WireGuard vs OpenVPN vs IPSec: quale VPN industriale scegliere nel 2025?
WireGuard, OpenVPN o IPSec — la scelta del protocollo VPN non è irrilevante per un'implementazione industriale. La latenza, l’affidabilità della riconnessione dopo un failover dual SIM, il superamento dei firewall aziendali, la compatibilità con apparecchiature obsolete e i requisiti NIS2: ogni protocollo presenta i propri punti di forza e i propri limiti in un contesto OT.
Questo confronto esamina i tre protocolli dal punto di vista che conta davvero per le reti industriali: non i benchmark teorici su fibra ottica, ma le prestazioni effettive su 4G LTE con handover e failover dual SIM, a confronto con i controllori Siemens, Schneider o Rockwell.
Perché la scelta del protocollo VPN è importante nel settore industriale
Nell'IT tradizionale, tutti i protocolli VPN moderni funzionano. In un ambiente OT industriale, diversi vincoli differenziano radicalmente le opzioni:
Latenza e protocolli in tempo reale: TIA Portal di Siemens diventa inutilizzabile oltre gli 80 ms di latenza. L'overhead del protocollo VPN si aggiunge alla latenza LTE, già variabile (tipicamente 15–60 ms). Ogni millisecondo è fondamentale.
Riconnessione dopo un'interruzione: Su LTE, le brevi interruzioni sono frequenti (handover tra antenne, perdita temporanea di copertura). Un protocollo che impiega 30 secondi per ristabilire il tunnel dopo una micro-interruzione è inutilizzabile nel monitoraggio continuo.
Failover Dual SIM: Quando il router passa dalla SIM1 (Orange) alla SIM2 (SFR), l'indirizzo IP pubblico cambia. Alcuni protocolli gestiscono questo cambiamento di IP senza interruzione del tunnel, altri no.
Attraversamento dei firewall aziendali: Alcuni siti industriali sono protetti da firewall aziendali che bloccano qualsiasi protocollo UDP non standard. La VPN deve poter utilizzare il protocollo TCP/443, se necessario.
Conformità allo standard FIPS 140-2: Gli ambienti soggetti a normative (energia, risorse idriche, difesa) richiedono suite crittografiche certificate secondo lo standard FIPS 140-2.
WireGuard — Il nuovo standard ad alte prestazioni
Architettura e principi
WireGuard è un protocollo VPN sviluppato a partire dal 2016 con una filosofia radicalmente diversa rispetto ai suoi concorrenti: minimalismo e prestazioni. Il codice sorgente conta circa 4.000 righe (rispetto alle oltre 100.000 di OpenVPN): più snello, più verificabile e più difficile da hackerare.
Caratteristiche tecniche:
- Crittografia: ChaCha20-Poly1305 (AEAD) — più veloce dell’AES su processori privi di accelerazione hardware AES-NI
- Scambio di chiavi: Curve25519 (ECDH) + BLAKE2s (hash) + SipHash24 (tabella di routing)
- Trasporto: solo UDP (porta 51820 predefinita, configurabile)
- Modello: peer-to-peer (nessuna distinzione tra client e server nel protocollo)
- Integrazione nel kernel: integrato nativamente in Linux a partire dalla versione 5.6 — prestazioni simili a quelle dell’hardware
Prestazioni su gateway ARM industriale
WireGuard (ChaCha20-Poly1305) — misurazioni sul gateway Eziwan:
┌─────────────────────────────────────┐
│ Velocità dichiarata (upload LTE) │ 48 Mbps │
│ Velocità di download (LTE)│ 44 Mbps │
│ Latenza aggiunta dalla VPN │ +2–4 ms │
│ Temps reconnexion (coupure) │ 1–3 s │
│ Temps failover dual SIM │ 15–20 s │
│ Usage CPU gateway │ Faible │
└─────────────────────────────────────┘
Punto di forza principale: WireGuard è da 3 a 5 volte più veloce di OpenVPN sui processori ARM dei gateway industriali, grazie alla sua integrazione nel kernel e all'algoritmo ChaCha20, che non richiede l'accelerazione hardware AES.
Punto debole critico: WireGuard utilizza esclusivamente UDP. Se è presente un firewall aziendale che blocca il protocollo UDP non standard, WireGuard non riesce a passare. In un ambiente industriale con sedi protette da reti aziendali rigide, ciò può rappresentare un ostacolo insormontabile.
