Qu’est-ce qu’un ePDG en télécommunications ?
Dans l’architecture 4G, l’ePDG est le point d’entrée de l’accès non 3GPP non fiable, dont le cas typique est le Wi-Fi public ou domestique. L’opérateur ne contrôle pas ces réseaux : leur trafic ne peut donc pas être traité comme celui de ses propres stations de base. L’ePDG se place à la frontière : le téléphone établit un tunnel chiffré vers lui, l’opérateur vérifie l’identité de l’abonné, et ce n’est qu’ensuite que la session est transmise au cœur de réseau.
Le résultat concret, ce sont les appels Wi-Fi (VoWiFi) : la voix et les SMS sur le numéro de l’abonné, via n’importe quel réseau Wi-Fi, sans application séparée. Selon le glossaire de VAS Experts, la VoWiFi sur un Wi-Fi non fiable ne peut pas être correctement mise en œuvre dans une architecture LTE sans ePDG. Pour une définition courte, consultez l’entrée du glossaire consacrée à l’ePDG.
Les opérateurs déploient un ePDG pour plusieurs raisons : assurer le service voix là où la couverture cellulaire est faible ou absente (habitations isolées, nouveaux quartiers, immeubles de grande hauteur, grands bureaux et centres commerciaux), réduire les coûts de trafic des MVNO et offrir l’itinérance via le Wi-Fi.
Fonctionnement du service ePDG
Un service ePDG se déroule en quatre étapes :
- Le téléphone se connecte à un réseau Wi-Fi disponible.
- Il établit un tunnel sécurisé vers l’ePDG. Le téléphone utilise pour cela un mécanisme intégré, et le tunnel est transparent pour le point d’accès Wi-Fi local.
- L’abonné est authentifié par sa SIM auprès du serveur AAA de l’opérateur.
- La voix et le trafic de l’utilisateur entrent dans le cœur de l’opérateur et transitent par l’EPC à la manière d’une session LTE.
Les appels peuvent basculer entre Wi-Fi et LTE (handover) avec une interruption minime, voire nulle. La VoWiFi et la VoLTE reposent sur le même cœur de réseau et utilisent les mêmes codecs HD.
Architecture de l’ePDG
Un ePDG est une passerelle entre trois groupes de nœuds.
Côté abonné. Le téléphone (UE) se connecte via n’importe quel point d’accès Wi-Fi. L’ePDG termine le tunnel IPsec et utilise IKEv2 pour la négociation des clés. Un tunnel distinct est créé pour chaque session de réseau de données par paquets (PDN).
Côté authentification. L’ePDG s’appuie sur le serveur 3GPP AAA de l’opérateur, qui vérifie la SIM. L’authentification utilise EAP-AKA : l’identification est donc liée à la SIM, comme sur le réseau mobile. Les données AAA peuvent aussi alimenter les décisions de QoS.
Côté cœur de réseau. Après l’authentification, l’ePDG établit la session avec la passerelle de paquets (PGW), et le trafic poursuit son chemin dans l’EPC. Les règles de politique et de taxation sont généralement appliquées par le PGW et le PCRF, et non par l’ePDG seul. Pour la voix, la session atteint le sous-système IMS de la même manière qu’une session VoLTE.
IPsec est gourmand en ressources : le nœud chiffre et déchiffre chaque tunnel. Il vaut donc mieux tester tôt le débit et la latence sous charge de chiffrement plutôt que de les supposer.
La différence entre ePDG et PGW est une source fréquente de confusion. Le PGW relie le cœur mobile aux réseaux IP externes et à Internet. L’ePDG fournit à l’abonné un accès sécurisé à ce cœur via le Wi-Fi et d’autres réseaux non 3GPP. Le PGW gère la connexion sortante vers les réseaux de données, l’ePDG l’accès entrant sécurisé via des accès alternatifs. VAS Experts développe également un PGW, et les deux nœuds fonctionnent ensemble dans une chaîne VoWiFi.
