Vast IP-adres voor mobiele IoT: zo benaderen MSP's apparaten op afstand

Een router, camera, kiosk of ander apparaat via een mobiele verbinding op afstand benaderen gaat niet altijd zo eenvoudig als bij apparatuur op een traditionele internetverbinding. Veel mobiele verbindingen gebruiken carrier-grade NAT (CGNAT), waardoor het apparaat standaard niet direct vanaf het publieke internet bereikbaar is.

Afhankelijk van de uitrol lossen MSP's dit op met een vast publiek IP-adres, privénetwerken of een VPN-verbinding die het apparaat zelf opzet. In deze gids lees je hoe elke aanpak werkt, wanneer je hem inzet en waar je op let voordat je toegang op afstand uitrolt over de locaties van je klanten.

Waarom mobiele apparaten lastig op afstand te bereiken zijn

Mobiele verbindingen gebruiken vaak carrier-grade NAT, oftewel CGNAT.

Met CGNAT kunnen meerdere mobiele verbindingen hetzelfde publieke IP-adres delen. Het apparaat zelf krijgt een privéadres, terwijl het mobiele netwerk het uitgaande verkeer via een gedeeld publiek adres vertaalt.

Omdat meerdere verbindingen dat publieke adres delen, kunnen ongevraagde inkomende verbindingen meestal niet rechtstreeks naar een individueel apparaat achter CGNAT worden gerouteerd.

Het apparaat kan zelf uitgaande verbindingen opzetten, maar voor directe inkomende toegang is een andere netwerkaanpak nodig.

Daarnaast kunnen IP-adressen veranderen wanneer mobiele apparaten de verbinding verbreken en opnieuw verbinden. Dat is een extra uitdaging als een firewallregel, allowlist of configuratie voor toegang op afstand afhankelijk is van een vast adres.

Voor een MSP kan dit gevolgen hebben voor taken zoals:

• Routers en gateways op afstand beheren

• Camera's, kiosken of controllers benaderen

• Monitoringsystemen koppelen aan apparatuur op afstand

• IP-allowlists in de firewall aanmaken

• Bepaalde VPN-configuraties opzetten

Er zijn verschillende manieren om dit op te lossen. Welke het beste past, hangt af van wat er met het apparaat moet communiceren, hoeveel apparaten je beheert en hoe je toegang op afstand wilt beveiligen.

Optie 1: Vast publiek IP-adres

Een vast publiek IP-adres geeft een mobiele verbinding een vast publiek adres, in plaats van een wisselend of gedeeld adres.

Zo heeft een MSP een voorspelbaar eindpunt voor uitrols die inkomende connectiviteit, IP-allowlisting of bepaalde VPN-configuraties vereisen.

Wat een vast IP-adres mogelijk maakt

Een vast publiek IP-adres biedt een vast adres voor:

• IP-allowlists

• VPN-configuraties

• Monitoring op afstand

• Gecontroleerde inkomende connectiviteit

• Workflows voor toegang op afstand

Afhankelijk van de configuratie van router, firewall en apparaat kan het ook inkomende connectiviteit mogelijk maken naar apparatuur achter de mobiele router.

Voordelen van een vast publiek IP-adres

Vaste adressering. Het adres verandert niet elke keer dat de mobiele verbinding opnieuw verbindt.

Eenvoudige integratie. Bestaande systemen die afhankelijk zijn van een bekend bron- of doel-IP-adres kunnen gewoon IP-gebaseerde regels blijven gebruiken.

Geen tunnel op het apparaat nodig. Het eindpunt hoeft niet per se een eigen uitgaande VPN op te zetten alleen om bereikbaar te blijven.

Aandachtspunten

Met een vast publiek IP-adres is het mobiele eindpunt altijd bereikbaar vanaf het internet. Beveiliging is daarom essentieel.

Firewallregels moeten inkomend verkeer beperken tot alleen wat de uitrol echt nodig heeft, en beheer op afstand hoort te verlopen via versleutelde protocollen met passende authenticatie.

