定义
VPDN（Virtual Private Dial-up Network，虚拟专用拨号网络）是一种基于运营商蜂窝网络的虚拟专用网技术。物联网卡通过 VPDN 接入时，数据经运营商专用通道（L2TP、GRE 等隧道）传输至企业内网或指定服务器，与公网隔离。可配置固定 IP、IP 白名单、访问控制，保障数据安全、满足等保、HIPAA、GSP 等合规要求。
VPDN 与专用 APN 配合使用，实现终端与平台间的逻辑隔离。适用于对数据安全、网络隔离有明确要求的行业场景。
技术特点
VPDN 采用隧道加密，数据不经过公网。支持固定 IP 分配，便于平台侧防火墙配置。可与 VPN、TLS 等叠加使用增强安全。物联网卡需开通 VPDN 功能，与企业侧 LNS（L2TP 网络服务器）或运营商网关对接。
应用场景
VPDN 广泛应用于智慧医疗、智慧电网、智能制造、智慧药监、政务等对数据安全要求高的场景。医疗 HIS、PACS、电网 SCADA、工业 MES、药监追溯等需专网隔离。达希物联为上述场景提供 VPDN 配置、专用 APN、实名认证一站式服务。
隧道终点决定流量停在哪一侧
虚拟专用拨号网络的技术含义，是物联网卡附着之后，用户面被送进运营商到企业之间的隧道，从企业侧的隧道终点出来，进入企业地址空间。常见隧道是二层隧道或通用路由封装。终端拿到的地址来自企业规划的池子或固定分配，平台用这个内网地址访问设备，设备也用它访问内网服务器。公网上看不到这张卡的业务地址。隧道没有建立成功时，附着仍可能显示正常，业务流量却到不了企业防火墙后面的服务器。
隧道终点、地址池和卡上的接入配置必须是同一份开通单上的三项。终点地址或账号变更后，旧隧道会在运营商侧留下半开会话：模组反复拨号，企业侧看不到对端。地址池若和企业办公网、车间网重叠，隧道里的设备地址会和现场电脑冲突，路由时通时断。域名解析若仍指向公网递归服务器，业务地址虽然是内网，设备却先要离开专网才能解析名字，解析失败会被误判成隧道中断。
固定地址、认证与访问控制一起生效
需要平台主动连接设备时，才有必要为卡分配固定内网地址，并把该地址写进防火墙允许的范围。只分配地址、不放通端口，设备在线而业务仍被拒绝。只放通端口、地址每次变化，规则会在下次附着后失效。认证要在隧道建立时完成，账号、域名和共享密钥与企业侧网关一致；卡侧多一个空格或域名写错，失败原因往往只表现为超时。访问控制宜按设备组而不是按整段地址放通，避免一台被调走的卡仍能访问全部内网。
隧道把流量从公网地址空间隔开，并不自动等于载荷已经加密。没有额外的安全封装时，隔离的是路径，敏感业务仍应在应用层做加密。最大传输单元要减去隧道开销，否则小报文正常、大报文沉默，固件升级和证书下发会卡在半路，日常心跳却一直成功。与APN的关系是：接入点决定进哪张网，虚拟专用拨号网络决定这张网的用户面落在企业隧道里。两者都要开通，改其中一个名字不会生成另一个。
只改了接入点名称的表象
现场最容易停在“卡里已经写上专网接入点，所以应该安全了”。接入点若只是一个仍走出公网的名字，报文的下一跳仍是公网网关，企业防火墙里不会出现这台设备。判断方法是看设备拿到的地址是否属于约定的内网段，以及企业侧隧道监控里是否有对应会话，而不是只看模组附着灯。反向也存在：隧道会话还在，卡已经被停机或欠费，会话变成空壳，新的附着进不来，旧会话要等超时才消失。
多张卡共用一个账号并且地址池太小，后上线的设备会挤掉先上线的地址，平台仍按旧地址下发指令，指令落到另一台设备上。按区域限制漫游后，设备运到另一省会附着失败，若失败策略是回退到公网接入点，专网等于被静默绕开。和等保相关的网络边界，要能说明用户面终止在企业侧的哪一台网关，以及日志能否按卡识别码检索到这次会话。说不清终止点的“专网”，在检查时只能被看成一条普通蜂窝上网。
企业侧看到隧道会话之后，还要核对会话里的地址是不是这张卡约定的那个地址。地址对了、端口没放通，业务仍然连不上，反复重启模组也找不到原因。密钥或证书轮换应分批进行，全部卡在同一分钟重拨时，隧道终点的会话会被占满，后拨的设备附着成功却分不到地址。分不到地址时若自动改走公网接入点，监控里会短时间还留着专网会话，业务却已经从另一出口出去。附着日志里应记下这次使用的接入点名称，事后才能确认没有走错。