Carte SIM Azure : relier vos objets à un VNet par ExpressRoute ou VPN IPsec

Par Aurélie, M2M Network.

Pour faire arriver le trafic d’une carte SIM dans Azure sans passer par Internet, il faut trois maillons : un APN privé (réseau mobile) dédié à vos cartes, un pare-feu entre ce réseau et le cloud, puis un circuit Azure ExpressRoute en peering privé jusqu’à votre réseau virtuel Azure (VNet). Microsoft l’écrit sans détour : « les connexions ExpressRoute ne passent pas sur l’Internet public ». La passerelle VPN Azure est l’autre voie : plus légère, elle chiffre le trafic en IPsec mais le fait circuler « via l’Internet public ».

Ce guide, destiné aux architectes cloud, responsables réseau et intégrateurs IoT, reprend ce que documente Microsoft Learn : modèles de connexion, emplacements en France, adressage et BGP, redondance, puis ce qu’il faut réunir avant de demander un raccordement.

Carte SIM Azure : les trois maillons d’une liaison privée

Un objet connecté ne parle pas directement à Azure : il parle au réseau mobile, qui décide où envoyer ses paquets. Cette décision tient dans l’APN. Selon la norme 3GPP TS 23.003 (clause 9.1), un APN se compose d’un identifiant de réseau, obligatoire, qui désigne le réseau externe auquel est reliée la passerelle du cœur mobile (GGSN ou PGW), et d’un identifiant d’opérateur, facultatif. En 5G, le DNN (Data Network Name) en est l’équivalent, soumis aux mêmes règles (clause 9A). Le guide de l’APN détaille ces notions. La chaîne complète se lit ainsi :

  • l’APN dédié : les cartes SIM d’un client ouvrent leur session de données sur un réseau qui n’appartient qu’à lui, un APN privé dédié ;
  • le pare-feu : à la sortie de l’APN, il décide quelles cartes joignent quelles adresses du VNet, sur quels ports ;
  • le transport jusqu’à Azure : c’est lui qui décide si le trafic touche Internet, avec un circuit ExpressRoute qui reste hors d’Internet ou un tunnel IPsec vers une passerelle VPN Azure, chiffré mais posé sur Internet.

Azure ExpressRoute en peering privé : comment le trafic entre dans le VNet

Microsoft Learn présente ExpressRoute ainsi : « ExpressRoute vous permet d’étendre vos réseaux locaux au cloud Microsoft au moyen d’une connexion privée avec l’aide d’un fournisseur de connectivité ». Pour un parc de cartes SIM, ce réseau local est le réseau privé qui porte l’APN dédié.

Un circuit peut porter deux peerings. Le peering privé est celui qui compte ici : Microsoft le décrit comme « une extension approuvée de votre réseau principal dans Microsoft Azure », qui permet de joindre les machines virtuelles et les services d’un VNet « directement sur leurs adresses IP privées ». Le peering Microsoft sert à atteindre Microsoft 365 et les services PaaS, n’accepte que des adresses IP publiques et n’est pas nécessaire pour joindre un VNet.

Côté Azure, le circuit se relie au VNet par une passerelle de réseau virtuel ExpressRoute, installée dans un sous-réseau nommé GatewaySubnet. Les circuits commandés via un fournisseur vont de 50 Mbit/s à 10 Gbit/s, en duplex : un circuit de 200 Mbit/s offre 200 Mbit/s dans chaque sens. La bande passante de la passerelle, elle, « est fixe et non burstable ».

Les quatre modèles de connexion

Microsoft distingue quatre façons de se raccorder : « Colocation CloudExchange, connexion Ethernet point à point, connexion IPVPN (Any-to-any) et ExpressRoute Direct ».

  • Point d’échange cloud : dans un centre de données qui héberge un échange cloud, on commande des connexions croisées virtuelles vers Microsoft, en couche 2 ou en couche 3 managée.
  • Ethernet point à point : une liaison de couche 2 entre vos sites et Microsoft.
  • IPVPN (any-to-any) : « généralement des VPN MPLS », qui intègrent le cloud à votre réseau étendu « comme n’importe quelle autre succursale ».
  • ExpressRoute Direct : un raccordement direct au réseau de Microsoft, en double connexion de 10, 100 ou 400 Gbit/s, destiné notamment à l’ingestion massive de données et aux secteurs qui exigent une isolation physique.

