Implementazione con Zero-Touch Provisioning: 200 siti in una settimana senza intervento manuale

L’implementazione di 50, 200 o 500 gateway IoT industriali non deve dipendere da una configurazione manuale ripetuta in ogni sede. Grazie allo Zero-Touch Provisioning, o ZTP, un gateway pre-registrato può essere estratto dalla confezione, connettersi alla rete, autenticarsi sul cloud Eziwan, recuperare automaticamente la propria configurazione, applicare i propri certificati, collegarsi al proprio tunnel sicuro e segnalare il proprio stato di implementazione. Il tecnico sul campo collega l’apparecchiatura; la configurazione, la sicurezza e la tracciabilità sono gestite da una piattaforma centralizzata.

Il problema dell’implementazione manuale su larga scala

In un progetto IoT industriale che coinvolge più sedi, la configurazione manuale diventa rapidamente il principale collo di bottiglia. Finché sono coinvolti solo pochi gateway, un tecnico esperto può configurare manualmente i parametri di rete, le regole VPN, gli indirizzi IP locali e i flussi di dati. Ma non appena il progetto passa a diverse decine o centinaia di siti, questo metodo genera costi, errori e una variabilità difficile da gestire.

Le difficoltà sono molto concrete.

• Ogni gateway richiede spesso l’inserimento di numerosi parametri: APN della SIM, indirizzo IP locale, VLAN, DNS, VPN, firewall, regole NAT, certificati, polling Modbus, endpoint MQTT o API di business.

• Gli interventi sul campo sono costosi, soprattutto quando i siti sono isolati, distribuiti su diverse regioni o accessibili solo con difficoltà operative.

• Gli errori di inserimento dati sono frequenti: APN errato, maschera di rete errata, chiave copiata nella posizione sbagliata, sottorete duplicata, profilo applicato al sito sbagliato.

• La diagnostica remota diventa difficile quando un gateway configurato in modo errato non ha ancora stabilito il proprio tunnel di monitoraggio.

• Gli aggiornamenti di firmware su larga scala vengono effettuati raramente se richiedono un intervento manuale sito per sito.

• Le configurazioni variano nel tempo, poiché ogni tecnico modifica leggermente i parametri durante l’installazione.

• La sostituzione di un’apparecchiatura difettosa richiede una nuova configurazione in loco se la configurazione non è centralizzata.

• I segreti tecnici, come i certificati VPN, i token API o le password, possono essere gestiti manualmente con procedure diverse.

• È difficile monitorare l’effettivo stato di avanzamento dell’implementazione senza un dashboard centralizzato: siti in attesa, siti attivi, errori, versioni installate e profili applicati.

Lo ZTP risolve questo problema spostando la complessità fuori dal campo. Il sito non è più il luogo in cui si effettua la configurazione; diventa il luogo in cui si installa un’apparecchiatura già prevista, identificata e gestita dal cloud.

Che cos’è il Zero-Touch Provisioning industriale

Lo Zero-Touch Provisioning è un meccanismo di automazione che consente a un dispositivo di configurarsi autonomamente al momento della prima connessione. In ambito industriale, deve andare oltre il semplice download di un file: deve gestire l’identità hardware, la sicurezza, i profili per tipo di sito, i certificati, le regole di rete, gli aggiornamenti e il monitoraggio del ciclo di vita.

Un tipico processo ZTP industriale si articola in diverse fasi.

Il punto fondamentale è la fiducia iniziale. Il gateway deve dimostrare la propria identità al server di provisioning e la configurazione ricevuta deve essere protetta da intercettazioni, alterazioni o usurpazioni.

Perché lo ZTP è fondamentale per l’IoT industriale

L’implementazione dell’IoT industriale raramente riguarda siti omogenei e di facile accesso. Una stessa flotta può comprendere stazioni di pompaggio, quadri elettrici, punti di consegna, contatori, controllori logici programmabili, sensori ambientali, apparecchiature mobili, macchinari speciali e siti dei clienti.

Lo ZTP offre una risposta a tre sfide fondamentali.

