carrier-Grade NAT (CGNAT). Das bedeutet: Das Gerät ist standardmäßig nicht direkt aus dem öffentlichen Internet erreichbar.

Je nach Einsatz lösen MSPs das mit einer festen öffentlichen IP-Adresse, privatem Networking oder einer VPN-Verbindung, die das Gerät selbst aufbaut. Dieser Leitfaden erklärt, wie die einzelnen Ansätze funktionieren, wann du welchen einsetzt und was du beachten solltest, bevor du Fernzugriff über mehrere Kundenstandorte hinweg ausrollst.

Warum Mobilfunkgeräte aus der Ferne schwer erreichbar sind

Mobilfunkverbindungen nutzen häufig Carrier-Grade NAT, kurz CGNAT.

Bei CGNAT können sich mehrere Mobilfunkverbindungen dieselbe öffentliche IP-Adresse teilen. Das Gerät selbst erhält eine private Adresse, und das Mobilfunknetz übersetzt seinen ausgehenden Datenverkehr über eine gemeinsam genutzte öffentliche Adresse.

Weil sich mehrere Verbindungen diese öffentliche Adresse teilen, lassen sich unaufgeforderte eingehende Verbindungen in der Regel nicht direkt zu einem einzelnen Gerät hinter CGNAT routen.

Das Gerät kann ausgehende Verbindungen aufbauen, für direkten eingehenden Zugriff brauchst du aber einen anderen Netzwerkansatz.

Außerdem können sich IP-Adressen ändern, wenn Mobilfunkgeräte die Verbindung trennen und neu aufbauen. Das wird zum Problem, wenn eine Firewall-Regel, eine Allowlist oder eine Fernzugriffskonfiguration von einer gleichbleibenden Adresse abhängt.

Für einen MSP kann das zum Beispiel diese Aufgaben betreffen:

• Router und Gateways aus der Ferne verwalten

• Auf Kameras, Kiosk-Terminals oder Steuerungen zugreifen

• Monitoring-Systeme mit entfernten Geräten verbinden

• Firewall-Allowlists anlegen

• Bestimmte VPN-Konfigurationen einrichten

Es gibt mehrere Wege, das Problem zu lösen. Welcher der richtige ist, hängt davon ab, was mit dem Gerät kommunizieren muss, wie viele Geräte du verwaltest und wie du den Fernzugriff absichern willst.

Option 1: Feste öffentliche IP-Adresse

Eine feste öffentliche IP-Adresse gibt einer Mobilfunkverbindung eine gleichbleibende öffentliche Adresse, statt sich auf eine wechselnde oder geteilte Adresse zu verlassen.

So haben MSPs einen vorhersehbaren Endpunkt für Einsätze, die eingehende Konnektivität, IP-Allowlisting oder bestimmte VPN-Konfigurationen erfordern.

Was eine feste IP-Adresse ermöglicht

Eine feste öffentliche IP-Adresse liefert eine gleichbleibende Adresse für:

• IP-Allowlists

• VPN-Konfigurationen

• Remote-Monitoring

• Kontrollierte eingehende Konnektivität

• Fernzugriffs-Workflows

Je nach Konfiguration von Router, Firewall und Gerät kann sie auch eingehende Verbindungen zu Geräten hinter dem Mobilfunkrouter ermöglichen.

Vorteile einer festen öffentlichen IP-Adresse

Gleichbleibende Adressierung. Die Adresse ändert sich nicht bei jedem neuen Aufbau der Mobilfunkverbindung.

Einfache Integration. Bestehende Systeme, die auf eine bekannte Quell- oder Ziel-IP angewiesen sind, können ihre IP-basierten Regeln weiter nutzen.

Kein Tunnel auf dem Gerät nötig. Der Endpunkt muss nicht unbedingt ein eigenes ausgehendes VPN aufbauen, nur um erreichbar zu bleiben.

Worauf du achten solltest

Eine feste öffentliche IP-Adresse macht den Mobilfunk-Endpunkt dauerhaft aus dem Internet adressierbar. Sicherheitsmaßnahmen sind deshalb unverzichtbar.

Firewall-Regeln sollten eingehenden Datenverkehr auf das beschränken, was der Einsatz wirklich braucht, und die Fernverwaltung sollte verschlüsselte Protokolle und eine passende Authentifizierung nutzen.