WireGuard e failover dual SIM
WireGuard gestisce il cambio di IP pubblico (roaming) in modo più fluido rispetto al classico IPSec grazie al suo design peer-to-peer. Dopo un failover dual SIM:
- Nuovo indirizzo IP pubblico ottenuto su SIM2
- WireGuard invia un pacchetto keepalive → il nodo peer riconosce il nuovo indirizzo IP
- Il tunnel riprende in 2-8 secondi
Questo comportamento dipende dalla configurazione PersistentKeepalive (consigliata: 25 secondi) e dal firewall NAT sul lato del concentratore.
OpenVPN — Lo standard collaudato e universale
Architettura e principi
OpenVPN (2001) si basa sulla libreria OpenSSL/TLS, la più verificata al mondo. Il suo punto di forza: la flessibilità di trasporto.
Caratteristiche tecniche:
- Crittografia: AES-256-GCM (AEAD) o AES-128-GCM
- Autenticazione: certificati X.509 (TLS reciproco) + nome utente/password (opzionale)
- Trasporto: UDP 1194 (prestazioni) o TCP 443 (attraversamento dei firewall)
- Compatibilità: Linux, Windows, macOS, iOS, Android, router, FreeBSD...
- Maturità: codice sottoposto a revisione indipendente più volte, in uso da 20 anni
Il vantaggio decisivo: TCP/443 per superare tutti i firewall
Questa è la differenza fondamentale rispetto a WireGuard. OpenVPN può funzionare su TCP alla porta 443 — proprio la porta HTTPS. Riesce quindi a passare negli ambienti in cui tutto il traffico UDP viene filtrato:
Quando OpenVPN TCP/443 è indispensabile:
├─ Firewall aziendale che blocca tutto il traffico UDP in uscita (molto comune)
├─ Sito protetto da un proxy HTTP(S) trasparente (ospedali, enti pubblici)
├─ Rete mobile con DPI (Deep Packet Inspection) che filtra i protocolli diversi da HTTP
└─ Ambiente di rete soggetto a forti restrizioni (aeroporto, porto, zona soggetta a restrizioni)
La regola generale: se non avete il controllo sulla rete di uscita delle vostre sedi (sedi dei clienti, sedi in affitto, aree soggette a restrizioni), OpenVPN è la scelta predefinita — funzionerà ovunque.
Prestazioni su gateway ARM industriale
OpenVPN (AES-256-GCM) — misurazioni sul gateway Eziwan:
┌─────────────────────────────────────┐
│ Velocità dichiarata (upload LTE) │ 38 Mbps │
│ Velocità di download (LTE)│ 35 Mbps │
│ Latenza aggiunta dalla VPN │ +5–12 ms│
│ Temps reconnexion (persist-tun)│ 5–15 s│
│ Temps failover dual SIM │ 20–40 s │
│ Utilizzo della CPU del gateway │ Moderato │
└─────────────────────────────────────┘
Nota: per gli usi industriali comuni (Modbus, supervisione SCADA, accesso remoto al PLC), 10 Mbps sono più che sufficienti. La differenza di prestazioni tra WireGuard e OpenVPN non costituisce, nella pratica, un criterio di distinzione.
OpenVPN e failover dual SIM
OpenVPN con persist-tun e keepalive 25 120 mantiene attivo il tunnel in caso di micro-interruzioni. In caso di failover dual SIM (cambio di IP pubblico):
- Il tunnel esistente “cade” (l’IP pubblico cambia)
- Il meccanismo di riconnessione automatica riavvia la connessione TLS
- La riconnessione avviene in 20-40 secondi a seconda della configurazione
Configurare connect-retry 5 e connect-retry-max 10 nel profilo OpenVPN riduce i tempi di riconnessione. Il monitoraggio della connessione tramite ping-restart 60 evita i tunnel "zombie" che sembrano attivi ma non trasmettono più.
IPSec / IKEv2 — L'alternativa aziendale e certificabile
Architettura e principi
IPSec è un insieme di protocolli definiti dall'IETF per garantire la sicurezza delle comunicazioni IP. Grazie a IKEv2 (Internet Key Exchange versione 2), offre prestazioni e mobilità superiori rispetto alle versioni precedenti.
