Technicien qui accède à distance à une caméra par une liaison sécurisée

Carte SIM IP fixe : accéder à distance à une caméra, un automate ou un routeur

Par Aurélie, M2M Network.

Une carte SIM IP fixe donne à votre routeur 4G ou 5G une adresse stable et joignable de l’extérieur : c’est ce qui permet d’ouvrir à distance l’interface d’une caméra, d’un enregistreur vidéo, d’un automate ou du routeur lui-même. Avec un forfait mobile ordinaire, c’est impossible : l’opérateur partage ses adresses IPv4 entre de nombreux clients (CGNAT) et aucune connexion entrante n’atteint votre équipement. Deux solutions existent : une IP fixe publique, joignable depuis Internet et à protéger par un VPN ou un filtrage, ou une IP fixe privée dans un APN privé, joignable uniquement depuis votre propre réseau.

Ce guide est pratique : comment vérifier si votre ligne passe par un CGNAT, quelle option choisir et comment ouvrir l’accès sans exposer vos équipements. Les notions de base (adresse IP, IPv4 et IPv6, IP statique) sont expliquées dans notre article L’importance de l’IP fixe dans l’IoT et le M2M.

Pourquoi un forfait 4G classique bloque l’accès à distance

Le stock d’adresses IPv4 est épuisé : selon l’Arcep, le RIPE NCC, registre qui attribue les adresses IPv4 pour l’Europe et le Moyen-Orient, est en pénurie depuis le 25 novembre 2019. Les opérateurs partagent donc une même adresse publique entre plusieurs abonnés, grâce à une traduction d’adresses réalisée dans leur réseau : le Carrier-Grade NAT, ou CGNAT.

Sur le mobile, ce partage est la règle. Dans son baromètre de la transition vers IPv6 publié en juillet 2026 (données à fin 2025), l’Arcep indique que, sur les forfaits mobiles grand public de Bouygues Telecom, Free, Orange et SFR, 0 % des clients disposent d’une IPv4 dédiée : l’adresse est partagée par CGNAT, dynamique, et l’option d’IPv4 dédiée n’est pas proposée. Le même document répond non à la question de l’hébergement d’un service sur ces lignes, en IPv4 parce que l’adresse est mutualisée, en IPv6 parce qu’un pare-feu côté réseau bloque par défaut les connexions entrantes non sollicitées, sans possibilité de l’ouvrir.

Concrètement, votre routeur reçoit une adresse qui n’existe pas sur Internet : souvent une adresse privée (plages 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16 définies par la RFC 1918) ou une adresse de l’espace 100.64.0.0/10, réservé par la RFC 6598 aux équipements de CGNAT des opérateurs. Les connexions sortantes fonctionnent, car l’équipement de l’opérateur traduit l’adresse à l’aller et reconnaît la réponse au retour. Une connexion qui arrive de l’extérieur, elle, ne correspond à aucune traduction en cours : elle est rejetée. Les chiffres de l’Arcep portent sur les forfaits grand public, mais le mécanisme est le même sur toute ligne mobile sans adresse dédiée : c’est précisément ce que change une SIM 4G avec IP fixe.

Le DynDNS ne résout pas le problème. Il suit une adresse qui change mais qui reste attribuée à une seule ligne (l’Arcep le mentionne pour certaines box 4G ou ADSL) ; il ne peut rien quand l’adresse est partagée entre plusieurs clients.

Vérifier en deux minutes si votre ligne passe par un CGNAT

  1. Relevez l’adresse de l’interface mobile (WAN) dans l’interface d’administration du routeur.
  2. Depuis un poste branché derrière ce routeur, ouvrez un service web qui affiche votre adresse IP publique.
  3. Comparez. Si les deux adresses diffèrent, ou si l’adresse WAN commence par 10., par 172.16 à 172.31, par 192.168. ou par 100.64 à 100.127, la ligne passe par une traduction d’adresses et n’acceptera aucune connexion entrante.

Accès sortant ou entrant : avez-vous vraiment besoin d’une IP fixe ?

Tout dépend de qui ouvre la connexion. Un équipement qui envoie lui-même ses données vers un serveur (une caméra qui pousse ses alertes vers le cloud de son fabricant, un capteur qui publie ses mesures, une borne qui se connecte à sa plateforme de supervision) fonctionne très bien derrière un CGNAT : la connexion est sortante. L’IP fixe 4G devient nécessaire quand c’est vous qui devez joindre le site : afficher l’interface web d’un enregistreur, connecter le logiciel de programmation d’un automate, administrer le routeur, ou recevoir sur ce routeur un tunnel VPN ouvert depuis vos bureaux.