Questione	Senza ZTP	Con ZTP
Velocità di implementazione	Configurazione sito per sito	Preparazione centralizzata e attivazione automatica
Qualità	Variabilità a seconda del tecnico	Profili standardizzati e versionati
Sicurezza	Segreti gestiti manualmente	Distribuzione controllata dei certificati
Assistenza	Diagnostica difficile prima della connessione	Segnalazione dello stato sin dalla registrazione
Manutenzione	Aggiornamenti singoli	Distribuzione OTA per gruppi
Sostituzione	Riconfigurazione in loco	Riassegnazione dell’hardware al sito

Lo ZTP trasforma un progetto sul campo in un progetto di gestione del parco macchine. È proprio questo cambiamento che consente di passare da un’implementazione artigianale a un’implementazione industriale.

Il nostro approccio

Il Zero-Touch Provisioning di Eziwan si basa su un principio semplice: ogni gateway dispone di un’identità univoca e può essere pre-registrato prima della spedizione. Al primo avvio, il gateway contatta la piattaforma Eziwan, si identifica, recupera la configurazione associata al proprio numero di serie, applica le impostazioni, stabilisce i propri tunnel sicuri e comunica il proprio stato.

La configurazione può includere:

• Impostazioni WAN, LAN, VLAN e di routing.

• APN SIM e profili degli operatori.

• Regole del firewall, NAT e segmentazione.

• Configurazione VPN OpenVPN o IPSec a seconda dell’architettura.

• Certificati, chiavi e segreti distribuiti in modo controllato.

• Parametri di acquisizione: Modbus, MQTT, API, supervisione o telemetria.

• Soglie di allerta, watchdog e sensori di disponibilità.

• Politica di aggiornamento del firmware OTA.

• Tag, gruppi, cliente, regione, sede e livello di criticità.

L’operatore sul campo non ha bisogno di aprire l’interfaccia di amministrazione locale. Basta collegare l’alimentazione, collegare i cavi necessari e controllare le spie o lo stato visualizzato sulla dashboard.

Architettura di un’implementazione ZTP

Un’architettura ZTP efficiente separa chiaramente le fasi di preparazione, spedizione, installazione e gestione. Il cloud Eziwan funge da repository di configurazione, server di provisioning e pannello di controllo per il monitoraggio.

Questa architettura consente di predisporre diverse centinaia di gateway prima ancora che arrivino in loco. Ogni apparecchiatura viene registrata, identificata e associata a un profilo.

Profili di configurazione per diversi tipi di siti

Il profilo di configurazione è il cuore dello ZTP. Descrive come deve essere configurato un gateway una volta installato. Anziché configurare ogni dispositivo singolarmente, si definiscono modelli per famiglia di siti.

Esempi di profili:

• Sottostazione elettrica.

• Stazione di pompaggio.

• Armadio per la lettura remota.

• Controllore industriale.

• Sito del cliente con accesso remoto per la manutenzione.

• Sensore ambientale isolato.

• Router LTE di riserva per la rete OT.

• Gateway di acquisizione dati da Modbus a MQTT.

Un profilo può contenere parametri comuni e variabili specifiche per ogni sito. Ciò evita di dover duplicare 200 configurazioni quasi identiche.

profil:
  nom: station_pompage_standard
  version: 12
  reseau:
    lan_ip: "{{site.lan_ip}}"
    masque: "255.255.255.0"
    dns:
      - "1.1.1.1"
      - "8.8.8.8"
  mobile:
    apn: "{{operateur.apn}}"
    dual_sim: true
  vpn:
    mode: openvpn
    certificat: automatique
  collecte:
    modbus:
      actif: true
      equipements:
        - nom: automate_principal
          ip: "{{site.plc_ip}}"
          port: 502
  supervision:
    heartbeat: 60s
    alertes: active

Le variabili vengono definite al momento del provisioning in base al sito, al cliente, all’operatore o al tipo di apparecchiatura. Questa logica garantisce la leggibilità dei profili, consentendo al contempo una personalizzazione dettagliata.

Pre-iscrizione tramite importazione CSV

L’importazione tramite CSV è spesso il modo più semplice per avviare un’implementazione su larga scala. Consente di associare in anticipo i numeri di serie a sedi, profili, clienti, regioni e parametri variabili.

