Réseau privé IoT : les briques des offres opérateurs et 8 questions pour les comparer

Par Aurélie, M2M Network.

En bref : un réseau privé IoT garde le trafic des cartes SIM à l’écart de l’Internet public, du réseau mobile jusqu’aux serveurs, aux sites ou au cloud de l’entreprise. Les opérateurs l’assemblent à partir de cinq briques : l’APN privé (réseau mobile), le VPN IPsec, la liaison MPLS ou VPLS, le filtrage des flux réglable par le client et le raccordement direct aux clouds, chacune vendue sous un nom différent selon l’acteur. Pour comparer deux offres, le nom commercial compte peu : il faut savoir quelles briques sont incluses, qui les administre et par où passent les données.

Ce guide décrit chaque brique avec le texte qui la définit, relève comment neuf acteurs les nomment sur leurs propres pages, puis donne huit questions à poser à tout fournisseur. Pour la notion d’APN elle même, voir notre guide dédié.

Réseau privé IoT : ce que recouvre le terme

La norme mobile 3GPP TS 29.061 distingue deux façons de relier un objet à un réseau de données. Dans l’accès « transparent » à Internet, la carte SIM reçoit une adresse de l’espace d’adressage de l’opérateur. Dans l’accès « non transparent » à un intranet, elle reçoit une adresse de l’espace d’adressage du client, et la passerelle de l’opérateur peut demander l’authentification de l’objet à un serveur du client (clause 11.2.1).

La même clause ajoute que la liaison entre le réseau de l’opérateur et l’intranet du client « may be performed over any network, even an insecure e.g. the Internet », sa protection étant « defined by mutual agreement » entre l’opérateur et l’administrateur de l’intranet. Un APN privé dit donc quelles cartes SIM entrent dans le réseau, pas par où le trafic arrive chez vous ni ce qui est filtré : deux offres présentées comme « APN privé » peuvent être très différentes.

Les cinq briques d’une offre de réseau privé

  • APN privé (réseau mobile). Un point d’accès réservé à un client, où seules ses cartes SIM entrent. Selon KORE, il « routes IoT device traffic through a private network rather than directly over the public internet », mais il fixe le chemin, pas le chiffrement : « While an APN determines the connectivity pathway, a VPN focuses on encrypting the data itself. »
  • VPN IPsec. Un tunnel entre une passerelle de l’opérateur et une passerelle du client, qui apporte contrôle d’accès, intégrité, authentification de l’origine et confidentialité par chiffrement (RFC 4301). Il peut traverser l’Internet public. À distinguer du VPN monté sur le routeur de l’objet, traité dans notre guide VPN 4G pour site distant.
  • Liaison MPLS (VPN IP, dit L3VPN). Le trafic du client circule sur le réseau de l’opérateur dans une table de routage qui lui est propre (VRF). Selon la RFC 4364, un système d’un VPN ne peut pas atteindre un autre VPN, hors erreur de configuration, mais ces méthodes « do not by themselves encrypt the data ».
  • VPLS. Un service de niveau 2 qui « emulates the full functionality of a traditional Local Area Network » (RFC 4026) : des sites distants se comportent comme un seul réseau local Ethernet, utile quand ils doivent partager le même segment plutôt qu’être reliés par routage IP.
  • Filtrage des flux réglable par le client. Un pare-feu sur le chemin des cartes SIM, qui autorise ou refuse chaque flux selon les adresses, le protocole et les ports. Le guide ANSSI-PA-108 (novembre 2025) pose que « les flux sont refusés par défaut » et que « seuls les flux nécessaires au fonctionnement du système industriel sont autorisés » (R102). Reste à savoir qui écrit les règles : l’opérateur sur demande, ou le client lui même (voir notre guide carte SIM et pare-feu).
  • Raccordement direct aux clouds. Les clouds ont des entrées privées : AWS Direct Connect, Azure ExpressRoute, Google Cloud Interconnect, OVHcloud Connect. Le trafic Direct Connect « ne passe jamais sur l’Internet public » selon AWS, et les connexions ExpressRoute « ne passent pas sur l’Internet public » selon Microsoft. On y accède par une connexion physique directe ou par un fournisseur d’interconnexion cloud privée (« Network as a Service », NaaS) : OVHcloud cite par exemple Colt, Console Connect, Digital Realty, Equinix et Megaport parmi ses partenaires.

Comment les opérateurs IoT nomment ces briques

Voici les termes employés par neuf acteurs sur leurs propres pages, lues le 23 octobre 2026. Ces pages disent ce que chaque acteur annonce, sans préjuger d’un contrat donné ; l’ordre est alphabétique, pas un classement.

