OVHcloud Connect et cartes SIM : des objets connectés au cloud français sans passer par Internet

Par Aurélie, M2M Network.

Publié le 23 octobre 2026. Débits, modes d’attachement et points de présence relevés à cette date dans la documentation d’OVHcloud et de 3DS Outscale.

En bref : OVHcloud Connect est la liaison privée qu’OVHcloud propose entre le réseau d’une entreprise et ses services cloud, de 50 Mbit/s à 100 Gbit/s garantis, pour que les données ne soient plus exposées au réseau public. Pour des objets équipés de cartes SIM, elle ne couvre que le dernier tronçon : les données ne restent hors d’Internet de bout en bout que si l’opérateur les place dans un APN privé (réseau mobile) dédié, les fait passer par un pare-feu et les achemine par une liaison privée jusqu’au point de présence du cloud. Le même raisonnement vaut pour 3DS Outscale et son service DirectLink, ou pour un hébergement en France chez Guardis, dans le groupe MUONA.

Cet article s’adresse aux DSI, RSSI, architectes cloud et intégrateurs qui veulent faire arriver les données d’objets connectés dans un cloud français, sans Internet sur le trajet.

Souveraineté juridique et souveraineté du chemin : deux questions différentes

La souveraineté juridique répond à la question : où sont les serveurs, et quel droit peut s’imposer à l’hébergeur ? En France, la référence est la qualification SecNumCloud, délivrée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) sur la base du référentiel d’exigences applicables aux prestataires de services d’informatique en nuage, version 3.2 du 8 mars 2022. Une décision de qualification atteste que le service répond à la recommandation R9 de la doctrine d’utilisation de l’informatique en nuage par l’État, « et notamment qu’il offre une protection vis-à-vis du droit extra-européen ».

Trois points pratiques ressortent des décisions publiées par l’ANSSI : la qualification porte sur un service nommé, pas sur une entreprise entière ; elle est valable trois ans ; elle s’accompagne de conditions d’utilisation. La décision du 30 mai 2025 qui qualifie un service PaaS de Cloud Temple exclut par exemple de son périmètre l’infogérance et les services managés fournis en complément. Pour un projet IoT, il faut donc savoir quel service exact reçoit les données.

La souveraineté du chemin répond à une autre question : par quels réseaux passent les paquets entre l’objet et le serveur ? Un cloud qualifié peut très bien recevoir des données qui ont traversé Internet. La norme mobile ne tranche pas ce point : pour un APN qui donne accès à l’intranet d’une entreprise, la spécification 3GPP TS 29.061 indique que la communication entre le réseau de l’opérateur et l’intranet peut emprunter « n’importe quel réseau, même non sécurisé, par exemple Internet » (notre traduction), un éventuel protocole de sécurité étant défini par accord entre l’opérateur et l’administrateur de l’intranet. Un APN privé isole donc les cartes SIM, mais ne dit rien, à lui seul, de la route suivie après la sortie du réseau mobile.

Les deux souverainetés se complètent sans se remplacer, et aucune ne dispense du chiffrement. L’ANSSI recommande que les flux de données sensibles échangés entre un système d’objets connectés et des réseaux externes « doivent être protégées en confidentialité et en intégrité par des moyens cryptographiques à l’état de l’art » (recommandation R23 du guide ANSSI-PA-087).

Le chemin des données, de la carte SIM au cloud, en cinq étapes

Pour qu’aucun tronçon n’emprunte Internet, chaque étape doit être privée. Voici la chaîne qu’un opérateur M2M construit pour relier des cartes SIM à un cloud souverain pour l’IoT :