Pour un parc de cartes SIM, deux modèles viennent naturellement : l’IPVPN, quand les flux circulent déjà dans un réseau MPLS jusqu’aux sites du client, et le point d’échange cloud, quand un fournisseur d’interconnexion (« Network as a Service ») amène le trafic jusqu’à l’emplacement de peering sans liaison physique dédiée.

Les emplacements de peering en France

Microsoft distingue les régions Azure, où tournent les ressources, des emplacements ExpressRoute, « sites de colocation où sont installés les équipements Microsoft Enterprise Edge (MSEE) ». En France, Microsoft Learn en liste trois :

EmplacementSite indiqué par MicrosoftRégion Azure en ExpressRoute LocalExpressRoute Direct
ParisDigital Realty (Interxion) PAR5France CentralOui
Paris2EquinixFrance CentralOui
MarseilleDigital Realty (Interxion) MRS3France SouthOui

Les trois appartiennent à la région géopolitique Europe : un circuit Standard qui aboutit à l’un d’eux donne accès aux services Azure de toutes les régions de cette zone. Les fournisseurs de chaque emplacement se vérifient sur la page de Microsoft.

Si votre opérateur n’est pas lui-même fournisseur ExpressRoute, Microsoft prévoit la « connectivité via des fournisseurs Exchange » : le réseau est étendu jusqu’à un échange, désigné ensuite comme fournisseur du circuit. Microsoft cite Cologix, CoreSite, DE-CIX, Equinix Cloud Exchange, Digital Realty (Interxion), NextDC, Megaport, Momentum Telecom, PacketFabric et Teraco, et demande que la connectivité soit étendue « avec une haute disponibilité pour éviter tout point de défaillance unique ».

Plan d’adressage et BGP : ce qu’il faut réserver

Microsoft échange les routes avec votre réseau en sessions eBGP entre ses routeurs MSEE et les vôtres (ou ceux de votre fournisseur). Plusieurs plages doivent être choisies sans chevauchement :

  • l’espace d’adressage du VNet, dont le GatewaySubnet, pour lequel Microsoft recommande un /27 ou plus « pour la plupart des configurations » ;
  • les sous-réseaux de peering : un /29 ou deux /30 en IPv4 (un /125 ou deux /126 en IPv6), le premier /30 pour le lien principal, le second pour le lien secondaire ; dans chacun, la première adresse va à votre routeur, la deuxième à Microsoft. Privées ou publiques, elles ne doivent pas chevaucher les réseaux virtuels Azure ;
  • la plage des cartes SIM sur l’APN dédié, à annoncer vers Azure pour que le VNet sache répondre aux objets (voir IP fixe publique ou privée sur une carte SIM) ;

Exemple de Microsoft : avec 192.168.100.128/29, le lien principal utilise 192.168.100.128/30 (192.168.100.129 côté fournisseur, 192.168.100.130 côté Microsoft) et le lien secondaire 192.168.100.132/30 (192.168.100.133 et 192.168.100.134).

Microsoft utilise l’AS 12076 et réserve les numéros 65515 à 65520 ; les numéros AS de 16 et de 32 bits sont acceptés, l’authentification MD5 est possible sans être exigée. Le peering privé accepte jusqu’à 4 000 préfixes IPv4 et 100 préfixes IPv6 annoncés vers Microsoft (10 000 préfixes IPv4 avec le module Premium) ; au-delà, la session BGP tombe. HSRP et VRRP ne sont pas pris en charge : la haute disponibilité repose sur une paire de sessions BGP par peering.

Redondance : ce que Microsoft impose et ce qu’il recommande

Chaque circuit comprend deux connexions vers deux routeurs MSEE, et Microsoft « nécessite une double connexion BGP » entre le fournisseur et votre réseau ; les deux sessions doivent être configurées pour que le contrat de niveau de service (SLA) de disponibilité soit valide. Microsoft recommande en outre, « pour garantir une résilience maximale », deux circuits dans deux emplacements de peering ; un circuit unique correspond à une résilience standard, pour les charges hors production ou non critiques. Avec trois emplacements en France, cette double implantation est possible, par exemple à Paris et à Marseille.

