VPN industriale: OpenVPN vs IPSec vs L2TP per le reti OT

La scelta di una VPN industriale non si limita alla crittografia di un flusso tra due reti. In un ambiente OT, il protocollo deve attraversare i NAT 4G, riconnettersi rapidamente dopo un’interruzione, garantire la manutenibilità su decine di siti, limitare gli accessi ai PLC, generare registri di audit e non esporre mai porte pubbliche non necessarie. OpenVPN, IPsec e L2TP non soddisfano tutti questi requisiti: ecco il confronto tecnico per scegliere un’architettura affidabile.

Perché una VPN industriale è diversa da una VPN per l’ufficio

Una VPN aziendale viene spesso utilizzata per connettere un utente alle applicazioni interne: file, intranet, posta elettronica, ERP, postazioni di lavoro. Una VPN industriale, invece, deve trasportare flussi OT continui tra apparecchiature talvolta obsolete, fragili o poco tolleranti alle interruzioni.

I vincoli non sono gli stessi:

• PLC senza autenticazione nativa;
• sistemi SCADA che richiedono una connettività stabile;
• protocolli industriali “loquaci” o sensibili ai timeout;
• siti remoti connessi tramite 4G LTE, 5G, satellite o ADSL;
• assenza di personale IT in loco;
• necessità di un’implementazione su larga scala e riproducibile;
• requisiti di registrazione dei log per audit e sicurezza informatica;
• separazione rigorosa tra IT e OT;
• divieto di esporre porte pubbliche verso i controllori;
• accesso dei fornitori da limitare per sito, apparecchiatura e durata.

In questo contesto, una VPN che funziona bene presso la sede centrale può risultare difficile da gestire su una rete mobile industriale. Il superamento del NAT, la riconnessione, la revoca degli accessi e la segmentazione sono importanti tanto quanto la crittografia.

OpenVPN, IPsec, L2TP: panoramica generale

OpenVPN, IPsec e L2TP vengono spesso inseriti nella stessa categoria, ma non svolgono esattamente lo stesso ruolo.

Protocollo	Posizionamento	Uso raccomandato dall’OT
OpenVPN	VPN TLS flessibile, ottima con NAT e 4G	accesso remoto OT, sedi mobili, implementazione multisito
IPsec IKEv2	VPN di rete standardizzata, molto diffusa in ambito aziendale	sito-a-sito regolamentato, data center, firewall controllati
L2TP con IPsec	Tunnel di livello 2 spesso utilizzato con IPsec	compatibilità con sistemi legacy, raramente una buona scelta per le nuove implementazioni
PPTP	Vecchio protocollo VPN	da evitare per qualsiasi nuova implementazione

Avviso: punto di attenzione Il protocollo PPTP non deve più essere preso in considerazione per un progetto industriale moderno. La sua sicurezza è obsoleta e non soddisfa le attuali esigenze di sicurezza informatica nel settore OT.

Tabella comparativa rapida

Criterio	OpenVPN	IPsec IKEv2	L2TP con IPsec
Traversata NAT 4G	Ottima	Buona se NAT-T ben gestito	Variabile
Funzionamento su TCP 443	Sì	No in modo nativo	No
Implementazione multisito	Semplice con certificati	Più complessa	Media
Sicurezza crittografica	Elevata se ben configurata	Elevata se ben configurata	Dipende fortemente da IPsec
Rischio di configurazione errata	Moderato	Elevato se le politiche sono complesse	Da moderato a elevato
Riconnessione mobile	Buona con keepalive	Buona con IKEv2 e MOBIKE	Spesso meno robusta
Integrazione con firewall aziendale	Facile su singola porta	Ottima in ambiente di rete controllato	Variabile
Gestione dei certificati	Semplice con piattaforma dedicata	Solida ma più complessa	Variabile
Adeguatezza per nuovi progetti OT	Molto elevata	Elevata a seconda del contesto	Limitata

La scelta migliore non è quindi universale. OpenVPN è spesso la soluzione più pragmatica per i siti industriali remoti e gli accessi 4G. IPsec rimane una valida opzione quando l’infrastruttura di rete è omogenea, ben gestita e già standardizzata su IKEv2. L2TP si riscontra soprattutto in contesti legacy.

Configurazione consigliata per una VPN OT

Una corretta architettura evita di aprire una porta in entrata nel sito industriale. Il gateway Eziwan avvia un tunnel in uscita verso un concentratore VPN. I tecnici, il sistema SCADA o i sistemi centrali passano quindi attraverso questo concentratore in base alle politiche di accesso.

Questa architettura zero inbound risponde a un requisito fondamentale: il sito industriale non pubblica alcun servizio direttamente su Internet. Il gateway stabilisce il tunnel dall’interno, il che facilita l’attraversamento delle reti mobili e riduce notevolmente la superficie di attacco.

