VPN 4G : relier un site distant au réseau de l’entreprise avec une carte SIM

Par Aurélie, M2M Network.

Un VPN 4G relie un site sans ligne fixe (chantier, local technique, agence temporaire, station de pompage) au réseau de l’entreprise : un routeur 4G équipé d’une carte SIM ouvre un tunnel chiffré vers un concentrateur VPN installé au siège ou chez un hébergeur, et les deux réseaux communiquent comme s’ils étaient reliés par un câble. Le point qui décide de l’architecture : c’est le côté qui reçoit la connexion qui a besoin d’une adresse fixe joignable, et un routeur 4G placé derrière le CGNAT de l’opérateur peut très bien initier le tunnel. Trois protocoles dominent : IPsec avec IKEv2, WireGuard et OpenVPN.

Ce guide s’adresse aux intégrateurs et aux responsables informatiques qui raccordent un ou plusieurs sites distants : architecture, rôle exact de l’IP fixe, choix du protocole, réglages propres aux liaisons mobiles et alternative par APN privé.

L’architecture d’un VPN 4G site à site

Un VPN site à site, ou VPN de routeur à routeur, comporte trois éléments :

  • le routeur 4G du site distant : il porte la carte SIM, dessert le réseau local du site (postes, caméras, automates) et établit le tunnel ;
  • le concentrateur VPN : pare-feu ou routeur du siège, ou machine virtuelle chez un hébergeur, qui termine les tunnels de tous les sites ;
  • un plan d’adressage sans chevauchement : chaque site utilise un sous-réseau distinct (par exemple 192.168.20.0/24 pour le site A et 192.168.30.0/24 pour le site B), faute de quoi le routage entre sites devient impossible.

Dans son guide sur les systèmes industriels (version de novembre 2025), l’ANSSI recommande de placer des concentrateurs VPN aux extrémités des liaisons pour protéger l’intégralité du trafic, de garantir la confidentialité, l’intégrité et l’authenticité des flux entre sites (elle cite le tunnel IPsec en exemple) et de déployer un pare-feu au niveau des passerelles d’interconnexion. Pour les systèmes les plus sensibles (classes 3 et 4 de sa méthode), elle ajoute un pare-feu distinct du concentrateur, qui ne laisse passer que les flux strictement indispensables. Le choix du matériel côté site est abordé dans notre article sur le routeur IoT.

Héberger le concentrateur dans un centre de données évite d’ouvrir un port sur la connexion Internet du siège. Dans le groupe MUONA, Guardis héberge en France des machines virtuelles et propose des pare-feu managés, sur une infrastructure certifiée ISO 27001 et HDS.

De quel côté faut-il une IP fixe ?

C’est la question la plus fréquente, et la réponse dépend de qui initie le tunnel. Sur le mobile, l’adresse IPv4 est en général partagée par CGNAT : l’Arcep constate qu’aucun client des forfaits mobiles grand public des quatre opérateurs ne dispose d’une IPv4 dédiée. Les trois protocoles savent pourtant sortir derrière une telle traduction d’adresses :

  • IPsec : IKEv2 détecte la présence d’un NAT entre les deux extrémités et encapsule alors tout le trafic dans des datagrammes UDP sur le port 4500 (RFC 7296 et RFC 3948) ; l’ANSSI demande d’activer ce NAT-Traversal dès qu’un NAT est présent ;
  • WireGuard : chaque extrémité renvoie le trafic vers la dernière adresse authentifiée de son correspondant, ce qui tolère une adresse changeante côté 4G ;
  • OpenVPN : fonctionne en UDP ou en TCP à travers un NAT, et l’option float accepte un correspondant dont l’adresse change.