Caratteristiche tecniche:
- Crittografia: AES-256-GCM, AES-128-GCM, AES-CBC (configurabile)
- Autenticazione: certificati X.509, PSK (Pre-Shared Key), EAP
- Trasporto: UDP 500 (IKE) + UDP 4500 (ESP NAT-traversal)
- Estensione MOBIKE (IKEv2): cambio di indirizzo IP senza interruzione del tunnel
- Certificazioni: FIPS 140-2, Common Criteria — l’unico protocollo certificabile per gli ambienti regolamentati francesi
IPSec e failover dual SIM: il vantaggio di MOBIKE
L'estensione MOBIKE (RFC 4555) rappresenta il punto di forza di IKEv2 in contesti industriali con failover:
MOBIKE — comportamento in caso di failover dual SIM:
Avant failover : IP publique = 82.XX.XX.XX (Orange)
Failover : IP publique change → 185.XX.XX.XX (SFR)
MOBIKE: notifica al concentratore la modifica dell'indirizzo IP
Risultato: tunnel IPSec mantenuto ininterrottamente, SENZA interruzioni
Tempo di failover: < 2 secondi (se MOBIKE è attivo su entrambi i lati)
È l'unico protocollo che consente un failover dual SIM realmente trasparente per le applicazioni industriali critiche (nessuna riconnessione, nessuna interruzione del flusso Modbus o SCADA).
Limiti:
- Complessità di configurazione notevolmente maggiore (policy IKE, set di trasformazioni ESP, AH vs ESP, modalità tunnel/trasporto)
- Il NAT-traversal può talvolta risultare problematico a seconda dei firewall intermedi
- Non è possibile il fallback su TCP/443 (UDP obbligatorio)
Confronto completo dei 3 protocolli
Prestazioni e affidabilità
| Criterio | WireGuard | OpenVPN | IPSec / IKEv2 |
|---|---|---|---|
| Velocità crittografata (gateway ARM) | ⭐⭐⭐⭐⭐ 48 Mbps | ⭐⭐⭐⭐ 38 Mbps | ⭐⭐⭐⭐ 40 Mbps |
| Latenza aggiuntiva | ⭐⭐⭐⭐⭐ +2–4 ms | ⭐⭐⭐⭐ +5–12 ms | ⭐⭐⭐⭐ +4–8 ms |
| Riconnessione dopo micro-interruzione | ⭐⭐⭐⭐ 2–5 s | ⭐⭐⭐ 10–20 s | ⭐⭐⭐⭐ 3–8 s |
| Failover Dual SIM (MOBIKE/roaming) | ⭐⭐⭐⭐ 15–25 s | ⭐⭐⭐ 20–40 s | ⭐⭐⭐⭐⭐ < 2 s (MOBIKE) |
Sicurezza e conformità
| Criterio | WireGuard | OpenVPN | IPSec / IKEv2 |
|---|---|---|---|
| Algoritmo di crittografia | ChaCha20-Poly1305 | AES-256-GCM | AES-256-GCM |
| Superficie di attacco (dimensione del codice) | ⭐⭐⭐⭐⭐ ~4.000 righe | ⭐⭐⭐ ~100.000 righe | ⭐⭐⭐ Standard complesso |
| Certificazione FIPS 140-2 | ❌ No | ⭐⭐⭐ Parziale (OpenSSL) | ⭐⭐⭐⭐⭐ Nativo |
| Audit di sicurezza indipendenti | ⭐⭐⭐⭐ (2021) | ⭐⭐⭐⭐⭐ (numerosi) | ⭐⭐⭐⭐⭐ (IETF) |
| Conformità NIS2 | ✅ Sì | ✅ Sì | ✅ Sì |
Implementazione e operazioni
| Criterio | WireGuard | OpenVPN | IPSec / IKEv2 |
|---|---|---|---|
| Passaggio attraverso il firewall TCP/443 | ❌ Solo UDP | ✅ TCP o UDP | ❌ Solo UDP |
| Compatibilità con dispositivi legacy | ⭐⭐⭐ Recenti | ⭐⭐⭐⭐⭐ Universale | ⭐⭐⭐⭐ Nativo Cisco/Fortinet |
| Facilità di configurazione | ⭐⭐⭐⭐⭐ Semplice | ⭐⭐⭐⭐ Ragionevole | ⭐⭐ Complesso |
| Gestione della flotta (ZTP) | ⭐⭐⭐⭐ | ⭐⭐⭐⭐⭐ | ⭐⭐⭐ |
| Client disponibili (sistemi operativi) | ⭐⭐⭐⭐ Windows/Mac/Linux/iOS/Android | ⭐⭐⭐⭐⭐ Tutti | ⭐⭐⭐⭐ Nativo su tutti i sistemi operativi |
Albero decisionale: quale protocollo scegliere per la vostra implementazione?
Il vostro ambiente richiede la certificazione FIPS 140-2?
→ OUI : IPSec/IKEv2 uniquement
→ NON : continuer
I vostri siti sono protetti da rigorosi firewall aziendali
(UDP bloccato, DPI, proxy trasparente)?