Un file di importazione può contenere:

Campo	Esempio	Utilità
serial_number	EZGW-2026-000184	Identificare il gateway
site_id	PUMP-NORD-042	Associare al sito
profile	station_pompage_standard	Applicare il modello corretto
client	collectivite_nord	Organizzare il parco
region	hauts_de_france	Filtrare le implementazioni
lan_ip	192.168.10.1	Personalizzare la rete locale
plc_ip	192.168.10.20	Configurare la raccolta
sim_profile	multi_operateur_fr	Scegliere la connettività

Questa pre-registrazione può essere effettuata prima della spedizione. L’installatore riceve quindi un gateway già associato al sito di destinazione.

Dashboard di implementazione in tempo reale

Un progetto di implementazione su più siti deve essere gestito come un’operazione industriale. Il dashboard ZTP deve consentire di verificare rapidamente lo stato di ogni gateway.

Tra gli statuti utili figurano in particolare:

• Pre-iscritta.

• Spedita.

• Accensione.

• Provisioning in corso.

• Configurazione applicata.

• Tunnel creato.

• Operativa.

• Errato.

• In attesa di conferma.

• Aggiornamento del firmware in corso.

• Rollback eseguito.

Una dashboard centralizzata evita il monitoraggio manuale tramite fogli di calcolo, messaggi sparsi o chiamate sul campo. Consente inoltre di identificare le cause dei blocchi: assenza di rete, SIM non attiva, errore di profilo, certificato scaduto, versione del firmware incompatibile o problema di alimentazione.

Gestione degli errori di provisioning

Un buon sistema ZTP non deve funzionare bene solo quando tutto va per il meglio. Deve spiegare chiaramente perché un dispositivo non è stato provisionato.

Errore	Possibile causa	Azione correttiva
Numero di serie sconosciuto	Gateway non pre-registrato	Aggiungere o correggere l’associazione
Profilo non trovato	Nome profilo errato	Selezionare un profilo valido
Variabili mancanti	Dati del sito incompleti	Completare la scheda del sito
Rete non disponibile	SIM inattiva o WAN assente	Verificare la connettività sul campo
Certificato rifiutato	Identità non valida o scaduta	Revocare o rigenerare secondo la procedura
Firmware incompatibile	Versione troppo vecchia	Applicare una fase di aggiornamento
Tunnel non stabilito	Firewall o APN errato	Diagnosticare il collegamento in uscita

Questa visibilità riduce notevolmente i continui scambi tra i team di progetto, l’assistenza, gli installatori e gli operatori.

Aggiornamento firmware OTA mirato

Il firmware OTA (over-the-air) è indispensabile per la gestione di un parco macchine industriale. Consente di correggere le vulnerabilità, aggiungere funzionalità, migliorare la stabilità o adattare le apparecchiature a una nuova architettura di rete.

L’implementazione deve avvenire in modo graduale.

Questa strategia evita di distribuire una versione non convalidata su tutto il parco macchine. Il rollback deve essere previsto fin dall’inizio, con il mantenimento della configurazione e il ritorno a una versione nota del firmware.

Gestione delle versioni della configurazione

Ogni modifica alla configurazione deve generare una nuova versione. Questo sistema di versioning consente di sapere con precisione quale stato è implementato su ciascun gateway, di confrontare due versioni e di tornare indietro se una modifica causa un problema.

Il controllo delle versioni soddisfa diverse esigenze.

• Tracciabilità delle modifiche.

• Verifica della configurazione.

• Rollback rapido.

• Implementazione graduale.

• Confronto prima della convalida.

• Coerenza tra siti simili.

• Analisi post-incidente.

Un esempio semplice: se una regola del firewall aggiunta per un nuovo flusso blocca un monitoraggio esistente, deve essere possibile tornare alla versione precedente senza dover ricostruire manualmente l’intera configurazione.

Sostituzione automatica dell’hardware

La sostituzione dell’hardware è uno dei migliori casi d’uso dello ZTP. Senza il provisioning automatico, la sostituzione di un gateway comporta spesso l’intervento di un tecnico qualificato per riconfigurare l’apparecchiatura in loco. Con lo ZTP, il processo può essere molto più semplice.

Fasi tipiche:

• Segnalare il malfunzionamento del gateway nel cloud.

