VPN industriale — OpenVPN / IPSec per l'industria

Definizione di VPN​

Una VPN (Virtual Private Network — Rete privata virtuale) è una tecnologia che crea un tunnel di comunicazione crittografato tra due punti distanti su una rete pubblica (Internet, rete 4G/5G), garantendo la riservatezza e l'integrità dei dati scambiati.

In ambito industriale, la VPN è l'elemento fondamentale di sicurezza che consente l'accesso remoto sicuro a PLC, RTU e apparecchiature OT installate in siti remoti, senza mai esporre tali apparecchiature direttamente su Internet. Senza una VPN, un PLC accessibile tramite Internet è un bersaglio esposto a qualsiasi tentativo di scansione, intrusione o attacco ransomware.

La VPN soddisfa inoltre i requisiti delle norme di sicurezza informatica industriale: IEC 62443, NERC CIP e le raccomandazioni dell'ANSSI per la protezione dei sistemi informativi industriali (SII).

OpenVPN — la VPN predefinita di Eziwan​

OpenVPN è un protocollo VPN open source collaudato da oltre 20 anni, diventato uno standard di fatto per l'accesso remoto sicuro. Si basa sullo stack TLS/SSL e sulla crittografia AES-256-GCM, con autenticazione reciproca tramite certificati X.509.

Perché scegliere OpenVPN per il settore industriale​

  • Eccellente attraversamento dei firewall: OpenVPN è in grado di incapsulare il tunnel in TLS sulla porta TCP 443 — la stessa utilizzata da HTTPS — consentendogli così di superare i blocchi imposti da altri protocolli (firewall degli operatori, proxy aziendali, DPI).
  • Crittografia robusta e autenticata: AES-256-GCM (AEAD) con autenticazione reciproca tramite certificato X.509 — ogni tecnico dispone di un proprio certificato, revocabile individualmente.
  • Riconnessione rapida dopo un'interruzione della connessione 4G grazie all’opzione persist-tun, senza necessità di una rinegoziazione completa del tunnel.
  • Maturità e compatibilità: codice ampiamente sottoposto a revisione, adozione su larga scala, client disponibili su Linux, Windows, macOS, iOS e Android.
  • Tracciabilità: la revoca tramite certificato soddisfa i requisiti di audit NIS2 e IEC 62443.

IPSec (IKEv2) — l'alternativa aziendale​

IPSec rimane lo standard negli ambienti regolamentati che impongono protocolli certificati FIPS 140-2. Il suo meccanismo MOBIKE gestisce il cambio di indirizzo IP in modo quasi trasparente — particolarmente adatto al failover Dual SIM. La sua configurazione è più complessa (PKI, certificati X.509, politiche SA), ma l'interoperabilità con le apparecchiature di rete esistenti è massima.

WireGuard — il protocollo di nuova generazione​

WireGuard è un protocollo VPN moderno progettato all'insegna della semplicità radicale: circa 4.000 righe di codice (rispetto alle circa 100.000 di OpenVPN), integrato direttamente nel kernel Linux dal 2020. Le sue caratteristiche principali:

  • Crittografia moderna: Curve25519 (scambio di chiavi), ChaCha20-Poly1305 (crittografia simmetrica), BLAKE2s (hash). Questi algoritmi sono più veloci dell’AES sui processori ARM senza AES-NI integrato — il che include molti gateway IoT embedded.
  • Latenza ultra-bassa: nessun handshake complesso (handshake TLS con più scambi). Il tunnel viene stabilito con un unico scambio, con una latenza di connessione iniziale di <100 ms.
  • Riconnnessione trasparente: WireGuard è un protocollo senza stato lato server. Se il client cambia IP (failover da SIM1 a SIM2), non c’è rinegoziazione: il tunnel viene ristabilito non appena viene ricevuto il primo pacchetto valido.
  • Codice ridotto = superficie di attacco minima: 4.000 righe di codice sottoposte a revisione, contro le 100.000 di OpenVPN. Risultato: il rischio di vulnerabilità è strutturalmente inferiore.

Limiti per l'uso industriale:

  • WireGuard funziona solo su UDP — a differenza di OpenVPN, che può utilizzare la porta TCP 443. Su alcune reti aziendali che filtrano tutto il traffico UDP non standard, WireGuard potrebbe essere bloccato.
  • L'ecosistema dei client (Linux, Windows, iOS, Android) è maturo, ma meno diffuso rispetto a quello di OpenVPN.
  • Manca la certificazione FIPS 140-2 — un requisito imprescindibile per alcuni mercati regolamentati (difesa, settore nucleare).