→ SÌ: OpenVPN TCP/443 (l'unico protocollo che funziona ovunque)
→ NON : continuer
La continuità del tunnel in caso di failover dual SIM
è critico (monitoraggio in tempo reale, allarmi di sicurezza)?
→ SÌ: IPSec/IKEv2 con MOBIKE (o WireGuard con keepalive brevi)
→ NON : continuer
Avete dei gateway con processori ARM di fascia bassa
o i limiti della batteria (impianto solare/batteria)?
→ OUI : WireGuard (faible consommation CPU)
→ NON : continuer
Impostazione predefinita:
→ OpenVPN AES-256-GCM (universalità, maturità, ZTP Eziwan)
Tabella delle raccomandazioni per caso d'uso
| Caso d'uso | Protocollo consigliato | Motivo principale |
|---|---|---|
| Implementazione standard (50 sedi, LTE) | OpenVPN | Universalità, ZTP, maturità |
| Sedi protette da firewall aziendali rigorosi | OpenVPN TCP/443 | L'unico in grado di attraversare tutti i firewall |
| Continuità assoluta (monitoraggio acqua, energia) | IPSec + MOBIKE | Failover dual SIM trasparente |
| Ambiente regolamentato FIPS (difesa, settore nucleare) | IPSec/IKEv2 | Certificazione obbligatoria |
| Gateway ARM a basso consumo (solare) | WireGuard | Prestazioni/consumo |
| Migrazione da infrastruttura Cisco/Juniper | IPSec/IKEv2 | Interoperabilità nativa |
| Accesso tecnico mobile (4G, Starlink, WiFi) | WireGuard | Riconnessione rapida su rete variabile |
Configurazione sul gateway Eziwan
Il gateway Eziwan supporta nativamente i tre protocolli. La configurazione avviene dalla dashboard cloud o tramite YAML per le implementazioni automatizzate.
OpenVPN — Configurazione standard
# /etc/openvpn/eziwan-site.conf — generato automaticamente tramite ZTP
client
dev tun
proto udp # Utilizzare "tcp" + porta 443 in caso di firewall rigoroso
remote vpn.eziwan.com 1194
remote-cert-tls server
cipher AES-256-GCM
auth SHA256
keepalive 25 120 # Mantiene la connessione attraverso il NAT dell'operatore
persist-tun # Evita di ricreare l'interfaccia tun al momento della riconnessione
persist-key
connect-retry 5 30 # Ripristino rapido della connessione in caso di interruzione
nobind # Nessuna porta in ascolto sul lato del sito (solo in uscita)
# Certificato X.509 inserito tramite Zero-Touch Provisioning Eziwan
WireGuard — Configurazione standard
# /etc/wireguard/wg0.conf
[Interface]
PrivateKey = <chiave privata del gateway — generata durante il ZTP>
Address = 10.24.1.X/32 # Tunnel IP assegnato da Eziwan
DNS = 10.24.0.1
[Peer]
PublicKey = <chiave pubblica hub Eziwan>
Endpoint = wg.eziwan.com:51820
AllowedIPs = 10.24.0.0/16 # Split tunneling: solo il traffico Eziwan nel tunnel
PersistentKeepalive = 25 # Mantiene attivo il tunnel attraverso il NAT LTE
IPSec (IKEv2) — Configurazione di strongSwan
# /etc/ipsec.conf — section connexion Eziwan
conn eziwan-site
keyexchange=ikev2
left=%defaultroute # Indirizzo IP pubblico del sito (LTE dinamico)
leftid=@site-lyon.eziwan.com
leftcert=site-lyon.crt
right=ipsec.eziwan.com
rightid=@concentrateur.eziwan.com
rightsubnet=10.24.0.0/16
ike=aes256gcm16-sha256-curve25519!
esp=aes256gcm16-sha256!
auto=start
mobike=yes # MOBIKE per il failover dual SIM trasparente
dpdaction=restart
dpdtimeout=120s
Sicurezza: i punti critici per tutti i protocolli
Indipendentemente dal protocollo scelto, queste pratiche sono imprescindibili:
1. Nessuna porta in entrata sulla rete OT Il tunnel VPN deve sempre essere stabilito dal sito industriale verso il concentratore (connessione in uscita). Non deve essere aperta alcuna porta in entrata sulla rete del sito.
2. Autenticazione tramite certificato, non tramite PSK La chiave pre-condivisa (PSK) condivisa tra più siti costituisce un vettore di compromissione: se un sito viene compromesso, lo sono tutti. Utilizzare certificati X.509 individuali per ogni sito.