Kläre außerdem:

• Ob der Anbieter eine öffentliche oder eine private feste IP-Adresse bereitstellt

• Wie die IP-Adresse bereitgestellt wird

• Ob eingehender Datenverkehr eingeschränkt ist

• Ob bestimmte Ports gesperrt sind

• Ob sich eingehender Zugriff auf freigegebene Quelladressen beschränken lässt

• Wie sich die feste IP-Adresse in den verschiedenen Netzen verhält, die der SIM zur Verfügung stehen

• Welche zusätzlichen Kosten anfallen

Eine feste öffentliche IP-Adresse ist sinnvoll, wenn ein Einsatz ausdrücklich eine stabile, aus dem Internet erreichbare Adresse braucht.

Eine feste IP-Adresse sorgt für Erreichbarkeit, nicht für Sicherheit.

Mit einer festen öffentlichen IP-Adresse ist ein Mobilfunk-Endpunkt dauerhaft adressierbar. Allein authentifiziert das weder Nutzer, noch schützt es das Gerät. Setze zusätzlich Firewall-Regeln, verschlüsselte Protokolle, eingeschränkte Quelladressen und passende Authentifizierung ein.

Option 2: Privates Networking

Nicht jedes fernverwaltete Gerät muss direkt aus dem öffentlichen Internet erreichbar sein.

Privates Networking schafft einen kontrollierten Pfad zwischen Mobilfunkgeräten und den Systemen, die mit ihnen kommunizieren müssen, ohne dass diese Geräte direkt dem öffentlichen Internet ausgesetzt werden.

Je nach Anbieter und Architektur kann das private Adressierung, APN-Konfiguration, VPN-Konnektivität oder andere Routing-Mechanismen umfassen.

Weil Anbieter Begriffe wie „privater APN“ und „privates Netzwerk“ unterschiedlich verwenden, lass dir ein Netzwerkdiagramm geben, das zeigt, wie der Datenverkehr zwischen dem Mobilfunkgerät und deiner Infrastruktur läuft.

Was privates Networking ermöglicht

Mit privatem Networking können entfernte Geräte und zentrale Systeme über private Verbindungen kommunizieren statt über öffentliche, aus dem Internet erreichbare Adressen.

Das ist hilfreich, wenn:

• Viele Geräte mit derselben zentralen Infrastruktur kommunizieren

• Geräte nicht direkt dem öffentlichen Internet ausgesetzt sein sollen

• Ein MSP zentrale Kontrolle über Routing und Zugriff braucht

• Der Einsatz zusätzliche Netzwerk- oder Sicherheitsanforderungen hat

Vorteile von privatem Networking

Weniger öffentliche Angriffsfläche. Geräte brauchen keine eigenen öffentlichen IP-Adressen, um mit autorisierter Infrastruktur zu kommunizieren.

Zentrale Architektur. Die Konnektivität zwischen Geräten und zentralen Systemen lässt sich als Teil eines übergreifenden Netzwerkdesigns verwalten.

Gut für größere Einsätze. Ein privates Netzwerk bietet eine einheitliche Architektur, auch wenn die Zahl der ausgerollten Geräte wächst.

Worauf du achten solltest

Privates Networking erfordert mehr Planung als die bloße Zuweisung einer öffentlichen IP-Adresse.

Je nach Umsetzung musst du unter anderem festlegen:

• Private Adressbereiche

• Routing

• Zugriffskontrollen

• Wie deine Infrastruktur an das private Netzwerk angebunden wird

• Welche Systeme mit den ausgerollten Geräten kommunizieren dürfen

• Wie die private Verbindung überwacht wird

Die genaue Architektur unterscheidet sich je nach Konnektivitätsanbieter. Mach dich deshalb mit dem privaten Networking-Dienst des Anbieters vertraut, bevor du deine Lösung darauf aufbaust.

Privates Networking ist sinnvoll, wenn Geräte eine kontrollierte Verbindung zu zentraler Infrastruktur brauchen, ohne direkt dem öffentlichen Internet ausgesetzt zu sein.

Option 3: Vom Gerät aufgebautes VPN oder sicherer Tunnel

Ein dritter Ansatz: Der Router oder das Gerät baut selbst eine verschlüsselte Verbindung zu einer Infrastruktur auf, die der MSP, der Kunde oder ein vertrauenswürdiger Dienstleister kontrolliert.

Da das Gerät die Verbindung ausgehend aufbaut, funktioniert dieser Ansatz auch hinter CGNAT, ohne dass eine feste öffentliche IP-Adresse nötig ist.

Steht die sichere Verbindung, können autorisierte Systeme über den Tunnel mit dem Gerät kommunizieren.

