Carte SIM AWS : relier un APN privé (réseau mobile) à votre VPC par AWS Direct Connect, sans Internet

Par Aurélie, M2M Network.

En bref : une carte SIM AWS, au sens d’une carte SIM dont le trafic arrive dans un VPC Amazon Web Services sans passer par Internet, repose sur trois maillons : un APN privé (réseau mobile) dédié au client chez l’opérateur, un pare-feu dont le client administre les règles, puis une liaison AWS Direct Connect livrée par un fournisseur d’interconnexion jusqu’à une interface virtuelle privée ou de transit. AWS précise que, sur Direct Connect, le trafic reste sur le réseau mondial d’AWS et ne touche jamais l’Internet public. L’alternative courante, un VPN IPsec monté avec AWS Site-to-Site VPN, chiffre le trafic mais le fait passer par Internet, avec un débit plafonné à 1,25 Gbit/s par tunnel standard.

Un mot de vocabulaire d’abord. Dans la documentation d’AWS, « APN » désigne aussi l’AWS Partner Network, le programme de partenaires d’Amazon. Ici, APN signifie Access Point Name, le nom du point d’accès du réseau mobile : selon la norme 3GPP TS 23.003 (clause 9.1), sa première partie désigne le réseau externe auquel la passerelle GGSN/PGW de l’opérateur est raccordée. Ce guide s’adresse aux architectes cloud, responsables réseau et RSSI qui veulent relier des objets connectés à AWS sans Internet.

Carte SIM AWS : les quatre maillons de la chaîne privée

Entre l’objet et l’instance ou le service qui l’attend dans le VPC, un paquet traverse quatre domaines. Chacun a son responsable et ses réglages.

  • L’APN privé, dans le réseau mobile. Seules les cartes SIM rattachées à l’APN privé dédié y entrent. En accès dit « non transparent », la norme 3GPP TS 29.061 (clause 11.2.1.2) prévoit que l’objet reçoit une adresse de l’espace d’adressage du réseau du client, et non de celui de l’opérateur.
  • Le pare-feu. Placé entre l’APN et la livraison, il décide quels flux partent vers AWS et lesquels peuvent atteindre les objets. Quand le client en administre lui-même les règles, sa politique de filtrage ne dépend plus d’une demande à l’opérateur.
  • Le fournisseur d’interconnexion. Ce service, souvent appelé Network as a Service (NaaS), transporte le trafic sur son propre réseau jusqu’à un emplacement Direct Connect. Pour une connexion hébergée, AWS indique que le partenaire la fournit sur un lien entre son réseau et AWS partagé par plusieurs clients, chaque connexion étant limitée à sa capacité.
  • AWS. La connexion porte une interface virtuelle : privée pour atteindre un VPC, de transit pour atteindre une ou plusieurs AWS Transit Gateway par l’intermédiaire d’une Direct Connect Gateway.

Le premier maillon ne suffit pas. La même clause de TS 29.061 précise que la communication entre le réseau de l’opérateur et celui du client peut emprunter n’importe quel réseau, y compris un réseau non sûr comme Internet, la protection relevant d’un accord entre l’opérateur et le client. Un APN privé ne dit donc rien du chemin suivi ensuite : c’est le transport, ici AWS Direct Connect, qui garantit l’absence d’Internet pour vos objets IoT.

Connexion hébergée ou dédiée : ce que change le choix

Une connexion dédiée est un port Ethernet physique réservé à un seul client, à 1, 10, 100 ou 400 Gbit/s, sur fibre monomode. Après la commande, AWS fournit une lettre d’autorisation (LOA-CFA) que l’opérateur réseau présente pour faire poser le brassage dans l’emplacement ; AWS annonce jusqu’à 72 heures ouvrées pour examiner la demande et attribuer le port.

Une connexion hébergée est créée par un partenaire Direct Connect pour le compte du client, qui doit l’accepter dans sa console avant de s’en servir ; elle ne se commande pas depuis la console AWS. Les débits vont de 50 Mbit/s à 25 Gbit/s, les paliers à partir de 1 Gbit/s étant réservés aux partenaires qui remplissent des conditions précises. AWS écrête le trafic : au-delà du débit configuré, l’excédent est rejeté, ce qui pénalise les rafales. Surtout, une connexion hébergée ne porte qu’une seule interface virtuelle, limite qu’AWS ne relève pas.