3. Perfect Forward Secrecy (PFS) attivato Il PFS (DHE o ECDHE) garantisce che la compromissione di una chiave a lungo termine non comprometta le sessioni precedenti. Attivato di default in OpenVPN e WireGuard; verificare nelle configurazioni IPSec.
4. Rotazione dei certificati Certificati a durata limitata (massimo 2 anni). La piattaforma Eziwan rinnova automaticamente i certificati prima della scadenza.
Un certificato VPN scaduto interrompe l'accesso remoto a tutti i siti che utilizzano quel certificato contemporaneamente. Verificate le date di scadenza di tutti i vostri certificati e attivate il rinnovo automatico.
Domande frequenti
WireGuard è più sicuro di OpenVPN? Dal punto di vista degli algoritmi crittografici, WireGuard utilizza primitive moderne (ChaCha20, Curve25519, BLAKE2s) con una superficie di attacco minima (~4.000 righe di codice). OpenVPN utilizza OpenSSL, che è stato sottoposto a un numero molto maggiore di audit ma è più complesso. In pratica, entrambi sono sicuri per le moderne implementazioni industriali: il vero rischio risiede nella configurazione, non nel protocollo.
È possibile utilizzare WireGuard e OpenVPN contemporaneamente nella stessa sede? Sì. Il Gateway Eziwan è in grado di gestire più tunnel VPN contemporaneamente verso diversi hub. Ciò può risultare utile in scenari di ridondanza o di migrazione graduale.
IPSec è compatibile con il nostro firewall Cisco ASA / Fortinet FortiGate? Sì — IPSec/IKEv2 è il protocollo standard di interoperabilità tra le apparecchiature di rete aziendali. Il gateway Eziwan può stabilire un tunnel IPSec verso un Cisco ASA, FortiGate, Palo Alto o SRX Juniper con una configurazione site-to-site standard.
Qual è la differenza tra OpenVPN e OpenVPN Access Server? OpenVPN (open source) è il protocollo. OpenVPN Access Server è una distribuzione commerciale dotata di un'interfaccia web di gestione. Eziwan integra OpenVPN (open source) con la propria piattaforma di gestione centralizzata: non è necessario un OpenVPN Access Server separato.
WireGuard è compatibile con i sistemi Windows meno recenti (Windows 7, Windows Server 2008)? WireGuard è integrato nativamente in Windows a partire da Windows 10/Server 2019. Su Windows 7 e Server 2008, WireGuard funziona ma richiede un client di terze parti (l'integrazione nel kernel non è disponibile). OpenVPN rimane più universalmente compatibile sui sistemi meno recenti.
Come coesiste la VPN industriale con l'ADSL durante una migrazione? Nessun problema: la VPN funziona su qualsiasi connessione Internet (ADSL, LTE, fibra). La migrazione da ADSL a LTE può avvenire utilizzando lo stesso tunnel VPN: si mantiene la stessa configurazione VPN e si modifica solo la connessione WAN del router.
Per approfondire
- Guida: accesso remoto sicuro a PLC e SCADA — architettura completa
- Confronto: VPN industriale vs Zero Trust Network Access
- Documentazione: configurazione VPN sul gateway Eziwan
- NIS2 — checklist di conformità per l'industria
- Guida: sicurezza informatica OT — minacce 2026
In sintesi: OpenVPN rimane la scelta predefinita grazie alla sua compatibilità universale. WireGuard è la soluzione ideale quando le prestazioni della CPU e la latenza minima sono fondamentali. IPSec/IKEv2 è indispensabile per gli ambienti regolamentati (FIPS) e per scenari di failover dual SIM completamente trasparenti.
Il punto in comune: i tre protocolli sono di gran lunga superiori all'assenza di una VPN — che purtroppo rimane la situazione di molti siti industriali francesi che espongono direttamente i propri controllori su Internet.
Hai domande sulla scelta della VPN per il tuo parco macchine? Parla con il nostro team tecnico — verifica della configurazione e consigli senza impegno.
Risorse aggiuntive
- VPN industriale — soluzioni VPN adatte alle reti OT industriali
- Guida comparativa alle VPN industriali — analisi approfondita dei protocolli
- Cybersicurezza industriale — panoramica delle minacce e delle buone pratiche di sicurezza
- Accesso remoto industriale — architetture sicure per l'accesso ai controllori logici programmabili
- VPN classica vs accesso remoto industriale — scegliere l'approccio giusto
