OpenVPN per il settore industriale: la VPN che semplifica l'accesso remoto OT

· 10 minuti di lettura
10 min read
Team Eziwan
Team Eziwan
Infrastruttura IoT

I tecnici industriali impiegano in media 2,3 ore di spostamento per ogni intervento su un'apparecchiatura remota. Una VPN affidabile cambia radicalmente la situazione. Ma non tutte le VPN sono uguali — e OpenVPN rimane lo standard affidabile e universale per gli ambienti OT.

I criteri di una VPN industriale​

In uno stabilimento o in un sito isolato, una VPN deve soddisfare requisiti che non si riscontrano nell'ambito dell'informatica d'ufficio:

  • Attraversamento di firewall e NAT degli operatori: su una connessione 4G, l'indirizzo è privato e si trova dietro il NAT dell'operatore. La VPN deve essere in grado di stabilirsi utilizzando solo la porta in uscita, senza porta in entrata.
  • Riconnessione dopo un'interruzione di rete: il sistema di supervisione SCADA funziona ininterrottamente; il tunnel deve ristabilirsi rapidamente dopo un cambio di SIM.
  • Sicurezza verificata e revocabile: crittografia avanzata, autenticazione reciproca, revoca individuale degli accessi per la conformità alle norme NIS2 / IEC 62443.
  • Semplicità di implementazione: nessuna configurazione di rete manuale in ogni sito.

OpenVPN: lo standard collaudato​

OpenVPN è un protocollo open source che si è evoluto nel corso di oltre 20 anni, diventando uno standard di fatto per l'accesso remoto sicuro. Si basa sullo stack TLS/SSL e soddisfa tutti i requisiti del settore.

La crittografia di OpenVPN​

  • Crittografia: AES-256-GCM (AEAD — crittografia autenticata)
  • Autenticazione: certificati X.509, con TLS reciproco (ogni estremità dimostra la propria identità)
  • Integrità: SHA-256
  • Trasporto: UDP 1194 o TCP 443 (configurabile)

Il vantaggio decisivo: il superamento dei firewall​

È proprio qui che OpenVPN fa la differenza sul campo: è in grado di incapsulare il tunnel in TLS sulla porta TCP 443 — la stessa porta utilizzata da HTTPS. Di conseguenza, riesce a superare i blocchi che impediscono il passaggio ad altri protocolli: firewall degli operatori, proxy aziendali, ispezione dei pacchetti (DPI). Dal lato del sito, non sono necessari né un IP pubblico né una porta in entrata: il gateway avvia la connessione in uscita.

Prestazioni su apparecchiature industriali​

Ecco un benchmark effettuato sul Gateway Eziwan (processore ARM Cortex-A7, 1 GHz):

ProtocolloVelocità crittografataRiconnessioneAttraversamento firewall
OpenVPN (AES-256-GCM)~45 MbpsVeloce (persist-tun)Eccellente — TCP 443
IPSec IKEv2 (AES-256)~90 MbpsQuasi trasparente (MOBIKE)Media (NAT-T)
L2TP / PPTPVariabileLentaVariabile

In pratica, una velocità di pochi Mbps è più che sufficiente per la raccolta dati Modbus, la telemetria MQTT e l'accesso remoto a un PLC. Il criterio decisivo non è la velocità lorda, ma l’affidabilità della creazione del tunnel — ed è proprio questo il punto di forza di OpenVPN.

Implementazione con topologia hub-and-spoke industriale​

Per una rete di siti industriali, la topologia hub-and-spoke è quella più diffusa:

Ogni sito dispone di un proprio Gateway Eziwan con un certificato X.509 unico. Il concentratore (ospitato presso Eziwan o nella vostra infrastruttura) gestisce le connessioni di tutti i siti.

Configurazione sul gateway Eziwan​

Tramite l'interfaccia cloud Eziwan, la configurazione si riduce a:

  1. Assegnare un nome al tunnel (vpn-paris-usine-01)
  2. Selezionare il concentratore (vpn.eziwan.com o il proprio endpoint)
  3. Definire la rete locale da annunciare (192.168.1.0/24)
  4. Attivare il tunnel

Eziwan genera automaticamente il certificato client e configura l'hub. Non è necessario gestire manualmente la PKI, né rinnovare manualmente i certificati.

