warstw kontroli, zanim pakiet dotknie systemu w centrali
Sieć prywatna dla infrastruktury, która nie może wisieć w internecie
Ruch urządzeń nie dotyka publicznego internetu.
Izolowany prywatny APN dla firm i instytucji. Terminal, licznik, kamera i router dostają adres prywatny, nie publiczny. Do sieci wchodzą karty z listy — a tam, gdzie platforma operatora to potrafi, także związane z IMEI. Dalej jest szyfrowany tunel IPsec do firewalla w centrali, segmentacja i log. To środek pod NIS2 i KSC, nie poświadczenie zgodności.
Integrator · partner Play · tylko B2B · nie jesteśmy operatorem
brak trasy do internetu Tunel SIM / IMEI
- Izolacja
- brak trasy do internetu
- Adres
- prywatny, bez publicznego IP
- Wejście
- lista SIM, wiązanie IMEI
- Tunel
- IPsec do firewalla centrali
Droga pakietu
Od karty do centrali. Internet zostaje za tarczą.
Pakiet idzie siecią radiową operatora do prywatnego APN, a stamtąd zaszyfrowanym tunelem. Próba wejścia z internetu publicznego nie ma dokąd trafić.
sieci operatorów da się spiąć w jeden układ adresowy
polityka na firewallu — także na łączu zapasowym
Kompletne rozwiązanie
SIM + prywatny APN + MDM + sprzęt (Peplink) + wsparcie
Sprzedajemy jeden układ, nie kartę z internetem i konsolę z innej półki. Bez MDM telefon zejdzie na obce Wi-Fi. Bez prywatnego APN konsola zostawia ruch w sieci publicznej.
Ochrona
Sześć warstw, zanim ktokolwiek zobaczy urządzenie.
Lista kart, brak publicznego adresu, segmentacja, tunel, firewall, log. Ustawa zostaje po stronie audytu.
01
Lista SIM i wiązanie IMEI
Do APN wchodzi karta z listy. Tam, gdzie platforma operatora to potrafi, wiążemy ją z IMEI, żeby przeniesienie karty do innego urządzenia nie utrzymało sesji.
02
Brak publicznego IP
Adres jest prywatny. Z internetu nie da się do niego zaadresować pakietu. To nie jest ukryty NAT z dziurą na żądanie.
03
Segmentacja
Licznik nie musi widzieć kamery. Ruch między kartami wycinamy, gdy wariant APN i firewall na to pozwalają.
04
Tunel IPsec / VPN
Odcinek do centrali jest szyfrowany. Izolacja zabiera trasę. Tunel chroni treść w drodze. To nie jest szyfrowanie samej aplikacji.
05
Firewall klienta
Reguła, kto w centrali w ogóle widzi urządzenie, zostaje u Was. Wyjście do internetu — tylko tędy, albo wcale.
06
Logi
Ślad sesji i decyzji jest na firewallu i w narzędziach, które już prowadzicie. APN nie zastępuje SIEM ani obsługi incydentu.
Wiele sieci, jedna polityka
APN Play, Orange, T-Mobile i Plus schodzą się na Waszym firewallu.
Każdy operator kończy własny prywatny APN osobnym tunelem. Plan adresów, reguły i log są wspólne. Router Peplink z kilkoma kartami SIM przełącza obiekt, gdy jedna sieć traci zasięg. Światłowód zostaje łączem głównym, APN i Starlink — zapasem. APN świadczy operator. My to spinamy.
Łącze główne i zapas
Gdy światłowód pada, oddział wraca do tej samej sieci prywatnej.
Ruch zapasowy idzie prywatnym APN (LTE/5G, a w słabym zasięgu także Starlink na Peplinku) do centrali. Internet, jeśli w ogóle jest potrzebny, wychodzi dopiero za firewallem. Oddział nie ma lokalnej ekspozycji.
Zastosowania
Każdy scenariusz ma własną stronę.