Controleer daarnaast:

• Of de provider een publiek of een privé vast IP-adres levert

• Hoe het IP-adres wordt ingericht

• Of inkomend verkeer wordt beperkt

• Of specifieke poorten worden geblokkeerd

• Of inkomende toegang beperkt kan worden tot goedgekeurde bronadressen

• Hoe het vaste IP-adres zich gedraagt op de netwerken die beschikbaar zijn voor de SIM

• Welke extra kosten er gelden

Een vast publiek IP-adres is nuttig als een uitrol specifiek een stabiel adres vereist dat bereikbaar is vanaf het internet.

Een vast IP-adres zorgt voor bereikbaarheid, niet voor beveiliging.

Met een vast publiek IP-adres is een mobiel eindpunt altijd adresseerbaar. Het authenticeert op zichzelf geen gebruikers en beveiligt het apparaat niet. Combineer het daarom met firewallregels, versleutelde protocollen, beperkte bronadressen en passende authenticatie.

Optie 2: Privénetwerken

Niet elk apparaat dat je op afstand beheert, hoeft direct bereikbaar te zijn vanaf het publieke internet.

Privénetwerken bieden een gecontroleerd pad tussen mobiele apparaten en de systemen die ermee moeten communiceren, zonder dat die apparaten direct blootgesteld worden aan het publieke internet.

Afhankelijk van de provider en de architectuur kan dit gaan om privéadressering, APN-configuratie, VPN-connectiviteit of andere routeringsmechanismen.

Omdat providers termen als "privé-APN" en "privénetwerk" verschillend gebruiken, is het verstandig om een netwerkdiagram op te vragen dat laat zien hoe verkeer tussen het mobiele apparaat en jouw infrastructuur loopt.

Wat privénetwerken mogelijk maken

Met privénetwerken kunnen apparaten op afstand en centrale systemen met elkaar communiceren via privéconnectiviteit, in plaats van via publieke adressen op het internet.

Dit is handig als:

• Veel apparaten met dezelfde centrale infrastructuur communiceren

• Apparaten niet direct blootgesteld mogen worden aan het publieke internet

• Een MSP centrale controle nodig heeft over routering en toegang

• De uitrol aanvullende eisen stelt op het gebied van netwerk of beveiliging

Voordelen van privénetwerken

Minder publieke blootstelling. Apparaten hebben geen eigen publiek IP-adres nodig om met geautoriseerde infrastructuur te communiceren.

Centrale architectuur. Connectiviteit tussen apparaten en centrale systemen kun je beheren als onderdeel van een breder netwerkontwerp.

Geschikt voor grotere uitrols. Een privénetwerk biedt een consistente architectuur naarmate het aantal uitgerolde apparaten groeit.

Aandachtspunten

Privénetwerken vragen meer planning dan simpelweg een publiek IP-adres toewijzen.

Afhankelijk van de implementatie moet je mogelijk het volgende vastleggen:

• Privé-adresbereiken

• Routering

• Toegangscontrole

• Hoe je infrastructuur aansluit op het privénetwerk

• Welke systemen met uitgerolde apparaten mogen communiceren

• Hoe de privéverbinding wordt gemonitord

De precieze architectuur verschilt per connectiviteitsprovider. Zorg dus dat je begrijpt hoe de privénetwerkdienst van de provider werkt voordat je er je ontwerp omheen bouwt.

Privénetwerken zijn nuttig als apparaten gecontroleerde connectiviteit met centrale infrastructuur nodig hebben, zonder directe blootstelling aan het publieke internet.

Optie 3: VPN of beveiligde tunnel vanaf het apparaat

Een derde aanpak is dat de router of het apparaat zelf een versleutelde verbinding opzet naar infrastructuur die wordt beheerd door de MSP, de klant of een vertrouwde dienstverlener.

