A VPN (Réseau privé virtuel) crée un tunnel crypté entre deux points d'extrémité. Dans le domaine de l'IoT, il sert généralement à fournir à un appareil mobile une connexion sécurisée vers vos serveurs ou votre réseau d'entreprise, comme si l'appareil était branché dans vos locaux, même s'il est en réalité connecté via un réseau mobile public à l'autre bout du monde.

Cet article explique ce qu'est un VPN IoT, dans quels cas il apporte une valeur ajoutée et quelles sont les fonctionnalités prises en charge par Simbase. Pour la configuration, consultez les guides spécifiques à chaque protocole disponibles sous Réseaux privés.

Le rôle d'un VPN IoT

Un tunnel VPN entre un appareil mobile et un terminal distant vous offre :

• Chiffrement en transit. Le trafic à l'intérieur du tunnel est illisible pour toute entité se trouvant sur le chemin du réseau.

• Authentification. Les deux extrémités vérifient leur identité avant l'établissement du tunnel. Les appareils ne disposant pas d'informations d'identification valides ne peuvent pas établir le tunnel.

• Appartenance logique à un réseau. Une fois le tunnel établi, l'appareil apparaît comme si il se trouvait sur le réseau distant. Il peut accéder aux ressources internes via leurs adresses internes.

• Contrôle du routage. C'est vous qui décidez quel trafic passe par le tunnel et quel trafic est acheminé directement vers Internet.

Un VPN ne remplace pas le protocole TLS pour le chiffrement au niveau de l'application. Il s'agit d'une couche de transport située en dessous. La plupart des conceptions IoT utilisent de toute façon le protocole TLS, et un VPN est ajouté en complément lorsqu'il y a une raison particulière de le faire.

Quand un VPN est-il utile pour l'IoT ?

Un VPN accroît la complexité opérationnelle et la charge du processeur sur l'appareil. Optez pour cette solution dans l'un des cas suivants :

• Vous devez rendre les services internes accessibles aux appareils. Les appareils doivent pouvoir accéder à une base de données, à un service AD/LDAP, à un courtier MQTT interne ou à toute autre ressource hébergée au sein de votre réseau d'entreprise. Un VPN permet à l'appareil de se connecter à ce réseau.

• La conformité exige un transport chiffré allant au-delà du protocole TLS. Certains secteurs réglementés (santé, administration publique, défense) exigent que tout le trafic entre des terminaux sensibles transite par un tunnel chiffré, quel que soit le chiffrement au niveau de l'application.

• Vous vous connectez au réseau d'un client ou d'un partenaire. Dans de nombreux déploiements IoT B2B, le trafic de la carte SIM est acheminé vers le VPN du client, ce qui permet à l'équipe informatique de ce dernier de contrôler le routage et les règles d'accès.

• Vous procédez à une consolidation vers un point de publication unique. Un point d'accès VPN centralisé peut s'avérer utile lorsque de nombreux appareils doivent accéder à un service interne unique que vous ne souhaitez pas rendre accessible au public.

• Vous souhaitez que le trafic de l'appareil provienne d'une adresse IP source fixe. Un concentrateur VPN peut faire apparaître l'ensemble du trafic des appareils sous une seule adresse IP source, ce qui facilite la mise en place de listes d'autorisation sur les systèmes des partenaires.

Lorsqu'un VPN est pas la bonne réponse

• Le chiffrement suffit. Le protocole TLS gère cela pour HTTPS, MQTT et tout autre protocole d'application moderne.

• L'appareil communique uniquement avec des API publiques. Un VPN n'apporte rien.

• Vous avez besoin d'une accessibilité entrante pour un seul appareil. A Adresse IP publique est plus simple qu'un VPN.

• Vous essayez de masquer la localisation de l'appareil. Les opérateurs de téléphonie mobile savent toujours où se trouve l'appareil, et un VPN n'y change rien.

Ce que prend en charge Simbase

Simbase prend en charge deux protocoles VPN site à site, configurés au niveau de la passerelle réseau :

Les deux sont configurés une seule fois du côté de Simbase. Le trafic de votre flotte transite par le tunnel sans aucune configuration au niveau de chaque appareil, ce qui est beaucoup plus simple sur le plan opérationnel que de déployer un client VPN sur chaque appareil.

Utiliser IPsec lorsque les appareils doivent être accessibles en permanence depuis votre réseau, lorsque le trafic circule dans les deux sens, ou lorsque vous effectuez une intégration avec des équipements VPN déjà gérés par votre équipe informatique (Cisco ASA, Palo Alto, Fortinet et autres). C'est la solution standard pour les environnements de production.

Utiliser WireGuard lorsque vous devez vous connecter à des appareils de manière ponctuelle plutôt qu'en continu, que ce soit pour la maintenance, le diagnostic ou l'extraction de journaux. La mise en place est plus rapide et le dépannage plus facile, ce qui en fait également une solution idéale pour le prototypage.

VPN sur l'appareil ou VPN au niveau du réseau

Il existe deux façons différentes de connecter des appareils à un VPN :

Questions fréquentes

Related

• Réseaux privés, Configuration de WireGuard

• Réseaux privés, configuration IPsec

• Adresses IP publiques, pour garantir l'accessibilité entrante sans VPN

• APN (APN privé), pour une intégration encore plus étroite au réseau