L'Eziwan Gateway supporta inoltre L2TP, PPTP e GRE per garantire l'interoperabilità con i sistemi preesistenti.

Architettura zero-inbound-port​

L'architettura VPN industriale Eziwan si basa sul principio dello zero-inbound-port: nessuna porta in entrata è aperta sul lato del sito remoto.

In questo modello:

  • Il gateway Eziwan avvia la connessione in uscita verso il server VPN Eziwan.
  • Il sito remoto non ha alcuna porta TCP/UDP aperta verso l'esterno.
  • Un malintenzionato non può individuare i dispositivi remoti tramite scansione di rete (non sono direttamente raggiungibili da Internet).
  • L'operatore accede ai dispositivi remoti tramite il tunnel VPN stabilito dal gateway, sotto il controllo dell'autenticazione Eziwan.

Questa architettura è conforme alle raccomandazioni della norma IEC 62443 (sicurezza informatica dei sistemi di automazione e controllo industriali) e alle linee guida dell'ANSSI.

Confronto tra OpenVPN, IPSec e L2TP​

CriterioOpenVPNIPSec (IKEv2)L2TP / PPTP
CrittografiaTLS, AES-256-GCM (AEAD)AES-256, SHA-2Scarsa (PPTP/MS-CHAPv2 sconsigliato)
AutenticazioneCertificato X.509 per clientPSK o certificati X.509Nome utente / password
Superamento firewall / NATEccellente (TCP 443 passa ovunque)Media (NAT-T richiesto)Variabile
Ripristino in caso di interruzione 4GVeloce (persist-tun)Eccellente (MOBIKE)Lenta
Complessità di configurazioneModerata (file .ovpn)Elevata (PKI, IKE, SA)Semplice
CertificazioniAmpiamente verificataFIPS 140-2Obsoleta (PPTP da evitare)
Compatibilità OT / IoTConsigliataRegolamentata / interoperabileLegacy
Consumo CPU (gateway)ModeratoBasso (possibile accelerazione)Basso

OpenVPN è la tecnologia VPN raccomandata di default per le implementazioni IoT industriali: il suo attraversamento dei firewall tramite TCP 443, la crittografia AES-256-GCM e la revoca tramite certificato ne fanno una scelta solida e verificabile. IPSec (IKEv2) è preferibile per gli ambienti regolamentati che richiedono la conformità allo standard FIPS 140-2 o una riconnessione trasparente in caso di failover Dual SIM.

Configurazione ZTP automatica in Eziwan​

Lo ZTP (Zero Touch Provisioning) di Eziwan implementa e configura automaticamente la VPN OpenVPN su un nuovo gateway, senza alcun intervento manuale sulla rete in loco:

  1. L'installatore collega il gateway Eziwan alla rete (cavo Ethernet o SIM 4G preinstallata).
  2. Il gateway si connette automaticamente ai server Eziwan tramite il proprio numero di serie preregistrato.
  3. Il server Eziwan invia la configurazione VPN (certificato X.509, indirizzo IP del tunnel, route) al gateway.
  4. Il tunnel OpenVPN viene stabilito in pochi secondi.
  5. L’amministratore riceve una notifica nella dashboard che conferma che il sito è online.

Questo processo elimina gli errori di configurazione manuale e consente di implementare centinaia di siti da remoto senza dover inviare un tecnico di rete in ogni sede.

Risorse correlate​

Domande frequenti​

Qual è il ruolo di una VPN industriale?​

Crittografare gli scambi tra i siti, il cloud e i tecnici, autenticare ogni estremità tramite certificato e trasmettere i protocolli industriali (Modbus, S7, OPC-UA) senza mai esporre le apparecchiature su Internet.

OpenVPN o IPsec: quale scegliere?​

OpenVPN attraversa in modo nativo il NAT delle reti 4G (CGNAT) e gestisce facilmente i certificati X.509: è l'opzione predefinita per le reti mobili. IPsec IKEv2 è adatto alle interconnessioni fisse con controllo end-to-end.

Perché non utilizzare una VPN per il grande pubblico?​

Le VPN destinate al grande pubblico rendono anonima la navigazione degli utenti; non offrono né certificati per dispositivi, né connessioni site-to-site dietro NAT 4G, né segmentazione per dispositivo, né registrazioni di audit — ovvero tutto ciò che è necessario per un accesso OT serio.

È sufficiente una VPN per garantire la sicurezza dell'accesso remoto OT?​

Si tratta della base, non della totalità: occorre aggiungere anche il privilegio minimo (accesso tramite dispositivo), l’autenticazione MFA, le sessioni temporanee e la registrazione degli eventi — i principi Zero Trust previsti dalle norme NIS2 e IEC 62443.

Risorse correlate​