インターネットに繋がらないSIMで安全にリモートアクセスしてみる

はじめに

遠隔地に設置してあるネットワーク対応の機器（無人の太陽光発電設備や監視カメラなど）にアクセスしたい場合はどのようにするでしょうか。
よく使われる方法は、その機器にグローバルIPアドレスを付与し、遠隔地からインターネット経由でそのグローバルIPアドレス宛に通信を行う方法です。

しかし、この方法はいくつかの課題があります。

1点目は、セキュリティです。
グローバルIPアドレスを付与した機器はそのままだとインターネット側から誰でもアクセスできる状態になってしまうため、不正アクセスを防ぐためのセキュリティ対策が必須になります。

2点目は、グローバルIPアドレスの枯渇の問題です。
IPv4のグローバルIPアドレスは枯渇が叫ばれてからそれなりに時間が経過しており、いつまで取得が続けられるか不明確です。
現時点でも大量のグローバルIPv4アドレスの取得は困難である場合もありますし、また取得のための単価も徐々に上がってきています。

これらの課題を解決し、かつ簡単に導入できる手段として、IIJでは閉域網を使用して通信ができるSIM（以下「閉域SIM」）を提供しています。

「閉域SIM」とは？

一般的に、データ通信用のSIMと言えば、インターネットにアクセスするためのSIMのことを指します。

それに対して、閉域SIMとはインターネットではなく自分専用の閉域網（インターネットとは隔離されたプライベートなIPネットワーク）に接続するためのSIMです。
閉域網とは、インターネットに接続されていない社内LANのようなものだとお考えください。

インターネットに接続していないので、そもそもインターネット側から悪意のある第三者がアクセスすることはできません。

また、弊社の閉域SIMの特徴として、SIM間で通信が可能、という点です。
これは、複数の閉域SIMを同じ閉域網に接続するようなネットワーク構成になるためです。

これにより、遠隔地に設置してある閉域SIMを挿した機器に対して、別の閉域SIMを使って（インターネットを経由しないで）アクセスできる、ということになります。
もちろん、1対1だけでなく多対多での双方向通信も可能です。
すごい便利！

ちなみに、閉域SIMにもいくつか不便な点もあります。
1点目がコストです。
自分専用の閉域網を持つことになりますので、SIMの通信料とは別にその分のコストが上乗せになります。

2点目は、自分専用の閉域網にしかアクセスできないこと、つまりそのままではインターネットに出ていくことができない点です。
こちらは、閉域網にインターネットへの出入口（ゲートウェイ）を設けてあげればインターネットにアクセスできるようになります。（ただし、コストはさらに嵩みます。）

メリット

• インターネットを経由しないで遠隔地の機器にアクセスができる。
• 既存のネットワーク（社内LAN、工場内LAN、等）に影響を与えない。

デメリット

• 専用の閉域網の構築・維持にコストがかかる
• そのままではインターネットに出ていくことができない。

実際に通信してみる

こちらが「閉域SIM」です。見た目的にも物理的にも普通の（インターネットに接続できるデータ通信用の）SIMと全く同じですが、このSIMに関しては自分専用の閉域網にしかアクセスできません。

遠隔地側の機器です。

上記の閉域SIMを挿した Armadillo-IoT G4（Linux搭載のIoTデバイス）にUSBカメラを接続して、MediaMTX で映像を配信できるようにしてあります。
この機器はIIJのオフィスの窓際に設置し、カメラで窓の外を撮影します。

手元の機器です。

閉域SIMを挿したLTEのUSBドングルをPCに接続してあります。
このPCはリモートワーク中の執筆者自宅から使用します。

ネットワーク全体の構成は以下の通りです。
閉域網は 172.16.11.0/24 というアドレス帯を使用しており、PCには 172.16.11.6 、Armadillo-IoT（カメラ）には 172.16.11.5 というIPアドレスをそれぞれ割り当てています。簡単に言うと、モバイルネットワークを介してプライベートIPアドレスを使用したLANを組んでいるようなものです。
※172.16.11.0/24 は RFC1918 で定義されたプライベートアドレス帯であり、インターネット上ではルーティングされません。
※172.16.11.5、172.16.11.6は説明用のアドレスを使用しています

手元のPCでブラウザを開いて、遠隔地のカメラにアクセスしてみます。URLにはArmadillo-IoTのプライベートIPアドレスを入力しています。

問題なくアクセスできました。

続いて、SSHでArmadillo-IoTにアクセスしてみます。こちらも宛先はプライベートIPアドレスを使用しています。

こちらも問題なくアクセスできました。

ついでに、SSHで入ったArmadillo-IoT内部から、手元のPCに向けてpingを打ってみます。

ちゃんと逆方向の通信もできましたね。
なお、Armadillo-IoTからPCまでモバイルネットワークを2回経由しますので、通信速度はあまり速くないのが正直なところです。

このとおり、SIMを使用した機器同士で閉域網内で通信できることがご理解できたかと思います。
（閉域SIMで通信しているとは言え、要はプライベートなLANの中の機器にアクセスしているだけなので、映像はちょっと地味ですね 笑）

最後に

今回は閉域SIMを利用して、モバイルネットワーク上に構築した閉域網内で機器同士が直接通信できることを確認しました。
IIJでは閉域SIM以外にも、用途に応じて利用できるリモートアクセス手段を提供しています。
要件によって適した構成は異なるため、閉域SIMを含めた選択肢の一つとして参考になれば幸いです。

IIJ IoTサービス プライベートモバイルゲートウェイ
（シンプルな機能を安価で提供する閉域SIM。IoTサービスが提供する各種プラットフォーム機能も利用可能。）
IIJモバイル大規模プライベートゲートウェイサービス
（大規模かつ高機能を提供する閉域SIM。）
サービスメニュー・料金 – IIJ IoTサービス