ActeurNoms employésCe que dit la pagePage lue
Bouygues Telecom Business, Objenious« APNs IoT SIM M2M » ; « Private M2M APN » (Objenious)Sept APN dédiés à l’IoT et au M2M, dont un à IP privée dynamique et un à IP publique ; chez Objenious, APN privé relié au client par VPN IPsec ou MPLS « without transiting via the Internet ».bouyguestelecom-business.fr ; objenious.com
emnify« Cloud Connect »VPC du client attaché à la passerelle AWS Transit Gateway d’emnify, sans Internet public ; tunnel IPsec pour les autres clouds ou un site ; sortie dans une région déterminée.docs.emnify.com
KORE« Super SIM VPN »Réseau privé entre KORE et le centre de données du client ; passerelle conforme à IKE v1 et v2 et à IPsec, adresse IP de pair statique.docs.korewireless.com
Orange Business« Secure Mobile Access », option de la gamme IoT ConnectProtège la connexion entre le réseau de l’entreprise et celui d’Orange « grâce à un APN dédié, sans nécessiter d’investissements supplémentaires dans des infrastructures VPN ».orange-business.com
SFR Business« APN Internet », « APN IPSec (Internet chiffré) », « APN privé (via MPLS SFR) », « Interconnexion Cloud Service Providers (CSP) », option « Firewall »Raccordement privé « via Equinix vers AWS, Microsoft Azure, Google Cloud » ; option de pare-feu « hébergée au cœur de l’infrastructure SFR pour filtrer les flux au plus tôt ».sfrbusiness.fr
Soracom« Virtual Private Gateway » ; « Canal », « Direct », « Door » ; « Traffic Filtering »Canal vers les VPC AWS, Direct par AWS Direct Connect, Door par connexion VPN ; règles de filtrage réglables par console ou par API.docs.soracom.io
Transatel (groupe NTT)« Private APN » ; « cloud connect » ; « Same APN, different route » ; « Firewall as a Service »« Enable communications over IPSec VPN, leased lines, cloud connect, and avoid the Internet » ; changement de destination du trafic par appel d’API, sans changer l’APN de l’objet.transatel.com ; page sécurité
Vodafone (Managed IoT Connectivity)« Private Corporate APN » ; « VPN using IPSec over Internet » ; « Private IP VPN services » ; « Access Control Lists »APN dédié vers les serveurs du client « over private IP networking », raccordé par un tunnel IPsec « across the public internet » ou par VPN IP privé ; listes de contrôle d’accès gérables si la fonction est activée.conditions de service ; aide du portail
Wireless Logic« Réseautage Privé via NetPro »« L’attribution d’adresses IP et les APN privés protègent les appareils et les données des intrusions sur Internet » ; « Les VPN IPsec sécurisent les connexions de données vers le cloud » ; service géré avec surveillance 24/7.wirelesslogic.com

Ce qui en ressort : « APN privé » est le seul terme commun. Le raccordement aux clouds et le filtrage portent des noms propres à chaque acteur. Chez emnify, « Cloud Connect » regroupe un attachement à une passerelle de transit AWS et des tunnels IPsec, alors que Transatel cite « cloud connect » à côté des VPN IPsec et des liaisons louées. La technique compte plus que le nom.

Les 8 questions à poser pour comparer deux offres de réseau privé

Ces questions valent pour toute offre de réseau privé M2M ou IoT, quel que soit son nom.

  1. Où sortent les données ? Un APN peut s’ouvrir sur Internet ou rester fermé : Objenious indique qu’un APN privé « can be configured with an exit to the Internet », et chez Soracom la sortie Internet de la passerelle virtuelle peut être désactivée. Demandez si une sortie existe, qui l’active, et dans quelle région le trafic quitte le réseau mobile : emnify précise que Cloud Connect se termine dans « one specific breakout region ».
  2. Qui administre le pare-feu ? Un filtrage peut être tenu par l’opérateur, sur demande, ou réglé par le client. Soracom permet de configurer ses règles « from the User Console or programmatically via the Soracom API » ; Vodafone rend ses listes de contrôle d’accès gérables par le client « if the feature is enabled for your organisation ». Vérifiez aussi la règle de départ : chez Soracom, l’activation du filtrage ajoute une règle permissive à modifier « before relying on a default-deny posture », alors que l’ANSSI recommande le refus par défaut.
  3. Quel transport entre l’opérateur et vous ? La norme laisse ce choix ouvert. Trois familles existent : le tunnel IPsec, chiffré, qui peut traverser Internet ; le VPN IP sur MPLS, qui reste sur le réseau de l’opérateur mais ne chiffre pas par lui même ; le VPLS, si vos sites doivent former un seul réseau local. Demandez lequel est inclus, où se trouve le point de raccordement et s’il est doublé.
  4. Livraison native dans le cloud, ou VPN vers le cloud ? Google sépare nettement les deux : avec Cloud Interconnect, « le trafic entre vos réseaux ne transite pas par l’Internet public » ; avec Cloud VPN, les tunnels IPsec chiffrent les données mais « le trafic chiffré transite par l’Internet public ». Demandez quels clouds sont livrés par leur entrée privée, dans quelle ville se fait le raccordement, et lesquels passent par un tunnel. Le lieu compte : Soracom réserve par exemple son service Direct aux clients capables de se raccorder à Tokyo et à Osaka.
  5. Peut-on séparer les usages ? L’ANSSI recommande de segmenter les systèmes industriels en « zones cohérentes » cloisonnées entre elles (R101) et d’isoler les périphériques sans fil « dans un réseau physique ou logique séparé » (R147), en citant la 4G et la 5G parmi ces réseaux. Pour un parc, cela revient à un APN ou un réseau logique par famille d’objets (caméras, automates, bornes), chacun avec ses règles. Demandez aussi si les cartes SIM d’un même réseau peuvent se joindre : chez Soracom, elles ne le peuvent pas par défaut, « for security », et Vodafone l’exclut sur son APN partagé.
  6. Que journalise-t-on, et qui y accède ? Le guide de l’ANSSI prévoit que « les flux refusés peuvent être journalisés et analysés ». Demandez si vous recevez les journaux des refus et des changements de règles, sous quel format, pendant combien de temps, et s’ils peuvent alimenter votre outil de supervision.
  7. Quel adressage ? Dans l’accès à un intranet, la carte SIM reçoit une adresse de votre espace d’adressage, fixe à l’abonnement ou attribuée à l’ouverture de session (TS 29.061). Vérifiez que les plages retenues ne chevauchent ni vos sites ni vos réseaux cloud : la RFC 4364 admet que deux VPN distincts réutilisent les mêmes adresses privées, mais à l’intérieur d’un même VPN chaque adresse doit rester unique. Le choix entre IP fixe publique ou privée se prépare en même temps.
  8. Peut-on partir sans tout reconfigurer ? L’APN est un réglage que l’objet lit pour se connecter, selon la définition qu’en donne Vodafone : changer d’APN suppose de modifier ce réglage sur chaque objet. Certains acteurs séparent l’APN de la destination du trafic ; Transatel annonce changer cette destination par un appel d’API, « no APN change needed ». Demandez à qui appartiennent le plan d’adressage et le raccordement cloud, si les règles du pare-feu peuvent être exportées, et quelle durée d’engagement s’applique.