• Associare il nuovo numero di serie allo stesso sito.

• Spedire il nuovo gateway.

• Collegare l’apparecchiatura in loco.

• Lasciare che il processo di provisioning recuperi la configurazione del predecessore.

• Verificare il ripristino della connessione dalla dashboard.

Questa logica riduce la dipendenza dalle competenze di rete in loco. Inoltre, accelera il ripristino dell’operatività dei siti isolati.

Sicurezza del provisioning

Lo ZTP gestisce elementi sensibili: configurazioni di rete, certificati, tunnel VPN, segreti applicativi e regole del firewall. Deve quindi essere concepito come un meccanismo di sicurezza, non solo come uno strumento di comodità.

Le buone pratiche sono fondamentali.

• Autenticare ogni gateway tramite un’identità univoca.

• Firmare le configurazioni inviate.

• Crittografare le comunicazioni con il server di provisioning.

• Non inviare mai informazioni riservate in chiaro.

• Revocare un gateway smarrito, rubato o sostituito.

• Registrare ogni richiesta di provisioning.

• Limitare i diritti di amministrazione in base al ruolo.

• Verificare le modifiche sensibili prima della distribuzione su larga scala.

• Conservare la cronologia delle versioni.

• Separare gli ambienti di test, pilota e produzione.

Il provisioning deve evitare un rischio classico: trasformare uno strumento di automazione in un punto centrale di vulnerabilità. La sicurezza della piattaforma è quindi importante quanto quella del gateway.

Certificati e chiavi segrete distribuiti automaticamente

I codici segreti non devono essere copiati manualmente dagli installatori. Lo ZTP consente di generarli, distribuirli e rinnovarli in modo controllato.

Esempi di segreti in questione:

• Certificati OpenVPN.

• Certificati TLS.

• Chiavi API.

• Gettoni da raccogliere.

• Credenziali del broker MQTT.

• I segreti della supervisione.

• Chiavi di integrazione SIEM o webhook.

La distribuzione automatica riduce gli errori di copia, le pratiche non uniformi e i rischi legati all’archiviazione locale non controllata.

API ZTP per l’integrazione con ERP e CMMS

In un’implementazione industriale strutturata, i siti sono già presenti in altri sistemi: ERP, CMMS, strumenti di gestione del parco macchine, software di gestione dei progetti, database clienti o database delle risorse OT. L’API ZTP consente di collegare questi sistemi a Eziwan.

Casi d’uso tipici:

• Creazione automatica di un sito Eziwan quando viene creato un bene nell’ERP.

• Pre-registrazione di un gateway sulla base di un ordine di implementazione.

• Associazione di un numero di serie a un cliente o a un contratto.

• Aggiornamento dello stato di implementazione nel CMMS.

• Raccolta delle versioni del firmware e delle configurazioni ai fini dell’inventario.

• Avvio di una campagna OTA tramite uno strumento interno.

Questa integrazione evita la doppia immissione dei dati e migliora la coerenza tra i sistemi di riferimento.

Gruppi, tag e gestione del parco veicoli

I gruppi e i tag diventano indispensabili non appena il parco supera le poche decine di apparecchiature. Consentono di indirizzare le azioni senza dover gestire un elenco di gateway uno per uno.

Esempi di tag utili:

• Regione.

• Cliente.

• Tipo di sito.

• Criticità.

• Operatore di telefonia mobile.

• Versione del firmware.

• Profilo di configurazione.

• Team responsabile.

• Contratto di manutenzione.

• Ambiente di test o di produzione.

Grazie a questi metadati, è possibile applicare una configurazione esclusivamente alle stazioni di pompaggio di una determinata regione, testare un firmware su un gruppo pilota o delegare la visibilità di un sotto-parco a un cliente in modalità MSP.

Implementazione graduale e rollback

L’implementazione su larga scala non significa implementare ovunque contemporaneamente. Una buona strategia ZTP prevede diverse fasi.