Un routeur 4G derrière un CGNAT peut donc ouvrir le tunnel ; il ne peut pas le recevoir. D’où ce tableau (les bases de l’adressage sont rappelées dans notre article sur l’IP fixe dans l’IoT et le M2M) :

SituationIP fixe côté concentrateurIP fixe sur la carte SIM du site
Le routeur 4G initie le tunnel vers le siège ou l’hébergeur (cas le plus courant)Oui, ou un nom DNS stablePas nécessaire
Le siège doit ouvrir le tunnel, ou administrer le routeur hors tunnelRecommandéeOui
Le concentrateur n’accepte que des correspondants à adresse connueOuiOui
Deux sites reliés en 4G, sans concentrateur centralSans objetOui, au moins sur le site qui reçoit
Cartes SIM dans un APN privé relié au réseau de l’entreprisePas de tunnel sur Internet à recevoirAdresse privée attribuée dans l’APN

C’est dans ces cas que l’IP fixe sur la carte SIM sert le VPN : quand l’initiative doit venir du siège, quand la politique de sécurité n’accepte que des adresses connues, ou quand deux sites mobiles doivent se joindre directement. Sur cette adresse, seul le service VPN doit être joignable.

IPsec, WireGuard ou OpenVPN

CritèreIPsec (IKEv2)WireGuardOpenVPN
StatutStandard IETF (RFC 7296 pour IKEv2)Protocole ouvert, intégré au noyau LinuxLogiciel libre fondé sur TLS (bibliothèque OpenSSL)
Transport et portsIKE sur UDP 500 et 4500 ; ESP encapsulé dans UDP 4500 derrière un NATUDP, port au choix (51820 dans les exemples de la documentation)UDP ou TCP ; port 1194 enregistré à l’IANA
AuthentificationCertificats (recommandés par l’ANSSI) ou clé pré-partagéePaires de clés publiques Curve25519Certificats client et serveur
CryptographieNégociée : algorithmes à restreindreFixe : ChaCha20-Poly1305, Curve25519, BLAKE2sNégociée par TLS
Maintien derrière un NATPaquets NAT-T, par défaut après 20 s sans traficPersistentKeepalive désactivé par défaut, 25 s conseilléDirective keepalive (ping et redémarrage)

En pratique : IPsec IKEv2 quand le concentrateur est un pare-feu d’entreprise ou qu’il faut faire dialoguer des équipements de marques différentes, puisque le protocole est normalisé ; WireGuard quand les deux extrémités le prennent en charge et qu’on cherche une configuration courte ; OpenVPN quand seul un port TCP sort du réseau du site ou que l’existant l’utilise déjà. Dans tous les cas, configurez le VPN du routeur 4G avec une identité propre à chaque site.

Les réglages IPsec recommandés par l’ANSSI

La note technique de l’ANSSI sur IPsec (DAT-NT-003, août 2015) fixe des règles directement applicables à un routeur 4G :

  • utiliser IKE en version 2 ;
  • employer ESP, et ne jamais activer le chiffrement sans le contrôle d’intégrité ;
  • authentifier par certificats, de préférence avec une infrastructure de gestion de clés qui permet de révoquer rapidement une clé compromise, par exemple après le vol d’un équipement ; la clé pré-partagée est fortement déconseillée dans le cas général ;
  • activer le NAT-Traversal dès qu’un NAT est présent, ce qui est le cas d’une ligne mobile sans adresse dédiée ;
  • activer la confidentialité persistante (PFS) et renouveler les clés périodiquement, par exemple toutes les heures et tous les 100 Go ;
  • écarter MD5, DES et les clés RSA de moins de 2 048 bits, ainsi que les groupes Diffie-Hellman 1 et 2 ; préférer les groupes 14 ou 15, voire les courbes elliptiques (groupe 19, groupe 29).

