APN vs VPN, MPLS, VPLS : comment le trafic des cartes SIM arrive jusqu’à vous

Par Aurélie, M2M Network.

APN vs VPN oppose deux briques qui n’agissent pas au même endroit. L’APN (Access Point Name, le nom du point d’accès du réseau mobile) décide à quel réseau la passerelle de l’opérateur remet les données d’une carte SIM : Internet, ou le réseau privé d’un client. Le VPN IPsec, le VPN IP MPLS et le VPLS interviennent après : ils transportent ce trafic de la sortie du réseau mobile jusqu’à vos sites, vos serveurs ou votre cloud. La vraie question est donc « quel APN, et quel transport derrière lui », avec entre les deux un pare-feu dont vous écrivez vous-même les règles.

Ce guide s’adresse aux DSI, responsables réseau et sécurité, architectes cloud et intégrateurs IoT. Il s’appuie sur les spécifications du 3GPP et sur les RFC de l’IETF. Le VPN monté sur le routeur 4G d’un site est traité dans notre guide VPN 4G pour relier un site distant : ici, le transport part du cœur de réseau de l’opérateur.

APN vs VPN : deux étages du même trajet

Selon la spécification 3GPP TS 23.003 (clause 9.1), un APN se compose de deux parties. L’identifiant de réseau, obligatoire, définit à quel réseau externe la passerelle est connectée ; l’identifiant d’opérateur, facultatif, désigne le réseau mobile dans lequel se trouve cette passerelle, le GGSN des réseaux 2G et 3G ou le PGW des réseaux 4G. En 5G, le DNN (Data Network Name) est l’équivalent de l’APN et les mêmes règles s’y appliquent (clause 9A). L’APN est donc une adresse de sortie : il désigne l’endroit où le trafic quitte le réseau mobile, pas la route qu’il prend ensuite.

Cette route, la norme mobile ne la définit pas. Selon la spécification 3GPP TS 29.061 (clause 11.2), la passerelle apparaît au réseau extérieur comme un routeur IP ordinaire ; les protocoles utilisés au point de sortie (Gi pour le GGSN, SGi pour le PGW) sont hors du champ de la norme, et l’interconnexion avec les réseaux privés relève d’accords entre opérateurs. Le VPN, le MPLS et le VPLS se placent là : ce sont des choix de transport, en aval de l’APN.

APN normal et APN privé : ce que dit la norme

La même spécification décrit deux manières d’accéder à un réseau extérieur (TS 29.061, clause 11.2.1). Elles correspondent à ce que le marché appelle APN normal, ou public, et APN privé.

  • Accès transparent à Internet (clause 11.2.1.1) : la carte SIM reçoit une adresse IPv4 ou un préfixe IPv6 pris dans l’espace d’adressage de l’opérateur, fixé à l’abonnement (adresse statique) ou à l’ouverture de la session (adresse dynamique). L’objet n’a pas à s’authentifier et la passerelle ne participe pas à l’authentification. Le schéma de la norme place un pare-feu ou un proxy entre le réseau IP de l’opérateur et le réseau externe.
  • Accès non transparent à un intranet (clause 11.2.1.2) : la carte SIM reçoit une adresse de l’espace d’adressage du client. La passerelle fait authentifier l’objet par un serveur du client (AAA ou DHCP par exemple) et récupère auprès de lui les paramètres de configuration. C’est le principe d’un APN privé dédié à un client.

Le point décisif pour le raccordement figure dans cette même clause : entre le réseau mobile et l’intranet du client, la communication peut emprunter n’importe quel réseau, « even an insecure e.g. the Internet ». Si ce lien n’est pas sûr, un protocole de sécurité peut y être ajouté, défini d’un commun accord entre l’opérateur et l’administrateur du réseau du client. Un APN privé fixe donc la destination et le plan d’adressage ; il ne dit ni par où passent les données pour arriver chez vous, ni si elles sont chiffrées. La structure d’un APN et ses variantes sont détaillées dans notre guide de l’APN.

