Accès 5G entre sites avec ZeroTier : prévoir les routes et la reprise
Dernière mise à jour : il y a 6 jours
Un réseau virtuel peut faciliter l'accès à des sites industriels dont l'adresse cellulaire change ou se trouve derrière le NAT de l'opérateur. ZeroTier est une option de réseau superposé. Inscrire deux appareils ne suffit toutefois pas : il faut un plan d'adressage unique, des routes, une politique d'accès, une installation prise en charge par le routeur et une méthode de reprise après panne. Le « faible coût » inclut données, plateforme, exploitation et conséquences des interruptions, pas seulement le prix du matériel.
Dessiner le trajet applicatif avant l'installation
Identifiez l'ingénieur ou client applicatif, la passerelle du site, l'automate ou IHM cible et le sens de chaque flux. Relevez préfixes source et destination, ports autorisés, latence, volume et interruption admissible. Préférez des sous-réseaux uniques par site. Si des machines réutilisent la même plage, prévoyez d'abord renumérotation ou NAT et isolation validés ; le guide des automates ayant la même IP décrit le conflit.
Les nœuds ZeroTier rejoignent un réseau virtuel et reçoivent une configuration de son contrôleur. L'opérateur autorise les membres et distribue adresses ou routes gérées selon le besoin [1]. Une route annoncée dans l'overlay a aussi besoin d'un transfert par le routeur du site et du chemin retour depuis l'équipement de terrain.
Inscrire le routeur ne publie pas tout le LAN et ne sécurise pas automatiquement un service d'automate.
Élément | Question | Preuve de réception |
|---|---|---|
Identité du site | Qui possède adresse virtuelle et préfixe LAN ? | Registre nœud, site, réseau et responsable |
Routeur | Modèle et firmware prennent-ils en charge client et transfert ? | Installation, redémarrage et retour arrière sur le SKU exact |
Accès | Qui atteint quel service de terrain ? | Tâche autorisée réussie ; autres flux bloqués |
Reprise | Que se passe-t-il après panne du cellulaire, de l'overlay ou du contrôleur ? | Horodatage de la première transaction fraîche |
Vérifier la portée à travers le cellulaire et le NAT
NAT de l'opérateur et adresses variables compliquent l'accès entrant. Un overlay initié de l'intérieur peut aider, sans garantir un trajet direct entre tous les pairs. ZeroTier peut passer par un relais lorsque le trajet direct n'est pas possible [1] ; débit et délai dépendent alors du chemin réel. Vérifiez règles de l'opérateur, pare-feu local, connectivité UDP et limites de données. Testez depuis le vrai réseau du technicien, pas uniquement à côté du routeur.
Mesurez l'application aux heures calmes et chargées, puis après bascule SIM ou WAN. Le guide de validation de site 5G/LTE aide à distinguer la radio de l'overlay. En cas de délai, isolez radio, route, relais, VPN et application avant de changer le matériel.
Préserver la frontière OT et la reprise locale
L'overlay protège le transport entre nœuds inscrits ; l'inscription n'autorise pas toute commande d'automate. Limitez membres, routes et règles de pare-feu à la tâche. Attribuez un responsable aux identifiants et retirez les appareils perdus. Conservez sauvegarde de configuration et accès local si compte, contrôleur ou client échoue. NIST SP 800-82 situe l'accès distant dans la sécurité OT [2].
Pilotez un site : version exacte du routeur, autorisation, trajet aller-retour, pare-feu, transaction et journaux. Interrompez ensuite le cellulaire, redémarrez le routeur, retirez un membre de test et simulez une panne de l'overlay. Notez reprise et retour arrière. Comparez matériel, abonnement, données, support et maintenance à la liaison existante.
FAQ
ZeroTier dispense-t-il d'une adresse cellulaire publique ?
Un overlay initié vers l'extérieur peut permettre l'accès sans adresse directement joignable, selon le réseau et le service. Il ne garantit pas un chemin direct ; vérifiez la portée réelle.
ZeroTier résout-il seul des sous-réseaux d'automates superposés ?
Non. Les adresses répétées demandent des identités routables uniques, des domaines séparés ou une traduction vérifiée.
Un routeur industriel prend-il automatiquement ZeroTier en charge ?
Non. Vérifiez modèle, firmware, architecture CPU, installation du paquet, mémoire et mises à jour. « Routeur 5G » ne suffit pas.
Que doit démontrer le pilote ?
Flux applicatif autorisé, autres flux bloqués, trajet aller-retour, reprise après panne, inscription contrôlée et retour arrière local.