Mise en place pas à pas

  1. Plan d’adressage : attribuer un sous-réseau distinct au siège et à chaque site, et le documenter.
  2. Concentrateur : choisir son emplacement (siège ou hébergeur), lui donner une adresse fixe ou un nom DNS stable, n’ouvrir que les ports du protocole retenu.
  3. Identités : générer un certificat ou une paire de clés par routeur, jamais une clé commune à tout le parc, pour pouvoir révoquer un site seul.
  4. Routeur 4G : le configurer en initiateur, avec le maintien de connexion activé et la relance automatique du tunnel.
  5. Filtrage : n’autoriser dans le tunnel que les flux nécessaires entre le site et le siège.
  6. MTU : réduire la taille des paquets dans le tunnel (voir ci-dessous), puis tester un transfert de fichier.
  7. Recette : couper volontairement la liaison et vérifier le rétablissement automatique et l’alerte de supervision.

Les points pratiques propres à la 4G

MTU : la cause de panne la plus sournoise

Sur Ethernet, un paquet IP mesure au plus 1 500 octets (RFC 894). Le tunnel ajoute ses propres en-têtes : pour WireGuard, 32 octets de message (un en-tête de 16 octets et une étiquette d’authentification de 16 octets), un éventuel bourrage pour atteindre un multiple de 16 octets, puis 8 octets d’UDP et 20 octets d’IPv4. IPsec et OpenVPN ajoutent eux aussi des en-têtes, dont la taille dépend des algorithmes et des options. Si un paquet agrandi ne passe pas et que la découverte du MTU échoue, il est perdu : le tunnel monte, un ping passe, mais les pages web et les transferts de fichiers restent bloqués.

La RFC 4459 décrit ces problèmes et les parades : réduire le MTU de l’interface du tunnel, ou réduire la taille des segments TCP sur les extrémités (« MSS clamping »), ce qui ne vaut que pour TCP. OpenVPN propose pour cela l’option mssfix, réglée par défaut à 1 492 octets. Méthode simple : envoyer à travers le tunnel des ping de taille croissante avec l’option « ne pas fragmenter », puis régler le MTU juste en dessous de la plus grande taille qui passe.

Maintien de la connexion

Un tunnel inactif peut être coupé sans prévenir par la traduction d’adresses de l’opérateur. La RFC 4787 demande qu’un NAT ne supprime pas une correspondance UDP avant deux minutes et recommande cinq minutes ou plus, mais la RFC 8085 note qu’une part importante des équipements déployés utilise des délais plus courts. D’où les messages de maintien :

  • IPsec : paquets de maintien NAT-T, envoyés par défaut après 20 secondes sans autre trafic (RFC 3948) ;
  • WireGuard : paramètre PersistentKeepalive, désactivé par défaut ; la documentation conseille 25 secondes, un intervalle qui convient à une grande variété de pare-feu ;
  • OpenVPN : directive keepalive ; avec keepalive 10 60, le client envoie un ping toutes les 10 secondes et relance la connexion après 60 secondes sans réponse.

Ces messages consomment peu. Un message de maintien WireGuard pèse 60 octets avec ses en-têtes UDP et IPv4 ; toutes les 25 secondes, cela fait 3 456 messages et environ 207 ko par jour, soit environ 6 Mo sur 30 jours dans le sens montant, si le tunnel est inactif. La RFC 8085 recommande de ne pas descendre sous un message toutes les 15 secondes.

Bascule de secours

Pour un site qui ne doit pas perdre la liaison, deux montages se rencontrent : un routeur à deux cartes SIM sur deux réseaux différents, qui bascule quand le premier ne répond plus, ou la 4G en secours d’une ligne fixe. Dans les deux cas, le tunnel doit se rétablir par l’autre lien : c’est simple quand le site initie le tunnel, puisque le concentrateur accepte la nouvelle adresse, plus délicat quand le concentrateur filtre sur l’adresse fixe d’une seule carte SIM. Une carte SIM IoT multi-opérateurs, qui peut utiliser plusieurs réseaux, est une autre piste ; les conditions de passage d’un réseau à l’autre sont à vérifier avec le fournisseur.

L’ANSSI rappelle qu’un réseau sans fil, 4G comprise, peut être brouillé : pour les systèmes industriels de classe 3 et 4, elle proscrit le sans-fil sur les liaisons qui ont des besoins critiques de disponibilité.

