IP fixe publique ou privée sur une carte SIM : laquelle choisir

Par Aurélie, M2M Network.

Le choix entre une IP fixe publique ou privée sur une carte SIM dépend de qui doit joindre l’équipement et du chemin que les données ont le droit de prendre. L’IP fixe publique convient à quelques équipements à joindre depuis Internet, sans infrastructure à raccorder : elle se met en place vite, mais l’adresse est visible de tous et doit être protégée par un VPN et un filtrage. L’IP fixe privée, attribuée dans un APN privé, convient à un parc qui dialogue avec vos serveurs sans traverser Internet : rien n’est exposé, mais il faut raccorder l’APN et tenir un plan d’adressage. En IPv6, la question se déplace vers le filtrage.

Cet article est un outil de décision. Les notions de base (adresse IP, IP statique, IPv4 et IPv6) sont expliquées dans notre article IP fixe pour l’IoT et le M2M. Pour comprendre pourquoi un forfait 4G ordinaire empêche l’accès à distance et comment ouvrir cet accès sans exposer le site, voyez carte SIM IP fixe et accès à distance.

Deux adresses fixes, deux mondes

Une IP fixe publique est une adresse Internet attribuée à une seule carte SIM, toujours la même. Elle est routée sur Internet : n’importe quel hôte peut tenter de la joindre. En IPv4, c’est une ressource rare : selon l’Arcep, le RIPE NCC, qui attribue les adresses IPv4 pour l’Europe et le Moyen-Orient, est en pénurie depuis le 25 novembre 2019, et certains hébergeurs et fournisseurs de cloud facturent l’usage des adresses IPv4 depuis 2022.

Une IP fixe privée appartient à un plan d’adressage privé, le plus souvent l’une des trois plages réservées par la RFC 1918 (10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16). Elle n’existe pas sur Internet. Sur un réseau mobile, elle est distribuée dans un APN privé, ce que la spécification 3GPP TS 29.061 appelle l’accès non transparent à un intranet : le terminal reçoit une adresse de l’espace d’adressage de l’entreprise, fixe si elle est attachée à l’abonnement, grâce à un lien entre la passerelle de l’opérateur et un serveur d’attribution d’adresses (AAA ou DHCP). La liaison entre l’opérateur et l’intranet peut emprunter un réseau non sûr comme Internet, protégée alors par un protocole de sécurité convenu entre les deux parties.

IP fixe publique ou privée : le tableau comparatif

CritèreIP fixe publiqueIP fixe privée (APN privé)
Qui peut joindre la carteTout hôte sur Internet, sauf filtrageSeulement votre réseau ou votre serveur, par le raccordement de l’APN
ExpositionAdresse visible, exposée aux balayages automatiquesAucune depuis Internet ; le risque se reporte sur votre réseau interne
VPNIndispensable pour l’accès à distance ; seul le port du VPN reste ouvertPas de VPN par objet ; un tunnel entre l’opérateur et votre site si la liaison passe par Internet
Accès des objets à InternetDirectSelon la configuration : par votre réseau, ou limité à vos serveurs
Accès d’un tiers (constructeur, mainteneur)Depuis n’importe où, à restreindre par adresse sourcePar votre réseau ou par un accès que vous lui ouvrez
Mise en placeOption sur la ligne, aucun raccordementRaccordement de l’APN, attribution des adresses, routage
Coût de gestionFaible au départ ; surveillance continue de l’exposition, des correctifs et des règlesPlus élevé au départ ; ensuite géré par plages, pour tout le parc
IPv4Adresse rare, dont le coût augmente selon l’ArcepPlages RFC 1918 réutilisables, à choisir sans chevauchement
IPv6Préfixe /64 par connexion, pas de traduction d’adresses : le filtrage fait toutAdresses locales uniques (RFC 4193) possibles, ou préfixe global filtré
Cas typiqueQuelques sites isolés, accès par VPN au routeurParc important, flux sensibles, serveur central

Quand l’IP fixe publique s’impose

L’IP publique est le bon choix quand l’équipement doit être joint depuis Internet et que la mise en place d’un APN privé ne se justifie pas :

  • quelques sites isolés (chantier, local technique, caméra de site distant) administrés par VPN depuis vos bureaux ;
  • un routeur qui doit recevoir des connexions depuis des réseaux que vous ne maîtrisez pas, par exemple ceux de plusieurs prestataires de maintenance ;
  • deux sites raccordés en 4G qui doivent se joindre directement, sans serveur central ;
  • un besoin temporaire, pour lequel un raccordement d’APN serait disproportionné.