Les applications cloud des fabricants de caméras contournent l’obstacle en faisant transiter le flux par leurs serveurs. C’est simple, mais vos images passent par un service tiers et l’accès dépend de sa disponibilité. Avec une IP fixe, l’accès est direct et vous gardez la maîtrise du chemin.

IP fixe publique ou IP fixe privée par APN privé

Le terme « IP fixe » recouvre deux réalités très différentes. Une IP fixe publique est une adresse Internet attribuée à votre seule carte SIM : n’importe qui peut tenter de la joindre. Une IP fixe privée est une adresse stable dans un plan d’adressage privé, distribuée par un APN privé (le point d’accès qui relie les cartes SIM au réseau de l’entreprise) : elle n’est joignable que depuis votre réseau. Avant de commander, demandez toujours de quel type d’adresse il s’agit.

CritèreIP fixe publiqueIP fixe privée (APN privé)
Joignable depuisTout Internet, sauf filtrageVotre réseau, par le raccordement de l’APN
Balayages automatiques depuis InternetOui, l’adresse est visibleNon, l’adresse n’existe pas sur Internet
Mise en œuvreOption sur la ligne, sans raccordementRaccordement de l’APN à votre réseau ou à un serveur hébergé
Protection à prévoirVPN ou filtrage par adresse source, pare-feu du routeurCloisonnement et filtrage dans votre réseau
Cas typiqueQuelques sites, accès par VPN au routeurParc important, flux qui ne doivent pas traverser Internet

Le fonctionnement de l’APN et la différence entre APN public et privé sont détaillés dans notre guide APN M2M et dans notre article sur l’APN privé dédié.

Ne jamais exposer un équipement tel quel sur Internet

La tentation est grande de rediriger un port du routeur vers la caméra ou l’automate, puis de taper l’adresse IP dans un navigateur. C’est exactement ce que les autorités de cybersécurité déconseillent, exemples à l’appui.

  • CERT-FR, alerte du 12 octobre 2026 (mise à jour le 16 octobre) : de nombreuses compromissions de contrôleurs à distance d’installations de réfrigération (Danfoss séries AK-SM et AK-SC, Copeland et Dixell xweb). Le CERT-FR rappelle que « l’exposition d’une interface de gestion sur Internet est contraire aux bonnes pratiques », demande de supprimer l’exposition des unités présentes sur une adresse IP publique et de rétablir l’accès « uniquement via un VPN sécurisé ou un réseau protégé ». Le filtrage des adresses sources des prestataires est admis dans l’urgence, pas comme solution durable.
  • CISA (agence américaine de cybersécurité), alerte TA16-288A du 14 octobre 2016 : le botnet Mirai a infecté surtout des routeurs domestiques, des caméras réseau et des enregistreurs vidéo, en essayant une courte liste de 62 couples identifiant et mot de passe par défaut sur les appareils qu’il trouvait en balayant Internet.

Pour les systèmes industriels, l’ANSSI recommande dans son guide de novembre 2025 d’interdire les accès directs depuis Internet vers le système industriel, et ce dès le niveau de criticité le plus bas. Une IP fixe publique n’est donc pas une porte à ouvrir sur l’équipement : c’est l’adresse d’un point d’entrée sécurisé.

Trois architectures sûres avec une carte SIM IP fixe

1. Un VPN qui se termine sur le routeur

C’est la solution de référence. Le routeur 4G porte l’IP fixe et n’expose qu’un seul service : le VPN. Les ports des équipements ne sont jamais redirigés ; on ne les atteint qu’une fois le tunnel établi et authentifié. Selon le protocole, le seul port ouvert est UDP 500 et 4500 pour IPsec (échange de clés IKE et traversée de NAT), 1194 pour OpenVPN, ou le port choisi pour WireGuard. L’interface d’administration du routeur reste fermée côté Internet.

2. Le filtrage par adresse source, en appoint

Le pare-feu du routeur n’accepte que les connexions venant de l’adresse fixe de vos bureaux ou de votre prestataire. C’est rapide à mettre en place, mais le flux n’est chiffré que si le protocole de l’équipement l’est, et toute la protection repose sur une règle : le CERT-FR le réserve aux situations d’urgence. Si vous l’utilisez, combinez-le avec un protocole chiffré (HTTPS, SSH) et des mots de passe forts.

3. L’APN privé, sans adresse sur Internet

Les cartes SIM reçoivent des adresses privées, fixes si l’APN est configuré ainsi, et l’APN est relié à votre réseau. Vos équipements sont joignables depuis vos bureaux comme s’ils étaient sur le réseau local, sans être visibles sur Internet. C’est la solution adaptée à un parc important, au prix d’une mise en place plus longue.

Variante courante : le routeur du site ouvre lui-même un VPN sortant vers un serveur central. L’adresse fixe est alors nécessaire côté serveur, pas forcément sur la carte SIM.