Omdat het apparaat de verbinding uitgaand opzet, werkt deze aanpak ook achter CGNAT, zonder vast publiek IP-adres.

Zodra de beveiligde verbinding staat, kunnen geautoriseerde systemen via de tunnel met het apparaat communiceren.

Afhankelijk van de hardware en de uitrol kan dit via technologie zoals IPsec, OpenVPN of WireGuard, of via een beveiligde beheerdienst van de leverancier.

Voordelen van een VPN vanaf het apparaat

Werkt achter CGNAT. Het apparaat zet de verbinding uitgaand op, dus directe inkomende connectiviteit vanuit het mobiele netwerk is niet nodig.

Minder directe blootstelling aan het internet. Het apparaat hoeft geen ongevraagde inkomende verbindingen vanaf het publieke internet te accepteren.

Werkt over verschillende verbindingstypen heen. Dezelfde aanpak kan blijven werken als een locatie wisselt tussen een vaste en een mobiele verbinding.

Minder afhankelijk van IP-adressering. Toegang op afstand hoeft niet af te hangen van een specifiek publiek IP-adres op de mobiele verbinding.

Aandachtspunten

De router of het apparaat moet de gekozen tunnel of methode voor toegang op afstand ondersteunen.

Je team moet ook nadenken over:

• Wie de VPN-gateway of dienst voor toegang op afstand beheert

• Hoe apparaten worden ingericht

• Hoe authenticatie is geregeld

• Of tunnels automatisch opnieuw verbinden

• Wat er gebeurt als de connectiviteit verandert

• Hoe de beschikbaarheid van de tunnel wordt gemonitord

• Wat er gebeurt als de tunnel zelf uitvalt

Ga bij kritieke uitrols na of je een tweede toegangspad nodig hebt voor het geval de primaire methode voor toegang op afstand niet beschikbaar is.

Welke optie voor toegang op afstand kies je?

Begin bij de eis, niet bij de technologie.

Als het apparaat alleen uitgaand data hoeft te versturen

Standaard mobiele connectiviteit is dan mogelijk voldoende.

Een apparaat dat bijvoorbeeld telemetrie naar een cloudapplicatie stuurt, heeft misschien helemaal geen inkomende toegang nodig.

Als je een vast publiek adres nodig hebt

Overweeg een vast publiek IP-adres.

Dat is handig voor IP-allowlists, specifieke VPN-configuraties en uitrols die een voorspelbaar eindpunt op het internet vereisen.

Als veel apparaten gecontroleerde toegang tot centrale infrastructuur nodig hebben

Overweeg privénetwerken.

Dat geeft een meer centrale architectuur, zonder dat elk uitgerold apparaat een publiek bereikbaar IP-adres nodig heeft.

Als het apparaat zelf een beveiligde verbinding kan opzetten

Een VPN of beveiligde tunnel vanaf het apparaat kan de toegang op afstand bieden die je nodig hebt, zonder inkomende connectiviteit via de mobiele provider.

Deze aanpakken sluiten elkaar niet per se uit. De juiste architectuur kan per klantuitrol verschillende methoden combineren.

Kort gezegd: een vast publiek IP-adres is nuttig als je een vast adres op het internet nodig hebt, privénetwerken zijn nuttig als apparaten gecontroleerde connectiviteit met centrale infrastructuur nodig hebben, en een VPN vanaf het apparaat biedt toegang op afstand zonder inkomende connectiviteit via de mobiele provider.

Beveiliging bij toegang op afstand via mobiele verbindingen

Zodra je apparatuur op afstand toegankelijk maakt, hoort beveiliging onderdeel te zijn van de architectuur en geen bijzaak.

Dat geldt vooral bij het gebruik van een vast publiek IP-adres.

Beperk inkomende toegang

Sta alleen de verbindingen toe die de uitrol echt nodig heeft. Beperk inkomende toegang waar mogelijk tot bekende bronadressen en schakel overbodige diensten aan de WAN-kant uit.

