Feste IP-Adresse im 4G-Netz: Warum sich dies vom Privatkundenbereich unterscheidet
Bei einem Mobilfunkvertrag für Privatkunden oder einer Standard-M2M-SIM-Karte weist der Netzbetreiber jeder Verbindung eine dynamische IP-Adresse zu, die bei jeder erneuten Verbindung wechselt. Zudem nutzen die Netzbetreiber CGNAT (Carrier Grade NAT): Ihr 4G-Router befindet sich hinter einer IP-Adresse, die von Hunderten von Kunden gemeinsam genutzt wird – eingehende Verbindungen können daher nicht hergestellt werden.
Für industrielle Anwendungen, die einen eingehenden Fernzugriff erfordern (Steuerungszugriff, SCADA-Verbindung, RDP-Überwachung), ist eine feste IP-Adresse, die jederzeit erreichbar ist, zwingend erforderlich.
Mit einem industriellen 4G-Router von Eziwan lassen sich zwei Architekturen realisieren, um dieses Ziel zu erreichen:
Architektur 1 – Privates APN des Netzbetreibers mit fester öffentlicher IP-Adresse: Jede M2M-SIM-Karte Ihrer Flotte erhält eine eindeutige feste öffentliche IP-Adresse. Der Datenverkehr wird über ein MPLS-VPN des Netzbetreibers geleitet. Geeignet für große Flotten mit bestehender IT-Infrastruktur.
Architektur 2 – Permanentes VPN zur Eziwan-Cloud: Der Router richtet automatisch einen ausgehenden VPN-Tunnel zur Eziwan-Plattform ein, die ihm eine feste Tunnel-IP-Adresse zuweist. Zugriff von jedem Punkt im Eziwan-Netzwerk aus. Für alle Unternehmensgrößen geeignet, sofort einsatzbereit.
Privates APN: Das dedizierte M2M-Netzwerk Ihres Unternehmens
Ein privater APN ist ein ausschließlich für Ihr Unternehmen bestimmtes M2M-Datennetz, das beim Netzbetreiber eingerichtet wird. Im Gegensatz zum öffentlichen Internet-APN ist er nicht über das Internet zugänglich – nur die SIM-Karten Ihres Geräteparks können eine Verbindung dazu herstellen.
| Merkmal | Öffentlicher APN (Internet) | Privater APN |
|---|---|---|
| Zugriff über das Internet | Ja (öffentlich) | Nein (privat) |
| IP-Adresse | Dynamisch (CGNAT) | Fest (dediziert) |
| Isolierung des Datenverkehrs | Nein | Ja (dediziertes MPLS) |
| Eingehende Verbindungen | Nicht möglich | Möglich (kontrolliert) |
| Einrichtungszeit | Sofort | 2–4 Wochen |
| Kosten | Im Paket enthalten | Monatlicher Aufpreis |
Das private APN ist die empfohlene Lösung für große M2M-Flotten (>50 SIM-Karten) von Industrieunternehmen, die ein vom öffentlichen Internet vollständig isoliertes Datennetzwerk wünschen.
Permanentes VPN: Eine feste IP-Adresse ohne privaten APN
Für Unternehmen, die keinen privaten APN-Vertrag mit einem Netzbetreiber abschließen möchten (aufgrund von Wartezeiten, Kosten und vertraglicher Komplexität), bietet Eziwan eine alternative Lösung auf Basis eines permanenten VPN an:
Der Eziwan-4G-Router baut beim Start automatisch einen verschlüsselten VPN-Tunnel (OpenVPN oder WireGuard) zu den Eziwan-Servern auf. Dieser Tunnel bleibt ständig aktiv. In der Eziwan-Infrastruktur verfügt jeder Router über eine eindeutige feste Tunnel-IP-Adresse, auf die über das Eziwan-Portal oder über eine BGP/IPSec-Verbindung aus Ihrem Unternehmensnetzwerk zugegriffen werden kann.