Je nach Hardware und Einsatz kommen dafür Technologien wie IPsec, OpenVPN oder WireGuard infrage, oder der sichere Fernverwaltungsdienst eines Herstellers.

Vorteile eines vom Gerät aufgebauten VPN

Funktioniert hinter CGNAT. Das Gerät baut die Verbindung ausgehend auf, daher ist keine direkte eingehende Verbindung aus dem Mobilfunknetz nötig.

Weniger direkte Exposition im Internet. Das Gerät muss keine unaufgeforderten eingehenden Verbindungen aus dem öffentlichen Internet annehmen.

Funktioniert über verschiedene Verbindungsarten hinweg. Derselbe Ansatz lässt sich nutzen, wenn ein Standort zwischen kabelgebundener Verbindung und Mobilfunk wechselt.

Weniger Abhängigkeit von IP-Adressen. Der Fernzugriff hängt nicht davon ab, dass die Mobilfunkverbindung eine bestimmte öffentliche IP-Adresse behält.

Worauf du achten solltest

Der Router oder das Gerät muss den gewählten Tunnel oder die gewählte Fernzugriffsmethode unterstützen.

Dein Team sollte außerdem klären:

• Wer das VPN-Gateway oder den Fernzugriffsdienst betreibt

• Wie Geräte provisioniert werden

• Wie die Authentifizierung geregelt ist

• Ob sich Tunnel automatisch neu verbinden

• Was passiert, wenn sich die Konnektivität ändert

• Wie die Verfügbarkeit des Tunnels überwacht wird

• Was passiert, wenn der Tunnel selbst ausfällt

Prüfe bei kritischen Einsätzen, ob du einen zweiten Zugangsweg brauchst, falls die primäre Fernzugriffsmethode nicht verfügbar ist.

Welche Fernzugriffsoption solltest du wählen?

Beginne mit der Anforderung, nicht mit der Technologie.

Wenn das Gerät nur Daten nach außen senden muss

Dann reicht die Standard-Mobilfunkverbindung möglicherweise aus.

Ein Gerät, das zum Beispiel Telemetriedaten an eine Cloud-Anwendung sendet, braucht unter Umständen überhaupt keinen eingehenden Zugriff.

Wenn du eine gleichbleibende öffentliche Adresse brauchst

Setze auf eine feste öffentliche IP-Adresse.

Das ist nützlich für IP-Allowlists, bestimmte VPN-Konfigurationen und Einsätze, die einen vorhersehbaren, aus dem Internet erreichbaren Endpunkt erfordern.

Wenn viele Geräte kontrollierten Zugriff auf zentrale Infrastruktur brauchen

Setze auf privates Networking.

Das ermöglicht eine stärker zentralisierte Architektur, ohne dass jedes ausgerollte Gerät eine öffentlich erreichbare IP-Adresse braucht.

Wenn das Gerät selbst eine sichere Verbindung aufbauen kann

Ein vom Gerät aufgebautes VPN oder ein sicherer Tunnel liefert dir möglicherweise den nötigen Fernzugriff, ohne dass eingehende Konnektivität über den Mobilfunkanbieter nötig ist.

Diese Ansätze schließen sich nicht unbedingt gegenseitig aus. Die passende Architektur kann bei verschiedenen Kundeneinsätzen unterschiedliche Methoden nutzen.

Grundsätzlich gilt: Eine feste öffentliche IP-Adresse ist sinnvoll, wenn du eine gleichbleibende, aus dem Internet erreichbare Adresse brauchst. Privates Networking eignet sich, wenn Geräte eine kontrollierte Verbindung zu zentraler Infrastruktur benötigen. Und ein vom Gerät aufgebautes VPN ermöglicht Fernzugriff, ohne dass eingehende Konnektivität über den Mobilfunkanbieter nötig ist.

Sicherheitsaspekte beim Fernzugriff über Mobilfunk

Sobald du entfernte Geräte zugänglich machst, gehört Sicherheit von Anfang an zur Architektur und ist kein nachträglicher Gedanke.

Das gilt besonders, wenn du eine feste öffentliche IP-Adresse nutzt.

Eingehenden Zugriff einschränken

Erlaube nur die Verbindungen, die der Einsatz tatsächlich braucht. Beschränke eingehenden Zugriff nach Möglichkeit auf bekannte Quelladressen und deaktiviere unnötige Dienste auf der WAN-Seite.

Verschlüsselte Protokolle nutzen

Nutze für die Fernverwaltung verschlüsselte, authentifizierte Protokolle. Mach unverschlüsselte Administrationsprotokolle nicht direkt im öffentlichen Internet zugänglich.