Exemples d’usage

Caméras et enregistreur vidéo

Sur un chantier ou un site isolé, l’enregistreur (NVR) et les caméras sont sur le réseau local du routeur 4G. Pour consulter les images ou relire un enregistrement, on se connecte au VPN du routeur, puis à l’enregistreur par son adresse locale. Aucun port vidéo n’est redirigé. La consommation de données dépend du mode d’enregistrement : voir notre page carte SIM M2M pour la vidéosurveillance.

Automate programmable

Un intégrateur doit modifier un programme ou lire des variables. La connexion passe par le VPN, de préférence ouverte à la demande pour une durée limitée : pour la télémaintenance, l’ANSSI donne l’exemple de 4 heures, avec authentification, journalisation et fermeture après une période d’inactivité. Les protocoles industriels comme Modbus TCP n’ont aucune authentification : ils ne doivent circuler qu’à l’intérieur du tunnel.

Routeur et passerelle

Mise à jour du micrologiciel, lecture des journaux, changement de configuration : l’administration du routeur passe elle aussi par le VPN ou par l’APN privé. L’ANSSI recommande de désactiver les services non indispensables, comme un serveur web inutile, et de remplacer HTTP, Telnet, FTP et SNMP v1 et v2 par des protocoles plus sûrs (HTTPS, SSH, SFTP, SNMPv3).

Bornes et armoires techniques

Borne interactive, borne de recharge, armoire de commande d’éclairage ou de pompage : si l’équipement remonte seul ses données vers sa plateforme, la connexion sortante suffit. L’IP fixe sert à la maintenance directe par le constructeur ou l’exploitant, avec les mêmes règles : VPN, comptes nominatifs, journalisation.

La liste de contrôle avant la mise en service

  • Changer tous les mots de passe par défaut : routeur, caméras, enregistreur, automate.
  • Mettre à jour le micrologiciel de chaque équipement avant de le connecter.
  • Ne rediriger aucun port vers un équipement : seul le service VPN est ouvert.
  • Désactiver l’UPnP sur le routeur, sauf nécessité absolue, comme le recommande la CISA.
  • Fermer l’administration du routeur côté Internet.
  • Créer un compte VPN nominatif par intervenant et le révoquer en fin de mission.
  • Activer la journalisation des connexions et la consulter régulièrement.

Ce que propose M2M Network

M2M Network fournit des cartes SIM M2M sur le réseau Orange, SFR ou Bouygues Telecom au choix, ainsi que des cartes SIM IoT multi-opérateurs, en eSIM ou en SIM physique. L’IP fixe, la 5G et l’APN privé sont disponibles en option. Pour un routeur 4G, la fiche carte SIM M2M pour routeur 4G présente les forfaits et les options ; pour un APN privé ou un parc de plusieurs sites, passez par notre page contact.

À lire aussi

Questions fréquentes

Une carte SIM IP fixe est-elle indispensable pour voir mes caméras à distance ?

Non, si vous passez par l’application cloud du fabricant : la caméra ouvre elle-même la connexion vers ses serveurs. Elle le devient pour un accès direct, sans service tiers, ou pour joindre un VPN installé sur le routeur du site. Dans ce cas, seul le VPN doit être exposé, jamais la caméra.

Pourquoi mon routeur 4G affiche-t-il une adresse en 10.x ou en 100.64.x ?

Parce que l’opérateur traduit les adresses dans son réseau (CGNAT). La plage 10.0.0.0/8 fait partie des adresses privées de la RFC 1918 et la plage 100.64.0.0/10 est réservée par la RFC 6598 aux équipements de CGNAT. Ces adresses ne sont pas joignables depuis Internet.

Le DynDNS peut-il remplacer une IP fixe 4G ?

Non. Le DynDNS associe un nom à une adresse qui change, à condition que cette adresse soit attribuée à votre seule ligne. Sur les forfaits mobiles, l’Arcep constate que l’IPv4 est partagée entre clients : un nom DNS ne peut pas désigner votre routeur parmi les autres.

L’IPv6 permet-elle de se passer d’IP fixe ?

Pas sur les forfaits mobiles grand public : selon l’Arcep, le préfixe IPv6 y est dynamique et un pare-feu côté réseau bloque les connexions entrantes non sollicitées, sans possibilité de l’ouvrir. Une offre avec adresse fixe reste nécessaire pour un accès entrant.

Une IP fixe publique rend-elle mon installation vulnérable ?

Comme toute adresse publique, elle peut être balayée par des robots qui cherchent des équipements vulnérables, comme le faisait le botnet Mirai. Le risque vient des équipements exposés directement avec des mots de passe par défaut. Si seul un VPN à jour, authentifié par certificat ou par clé, est joignable, l’exposition se limite à ce service.

Sources