Diese Architektur bietet dieselben Vorteile wie eine feste öffentliche IP-Adresse, jedoch mit höheren Sicherheitsgarantien:
- Keine offenen eingehenden Ports am Router (Zero Inbound)
- Der Datenverkehr ist stets mit AES-256 verschlüsselt
- Funktioniert mit jeder SIM-Karte, auch bei dynamischer IP-Adresse (CGNAT)
- Transparentes Dual-SIM-Failover: Die Tunnel-IP bleibt unverändert
Protokolle für den Fernzugriff über eine feste 4G-IP-Adresse
Der 4G-Router mit fester IP-Adresse von Eziwan unterstützt alle industriellen Fernzugriffsprotokolle:
Fernzugriff auf SPSen:
- Modbus TCP (Port 502): direkter Zugriff auf die Register von Schneider-, ABB- und Wago-SPSen
- S7-Kommunikation (Port 102): Verbindung von TIA Portal, Step 7 und WinCC zu Siemens S7
- OPC-UA (Port 4840): IIoT-Standardprotokoll für Interoperabilität
- EtherNet/IP (Port 44818): Rockwell/Allen-Bradley-Protokoll
Fernzugriff auf HMIs und Überwachungs-PCs:
- RDP (Port 3389): Fernzugriff auf Windows
- VNC (Port 5900): Zugriff auf Linux-HMIs und Raspberry Pi
- SSH (Port 22): Befehlszeilenzugriff auf industrielle Linux-Geräte
Den eingehenden Fernzugriff sichern: Bewährte Verfahren
Der eingehende Fernzugriff über eine feste IP-Adresse eröffnet neue Möglichkeiten, birgt aber auch neue Risiken. Die Eziwan-Best-Practices zur Absicherung eines industriellen Fernzugriffs:
-
Verwenden Sie immer das VPN: Schließen Sie Ihre Steuerungsgeräte niemals direkt an das Internet an, auch nicht über einen privaten APN. Der Eziwan-VPN-Tunnel sorgt für eine zusätzliche Verschlüsselungs- und Authentifizierungsebene.
-
Whitelist für Quell-IP-Adressen: Konfigurieren Sie auf dem Router Regeln für den eingehenden Datenverkehr, um nur IP-Adressen aus Ihrer Infrastruktur (Rechenzentrum, Unternehmensnetzwerk) zuzulassen.
-
Zwei-Faktor-Authentifizierung: Aktivieren Sie die 2FA im Eziwan-Portal für die Benutzerkonten für den Fernzugriff.
-
Zeitlich begrenzte Sitzungen: Richten Sie Inaktivitäts-Timeouts für RDP-/VNC-Zugriffe ein (automatische Abmeldung nach 30 Minuten ohne Aktivität).
-
Protokollierung: Aktivieren Sie die Protokollierung aller eingehenden Verbindungen im Eziwan-Portal, um Einbruchsversuche zu erkennen.
Anwendungsfall: Industrieller Fernzugriff über eine feste 4G-IP-Adresse
Ferngesteuerte Wartung von Steuerungen: Ihre Techniker greifen über das TIA Portal oder Unity Pro aus der Ferne auf die Siemens-, Schneider- oder Rockwell-Steuerungen Ihrer Kunden zu – genau so, als befänden sie sich im lokalen Netzwerk des Standorts. Reduzierung der Dienstreisen um 60 bis 80 %.
Standortübergreifende SCADA-Überwachung: Ihr Wonderware-, Ignition- oder WinCC-Server zentralisiert die Überwachung von 50 Industriestandorten, die jeweils mit einem Eziwan-4G-Router mit fester IP-Adresse ausgestattet sind. Eine einzige Schnittstelle für alle Ihre Standorte.
Fernwartung verkaufter Anlagen: Maschinenhersteller (OEMs) bauen einen Eziwan-4G-Router in ihre Anlagen ein, um aus der Ferne auf die bei ihren Kunden installierten Maschinen zugreifen zu können. Proaktiver Kundendienst auf Basis von Echtzeit-Telemetrie.