Standard-Zugangsdaten ersetzen

Verwende starke, individuelle Zugangsdaten und deaktiviere Standardkonten, wo immer möglich.

Passende Authentifizierung verlangen

Nutze Multi-Faktor-Authentifizierung für Management-Plattformen und Fernzugriffstools, sofern unterstützt.

Geräte aktuell halten

Etabliere einen Prozess für Firmware- und Sicherheitsupdates und dokumentiere die Versionsstände aller ausgerollten Geräte.

Zugriffe überwachen

Protokolliere Zugriffsversuche und Konfigurationsänderungen, soweit Hardware und Management-Tools das zulassen.

Datenverbrauch überwachen

Ein unerwarteter Anstieg des Mobilfunk-Datenverkehrs kann auf ein Konfigurationsproblem, ungewöhnliches Geräteverhalten oder möglicherweise unbefugte Aktivitäten hinweisen.

Verbrauchsüberwachung und Limits helfen dir, Veränderungen früh zu erkennen.

Checkliste für die Einrichtung des Fernzugriffs

Geh immer nach demselben Ablauf vor, wenn du Fernzugriff über Mobilfunk für ein neues Gerät oder einen neuen Kundenstandort einrichtest.

Planen

• Lege fest, welche Geräte Fernzugriff brauchen.

• Dokumentiere, warum Fernzugriff nötig ist.

• Lege fest, welche Systeme die Verbindung aufbauen müssen.

• Kläre, ob eine gleichbleibende öffentliche IP-Adresse erforderlich ist.

• Entscheide, ob eine feste IP-Adresse, privates Networking oder ein vom Gerät aufgebautes VPN am besten zur Anforderung passt.

• Prüfe, ob die Hardware den gewählten Ansatz unterstützt.

• Prüfe, ob der Konnektivitätsanbieter die benötigte Netzwerkoption unterstützt.

Konfigurieren

• Stelle die benötigte feste IP-Adresse oder den privaten Networking-Dienst bereit.

• Konfiguriere Routing und Firewall-Regeln.

• Schränke eingehenden Datenverkehr ein, wo möglich.

• Deaktiviere ungenutzte Dienste und Administrationsoberflächen.

• Richte VPNs oder sichere Tunnel, wo sinnvoll, für die automatische Wiederverbindung ein.

• Setze starke Zugangsdaten und passende Authentifizierungskontrollen.

Testen

• Prüfe, ob autorisierter Fernzugriff von außerhalb des Kundenstandorts funktioniert.

• Starte das Mobilfunkgerät neu und prüfe, ob der Zugriff ohne manuelles Eingreifen wiederhergestellt wird.

• Teste gegebenenfalls die Wiederverbindung von VPN oder Tunnel.

• Wenn du Mobilfunk-Failover einsetzt, simuliere einen Ausfall der primären Verbindung und prüfe, ob sich die Fernzugriffsmethode wie erwartet verhält.

• Prüfe den Datenverbrauch, um den Overhead durch Monitoring, Keepalives und Fernverwaltung einschätzen zu können.

Dokumentieren und überwachen

• Erfasse Gerät, SIM und Fernzugriffsmethode.

• Dokumentiere IP-Adressen, Netzwerkkonfigurationen und relevante Zugriffsregeln.

• Halte fest, warum du dich für die gewählte Architektur entschieden hast.

• Richte passende Benachrichtigungen für Konnektivität und Datenverbrauch ein.

• Plane regelmäßige Tests für kritische Einsätze ein.

Richte Fernzugriff für deine Mobilfunk-Einsätze ein

Simbase bietet MSPs mehrere Möglichkeiten, Mobilfunk-Konnektivität passend zu den Netzwerkanforderungen ihrer Kundeneinsätze aufzubauen.

Ergänze eine feste öffentliche IP-Adresse, wenn ein Gerät eine gleichbleibende, aus dem Internet erreichbare Adresse braucht, oder nutze privates Networking, wenn Geräte eine kontrollierte Verbindung zu deiner Infrastruktur ohne direkte öffentliche Erreichbarkeit benötigen.

Verwalte deine Mobilfunk-Konnektivität über die Simbase-Plattform und automatisiere die Verwaltung über die API, wenn deine Einsätze wachsen.

Brauchst du Hilfe bei der Wahl des passenden Setups?

Sprich mit einem IoT-Experten aus unserem Team über die Netzwerkanforderungen deines Einsatzes.