Les quatre transports entre l’opérateur et vos sites

Une fois sorties de la passerelle dans l’APN du client, les données rejoignent ses sites par l’une de quatre familles de transport. Les trois premières sont décrites par des RFC, les documents de normalisation de l’IETF ; la quatrième s’appuie sur les entrées privées que les grands clouds ouvrent à leurs clients.

VPN IPsec (RFC 4301)

IPsec protège le trafic au niveau IP. La RFC 4301 énumère ses services : contrôle d’accès, intégrité, authentification de l’origine des données, rejet des paquets rejoués, confidentialité par chiffrement. Elle appelle passerelle de sécurité l’équipement intermédiaire qui met IPsec en œuvre, par exemple un pare-feu ou un routeur. Le tunnel relie une passerelle de l’opérateur à celle du client et peut traverser Internet, les données restant chiffrées. Côté client, un pare-feu capable de terminer le tunnel suffit.

VPN IP MPLS (RFC 4364)

La RFC 4364 décrit comment un opérateur fournit des VPN IP à ses clients sur son cœur de réseau. Les routeurs du client (CE, Customer Edge) annoncent leurs routes aux routeurs de bordure de l’opérateur (PE, Provider Edge) ; chacun de ces derniers tient une table de routage séparée par VPN, la VRF (VPN Routing and Forwarding table), si bien que deux clients peuvent employer les mêmes adresses privées sans conflit (section 1.3). Un APN privé raccordé en MPLS place les objets dans le VPN existant de l’entreprise, comme un site de plus.

Sur la sécurité, la RFC est explicite (section 1.6) : hors erreur de configuration, un VPN ne peut pas atteindre un autre VPN, mais la méthode ne chiffre pas les données et ne détecte pas leur modification en route ; des mesures cryptographiques doivent s’y ajouter si c’est nécessaire. La RFC cite d’ailleurs le tunnel IPsec parmi les raccordements possibles entre CE et PE (section 1.2) : les deux transports se combinent.

VPLS (RFC 4761 et RFC 4762)

Le VPLS (Virtual Private LAN Service) est un VPN de niveau 2. D’après la RFC 4761, il relie plusieurs réseaux locaux pour qu’ils apparaissent et fonctionnent comme un seul réseau Ethernet, en multipoint là où les VPN de niveau 2 habituels sont point à point. La RFC 4761 signale les sites par BGP, la RFC 4762 par LDP, avec le même résultat : un domaine de diffusion Ethernet qui apprend les adresses MAC et reste fermé à un ensemble donné d’utilisateurs.

Le VPLS ne chiffre pas non plus : la RFC 4761 précise qu’il n’offre ni confidentialité, ni intégrité, ni authentification, et la RFC 4762 recommande, si la sécurité est requise, de chiffrer ou d’authentifier le trafic avant son entrée dans le réseau de l’opérateur.

Interconnexion cloud privée

Quatrième famille : un circuit privé jusqu’à l’entrée réservée d’un cloud public, comme AWS Direct Connect, Azure ExpressRoute ou OVHcloud Connect, que leurs éditeurs présentent comme évitant l’Internet public. Ces liaisons se commandent directement ou auprès d’un fournisseur de connectivité. Les fournisseurs d’interconnexion, dits Network as a Service (NaaS), relient leurs points de présence aux entrées privées de plusieurs clouds : le trafic d’un APN privé (réseau mobile) peut ainsi arriver directement dans le réseau virtuel du client chez AWS, Azure ou OVHcloud.

Tableau comparatif des quatre transports

TransportNiveauChiffrementPassage par InternetCas typique
VPN IPsec (RFC 4301)3 (IP)Oui : confidentialité, intégrité, authentification de l’originePossible, le contenu restant chiffréClient équipé d’un pare-feu au siège ou en centre de données, sans réseau MPLS
VPN IP MPLS (RFC 4364)3 (IP), une VRF par VPNNon par lui-même (section 1.6)Non : cœur de réseau de l’opérateurEntreprise multisite déjà reliée en MPLS : le parc d’objets devient un site de plus
VPLS (RFC 4761, RFC 4762)2 (Ethernet multipoint)Non (RFC 4761, section 6 ; RFC 4762, section 14)Non : réseau de l’opérateurÉquipements qui doivent partager un même réseau Ethernet sur plusieurs sites
Interconnexion cloud privée3 avec routage BGP pour ExpressRoute ; 2 ou 3 pour OVHcloud ConnectSelon le cloud : AWS annonce des options de chiffrement pour Direct ConnectNon, d’après AWS, Microsoft et OVHcloudPlateforme IoT ou serveurs hébergés chez AWS, Azure ou OVHcloud