Ce que propose M2M Network

M2M Network propose un réseau privé de cartes SIM : il sépare les cartes SIM de chaque client dans des réseaux qui lui sont propres (APN dédiés) et fait passer ces flux par des pare-feu que le client administre lui même. Le trafic reste ensuite dans des VPN ou des liaisons MPLS ou VPLS jusqu’aux sites du client, ou il est relivré directement dans AWS, Azure, OVHcloud et d’autres clouds par des services d’interconnexion cloud privée, sans passer par Internet. M2M Network propose aussi l’APN privé classique. Le groupe MUONA héberge aussi en France, sur une infrastructure certifiée ISO 27001 et HDS (Guardis) : un APN privé peut relier vos objets à un serveur hébergé sans passer par l’Internet public. Pour étudier votre raccordement, contactez l’équipe M2M Network.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

Questions fréquentes

Qu’est-ce qu’un réseau privé IoT ?

C’est un ensemble de services qui gardent le trafic des cartes SIM à l’écart de l’Internet public, du réseau mobile jusqu’aux serveurs ou au cloud de l’entreprise. Il combine en général un APN privé, un transport vers le client (VPN IPsec, MPLS ou VPLS), un filtrage des flux et parfois un raccordement direct aux clouds. Le nom commercial varie d’un opérateur à l’autre.

Un APN privé suffit-il à protéger les flux de mes objets ?

Pas à lui seul. La norme 3GPP TS 29.061 admet que la liaison entre l’opérateur et le réseau du client passe par n’importe quel réseau, Internet compris, sa protection étant définie par accord entre eux. L’APN privé délimite qui entre dans le réseau ; le chiffrement et le filtrage viennent d’autres briques.

Quelle différence entre un VPN IPsec et une liaison MPLS pour des cartes SIM ?

Le VPN IPsec chiffre le trafic dans un tunnel, qui peut traverser l’Internet public. Le VPN IP sur MPLS achemine le trafic dans une table de routage propre au client, sur le réseau de l’opérateur, mais ne chiffre pas les données par lui même selon la RFC 4364. Les deux peuvent se combiner si le chiffrement est exigé.

Que veut dire « cloud connect » dans une offre IoT ?

C’est le nom que plusieurs acteurs donnent au raccordement de leurs cartes SIM aux clouds, sans technique unique. Chez emnify, « Cloud Connect » regroupe un attachement à la passerelle AWS Transit Gateway et des tunnels IPsec ; Transatel cite « cloud connect » à côté des VPN IPsec et des liaisons louées. Demandez quelle technique s’applique à votre cloud et si le trafic passe par Internet.

Peut-on livrer le trafic de cartes SIM dans AWS ou Azure sans passer par Internet ?

Oui, par les entrées privées des clouds. AWS indique que le trafic Direct Connect ne passe jamais sur l’Internet public, et Microsoft que les connexions ExpressRoute ne passent pas sur l’Internet public. L’opérateur doit être raccordé à ces entrées, directement ou par un fournisseur d’interconnexion.

Faut-il un APN par usage dans un parc d’objets ?

Les recommandations de l’ANSSI vont dans ce sens : segmenter en zones cloisonnées entre elles et isoler les périphériques sans fil dans un réseau physique ou logique séparé. Un APN ou un réseau logique par famille d’objets est une façon de les appliquer, avec des règles de filtrage et des accès propres à chacune.

Sources