  1. Le réseau mobile. La carte SIM s’attache au réseau radio d’Orange, de SFR ou de Bouygues Telecom et ouvre une session de données sur un nom de point d’accès, l’APN.
  2. L’APN dédié. L’opérateur place les cartes SIM d’un client dans un APN qui lui est réservé. Dans ce mode, que la norme appelle accès non transparent à un intranet, l’objet reçoit une adresse du plan d’adressage du client et non de celui de l’opérateur (TS 29.061).
  3. Le pare-feu. À la sortie de l’APN, le trafic passe par un pare-feu dont le client écrit les règles : quels objets parlent à quels serveurs, sur quels ports. La note technique DAT-NT-006 de l’ANSSI recommande de terminer toute politique de filtrage par une règle qui interdit le trafic non explicitement autorisé et en conserve la trace dans les journaux.
  4. Le transport privé. Le trafic rejoint les sites du client dans un VPN, un réseau MPLS ou un VPLS, sans adresse publique.
  5. L’interconnexion cloud privée. Pour atteindre un cloud, l’opérateur passe par un fournisseur d’interconnexion, aussi appelé « Network as a Service » (NaaS), présent dans les centres de données où le cloud a ses points de présence. Le trafic entre alors dans le réseau privé du client chez OVHcloud, chez 3DS Outscale ou chez un autre hébergeur.

Chaque maillon a son responsable : l’opérateur du réseau radio, l’opérateur M2M qui gère l’APN et le pare-feu, le fournisseur d’interconnexion, le cloud. La question « mes données passent-elles par Internet ? » appelle donc une réponse tronçon par tronçon.

Internet, VPN IPsec ou liaison privée : trois chemins comparés

CritèreInternet publicVPN IPsecAPN privé et liaison privée
Ce que traverse le traficInternet, de la sortie du réseau mobile jusqu’au cloudInternet, à l’intérieur d’un tunnel chiffréLe réseau mobile, l’APN dédié, puis des liaisons privées (MPLS, VPLS, interconnexion)
Adresse de l’objetAdresse de l’espace d’adressage de l’opérateurAdresse de l’opérateur, tunnel vers une passerelle du clientAdresse du plan d’adressage du client
Point d’entrée dans le cloudService exposé sur une adresse publiquePasserelle VPN joignable depuis InternetRéseau privé du client (vRack chez OVHcloud, Net chez Outscale), non exposé
ChiffrementÀ la charge de l’application (TLS par exemple)Confidentialité et intégrité assurées par IPsec (RFC 4301)Aucun par défaut : à ajouter pour les flux sensibles (ANSSI, R23)
FiltrageCôté serveur uniquementAux deux extrémités du tunnelPare-feu entre l’APN et les réseaux du client, puis celui du cloud
Souveraineté du cheminNonPartielle : contenu protégé, route sur InternetOui, si chaque tronçon est privé

Le VPN IPsec reste une bonne réponse pour un objet isolé ou quand le cloud n’est pas raccordé en privé : il est détaillé dans notre article sur le VPN 4G vers un site distant. La RFC 4301 lui attribue le contrôle d’accès, l’intégrité, l’authentification de l’origine des données et la confidentialité par chiffrement. La liaison privée vise plutôt les parcs importants, les données réglementées et les organisations qui veulent pouvoir affirmer qu’aucun paquet ne transite par Internet. Les deux se combinent : un tunnel chiffré peut circuler à l’intérieur d’une liaison privée.

OVHcloud Connect : ce que décrit la documentation d’OVHcloud

OVHcloud présente OVHcloud Connect comme « une connexion privée entre votre réseau et vos services OVHcloud », avec cet engagement : « Vos données ne sont plus exposées au réseau public ». Le service existe en deux versions :

  • OVHcloud Connect Direct : un ou plusieurs liens fibre dédiés, à 1 Gbit/s ou 100 Gbit/s garantis, sur un point de présence du réseau OVHcloud. En France, la page liste Paris (Equinix PA3, Global Switch, Telehouse TH2) et Lille (ETIX ETX2).
  • OVHcloud Connect Provider : une connexion par un partenaire, de 50 Mbit/s à 50 Gbit/s garantis, sur les points de présence de ce partenaire. OVHcloud cite notamment Colt Technology Services, Console Connect, Digital Realty, Equinix, InterCloud, Megaport et Orange Business Services ; l’offre Business VPN Galerie d’Orange donne accès à OVHcloud depuis un réseau privé Business VPN « sans passer par Internet ».