Sa contrepartie est l’exposition. Selon l’alerte TA16-288A de la CISA, l’agence américaine de cybersécurité, le botnet Mirai balayait Internet en continu à la recherche d’objets vulnérables, surtout des routeurs domestiques, des caméras réseau et des enregistreurs vidéo. En octobre 2026, le CERT-FR demandait encore de supprimer l’exposition sur Internet de contrôleurs d’installations de réfrigération compromis et de rétablir l’accès « uniquement via un VPN sécurisé ou un réseau protégé ». Avec une IP publique, n’ouvrez donc qu’un service, le VPN, et restreignez les adresses sources ; la mise en œuvre est détaillée dans notre guide VPN 4G pour site distant.

Quand l’IP fixe privée s’impose

  • Un parc nombreux qui remonte vers les mêmes serveurs : les adresses se gèrent par plages et aucun objet n’a besoin de son propre tunnel.
  • Des flux que vous ne voulez pas voir traverser Internet : données sensibles, supervision d’infrastructures, protocoles industriels comme Modbus TCP, que l’ANSSI range parmi les protocoles dépourvus de chiffrement et d’authentification.
  • Une politique qui proscrit toute exposition sur Internet : pour les systèmes industriels, l’ANSSI recommande d’interdire les accès directs depuis Internet dès la classe la moins exigeante de sa méthode (R123 de son guide de novembre 2025) ; dans un APN privé, l’équipement n’a tout simplement pas d’adresse sur Internet.
  • Des équipements qui ne savent pas se défendre : capteurs, compteurs ou automates anciens, qu’on ne peut ni mettre à jour ni équiper d’un client VPN.
  • Un accès comme sur le réseau local : vos équipes et vos outils de supervision joignent les objets par leur adresse, sans passer par Internet.

La GSMA décrit ce montage dans ses lignes directrices de sécurité IoT pour les opérateurs (CLP.14, version 2.2) : un réseau privé, par exemple un tunnel L2TP protégé par IPsec, pour qu’aucune donnée ne traverse un réseau public comme Internet. Le serveur peut être chez vous ou chez un hébergeur ; dans le groupe MUONA, un APN privé peut relier les objets à un serveur hébergé en France par Guardis, sur une infrastructure certifiée ISO 27001 et HDS. Le fonctionnement de l’APN est expliqué dans notre article APN privé dédié.

Le piège du plan d’adressage

Une IP privée n’est unique qu’à l’intérieur de votre réseau. La RFC 1918 le dit elle-même : ces adresses sont sans ambiguïté au sein d’une entreprise mais peuvent être ambiguës entre entreprises, et leur usage peut imposer une renumérotation quand on fusionne plusieurs réseaux privés. Avant de commander un APN privé :

  1. Listez les plages déjà utilisées : réseau du siège, réseaux des sites, VPN existants, réseaux des prestataires qui se connectent chez vous.
  2. Réservez à l’APN une plage qui ne chevauche aucune d’elles, dimensionnée pour la croissance du parc.
  3. Écartez la plage 100.64.0.0/10 : la RFC 6598 la destine aux réseaux des opérateurs, pour leurs équipements de traduction d’adresses (CGNAT).
  4. Décidez qui attribue les adresses, l’opérateur ou votre propre serveur, et tenez à jour la correspondance entre chaque carte SIM et son adresse.
  5. Prévoyez le routage retour : vos serveurs et pare-feu doivent savoir que la plage de l’APN se trouve derrière le raccordement de l’opérateur.

Et en IPv6 ?