Gebruik versleutelde protocollen

Gebruik versleutelde, geauthenticeerde protocollen voor beheer op afstand. Stel onversleutelde beheerprotocollen niet direct bloot aan het publieke internet.

Vervang standaardinloggegevens

Gebruik sterke, unieke inloggegevens en schakel standaardaccounts waar mogelijk uit.

Vereis passende authenticatie

Gebruik meerfactorauthenticatie voor beheerplatforms en tools voor toegang op afstand, waar dat wordt ondersteund.

Houd apparaten up-to-date

Zorg voor een vast proces voor firmware- en beveiligingsupdates en documenteer de versies van alle uitgerolde apparatuur.

Monitor toegang

Log toegangspogingen en configuratiewijzigingen, voor zover de hardware en beheertools dat toelaten.

Monitor dataverbruik

Een onverwachte toename van mobiel dataverkeer kan wijzen op een configuratieprobleem, afwijkend gedrag van een apparaat of mogelijk ongeautoriseerde activiteit.

Verbruiksmonitoring en limieten helpen om veranderingen vroeg te signaleren.

Checklist voor het inrichten van toegang op afstand

Werk met een vast proces wanneer je mobiele toegang op afstand toevoegt aan een nieuw apparaat of een nieuwe klantlocatie.

Plannen

• Bepaal welke apparaten toegang op afstand nodig hebben.

• Leg vast waarom toegang op afstand nodig is.

• Bepaal welke systemen de verbinding moeten opzetten.

• Bepaal of een vast publiek IP-adres nodig is.

• Kies of een vast IP-adres, privénetwerken of een VPN vanaf het apparaat het beste bij de eis past.

• Controleer of de hardware de gekozen aanpak ondersteunt.

• Controleer of de connectiviteitsprovider de benodigde netwerkoptie ondersteunt.

Configureren

• Richt het benodigde vaste IP-adres of de privénetwerkdienst in.

• Configureer routering en firewallregels.

• Beperk inkomend verkeer waar mogelijk.

• Schakel ongebruikte diensten en beheerinterfaces uit.

• Stel VPN's of beveiligde tunnels waar van toepassing in op automatisch opnieuw verbinden.

• Stel sterke inloggegevens en passende authenticatie in.

Testen

• Controleer of geautoriseerde toegang op afstand werkt van buiten de klantlocatie.

• Herstart het mobiele apparaat en controleer of de toegang zonder handmatige tussenkomst terugkomt.

• Test indien van toepassing of de VPN of tunnel opnieuw verbindt.

• Gebruik je mobiele connectiviteit voor failover, simuleer dan een storing van de primaire verbinding en controleer of de methode voor toegang op afstand zich gedraagt zoals verwacht.

• Bekijk het dataverbruik om te begrijpen hoeveel overhead monitoring, keepalives en beheer op afstand veroorzaken.

Documenteren en monitoren

• Leg het apparaat, de SIM en de methode voor toegang op afstand vast.

• Documenteer IP-adressen, netwerkconfiguraties en relevante toegangsregels.

• Leg vast waarom voor deze architectuur is gekozen.

• Stel passende meldingen in voor connectiviteit en verbruik.

• Plan terugkerende tests in voor kritieke uitrols.

Richt toegang op afstand in voor je mobiele uitrols

Simbase geeft MSP's meerdere manieren om mobiele connectiviteit af te stemmen op de netwerkeisen van hun klantuitrols.

Voeg een vast publiek IP-adres toe als een apparaat een vast adres op het internet nodig heeft, of gebruik privénetwerken als apparaten gecontroleerde connectiviteit met je infrastructuur nodig hebben zonder directe publieke blootstelling.

Beheer mobiele connectiviteit via het Simbase-platform en gebruik de API om het beheer te automatiseren naarmate je uitrols groeien.

Hulp nodig bij het kiezen van de juiste opzet?

Praat met een IoT-expert uit ons team over de netwerkeisen van jouw uitrol.