Deux modes d’attachement sont proposés. En niveau 2, un lien Ethernet point à point relie directement le réseau privé OVHcloud du client (vRack) à son infrastructure, de façon transparente pour les VLAN. En niveau 3, le vRack est relié au WAN de l’entreprise, avec une haute disponibilité possible par une double connexion sur deux points de présence et un engagement de niveau de service de 99,99 %. Le client choisit un ou deux points de présence, et un ou deux ports.

Pour un parc d’objets, la conséquence est directe : si l’opérateur des cartes SIM est raccordé, lui-même ou par un fournisseur d’interconnexion, à l’un de ces points de présence, le trafic des objets peut arriver dans le vRack sans jamais porter d’adresse publique. C’est ce que recouvre en pratique la recherche « APN privé OVH » : un APN privé prolongé jusqu’au réseau privé du client chez OVHcloud. Le niveau 3 convient quand les cartes SIM ont leur propre plan d’adressage, routé vers le vRack ; le niveau 2, quand on veut prolonger un même segment Ethernet et ses VLAN.

Chez 3DS Outscale, la liaison privée s’appelle DirectLink. La documentation la décrit comme une connexion physique entre le réseau du client et un site DirectLink, par une fibre optique 1 Gb Ethernet ou 10 Gb Ethernet, qui donne accès aux ressources de la région correspondante « sans passer par Internet ». Les conditions techniques sont précises :

  • un routeur ou une fibre dans le même centre de données que le site DirectLink, ou à défaut un prestataire réseau qui y amène une fibre à l’aide de la lettre d’autorisation (LOA) envoyée par 3DS Outscale ;
  • un routeur qui échange en BGP avec le routeur DirectLink, l’ASN de 3DS Outscale étant 50624 pour les régions eu-west-2 et cloudgouv-eu-west-1 ;
  • une DirectLink interface par réseau virtuel (Net) à joindre, chacune sur un VLAN distinct, avec une MTU limitée à 1 500 octets, ce qui compte si l’on ajoute un tunnel chiffré par-dessus ;
  • la possibilité d’une interface « hébergée », créée par un autre compte OUTSCALE et confirmée par son destinataire.

La documentation rappelle qu’un Net ne peut pas être joint par Internet par défaut. Côté localisation, la région eu-west-2 s’appuie sur des zones physiques à Magny-les-Hameaux, Pantin et Aubergenville ; la région cloudgouv-eu-west-1, sur des zones nommées SEC1 à SEC3, dans les mêmes communes. Outscale précise que les données ne sont jamais transférées automatiquement d’une région à l’autre, mais que la communication entre régions passe en général par Internet : un point à vérifier si l’architecture en utilise plusieurs.

Sur la qualification, Dassault Systèmes, dont OUTSCALE est une marque, a annoncé le 11 décembre 2023 que celle-ci avait reçu la qualification SecNumCloud 3.2 de l’ANSSI pour ses services de cloud public. Comme une décision de qualification vaut trois ans et porte sur un service précis, il reste à demander quelle décision couvre le service et la région que vous utilisez, et quelle est sa date.

Héberger en France chez Guardis, dans le groupe MUONA

Troisième possibilité : un hébergeur français qui appartient au même groupe que l’opérateur des cartes SIM. Guardis, qui fait partie du groupe MUONA comme M2M Network, héberge en France sur une infrastructure certifiée ISO 27001 et HDS (hébergeur de données de santé). Un APN privé peut relier les objets à un serveur hébergé chez Guardis sans passer par l’Internet public. Pour des dispositifs médicaux connectés et l’IoMT, la certification HDS de l’hébergeur s’ajoute alors à la maîtrise du chemin.