Configurazione manuale (per i puristi)​

Se preferite avere tutto sotto controllo, ecco il profilo OpenVPN sul lato del sito remoto:

client
dev tun
proto udp
remote vpn.votre-infra.com 1194
remote-cert-tls server
cipher AES-256-GCM
auth SHA256
keepalive 10 60          # ping 10 s, riavvio dopo 60 s
persist-tun
# percorsi di rete inviati dal server: 10.10.0.0/16, 192.168.0.0/16
<ca>...</ca>
<cert>...</cert>
<key>...</key>

L'keepalive 10 60 è importante in 4G: i NAT degli operatori chiudono le connessioni UDP inattive dopo 30–60 secondi. Questo ping regolare evita la riconnessione.

Maggiore sicurezza per gli ambienti OT​

Segmentazione della rete OT/IT​

OpenVPN con Eziwan consente una segmentazione rigorosa:

  • Il tunnel espone solo le sottoreti esplicitamente instradate (direttive route)
  • Il traffico OT (Modbus, DNP3) non viene mai instradato verso Internet, ma passa esclusivamente attraverso il tunnel crittografato
  • I controllori logici non possono avviare connessioni verso Internet
  • Ogni tecnico dispone di un proprio certificato con le proprie autorizzazioni

Autenticazione tramite certificato X.509​

A differenza delle VPN basate su una semplice password, OpenVPN si avvale di certificati X.509 con TLS reciproco. Risultato:

  • Nessun attacco di forza bruta alle password
  • Nessun phishing delle credenziali
  • Revoca immediata dell'accesso: inserimento del certificato nella CRL sul concentratore

Zero Trust e log di audit​

Eziwan registra ogni connessione VPN indicando:

  • Ora di connessione/disconnessione
  • Indirizzo IP di origine
  • ID del gateway e del tecnico
  • Volume di dati trasferiti

Questi log sono consultabili dalla piattaforma cloud ed esportabili per i vostri audit di sicurezza.

Caso d'uso: accesso remoto a un PLC Siemens S7​

Scenario tipico: il vostro controllore S7-1200 si trova sulla rete 192.168.1.0/24 della sede di Lione. Voi siete in ufficio a Parigi.

Senza Eziwan: intervento in loco oppure configurazione di un port forwarding rischioso sul router della sede (HTTPS 443 → porta 102 S7 — esposizione diretta su Internet).

Con Eziwan:

  1. VPN OpenVPN sempre attiva tra la sede di Lione e il vostro ufficio
  2. Da TIA Portal, inserite 192.168.1.10 (IP locale del PLC)
  3. La connessione passa attraverso il tunnel crittografato — il PLC risponde come se foste in locale
  4. Nessuna porta aperta su Internet, nessuna esposizione

Tempo di configurazione: 15 minuti. Costo di un intervento evitato: 450 €.

Confronto finale: quale VPN scegliere?​

CriterioOpenVPNIPSec (IKEv2)L2TP / PPTP
Superamento del firewall⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Riconnessione rapida⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Sicurezza / crittografia⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Semplicità di configurazione⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Certificazioni (FIPS)⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐
Compatibilità con i sistemi legacy⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐

Per la maggior parte delle implementazioni industriali, OpenVPN è la scelta predefinita: universale, verificabile e in grado di superare tutti i firewall. IPSec (IKEv2) subentra in ambienti regolamentati (FIPS 140-2) o quando è richiesta una riconnessione totalmente trasparente durante il failover Dual SIM. Eziwan supporta entrambe le soluzioni.

Conclusione​

OpenVPN non è il protocollo più recente, ma è il più robusto e universale: crittografia AES-256-GCM, autenticazione reciproca tramite certificato e, soprattutto, una capacità di attraversare i firewall senza pari grazie al trasporto TCP 443. Per il settore industriale, il suo vantaggio più prezioso rimane la capacità di stabilire un tunnel da qualsiasi rete 4G, senza alcuna porta esposta.

Il Gateway Eziwan attiva OpenVPN per impostazione predefinita su tutte le nuove installazioni. In 15 minuti, il vostro sito industriale è accessibile da remoto in modo sicuro, senza alcuna porta aperta su Internet.