IPv6 change les termes du choix. Sur un réseau mobile, chaque connexion de données reçoit un préfixe /64 qui lui est propre (RFC 6459, IPv6 dans les réseaux 3GPP), à partir duquel le terminal forme ses adresses : il n’y a plus de traduction d’adresses pour masquer l’objet. La question n’est plus seulement « publique ou privée », mais « filtrée ou non ». Sur les forfaits mobiles grand public, l’Arcep relève dans son baromètre de juillet 2026 que ce préfixe est dynamique et qu’un pare-feu côté réseau bloque par défaut les connexions entrantes non sollicitées, sans possibilité de l’ouvrir.

Pour un parc d’objets, deux voies existent : un préfixe global, joignable seulement à travers un filtrage strict, ou, à l’intérieur d’un APN privé, des adresses locales uniques (plage fc00::/7 de la RFC 4193), conçues pour des communications locales et non destinées à être routées sur Internet. Vérifiez d’abord que vos modules radio, vos routeurs et votre plateforme gèrent IPv6 de bout en bout : un seul maillon limité à IPv4 oblige à garder une adresse IPv4.

Décider en cinq questions

  1. Qui ouvre la connexion ? Si l’objet se connecte lui-même à sa plateforme, la carte n’a besoin d’aucune adresse fixe. Si c’est vous qui devez le joindre, il en faut une.
  2. Combien d’équipements, et vers quels serveurs ? Quelques équipements administrés ponctuellement : IP publique et VPN. Un parc qui grandit et remonte vers les mêmes serveurs : APN privé.
  3. Les flux ont-ils le droit de traverser Internet ? Si votre politique de sécurité, un client ou un référentiel l’interdit, l’APN privé s’impose.
  4. Qui doit accéder aux objets ? Des prestataires extérieurs multiples plaident pour une IP publique strictement filtrée ou pour un accès dédié à votre réseau ; vos seules équipes, pour l’APN privé.
  5. Vos équipements gèrent-ils IPv6 ? Si oui, le choix porte d’abord sur le filtrage ; sinon, sur le type d’adresse IPv4.

Ce que propose M2M Network

M2M Network propose en option une IP fixe publique dédiée et un APN privé, sur ses cartes SIM M2M (réseau Orange, SFR ou Bouygues Telecom au choix) et ses cartes SIM IoT multi-opérateurs, en eSIM ou en SIM physique. Un APN privé peut relier vos objets à un serveur hébergé par Guardis sans passer par l’Internet public. Les forfaits se commandent dans la boutique ; pour un APN privé ou une offre sur mesure, passez par notre page contact.

À lire aussi

Questions fréquentes

Une IP fixe privée est-elle joignable depuis Internet ?

Non. Les adresses des plages de la RFC 1918 ne sont pas routées sur Internet : seuls les réseaux reliés à l’APN privé, le vôtre ou celui de votre hébergeur, peuvent les joindre. Depuis l’extérieur, on passe par votre réseau, par exemple avec le VPN de l’entreprise.

Un objet en IP privée peut-il encore accéder à Internet ?

Selon la configuration retenue, son trafic vers Internet passe par votre réseau, avec vos propres règles de filtrage, ou il n’a accès qu’à vos serveurs. Cette seconde option est souvent la plus sûre pour un capteur ou un automate qui n’a rien à faire sur Internet.

Une IP fixe publique rend-elle mon installation vulnérable ?

Elle expose ce qui écoute derrière elle. Des robots balaient Internet en permanence, comme le faisait le botnet Mirai, et trouvent les équipements ouverts avec leurs mots de passe par défaut. Si seul un VPN à jour est joignable, depuis des adresses sources connues, l’exposition se limite à ce point d’entrée.

Peut-on avoir une IP privée joignable sans APN privé ?

Pas directement : sur un APN public, l’adresse privée que reçoit la carte appartient au plan de l’opérateur et sert à la traduction d’adresses, elle n’est pas routée vers votre réseau. L’alternative consiste à faire ouvrir par le routeur un VPN sortant vers votre réseau, qui lui attribue une adresse privée dans le tunnel.

IPv6 rend-il l’IP fixe inutile ?

Pas automatiquement. Chaque connexion mobile reçoit son propre préfixe /64, mais l’Arcep constate que sur les forfaits grand public ce préfixe est dynamique et qu’un pare-feu côté réseau bloque les connexions entrantes. Pour joindre un objet, il faut toujours un préfixe stable et un filtrage ouvert sur les seuls flux voulus.

Sources