Pour un parc de cartes SIM, la connexion hébergée se dimensionne finement à partir de 50 Mbit/s et n’exige aucun équipement du client dans le centre de données. Pour la région Europe (Paris), la liste publiée par AWS compte 22 partenaires, opérateurs et plateformes d’interconnexion, parmi lesquels Colt, Console Connect, Equinix, InterCloud, Megaport ou Orange Business Services.

Interface privée ou de transit : où arrive le trafic des cartes SIM

Une interface virtuelle privée rattachée directement à la passerelle privée virtuelle (virtual private gateway) d’un VPC ne donne accès qu’à ce VPC, dans la région associée à la connexion. Rattachée à une Direct Connect Gateway, elle atteint jusqu’à 20 passerelles privées virtuelles, dans n’importe quelle région AWS hors Chine. AWS décrit la Direct Connect Gateway comme une ressource globale qui fonctionne en ensemble distribué de réflecteurs de routes BGP, placé hors du chemin des données.

Une interface de transit passe elle aussi par une Direct Connect Gateway, associée cette fois à une ou plusieurs AWS Transit Gateway (6 au plus par Direct Connect Gateway). AWS définit la Transit Gateway comme un concentrateur qui interconnecte VPC et réseaux sur site. Chaque rattachement y est associé à exactement une table de routage : on peut ainsi séparer le trafic des cartes SIM de production de celui d’un parc de test, ou réserver certains VPC à certains APN.

Un piège : la Direct Connect Gateway n’achemine pas le trafic d’un VPC à l’autre, sauf si le réseau sur site annonce un super-réseau qui les recouvre (10.0.0.0/8 par exemple). AWS conseille d’annoncer des routes plus spécifiques : côté réseau mobile, les blocs exacts des APN.

Plan d’adressage et routage BGP

Dans un APN privé, c’est le client qui fournit l’espace d’adresses des objets. Pour un VPC, AWS recommande un bloc pris dans les plages privées de la RFC 1918 (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), d’une taille comprise entre /16 et /28. La règle d’or est l’absence de chevauchement : AWS recommande des blocs CIDR distincts quand des VPC sont reliés à un même réseau sur site, et impose que les VPC associés à une même Direct Connect Gateway ne se recouvrent pas. Le bloc des cartes SIM se réserve donc dès la conception, à côté de ceux des VPC et des sites ; la page IP fixe publique ou privée sur carte SIM détaille ce piège du plan d’adressage.

Les routes s’échangent en BGP-4, le protocole de routage entre systèmes autonomes défini par la RFC 4271, qui écoute sur le port TCP 179. Chaque interface virtuelle porte au plus une session BGP par famille d’adresses ; il faut un numéro de système autonome (ASN) privé ou public, une étiquette VLAN 802.1Q (fournie par le partenaire sur une connexion hébergée) et une clé d’authentification MD5, qu’AWS active par défaut. Le réseau mobile annonce les blocs des APN ; AWS annonce ceux des VPC.

Une limite compte pour les grands parcs découpés en nombreux APN : par défaut, une session BGP sur une interface privée ou de transit accepte 100 routes IPv4 (et 100 IPv6) annoncées depuis le réseau sur site, plafond que les contrôles de préfixes portent à 1 000. Au-delà, la session passe à l’état inactif et AWS la signale DOWN. Mieux vaut regrouper les blocs des cartes SIM en quelques préfixes.

Le chiffrement n’est pas automatique

AWS Direct Connect ne chiffre pas le trafic par défaut. MACsec (norme IEEE 802.1AE) chiffre la couche 2 entre votre routeur et l’équipement Direct Connect, sur des connexions dédiées de 10, 100 ou 400 Gbit/s dans certains emplacements ; il n’est pas disponible sur les connexions hébergées et ne protège que ce tronçon. Le VPN IPsec à adresses privées (private IP VPN) monte des tunnels IPsec au-dessus d’une interface de transit, entre votre passerelle et une Transit Gateway, sans adresse publique.