Interfaces de l’ePDG
Le tableau présente les principaux points de référence d’un ePDG. Les noms sont issus des spécifications 3GPP.
| Interface | Relie | Rôle |
| SWu | UE et ePDG | Tunnel IPsec/IKEv2 depuis le téléphone ; transporte l’échange EAP-AKA |
| SWm | ePDG et serveur 3GPP AAA | Authentification et autorisation de l’abonné, ainsi que les données d’abonnement |
| S2b | ePDG et PGW | Achemine la session de l’abonné de l’ePDG vers le cœur de paquets (le 3GPP définit des variantes basées sur GTP et sur PMIPv6 ; vérifiez laquelle le fournisseur prend en charge) |
| S6b | PGW et serveur 3GPP AAA | Authentification et autorisation liées à la mobilité pour l’accès non 3GPP. Le PGW informe le serveur AAA de la session et peut récupérer un profil QoS statique lorsque le contrôle dynamique des politiques n’est pas utilisé. L’ePDG n’utilise pas S6b directement, mais cette interface fait partie de la chaîne VoWiFi. Le PGW enregistre aussi son adresse auprès du serveur AAA et du HSS via S6b : après un passage du Wi-Fi au LTE, le réseau sélectionne ainsi le même PGW et le téléphone conserve son adresse IP. |
| SWn | Accès IP non 3GPP non fiable et ePDG | Chemin entre le réseau d’accès Wi-Fi non fiable et l’ePDG. Le trafic d’un tunnel initié par le téléphone doit être obligatoirement dirigé vers l’ePDG, qui le termine |
Deux remarques sur ce tableau. Le serveur AAA interroge à son tour la base de données des abonnés (HSS) via l’interface SWx : la vérification de la SIM aboutit donc aux propres données de l’opérateur. Par ailleurs, dans l’architecture 3GPP standard, la signalisation IMS ne se termine pas sur l’ePDG lui-même. Elle passe par le tunnel et le PGW jusqu’au cœur IMS ; c’est pourquoi l’intégration IMS concerne toute la chaîne, et pas seulement l’ePDG.
Intégration de l’ePDG au cœur IMS
La VoWiFi, comme la VoLTE, est un service IMS. L’ePDG fournit l’accès sécurisé ; le cœur IMS assure l’enregistrement, le contrôle des appels et le service voix lui-même. Pour un opérateur, l’intégration au cœur IMS implique de vérifier plusieurs points à la fois :
- Intégration au cœur de réseau et à l’IMS. L’ePDG est normalement intégré à l’EPC, au sous-système IMS et aux nœuds d’itinérance.
- Parité de la voix avec la VoLTE. Le même cœur de réseau et les mêmes codecs HD, afin que l’abonné ne remarque pas quel accès est utilisé.
- Handover. Les appels basculent entre Wi-Fi et LTE sans interruption.
- Appels d’urgence. En l’absence de couverture cellulaire, le téléphone peut acheminer l’appel d’urgence via le Wi-Fi, et l’abonné doit tout de même pouvoir joindre les services d’urgence locaux.
- Configuration de la SIM. La SIM doit contenir les paramètres corrects pour les services IMS, y compris le domaine de l’ePDG.
De nombreux opérateurs lancent la VoWiFi une fois la VoLTE en service, car l’infrastructure et les processus de déploiement sont similaires. L’ePDG est aussi déployé dans des zones totalement dépourvues de couverture 2G/3G/LTE, pour fournir un service voix là où le déploiement cellulaire est incomplet.
À quoi ressemble un lancement réel
La passerelle est la partie que l’on peut tester en laboratoire. Les téléphones, la SIM et le domaine sont plus délicats. L’étude de cas de VAS Experts avec le MVNO Miatel, devenu début 2025 le premier opérateur à lancer commercialement les appels Wi-Fi sur Stingray ePDG, montre où le temps a été consacré :
- Le domaine de l’ePDG. L’obtention du domaine du service ePDG auprès de la GSMA a pris beaucoup de temps et a nécessité des relances répétées.
- Le certificat de sécurité. Il ne fonctionnait pas correctement au départ, et l’opérateur et le fournisseur ont dû régler les détails ensemble.
- La SIM et le téléphone. Une fois la SIM configurée, le téléphone ne reconnaissait pas le nouveau domaine enregistré sur la SIM et refusait de se connecter. La résolution a exigé d’examiner Android, les configurations des fabricants et le modem du téléphone.
- Paramètres propres à chaque appareil. Certains modèles de téléphone peuvent être configurés, d’autres non. Il n’existe pas de méthode universelle : chaque modèle demande sa propre approche, et travailler directement avec les fabricants de téléphones est la voie praticable.
La leçon pour la planification : construisez le calendrier VoWiFi autour de la SIM, du domaine et de la liste des appareils, et pas seulement autour de la passerelle.
Comment choisir un fournisseur d’ePDG
Les listes de fonctionnalités se ressemblent d’un fournisseur à l’autre, puisque la plupart prennent en charge les bases du 3GPP. Les questions qui les distinguent sont d’ordre pratique. Utilisez cette liste de contrôle et demandez à chaque fournisseur des preuves, pas des promesses.