Poniższe układy są przykładami poglądowymi, nie referencjami klientów. Na stronie temperatury dostarczamy też same rejestratory.
Terminale POS
Przykład: 50 sklepów. Terminal na ladzie bez życia w internecie.
Liczniki energii
AMI, ciepło, gaz, stacje, OZE. Sektor energii w rozmowie o NIS2.
Liczniki wody
Wodomierze, przepompownie, uzdatnianie, ciśnienie i wycieki.
Telemetria
Rozproszone punkty pomiarowe. To nie jest strona liczników mediów ani IoT ogólnego.
SCADA przemysłowe
Przykład: sterowniki RTU w polu i system nadrzędny w dyspozytorni.
CCTV i ANPR
Przykład: kamery tablic na parkingu. Obraz potrzebuje pasma.
Flota
Przykład: 120 pojazdów w jednej adresacji.
Lokalizatory GPS
Osobno od floty: tracker, CAN, tachograf, alarm kradzieży.
Łącze zapasowe
Światłowód pada. LTE/5G i Starlink wracają do centrali.
Urządzenia IoT
Vending, ładowarki EV, BMS, sterowniki. Obok telemetrii, nie zamiast niej.
Temperatura
Dostarczamy rejestratory z modemem LTE oraz APN, montaż i serwis.
Powiadamianie
Alarmy obiektowe bez publicznego IP. CerberSOS woła ludzi głosem i SMS-em.
Zastosowania
Gdzie karta SIM nie może wisieć w publicznym internecie
Prywatny APN trzyma urządzenie poza publicznym internetem: dostaje adres prywatny, a ruch idzie tunelem do centrali. Efekt techniczny to mniejsza powierzchnia ataku, segmentacja i kontrola ruchu w firewallu centrali — środek izolacji i ograniczenia ryzyka, nie poświadczenie zgodności. Poniżej kategorie urządzeń, które najczęściej tak spinamy (M2M / IoT).
Telemetria i zdalny odczyt
Liczniki energii (AMI)
Zdalny odczyt do systemu bilingowego; SIM w prywatnej adresacji, bez publicznego IP.
Liczniki wody
Telemetria i odczyt, biała lista SIM, segmentacja i log ruchu.
Liczniki gazu
Odczyt z koncentratorów i modemów, prywatna adresacja, firewall w centrali.
Ciepłomierze / liczniki ciepła
Rozliczeniowy odczyt ciepła tunelem do centrali, bez wystawiania w internecie.
Przepływomierze (woda / ścieki)
Stały odczyt przepływu; urządzenie widoczne tylko dla systemu odczytowego.
Poziom w zbiornikach (paliwo / woda / ścieki)
Sondy poziomu meldują do centrali prywatnym kanałem, nie publicznym.
Chłód i temperatura
Lodówki medyczne
Apteki, szpitale, laboratoria, punkty szczepień — ciągły monitoring temperatury do centrali.
Chłodnie spożywcze i łańcuch chłodniczy
Alarmy i odczyt temperatury bez publicznego IP na urządzeniu.
Chłodnie w transporcie (naczepy reefer)
Telemetria chłodni w trasie przez LTE/5G, tunelem do systemu.
Serwerownie (temperatura / wilgotność)
Czujniki środowiskowe raportują do centrali w prywatnej adresacji.
Magazyny i przestrzenie publiczne
Rozproszone czujniki klimatu spięte jednym prywatnym APN.
Jakość powietrza / czujniki środowiskowe
Pomiary do centrali kanałem prywatnym, bez ekspozycji w sieci.
Transport i flota
GPS i telematyka floty
Lokalizacja i dane pojazdów do systemu flotowego tunelem, nie publicznie.
Karetki
Lokalizacja i sprzęt medyczny w izolowanej sieci, strumień do dyspozytorni.
Tachografy / rejestratory
Pobieranie danych zdalnie, urządzenie poza zasięgiem publicznego internetu.
Pojazdy komunalne
Telematyka i czujniki zabudowy spięte prywatnym APN.