Les recommandations de conception de Microsoft, appliquées à un raccordement de cartes SIM :

  • ne pas terminer les connexions principale et secondaire sur le même équipement ni sur le même port ;
  • utiliser les deux connexions en actif/actif : en cas de panne d’un lien, seule la moitié environ des flux est réacheminée ;
  • activer BFD sur le peering privé, qui ramène la détection d’une panne d’environ 3 minutes à moins d’une seconde ;
  • terminer les sessions BGP, quand c’est possible, sur des équipements sans état, car leur terminaison sur des appareils à état peut gêner le basculement lors des maintenances ;
  • prévoir au besoin un VPN de site à site comme « chemin de basculement sécurisé », que la passerelle VPN Azure accepte en connexions coexistantes.

ExpressRoute ou VPN : le tableau de choix

La passerelle VPN Azure sert à « envoyer du trafic chiffré entre un réseau virtuel Azure et des emplacements locaux via l’Internet public ». En site à site, c’est un tunnel IPsec/IKE entre la passerelle et un équipement VPN en face, en routage statique ou BGP (sauf la référence Basic, sans BGP).

CritèreAzure ExpressRoute (peering privé)Passerelle VPN Azure (IPsec site à site)
Passage par InternetNon : les connexions « ne passent pas sur l’Internet public »Oui : le tunnel traverse l’Internet public
Chiffrement natifNon : « par défaut, le trafic sur une connexion ExpressRoute n’est pas chiffré » ; MACsec sur ExpressRoute Direct uniquement, IPsec possible par-dessus le peering privéOui : tunnel IPsec/IKE
Débits annoncés par MicrosoftCircuits de 50 Mbit/s à 10 Gbit/s via un fournisseur, dans chaque sens ; 10, 100 ou 400 Gbit/s en ExpressRoute DirectDébit agrégé de référence de 100 Mbit/s (Basic) à 10 Gbit/s (VpnGw5AZ), partagé entre tous les tunnels
Mise en placeFournisseur de connectivité, emplacement de peering, circuit dans l’abonnement Azure, passerelle ExpressRoute dans le VNet, deux sessions BGPPasserelle VPN dans le VNet et équipement IPsec/IKE en face

Le VPN ne demande qu’une passerelle de chaque côté et un accès Internet ; ExpressRoute suppose un fournisseur et un circuit, mais c’est le seul des deux chemins qui ne passe pas par l’Internet public. Pour un chemin privé et chiffré à la fois, Microsoft documente un tunnel IPsec de la passerelle VPN Azure au-dessus du peering privé. À ne pas confondre avec le VPN monté sur le routeur 4G : là, chaque routeur ouvre son tunnel ; ici, un seul raccordement transporte le trafic de tout le parc depuis l’APN dédié.

Où placer le pare-feu administré par le client

Le pare-feu se place entre l’APN dédié et le transport vers Azure : il filtre avant qu’un paquet n’atteigne le VNet, pour tout le parc, quel que soit le chemin. Trois points de la documentation de Microsoft guident son intégration :

  • les groupes de sécurité réseau (NSG) ne sont pas pris en charge sur le GatewaySubnet : le filtrage des flux venus des cartes SIM se fait donc en amont, ou sur les autres sous-réseaux du VNet ;
  • les sessions BGP se terminent de préférence sur des équipements sans état : le pare-feu se place derrière les routeurs qui portent le BGP, pas à leur place ;
  • ExpressRoute ne chiffrant pas le trafic par défaut, le pare-feu ne remplace pas un chiffrement applicatif ou un tunnel IPsec pour les données sensibles.

Chaque famille d’objets ne joint ainsi que les adresses et ports du VNet dont elle a besoin. La page carte SIM avec pare-feu et flux administrables détaille l’écriture de ces règles.