Fase	Obiettivo	Dimensione indicativa
Laboratorio	Convalida firmware, profilo e sicurezza	Alcuni gateway
Collaudo sul campo	Test in condizioni reali	Da 3 a 10 siti
Prima fase	Confermare la ripetibilità	Dal 5 al 10% del parco
Estensione	Estendere al resto del parco	Per regione o cliente
Stabilizzazione	Correggere le discrepanze e documentare	L’intero parco

Il rollback è indispensabile in ogni fase. Deve poter riguardare un gateway, un gruppo o un’intera campagna.

Casi d’uso industriali

Lettura remota multisito

I progetti di lettura remota coinvolgono spesso centinaia di contatori, stazioni o armadi. Lo ZTP consente di pre-registrare i gateway, applicare un profilo di raccolta standard e monitorare l’attivazione graduale dei siti.

Accesso remoto ai controllori

Un produttore di macchinari può spedire ai propri clienti dei gateway già configurati. Una volta collegati, questi recuperano automaticamente le regole VPN, i certificati e i diritti di accesso necessari per la manutenzione.

Stazioni di pompaggio e reti idriche

Gli impianti di acqua potabile o di depurazione sono spesso dislocati in diverse località. Lo ZTP riduce gli spostamenti dei tecnici specializzati e consente alle squadre locali di installare le apparecchiature senza configurazioni complesse.

Energia e sottostazioni

Nel settore energetico, le configurazioni devono essere coerenti e verificabili. Il versioning, i gruppi e le campagne OTA facilitano la manutenzione di un parco di gateway distribuiti su diversi siti critici.

Implementazione OEM

Un produttore di macchinari può integrare un gateway in ogni apparecchiatura fornita. Il cliente finale riceve una macchina connessa, mentre l’OEM mantiene una gestione centralizzata degli accessi, del firmware e dei profili in base ai contratti di assistenza.

Lista di controllo prima di un’implementazione ZTP su larga scala

Prima di avviare un’implementazione che preveda da 50 a 500 gateway, è necessario definire con precisione diversi aspetti.

Controllo	Domanda	Priorità
Inventario	I numeri di serie sono noti?	Alta
Siti	Ogni gateway è associato a un sito?	Alta
Profili	I profili sono stati testati in laboratorio?	Alta
Variabili	I parametri specifici dei siti sono completi?	Alta
Connettività	La WAN, la SIM o il collegamento di riserva sono pronti?	Alta
Sicurezza	I certificati e le chiavi segrete vengono distribuiti automaticamente?	Alta
OTA	Esiste una strategia di aggiornamento graduale?	Media
Rollback	È stato testato il rollback?	Alta
Dashboard	I team monitorano lo stato in tempo reale?	Alta
Supporto	Esiste una procedura per gli errori di provisioning?	Alta

Questa lista di controllo permette di evitare di scoprire eventuali carenze nella preparazione quando gli installatori sono già sul posto.

Errori comuni da evitare

Confondere lo ZTP con l’immagine singola

Non basta installare la stessa immagine su tutte le apparecchiature. Lo ZTP deve gestire le differenze relative a sedi, variabili, profili, credenziali, versioni e regole di sicurezza.

Cancella i dati del sito

Un numero di serie privo di sito, profilo o variabile di rete non può essere configurato correttamente. La qualità dei dati di input è determinante per il successo dell’implementazione.

Installare un firmware ovunque senza driver

Anche un aggiornamento convalidato in laboratorio deve essere testato su un gruppo pilota. Gli ambienti reali rivelano talvolta limitazioni inaspettate: operatore di telefonia mobile, NAT, alimentazione instabile, protocollo locale o apparecchiature obsolete.

Gestire i segreti manualmente

La copia manuale di certificati o token annulla in parte i vantaggi dello ZTP. I segreti devono essere generati, trasmessi, rinnovati e revocati tramite un processo controllato.

Non prevedere la sostituzione dell’hardware

Una flotta industriale ha una durata di diversi anni. È necessario prevedere fin dall’inizio eventuali guasti, la sostituzione standard, la dismissione delle vecchie apparecchiature e l’assegnazione del nuovo numero di serie.

Indicatori da monitorare durante la fase di implementazione

Un progetto ZTP deve essere guidato da indicatori semplici e utilizzabili.