Seul le tunnel IPsec peut faire passer les données par Internet, et il les chiffre. Le VPN MPLS, le VPLS et l’interconnexion cloud restent hors de l’Internet public, mais ne chiffrent pas d’office : l’isolement et le chiffrement sont deux propriétés distinctes, qu’il faut parfois cumuler.

Le pare-feu administré par le client, au milieu de la chaîne

L’APN privé, la VRF et le VPLS séparent les clients les uns des autres ; IPsec chiffre et comporte un contrôle d’accès minimal (RFC 4301, section 2.1). Aucune de ces briques ne fixe, carte par carte, quel objet a le droit de joindre quel serveur et sur quel port. C’est le rôle d’un pare-feu placé entre la sortie de l’APN et le transport vers vos sites ou votre cloud.

L’ANSSI en donne les principes dans son guide sur la cybersécurité des systèmes industriels (ANSSI-PA-108, version 2.0 du 27 novembre 2025). Sa recommandation R102 : un flux s’identifie par ses adresses source et destination, son protocole et ses ports ; les flux sont refusés par défaut, seuls les flux nécessaires sont autorisés, les refus peuvent être journalisés. Le guide rappelle qu’un réseau sans fil, dont la 4G et la 5G, « implique la perte de protection physique et facilite l’intrusion d’un tiers sur le réseau », et recommande d’isoler les périphériques sans fil dans un réseau séparé (R147).

Que le client administre lui-même ce pare-feu change l’exploitation : il connaît ses serveurs, ses ports et ses fenêtres de maintenance, ouvre un flux pour une télémaintenance, le referme et lit les refus sans attendre l’opérateur. Les règles utiles sont détaillées dans notre article sur la carte SIM avec pare-feu.

Le trajet d’un paquet, de l’objet au serveur

Voici le trajet type d’un paquet dans une architecture qui combine APN privé, pare-feu et transport privé :

  1. Ouverture de session : l’objet active sa connexion de données sur l’APN (4G) ou le DNN (5G) dédié au client (TS 23.003, clauses 9 et 9A).
  2. Adresse et authentification : la passerelle de l’opérateur lui attribue une adresse du plan d’adressage du client, après authentification éventuelle auprès d’un serveur du client (TS 29.061, clause 11.2.1.2).
  3. Séparation : à la sortie de la passerelle, le trafic du client entre dans une table de routage qui lui est propre (une VRF, RFC 4364) et ne croise pas celui des autres clients.
  4. Filtrage : il traverse le pare-feu dont le client a écrit les règles ; le reste est refusé et journalisé.
  5. Transport : tunnel IPsec, VPN IP MPLS, VPLS ou circuit d’interconnexion vers un cloud.
  6. Arrivée : le routeur ou le pare-feu du site client (le CE de la RFC 4364), ou le réseau virtuel du client chez le fournisseur de cloud, puis le serveur applicatif.
  7. Retour : la réponse refait le chemin inverse. L’objet portant une adresse du plan d’adressage du client, le serveur peut aussi ouvrir la connexion vers lui, si le pare-feu l’autorise.

Avec un tunnel IPsec à l’étape 5, le paquet peut traverser Internet, chiffré. Avec un VPN MPLS, un VPLS ou une interconnexion cloud privée, il ne passe à aucune étape par l’Internet public.