Avant de demander un raccordement

  1. La ou les régions Azure visées et le VNet cible, avec son espace d’adressage.
  2. La plage d’adresses des cartes SIM sur l’APN dédié, vérifiée contre le VNet et les sites déjà raccordés.
  3. Un /29 ou deux /30 pour le peering privé (un /125 ou deux /126 en IPv6), hors des plages du VNet.
  4. Le numéro AS de votre côté, hors des numéros 65515 à 65520, ou le choix de confier le routage au fournisseur, que certains proposent en service géré selon Microsoft.
  5. Le ou les emplacements de peering (Paris, Paris2, Marseille) et le nombre de circuits : un pour une charge non critique, deux dans deux emplacements pour la résilience maximale.
  6. La bande passante du circuit et la référence de la passerelle ExpressRoute, dimensionnées sur le trafic cumulé du parc (le guide de consommation de données aide à l’estimer), et un GatewaySubnet d’au moins /27.
  7. La matrice des flux à autoriser au pare-feu et la position sur le chiffrement.
  8. Le circuit créé dans votre abonnement Azure : sa clé de service (s-key) est « la seule information échangée entre Microsoft, le fournisseur de connectivité et vous ».

Ce que propose M2M Network

M2M Network sépare les cartes SIM de chaque client dans un APN dédié et fait passer leurs flux par un pare-feu que le client administre lui-même. Le trafic reste ensuite dans des VPN, des MPLS ou des VPLS jusqu’aux sites du client, ou il est relivré directement dans Azure, AWS, OVHcloud et d’autres clouds par des services d’interconnexion cloud privée, sans passer par Internet. L’APN privé classique reste disponible, et le groupe MUONA héberge aussi en France avec Guardis, sur une infrastructure certifiée ISO 27001 et HDS. Pour étudier un raccordement à Azure (emplacement, débit, adressage), passez par la page contact ; les cartes SIM et les forfaits se commandent dans la boutique.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

Questions fréquentes

Peut-on relier une carte SIM à Azure sans passer par Internet ?

Oui, si chaque maillon est privé : un APN dédié dans le réseau mobile, un transport privé jusqu’à un emplacement de peering, puis un circuit Azure ExpressRoute en peering privé jusqu’au réseau virtuel. Microsoft précise que les connexions ExpressRoute ne passent pas sur l’Internet public. Une passerelle VPN Azure chiffre le trafic, mais le fait passer par Internet.

Azure ExpressRoute chiffre-t-il le trafic des objets connectés ?

Non, pas par défaut : Microsoft indique que le trafic sur une connexion ExpressRoute n’est pas chiffré. MACsec n’est disponible que sur ExpressRoute Direct. Sur un circuit commandé via un fournisseur, on peut monter un tunnel IPsec avec la passerelle VPN Azure par-dessus le peering privé, ou chiffrer au niveau de l’application.

Où se trouvent les emplacements ExpressRoute en France ?

Microsoft Learn liste Paris (Digital Realty (Interxion) PAR5), Paris2 (Equinix) et Marseille (Digital Realty (Interxion) MRS3). Paris et Paris2 sont associés à la région France Central, Marseille à France South. Un circuit Standard dans l’un d’eux donne accès aux services Azure de toute la région géopolitique Europe.

Les cartes SIM ont-elles besoin d’une adresse IP publique pour joindre un VNet Azure ?

Non pour le peering privé : Microsoft accepte des adresses privées ou publiques et indique que ces adresses ne sont pas publiées sur Internet. Les cartes SIM peuvent garder les adresses privées de leur APN dédié, à condition que leur plage ne chevauche pas celle du VNet. Seul le peering Microsoft, inutile pour joindre un VNet, impose des adresses publiques.

Peut-on combiner ExpressRoute et VPN ?

Oui. Microsoft documente des connexions coexistantes, où un VPN de site à site sert de chemin de basculement sécurisé si le circuit ExpressRoute tombe. Le trafic de secours passe alors par Internet, chiffré : c’est un choix à inscrire dans la politique de sécurité.

Quel débit de circuit ExpressRoute choisir pour un parc d’objets ?

Microsoft propose des circuits de 50 Mbit/s à 10 Gbit/s via un fournisseur, avec la même bande passante dans chaque sens. Le dimensionnement part du trafic cumulé du parc aux heures de pointe, sans oublier la passerelle ExpressRoute, dont la bande passante est fixe. Microsoft indique qu’on peut augmenter la bande passante d’un circuit sans ralentir les connexions.

Sources