Indicatore	Perché monitorarlo
Gateway pre-registrati	Verificare lo stato di preparazione del parco
Gateway accesi	Monitorare lo stato di avanzamento sul campo
Provisioning riuscito	Misurare il tasso di successo effettivo
Errore di provisioning	Identificare gli ostacoli
Tempo medio di attivazione	Rilevare i rallentamenti
Versione firmware distribuita	Garantire la coerenza del parco
Versione di configurazione	Monitorare le discrepanze tra i siti
Tasso di rollback	Valutare la qualità delle campagne
Siti senza heartbeat	Individuare le installazioni silenziose
Ticket di assistenza per ondata	Migliorare le prossime ondate

Questi indicatori consentono di gestire con precisione una settimana di implementazione, invece di scoprire i ritardi solo alla fine del progetto.

Come Eziwan accelera le implementazioni industriali

Eziwan fornisce gli elementi necessari per passare da un’installazione manuale a una gestione automatizzata del parco macchine.

Esigenza	Risposta di Eziwan	Vantaggio
Preparazione del parco	Pre-registrazione tramite numero di serie	Installazione sul campo semplificata
Standardizzazione	Profili di configurazione	Minori discrepanze tra i siti
Sicurezza	Configurazioni firmate e segreti distribuiti	Minore intervento manuale
Aggiornare	Firmware OTA mirato	Manutenzione su larga scala
Correggere	Gestione delle versioni e rollback	Ripristino rapido
Sostituire	Riassegnazione hardware	Rimessa in servizio accelerata
Monitorare	Dashboard in tempo reale	Gestione del rollout
Integrare	API ZTP	Integrazione con ERP, CMMS e strumenti di progetto

Questa logica risulta particolarmente pertinente nel caso del gateway Eziwan, del monitoraggio tramite il cloud Eziwan e dei progetti di connettività industriale.

Esempio di piano di implementazione per 200 siti

Un’implementazione ambiziosa deve essere articolata in fasi ben definite. L’esempio riportato di seguito illustra un approccio realistico, da adattare in base alla disponibilità degli installatori, alla preparazione dei siti e ai vincoli operativi.

Giorno	Obiettivo	Risultato atteso
Da D-10 a D-5	Importazione CSV, profili, test di laboratorio	Parco pre-registrato e profili convalidati
Da D-4 a D-2	Spedizione e coordinamento sul campo	Gateway consegnati alle squadre
D-1	Test pilota su alcuni siti	Ultime modifiche
Da D1 a D2	Prima ondata regionale	Individuazione degli errori ricorrenti
Da J3 a J4	Estensione ai siti standard	Accelerazione del ritmo
J5	Siti complessi o isolati	Trattamento mirato
Da J6 a J7	Stabilizzazione e rapporto	Parco documentato e utilizzabile

Lo ZTP non elimina la fase di preparazione del progetto. La rende invece più affidabile, più tracciabile e molto meno dipendente da operazioni manuali ripetitive.

Conclusione

Lo Zero-Touch Provisioning è un elemento fondamentale per l’implementazione su larga scala di gateway IoT industriali. Senza lo ZTP, ogni sito richiede un intervento di configurazione, con i relativi rischi di errore, tempi di attesa, costi e scostamenti. Con lo ZTP, l’implementazione viene preparata nel cloud, si esegue automaticamente all’accensione e viene gestita da una dashboard centralizzata.

Eziwan consente di pre-registrare i gateway, applicare profili con versioni gestite, distribuire certificati e chiavi segrete, aggiornare i firmware OTA, monitorare lo stato di avanzamento in tempo reale e sostituire un dispositivo senza necessità di riconfigurazione in loco. Che si tratti di un progetto con 50, 200 o 500 siti, questo approccio trasforma l’implementazione dell’IoT industriale in un processo controllato, ripetibile e verificabile.

Per approfondire

• Provisioning OTA — aggiorna da remoto il firmware e la configurazione delle tue apparecchiature
• Gestione del parco macchine — centralizza il monitoraggio e la gestione delle tue apparecchiature industriali
• Router industriali — confrontate le gamme di router industriali adatti all’implementazione su larga scala
• Gateway IoT industriale — il gateway Eziwan progettato per l’implementazione ZTP su larga scala
• Guida alla gestione del parco router — gestite centinaia di router senza un team di rete dedicato