APN ou VPN : choisir le transport selon votre architecture

  • Vos sites sont déjà reliés par un VPN MPLS : raccorder l’APN privé en MPLS ajoute le parc d’objets comme un site de plus, sans tunnel à maintenir.
  • Vos équipements doivent partager un même réseau Ethernet sur plusieurs sites (diffusion, protocoles qui ne passent pas un routeur, même sous-réseau) : le VPLS répond à ce besoin. La RFC 4762 recommande alors de limiter le nombre d’adresses MAC apprises et de contenir le trafic de diffusion.
  • Vous n’avez ni MPLS ni circuit privé : un tunnel IPsec vers votre pare-feu, sans liaison à commander ; le trafic emprunte Internet, chiffré.
  • Votre plateforme tourne chez AWS, Azure ou OVHcloud : l’interconnexion cloud privée y livre le trafic directement, sans détour par vos locaux.
  • Vos données sont sensibles : si le transport ne chiffre pas, ajoutez un chiffrement, comme le demandent les RFC 4364 et 4762, par exemple IPsec sur le circuit ou un protocole applicatif chiffré.

Ce que propose M2M Network

M2M Network propose l’APN privé classique et, au-delà, un réseau privé de cartes SIM : les cartes de chaque client sont séparées dans des APN dédiés, leurs flux passent par des pare-feu que le client administre lui-même, puis restent dans des VPN, des MPLS ou des VPLS jusqu’à ses sites. Grâce à des services d’interconnexion cloud privée, le trafic des cartes SIM peut aussi être livré directement dans AWS, Azure, OVHcloud et d’autres clouds, sans passer par Internet. Pour un hébergement en France, le groupe MUONA dispose de Guardis, sur une infrastructure certifiée ISO 27001 et HDS, que les objets peuvent joindre par un APN privé sans passer par l’Internet public. Le transport adapté dépend de vos sites et de votre cloud : décrivez votre architecture sur la page contact pour l’étude du raccordement ; les cartes SIM et les forfaits se commandent sur la boutique.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

Questions fréquentes

Quelle est la différence entre un APN et un VPN ?

L’APN désigne la sortie du réseau mobile : il indique à la passerelle de l’opérateur à quel réseau remettre les données d’une carte SIM. Un VPN transporte ensuite ces données entre deux points en les isolant, et en les chiffrant s’il s’agit d’IPsec. Les deux se combinent : l’APN privé décide que le trafic va chez vous, le VPN décide par quel chemin.

Un APN privé chiffre-t-il les données ?

Non, pas par lui-même. La spécification 3GPP TS 29.061 prévoit que le lien entre le réseau mobile et le réseau du client peut passer par n’importe quel réseau, y compris Internet, et renvoie sa sécurité à un accord entre l’opérateur et le client. Le chiffrement vient du transport, par exemple IPsec, ou de l’application.

Un VPN MPLS est-il chiffré ?

Non. La RFC 4364 indique que les VPN BGP/MPLS empêchent un VPN d’atteindre un autre VPN, hors erreur de configuration, mais ne chiffrent pas les données et ne détectent pas leur modification en route. Des mesures cryptographiques doivent être ajoutées si c’est nécessaire. Le trafic reste en revanche dans le réseau de l’opérateur, hors de l’Internet public.

Quand choisir un VPLS plutôt qu’un VPN IP MPLS ?

Quand des équipements situés sur plusieurs sites doivent se trouver dans un même réseau Ethernet, par exemple parce qu’ils utilisent la diffusion ou des protocoles qui ne passent pas un routeur. Le VPLS (RFC 4761 et RFC 4762) émule un réseau local multipoint ; le VPN IP MPLS (RFC 4364) route les paquets IP, ce qui suffit dès que les échanges se font en IP routé, comme entre un objet et un serveur applicatif.

Peut-on livrer le trafic des cartes SIM directement dans AWS, Azure ou OVHcloud ?

Oui, par une liaison privée vers l’entrée réservée du cloud : AWS Direct Connect, Azure ExpressRoute ou OVHcloud Connect. Ces liaisons se prennent directement ou par un fournisseur de connectivité, et leurs éditeurs les présentent comme évitant l’Internet public. Le trafic de l’APN privé arrive alors dans le réseau virtuel du client chez le fournisseur de cloud.

Faut-il une IP fixe publique avec un APN privé ?

Pas pour joindre l’objet depuis vos sites : avec un APN privé, la carte SIM reçoit une adresse de votre plan d’adressage, joignable à travers le transport choisi. La norme prévoit que cette adresse soit statique, attribuée à l’abonnement, ou dynamique. L’IP fixe publique sert quand l’objet doit être joint depuis Internet.

Sources