Pour les flux de données sensibles d’un système connecté, la recommandation R23 de l’ANSSI demande une protection « en confidentialité et en intégrité par des moyens cryptographiques à l’état de l’art ». Un réseau privé réduit l’exposition ; il ne remplace pas un chiffrement applicatif (TLS) ou réseau pour les données sensibles.

Redondance : ce que recommande AWS

AWS décrit trois modèles. La résilience maximale repose sur des connexions séparées, terminées sur des équipements distincts, dans plus d’un emplacement : elle protège contre la panne d’un équipement, d’une liaison ou d’un emplacement entier. La haute résilience place une connexion dans chacun de plusieurs emplacements. Le modèle développement et test met deux connexions sur des équipements distincts d’un même emplacement, sans protection contre la perte du site, et AWS ne le recommande pas en production.

En France, AWS publie quatre emplacements Direct Connect : Equinix PA3, Digital Realty PAR7 et Telehouse Voltaire à Paris, Digital Realty MRS1 à Marseille. Les trois emplacements parisiens sont associés à la région Europe (Paris), Telehouse Voltaire hébergeant aussi des équipements associés à Europe (Frankfurt) ; celui de Marseille est associé à Europe (Ireland). La région associée détermine où la connexion se gère, pas le chemin du trafic, sauf pour une interface privée rattachée directement à une passerelle privée virtuelle.

Deux liaisons Direct Connect ne servent que si le reste de la chaîne est doublé : pare-feu, transport du fournisseur d’interconnexion, routeurs de bordure. Reste le secours par VPN. AWS ne recommande pas un VPN Site-to-Site comme secours d’une connexion Direct Connect de plus de 1 Gbit/s, à cause du plafond de 1,25 Gbit/s par tunnel, et suggère pour les charges critiques un VPN terminé sur une Transit Gateway. Pour un parc de cartes SIM, ce secours ferait passer le trafic, chiffré, par Internet : une décision à prendre en connaissance de cause.

Direct Connect, VPN IPsec ou Internet public : le comparatif

Les trois façons de faire arriver dans AWS le trafic d’un APN :

CritèreDirect Connect via un fournisseur d’interconnexionVPN IPsec (AWS Site-to-Site VPN)Internet public
Ce qui passe par InternetRien : APN privé, réseau du fournisseur d’interconnexion, puis réseau AWSLe tunnel chiffré, entre votre passerelle et AWSTout le trajet après la sortie de l’opérateur
Adresses publiquesAucune, ni pour les objets ni pour le VPCEn règle générale, une adresse IP statique pour la passerelle clientServeur exposé sur Internet, parfois les objets
ChiffrementPas par défaut ; MACsec sur connexion dédiée, ou VPN IPsec à adresses privéesIPsec, avec IKEv2Celui de l’application (TLS), s’il existe
DébitHébergée : 50 Mbit/s à 25 Gbit/s ; dédiée : 1 à 400 Gbit/sJusqu’à 1,25 Gbit/s par tunnel standard, 5 Gbit/s par tunnel large bande (Transit Gateway ou Cloud WAN)Celui de l’accès Internet
RégularitéLiaison privée, limitée à sa capacité contractuelleDépend des conditions sur InternetVariable
Délai de mise en placeLe plus long : partenaire, acceptation, BGP ; LOA-CFA et brassage en dédiéCourt : configuration des deux extrémitésImmédiat

AWS note d’ailleurs qu’associer Direct Connect et un VPN IPsec donne une expérience réseau plus régulière qu’un VPN sur Internet. Le VPN IPsec monté depuis un routeur 4G, sans APN privé, est traité dans notre guide VPN 4G pour site distant.

