A VPN (Virtual Private Network) erstellt einen verschlüsselten Tunnel zwischen zwei Endpunkten. Im IoT-Bereich wird diese Technologie in der Regel eingesetzt, um einem Mobilfunkgerät einen sicheren Verbindungsweg zu Ihren Servern oder Ihrem Unternehmensnetzwerk zu ermöglichen – so, als wäre das Gerät direkt an Ihr Büro angeschlossen, obwohl es tatsächlich über ein öffentliches Mobilfunknetz auf der anderen Seite der Welt verbunden ist.

In diesem Artikel wird erläutert, was ein IoT-VPN ist, wann es einen Mehrwert bietet und welche Funktionen Simbase unterstützt. Informationen zur Einrichtung finden Sie in den protokollspezifischen Anleitungen unter Private Netzwerke.

Was ein IoT-VPN leistet

Ein VPN-Tunnel zwischen einem Mobilfunkgerät und einem entfernten Endpunkt bietet Ihnen folgende Vorteile:

• Verschlüsselung während der Übertragung. Der Datenverkehr im Tunnel ist für niemanden im Netzwerkpfad lesbar.

• Authentifizierung. Beide Seiten weisen ihre Identität nach, bevor der Tunnel aufgebaut wird. Geräte ohne gültige Anmeldedaten können den Tunnel nicht aufbauen.

• Logische Netzwerkzugehörigkeit. Sobald der Tunnel eingerichtet ist, sieht es so aus, als befände sich das Gerät im entfernten Netzwerk. Es kann interne Ressourcen über deren interne Adressen erreichen.

• Leitwegsteuerung. Sie entscheiden, welcher Datenverkehr durch den Tunnel geleitet wird und welcher direkt ins Internet gelangt.

Ein VPN ersetzt TLS bei der Verschlüsselung auf Anwendungsebene nicht. Es handelt sich um eine darunterliegende Transportschicht. Die meisten IoT-Designs nutzen ohnehin TLS, und ein VPN wird nur dann zusätzlich eingesetzt, wenn ein konkreter Grund dafür vorliegt.

Wann sich ein VPN für das IoT lohnt

Ein VPN erhöht die Komplexität des Betriebs und die CPU-Auslastung des Geräts. Wählen Sie diese Option, wenn einer der folgenden Punkte zutrifft:

• Sie müssen interne Dienste für Geräte zugänglich machen. Geräte müssen auf eine Datenbank, AD/LDAP, einen internen MQTT-Broker oder eine andere Ressource zugreifen können, die sich in Ihrem Unternehmensnetzwerk befindet. Ein VPN verbindet das Gerät mit diesem Netzwerk.

• Die Einhaltung der Vorschriften erfordert eine verschlüsselte Übertragung, die über TLS hinausgeht. In einigen regulierten Branchen (Gesundheitswesen, öffentliche Verwaltung, Verteidigung) muss der gesamte Datenverkehr zwischen sensiblen Endpunkten über einen verschlüsselten Tunnel geleitet werden, unabhängig von einer Verschlüsselung auf Anwendungsebene.

• Sie stellen eine Verbindung zu einem Kunden- oder Partnernetzwerk her. Bei vielen B2B-IoT-Implementierungen wird der Datenverkehr der SIM-Karte in das VPN des Kunden weitergeleitet, sodass das IT-Team des Kunden die Weiterleitung und die Richtlinien steuert.

• Sie konsolidieren auf einen einzigen Veröffentlichungsendpunkt. Ein zentraler VPN-Endpunkt kann nützlich sein, wenn viele Geräte auf einen einzelnen internen Dienst zugreifen müssen, den Sie nicht öffentlich zugänglich machen möchten.

• Sie möchten eine feste Quell-IP-Adresse für den Datenverkehr des Geräts. Ein VPN-Konzentrator kann den gesamten Datenverkehr der Geräte mit einer einzigen Quell-IP-Adresse ausweisen, was die Erstellung von Whitelists auf Partnersystemen vereinfacht.

Wenn ein VPN nicht die richtige Antwort

• Sie benötigen lediglich eine Verschlüsselung. TLS übernimmt dies für HTTPS, MQTTS und alle anderen modernen Anwendungsprotokolle.

• Das Gerät kommuniziert ausschließlich mit öffentlichen APIs. Ein VPN bringt keinen zusätzlichen Nutzen.

• Sie benötigen eine Erreichbarkeit für eingehende Anrufe für ein einzelnes Gerät. A Öffentliche IP-Adresse ist einfacher als ein VPN.

• Du versuchst, den Standort des Geräts zu verschleiern. Mobilfunkbetreiber wissen immer, wo sich das Gerät befindet, und ein VPN ändert daran nichts.

Was Simbase unterstützt

Simbase unterstützt zwei Site-to-Site-VPN-Protokolle, die auf Netzwerk-Gateway-Ebene konfiguriert werden:

Beides wird einmalig auf der Simbase-Seite konfiguriert. Der Datenverkehr Ihrer Flotte wird ohne gerätebezogene Konfiguration durch den Tunnel geleitet, was den Betrieb erheblich vereinfacht, da nicht auf jedem Gerät ein VPN-Client eingerichtet werden muss.

IPsec verwenden wenn Geräte dauerhaft von Ihrem Netzwerk aus erreichbar sein müssen, wenn der Datenverkehr in beide Richtungen fließt oder wenn Sie eine Anbindung an VPN-Geräte vornehmen, die Ihr IT-Team bereits betreibt (Cisco ASA, Palo Alto, Fortinet und ähnliche). Dies ist die Standardlösung für den Produktiveinsatz.

WireGuard verwenden wenn Sie gelegentlich – und nicht kontinuierlich – auf Geräte zugreifen müssen, beispielsweise zu Wartungszwecken, zur Diagnose oder zum Abrufen von Protokollen. Die Einrichtung geht schneller und die Fehlerbehebung ist einfacher, weshalb sich diese Lösung auch gut für die Prototypenentwicklung eignet.

VPN auf dem Gerät vs. VPN im Netzwerk

Es gibt zwei verschiedene Möglichkeiten, Geräte „mit einem VPN zu verbinden“:

Häufig gestellte Fragen

Related

• Private Netzwerke, WireGuard-Einrichtung

• Private Netzwerke, IPsec-Einrichtung

• Öffentliche IP-Adressen, für die Erreichbarkeit von außen ohne VPN

• APN (privater APN), für eine noch engere Netzwerkintegration