Stacje ładowania EV
Ładowarki rozmawiają z backendem tunelem, bez wystawiania panelu w internecie.
Rowery / hulajnogi współdzielone
Flota pojazdów współdzielonych w prywatnej adresacji SIM.
Handel i automaty
Ekspresy do kawy
Telemetria i serwis zdalny automatów bez publicznego IP.
Automaty vendingowe
Stany, płatności i alarmy do centrali prywatnym kanałem.
Terminale POS bez stałego łącza
Płatności przez LTE/5G w prywatnej adresacji, ruch tylko do operatora płatności / centrali.
Parkomaty / automaty biletowe
Rozliczenia i status do centrali tunelem, urządzenie niewidoczne z internetu.
Paczkomaty
Terminale odbioru spięte izolowaną siecią do systemu logistycznego.
Nośniki reklamy DOOH
Zdalne zarządzanie treścią ekranów bez otwierania ich na publiczny internet.
Infrastruktura, przemysł i bezpieczeństwo
Sterowniki PLC / SCADA
Przepompownie, uzdatnianie wody — sterowanie i odczyt w zamkniętej sieci, firewall w centrali.
Stacje transformatorowe / rozdzielnie
Telemetria i zabezpieczenia sieci energetycznej w prywatnej adresacji.
Oświetlenie uliczne (smart lighting)
Sterowniki latarni raportują do centrali prywatnym kanałem.
Fotowoltaika / inwertery
Monitoring produkcji i serwis zdalny bez publicznego IP na inwerterze.
Kamery CCTV / ANPR i dozór wizyjny
Dozór obiektów: kamery w prywatnej adresacji, strumień do centrali/rejestratora tunelem IPsec — rejestrator i kamery nie są wystawione na publiczny internet.
Szlabany, kontrola dostępu, alarmy, windy
Kontrola dostępu, systemy alarmowe i telemetria wind spięte izolowaną siecią do centrali.
To kategorie zastosowań, nie referencje imienne. Realne wdrożenia z nazwą podajemy wyłącznie jako [do potwierdzenia]. Sieć świadczy operator — my projektujemy i integrujemy prywatny APN oraz tunel; nie jesteśmy operatorem.
06 — NIS2 i KSC
Mniejsza powierzchnia ataku dla podmiotów, które ustawa już dotyczy — albo dopiero sprawdzi.
Prywatny APN zmniejsza ekspozycję i daje zapasową drogę do sieci, którą już kontrolujecie. Nie rozstrzyga, czy podlegacie ustawie.
Nie stwierdzamy, czy organizacja jest podmiotem kluczowym albo ważnym, i nie wystawiamy atestu. Kwalifikację i audyt prowadzą osoby od cyberbezpieczeństwa.
Powiązane rozwiązania
Ta sama spółka
07 — Pytania
Krótko, zanim wyślecie zapytanie.
Czy ruch z kart wychodzi do internetu?
W układzie, który wdrażamy domyślnie, nie. Urządzenie zostaje w prywatnej adresacji. Wyjście do internetu dodajemy tylko wtedy, gdy aplikacja tego wymaga, i prowadzimy je przez firewall w centrali.
Czym to się różni od VPN na laptopie?
VPN na laptopie chroni sesję człowieka, który i tak korzysta z internetu. Prywatny APN zmienia drogę karty SIM: terminal, licznik albo sterownik nie dostaje trasy do sieci publicznej.
Czy World Support Service jest operatorem?
Nie prowadzimy sieci radiowej. Usługę komórkową świadczy operator. Jesteśmy partnerem Play i integratorem: projekt, dobór kart i urządzeń, tunel do centrali, uruchomienie.
Czy karta dostaje stały prywatny adres?
Tak ustawiamy urządzenia, które centrala ma rozpoznawać po adresie: terminale, liczniki, kamery, sterowniki. Potwierdzamy to w projekcie. Nie zgadujemy tego z nazwy taryfy.