Les étapes d’un raccordement

  1. Choisir la cible AWS. Un seul VPC dans une région : interface privée. Plusieurs VPC, comptes ou régions : interface de transit, Direct Connect Gateway et Transit Gateway.
  2. Réserver le plan d’adressage. Blocs des APN, CIDR des VPC et réseaux des sites, sans aucun chevauchement, regroupés en peu de préfixes.
  3. Créer l’APN privé et y rattacher les cartes SIM du parc, avec au besoin un APN par usage.
  4. Écrire la politique du pare-feu. L’ANSSI rappelle (R102 du guide sur les systèmes industriels) que « les flux sont refusés par défaut » et que seuls les flux nécessaires sont autorisés : bloc source des cartes SIM, adresses de destination dans le VPC, protocole et port.
  5. Obtenir la connexion. Connexion hébergée créée par un partenaire Direct Connect dans un emplacement, puis acceptée dans la console AWS ; ou connexion dédiée, avec LOA-CFA et brassage.
  6. Créer l’interface virtuelle avec le VLAN, l’ASN et la clé MD5, puis la rattacher à la passerelle privée virtuelle ou à la Direct Connect Gateway, elle-même associée à la Transit Gateway avec la liste des préfixes autorisés.
  7. Vérifier la session BGP : préfixes reçus des deux côtés, tables de routage du VPC, groupes de sécurité des instances.
  8. Doubler et tester. Deuxième connexion dans un second emplacement, puis essai de bascule : l’outil de test d’AWS coupe une session BGP pour vérifier que le trafic passe par l’autre interface.

Ce que propose M2M Network

M2M Network sépare les cartes SIM de chaque client dans un APN dédié et fait passer leurs flux par un pare-feu que le client administre lui-même. Le trafic est ensuite livré en VPN, en MPLS ou en VPLS jusqu’aux sites du client, ou directement dans son environnement cloud (AWS, Azure, OVHcloud et autres) par interconnexion cloud privée, sans passer par Internet. L’APN privé classique reste disponible pour les projets qui n’ont besoin ni du pare-feu ni de la livraison cloud. Pour étudier le raccordement de vos cartes SIM à votre VPC, contactez l’équipe M2M Network. Si vous préférez héberger vos serveurs en France, le groupe MUONA propose aussi Guardis, sur une infrastructure certifiée ISO 27001 et HDS.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

Questions fréquentes

Qu’est-ce qu’une carte SIM AWS ?

Ce n’est pas un produit d’Amazon : on désigne ainsi une carte SIM dont le trafic arrive directement dans un VPC AWS. Le montage associe un APN privé chez l’opérateur mobile, un pare-feu, puis une liaison AWS Direct Connect ou un VPN IPsec (AWS Site-to-Site VPN) jusqu’au VPC. Seule la voie Direct Connect évite complètement Internet.

Un APN privé suffit-il pour relier des objets connectés à AWS sans Internet ?

Non. La norme 3GPP TS 29.061 laisse ouvert le lien entre l’opérateur et le réseau du client, qui peut passer par n’importe quel réseau, Internet compris. Il faut donc un transport privé jusqu’à AWS, comme une connexion Direct Connect fournie par un fournisseur d’interconnexion.

Le trafic AWS Direct Connect est-il chiffré ?

Pas par défaut, selon AWS. MACsec chiffre le tronçon entre votre routeur et AWS sur des connexions dédiées de 10, 100 ou 400 Gbit/s, mais pas sur les connexions hébergées. Un VPN IPsec à adresses privées peut aussi passer sur une interface de transit, et le chiffrement applicatif (TLS) reste recommandé pour les données sensibles.

Connexion hébergée ou dédiée : laquelle pour un parc IoT ?

La connexion hébergée, fournie par un partenaire Direct Connect de 50 Mbit/s à 25 Gbit/s, se dimensionne finement et n’exige pas d’équipement dans le centre de données, mais elle ne porte qu’une interface virtuelle. La connexion dédiée (1 à 400 Gbit/s) suppose un port physique, une LOA-CFA et un brassage, et accepte jusqu’à 51 interfaces.

Où se trouvent les emplacements AWS Direct Connect en France ?

AWS publie trois emplacements à Paris (Equinix PA3, Digital Realty PAR7, Telehouse Voltaire), associés à la région Europe (Paris), et un à Marseille (Digital Realty MRS1), associé à Europe (Ireland). Avec trois emplacements à Paris, on peut répartir les connexions sur plusieurs sites, comme le recommande AWS.

Peut-on garder un VPN IPsec en secours de Direct Connect ?

Oui, mais AWS ne le recommande pas pour une connexion Direct Connect de plus de 1 Gbit/s, car un tunnel standard plafonne à 1,25 Gbit/s ; pour les charges critiques, AWS suggère un VPN terminé sur une Transit Gateway. En secours, le trafic des cartes SIM passerait chiffré par Internet.

Sources