Normes et sécurité
- Prend-il en charge IPsec/IKEv2 côté SWu et l’authentification EAP-AKA, avec un tunnel par session PDN ?
- Quelles releases et interfaces 3GPP (SWu, SWm, S2b) implémente-t-il, et existe-t-il une fiche technique qui les énumère ?
Intégration
- A-t-il déjà été intégré à un cœur IMS et à un EPC comparables aux vôtres, et avec quels nœuds AAA et PCRF ?
- Comment se comporte le handover entre Wi-Fi et LTE, et les mêmes codecs HD qu’en VoLTE sont-ils utilisés ?
- Comment les appels d’urgence sont-ils gérés ?
Performances et montée en charge
- Comment monte-t-il en charge, et quelle est la charge de chiffrement par nœud ? Demandez des résultats de tests sur votre profil de trafic, et pas seulement un chiffre phare.
- Peut-il fonctionner sur du matériel standard ou nécessite-t-il une plateforme propriétaire ?
Contrôle opérationnel
- Est-il possible de limiter la connexion à certains hotspots Wi-Fi ou de laisser le choix à l’abonné ?
- Quels paramètres de QoS peuvent être pilotés à partir des données AAA ?
Mise en œuvre et preuves
- Le fournisseur peut-il présenter un déploiement commercial chez un opérateur de votre type (MNO ou MVNO) et décrire les difficultés rencontrées en cours de route ?
- Qui se charge de la configuration de la SIM, de la demande de domaine ePDG, du certificat et des tests appareil par appareil, et quelle expérience le fournisseur a-t-il avec des fabricants de téléphones qui répondent lentement aux demandes d’un petit opérateur ?
- Pouvez-vous tester le produit sur votre propre équipement avant de signer un contrat ?
Pérennité du fournisseur
- Le produit est-il activement développé ? Vérifiez l’historique des versions et la documentation datée, pas seulement la page produit.
- À quoi ressembleront le support et la feuille de route pour les trois à cinq prochaines années ?
Un plan de test court est utile à ce stade. Demandez un essai sur votre propre équipement, testez l’enregistrement IMS et le handover sur la liste réelle des modèles de téléphone ciblés, et comparez seulement ensuite les conditions commerciales.
L’ePDG de VAS Experts
VAS Experts développe son propre ePDG logiciel, Stingray ePDG, dans le cadre de son offre destinée aux opérateurs et aux MVNO. La page produit décrit l’authentification SIM par EAP-AKA, les tunnels IPsec/IKEv2 par session PDN, la QoS basée sur les informations AAA, le handover entre Wi-Fi et LTE et le contrôle par l’opérateur du choix des hotspots Wi-Fi. La solution VoLTE et VoWiFi y ajoute l’intégration IMS et l’expertise en configuration des SIM. Une fiche technique et une présentation du produit sont disponibles en téléchargement, et le produit peut être testé sur l’équipement de l’opérateur, le contrat n’étant signé qu’après un essai concluant.
FAQ
Qu’est-ce qu’un ePDG, en termes simples ?
C’est une passerelle sécurisée entre un téléphone connecté en Wi-Fi et le réseau mobile de l’opérateur. Elle permet aux abonnés d’utiliser les services voix et SMS en toute sécurité via n’importe quel réseau Wi-Fi.
Quels protocoles et quelle authentification un ePDG utilise-t-il ?
IPsec sécurise le tunnel et IKEv2 négocie les clés. Les abonnés sont authentifiés par EAP-AKA, qui s’appuie sur les données de la SIM.
Un ePDG nécessite-t-il que la VoLTE soit déjà déployée ?
L’ePDG fonctionne avec l’EPC (et avec le 5GC via un SMF/PGW-C combiné) et le sous-système IMS, pas avec les stations de base. De nombreux opérateurs lancent tout de même la VoWiFi sur un déploiement VoLTE existant, car l’infrastructure est similaire, mais ce dont la VoWiFi a réellement besoin, c’est d’un cœur IMS : validez donc l’architecture IMS cible avec votre fournisseur.
Quelle est la différence entre ePDG et PGW ?
Le PGW relie le cœur mobile aux réseaux IP externes et à Internet. L’ePDG fournit un accès sécurisé à ce cœur depuis le Wi-Fi et d’autres réseaux non 3GPP. Lors d’une session VoWiFi, le trafic passe par les deux.
L’ePDG est-il réservé aux grands opérateurs ?
Non. Un MVNO de taille locale, Miatel, a été le premier opérateur à lancer commercialement les appels Wi-Fi sur Stingray ePDG.