L’APN privé : une alternative sans Internet public

Avec un APN privé, les cartes SIM du parc ne sortent pas sur Internet : l’opérateur achemine leur trafic jusqu’à un point de raccordement relié au réseau de l’entreprise ou à un serveur hébergé. Les sites distants reçoivent des adresses privées et se joignent depuis le siège sans concentrateur exposé sur Internet. Un APN privé peut ainsi relier les équipements à un serveur hébergé chez Guardis sans passer par l’Internet public. Le principe est détaillé dans notre guide APN M2M et dans notre article sur l’APN privé dédié.

L’APN privé ne dispense pas toujours de chiffrement. Le trafic traverse le réseau de l’opérateur, que l’ANSSI ne range pas parmi les liaisons maîtrisées : pour les systèmes industriels, elle recommande de privilégier des liaisons maîtrisées « par opposition à un raccordement au travers d’Internet ou d’un réseau opérateur », et de protéger au minimum en intégrité et en authenticité les flux qui passent par des réseaux non maîtrisés. Pour des données sensibles, un VPN à l’intérieur de l’APN privé, ou un protocole applicatif chiffré, reste la bonne pratique.

Ce que propose M2M Network

M2M Network fournit les cartes SIM des routeurs 4G et 5G : réseau Orange, SFR ou Bouygues Telecom au choix, ou carte SIM IoT multi-opérateurs, en eSIM ou en SIM physique. Les options IP fixe, 5G et APN privé correspondent aux architectures décrites ici, et le serveur de destination peut être hébergé en France chez Guardis, dans le groupe MUONA. Les forfaits pour routeur figurent sur la fiche carte SIM M2M pour routeur 4G ; pour un APN privé ou un projet multi-sites, passez par la page contact.

À lire aussi

Questions fréquentes

Faut-il une IP fixe sur la carte SIM pour monter un VPN 4G ?

Pas si le routeur du site initie le tunnel vers un concentrateur qui a, lui, une adresse fixe : IKEv2, WireGuard et OpenVPN savent sortir derrière le CGNAT de l’opérateur. L’IP fixe sur la carte SIM devient utile quand le siège doit ouvrir le tunnel ou administrer le routeur hors tunnel, ou quand le concentrateur n’accepte que des adresses connues.

IPsec ou WireGuard sur un routeur 4G ?

IPsec IKEv2 est normalisé par l’IETF, ce qui facilite l’interopérabilité entre marques, et l’ANSSI le cite en exemple ; il faut en revanche fixer soigneusement les algorithmes. WireGuard se configure en quelques lignes avec une cryptographie fixe, à condition que les deux extrémités le prennent en charge. Le choix dépend d’abord du concentrateur existant.

Combien de données consomme un VPN 4G au repos ?

Seulement les messages de maintien de connexion. Avec WireGuard réglé à 25 secondes, comptez environ 6 Mo sur 30 jours dans le sens montant. Le trafic utile (supervision, fichiers, vidéo) reste l’essentiel de la consommation.

Pourquoi mon VPN 4G tombe-t-il après quelques minutes d’inactivité ?

La traduction d’adresses de l’opérateur supprime la correspondance UDP du tunnel quand rien ne passe ; la RFC 8085 note que beaucoup d’équipements utilisent des délais courts. Activez le maintien de connexion (NAT-T pour IPsec, PersistentKeepalive pour WireGuard, keepalive pour OpenVPN) et vérifiez que le routeur relance le tunnel automatiquement.

Un APN privé dispense-t-il de VPN ?

Il supprime le passage par l’Internet public et l’exposition des sites, ce qui simplifie l’architecture. Le trafic traverse néanmoins le réseau de l’opérateur : pour des flux sensibles, l’ANSSI recommande de les protéger au minimum en intégrité et en authenticité, par exemple par un VPN interne ou un protocole applicatif sécurisé.

Sources