Perché una VPN destinata al grande pubblico non è adatta al settore industriale​

La popolarità delle VPN destinate al grande pubblico (NordVPN, Proton VPN e simili) crea spesso confusione tra i responsabili delle decisioni: «Abbiamo già una VPN». Tuttavia, questi servizi rispondono a un’esigenza radicalmente diversa — rendere anonima la navigazione di un utente — e mancano di tutto ciò che caratterizza una VPN industriale:

  • Nessuna connessione site-to-site: collegano un utente a Internet, non una rete di dispositivi a una piattaforma di monitoraggio.
  • Nessun certificato per i dispositivi: l’autenticazione è legata a un account personale, impossibile da implementare su un router all’interno di un armadio elettrico.
  • Nessun attraversamento CGNAT controllato: su un collegamento 4G industriale, l’apparecchiatura si trova dietro il NAT dell’operatore; solo un tunnel avviato in uscita dall’apparecchiatura (OpenVPN su UDP 1194 o TCP 443) funziona in modo affidabile.
  • Nessuna registrazione di audit: nessuna traccia utilizzabile per un audit NIS2 o IEC 62443.
  • Nessuna segmentazione: impossibile limitare un fornitore di servizi a un singolo PLC.

Il ruolo di una VPN industriale è ben definito: crittografare i flussi tra le sedi e il cloud, autenticare ciascuna estremità tramite certificato X.509 e trasmettere dati Modbus, S7 o OPC-UA senza mai esporli su Internet. Si tratta di un elemento fondamentale dell'infrastruttura, non di un servizio di anonimizzazione.

Lista di controllo per l'implementazione di una VPN industriale OpenVPN​

  1. Direzione della connessione: tunnel avviato dal gateway del sito, nessuna porta in entrata aperta sul firewall.
  2. Protocollo di trasporto: UDP 1194 per impostazione predefinita, con ripiego su TCP 443 per attraversare le reti più restrittive.
  3. Crittografia: AES-256-GCM, TLS 1.2 come minimo, algoritmi obsoleti disabilitati (DES, RC4, MD5).
  4. Autenticazione: certificato X.509 unico per ogni dispositivo — mai chiavi condivise tra siti.
  5. Account utente: MFA obbligatoria, un account nominativo per ogni tecnico, nessun account condiviso.
  6. Privilegio minimo: accesso per dispositivo e per fascia oraria, nessun accesso permanente a «tutta la rete».
  7. Revoca: procedura collaudata (cessazione di un fornitore di servizi, smarrimento di un dispositivo) e rotazione pianificata dei certificati.
  8. Registrazione: tracciamento di ogni sessione (chi, quando, quale dispositivo, durata) e registri esportabili per l’audit.

Domande frequenti​

WireGuard è più sicuro di OpenVPN per un'implementazione industriale? WireGuard presenta una superficie di attacco nettamente inferiore (~4.000 righe di codice contro le ~100.000 di OpenVPN), il che riduce il rischio di vulnerabilità sfruttabili. Tuttavia, OpenVPN vanta una storia di audit di sicurezza molto più lunga ed è più facilmente verificabile dagli organismi di certificazione. Per gli ambienti che richiedono la certificazione FIPS 140-2, IPSec/IKEv2 rimane lo standard di riferimento. Per la maggior parte delle implementazioni industriali, sia OpenVPN che WireGuard rappresentano scelte affidabili.

L2TP/PPTP sono ancora utilizzabili in un ambiente industriale? No. Il PPTP è crittograficamente compromesso dal 2012 — da non utilizzare. Anche il solo L2TP non è sicuro (manca la crittografia nativa); L2TP/IPSec è accettabile ma più complesso rispetto a OpenVPN/IKEv2. Se le vostre apparecchiature esistenti supportano solo L2TP/PPTP, pianificate la loro sostituzione: non si tratta di una configurazione sicura per le reti OT industriali.

In che modo la VPN resiste alle interruzioni intermittenti della connessione 4G? OpenVPN con keepalive 10 60 e persist-tun tenta di riconnettersi automaticamente non appena la connettività viene ripristinata. Con IPSec/IKEv2 + MOBIKE, il tunnel rimane attivo anche in caso di cambiamento dell’indirizzo IP pubblico (durante un failover Dual SIM). In entrambi i casi, il tempo di riconnessione va dai 5 ai 30 secondi: accettabile per il monitoraggio, insufficiente per la regolazione in tempo reale.

Per approfondire​

State implementando soluzioni di accesso remoto in siti industriali? Contattate il nostro team per una demo tecnica.

Risorse aggiuntive​