Questions à poser à son hébergeur et à son opérateur

  1. Quel service exact est qualifié SecNumCloud, par quelle décision de l’ANSSI, à quelle date, pour quelle région, et avec quelles conditions d’utilisation ?
  2. Dans quelles villes sont les centres de données qui hébergent mes ressources, et mes données peuvent-elles en sortir, y compris entre deux régions ?
  3. Entre la sortie du réseau mobile et mon réseau privé dans le cloud, le trafic emprunte-t-il Internet sur un seul tronçon, même chiffré ?
  4. Mes cartes SIM sont-elles dans un APN dédié à mon organisation ou dans un APN partagé avec d’autres clients ?
  5. Qui administre le pare-feu entre l’APN et mes réseaux, puis-je en écrire les règles moi-même, et ai-je accès aux journaux des flux refusés ?
  6. Quel transport relie l’APN à mes sites et à mon cloud : VPN IPsec, MPLS, VPLS ou interconnexion cloud privée, en niveau 2 ou en niveau 3 ?
  7. Sur quels points de présence la liaison arrive-t-elle, et la redondance est-elle prévue sur deux points de présence ou deux ports ?
  8. Le chiffrement des flux sensibles reste-t-il en place de bout en bout, et la MTU de chaque tronçon a-t-elle été vérifiée ?
  9. Quelles sociétés opèrent chaque tronçon, et de quel droit relèvent-elles ?

Ce que propose M2M Network

M2M Network sépare les cartes SIM de chaque client dans des APN dédiés et fait passer leurs flux par des pare-feu que le client administre lui-même, ce qui va au delà de l’APN privé classique, également proposé. Les flux restent ensuite dans des VPN, des MPLS ou des VPLS jusqu’aux sites du client. Grâce à des services d’interconnexion cloud privée, M2M Network livre aussi le trafic des cartes SIM directement dans les environnements OVHcloud, AWS, Azure et d’autres clouds, sans passer par Internet ; le groupe MUONA héberge par ailleurs en France chez Guardis. Pour étudier le raccordement de votre parc, contactez-nous.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

Questions fréquentes

Qu’est-ce qu’OVHcloud Connect ?

C’est une liaison privée entre le réseau d’une entreprise et ses services OVHcloud, en version Direct (liens fibre dédiés à 1 ou 100 Gbit/s garantis) ou Provider (par un partenaire, de 50 Mbit/s à 50 Gbit/s garantis). OVHcloud indique que les données ne sont alors plus exposées au réseau public. La liaison arrive dans le vRack, le réseau privé du client chez OVHcloud, en niveau 2 ou en niveau 3.

Peut-on relier un APN privé à OVHcloud sans passer par Internet ?

Oui, si l’opérateur des cartes SIM est raccordé, lui-même ou par un fournisseur d’interconnexion, à un point de présence OVHcloud Connect. Le trafic sort de l’APN dédié, traverse un pare-feu, puis arrive dans le vRack du client par une liaison privée. Il faut vérifier qu’aucun tronçon intermédiaire n’emprunte Internet.

Un cloud qualifié SecNumCloud suffit-il pour un projet IoT souverain ?

Il répond à la question juridique : une décision de l’ANSSI atteste que le service qualifié offre une protection vis-à-vis du droit extra-européen. Elle ne dit rien du chemin suivi par les données des objets avant d’arriver dans le cloud, ni de leur chiffrement. Un projet complet ajoute un APN dédié, un pare-feu, une liaison privée et le chiffrement des flux sensibles.

Un APN privé chiffre-t-il les données des objets ?

Non. Un APN privé isole les cartes SIM dans un réseau dédié, avec l’adressage du client, mais la norme 3GPP TS 29.061 laisse la sécurité du lien entre l’opérateur et le client à un accord entre eux. L’ANSSI recommande de protéger les flux sensibles par des moyens cryptographiques à l’état de l’art, par exemple TLS ou IPsec.

Quelle différence entre OVHcloud Connect et Outscale DirectLink ?

Les deux relient en privé le réseau du client à son réseau virtuel dans le cloud. OVHcloud Connect se décline en Direct et Provider, de 50 Mbit/s à 100 Gbit/s garantis, en niveau 2 ou en niveau 3. DirectLink repose sur une fibre 1 Gb ou 10 Gb Ethernet dans le centre de données d’un site DirectLink, avec un routage BGP et un VLAN par réseau virtuel.

Sources