OpenVPN per reti OT industriali

OpenVPN si basa su TLS e può funzionare sia su UDP che su TCP. In ambito OT, il suo principale vantaggio è la flessibilità: supera facilmente i NAT, può utilizzare una singola porta, si basa su certificati X.509 ed è facilmente implementabile su gateway Linux industriali.

I suoi punti di forza sono particolarmente utili nei siti remoti:

• possibilità di trasmissione tramite UDP per garantire buone prestazioni;
• possibilità di ripiegare su TCP 443 quando l’UDP viene filtrato;
• autenticazione reciproca tramite certificati;
• revoca tramite elenco dei certificati revocati;
• funzionamento affidabile dietro NAT dell’operatore;
• compatibilità con 4G LTE, 5G, satellite e connessioni Internet tradizionali;
• configurazione intuitiva e automatizzabile;
• diagnostica più semplice rispetto alle complesse politiche IPsec;
• buona integrazione con un approccio outbound only.

OpenVPN è quindi particolarmente indicato nei seguenti casi:

• accesso remoto ai controllori logici programmabili (PLC);
• supervisione SCADA multisito;
• manutenzione in outsourcing;
• siti connessi tramite 4G LTE dual SIM;
• stazioni isolate;
• parco di gateway da configurare automaticamente;
• ambienti in cui il personale sul campo non deve modificare i file di configurazione.

Suggerimento di Eziwan Per i siti OT distribuiti, OpenVPN rappresenta spesso il miglior compromesso tra sicurezza, attraversamento della rete, semplicità di gestione e manutenzione degli accessi.

IPsec IKEv2 per ambienti controllati

IPsec è uno standard molto diffuso per le VPN site-to-site. Funziona a livello di rete e si integra naturalmente in numerosi firewall, router e infrastrutture aziendali. Grazie a IKEv2, NAT-T e moderne suite crittografiche, IPsec è in grado di garantire un eccellente livello di sicurezza e prestazioni.

I suoi vantaggi sono reali:

• standard ampiamente supportato dalle apparecchiature di rete;
• ottime prestazioni con accelerazione hardware;
• frequente integrazione nelle architetture dei data center;
• gestione affidabile dei tunnel site-to-site;
• compatibilità con le politiche di sicurezza aziendali;
• IKEv2 è più moderno e robusto rispetto a IKEv1;
• MOBIKE è utile in caso di determinati cambiamenti di indirizzo IP.

I suoi limiti emergono soprattutto in ambienti mobili o eterogenei:

• configurazione più complessa;
• parametri IKE, SA, crittografia e durata da allineare con precisione;
• interoperabilità talvolta complessa tra i diversi produttori;
• diagnostica più difficile per i team OT;
• dipendenza dalle porte UDP 500 e 4500;
• comportamento variabile a seconda dei NAT degli operatori e dei firewall intermedi;
• rischio di mantenere suite crittografiche obsolete per motivi di compatibilità.

IPsec rimane una scelta eccellente quando l’infrastruttura è gestita da un team di rete esperto, le apparecchiature sono omogenee e i vincoli operativi sono noti. Per un’implementazione su larga scala di siti 4G, OpenVPN è spesso più semplice da rendere affidabile.

L2TP: una scelta soprattutto ereditata

Il protocollo L2TP non crittografa di per sé le comunicazioni. Viene generalmente associato a IPsec per garantire la riservatezza e l’integrità. Negli ambienti moderni, viene spesso mantenuto per motivi di compatibilità con i sistemi precedenti, ma offre pochi vantaggi per un nuovo progetto OT.

I suoi principali limiti sono:

• interesse tecnico limitato rispetto a OpenVPN o IKEv2;
• dipendenza da IPsec per la sicurezza;
• attraversamento NAT talvolta meno prevedibile;
• stack di protocolli più pesante;
• manutenzione poco vantaggiosa su grandi parchi;
• scarsa rilevanza per i siti industriali 4G.

Il protocollo L2TP può rivelarsi utile in un contesto già esistente, ma non dovrebbe costituire il protocollo di riferimento per una nuova architettura di telemanutenzione industriale.

NAT e reti 4G LTE

Il superamento del NAT è spesso il criterio che distingue i protocolli VPN industriali. I siti remoti connessi tramite 4G LTE o 5G si trovano spesso dietro il NAT dell’operatore. L’indirizzo pubblico non viene assegnato direttamente al gateway e le connessioni in entrata risultano impossibili o instabili.

OpenVPN funziona molto bene, poiché il gateway può aprire una sessione in uscita verso un hub noto. Se il protocollo UDP viene filtrato, il trasporto TCP sulla porta 443 può facilitare il passaggio attraverso alcuni firewall o reti restrittive.

IPsec può attraversare il NAT tramite NAT-T, solitamente sulla porta UDP 4500. In molti casi funziona bene, ma dipende in larga misura dalle apparecchiature intermedie, dalle politiche del firewall e dall’operatore di telefonia mobile.

Il principio da tenere a mente è semplice: su una rete mobile, è preferibile utilizzare una connessione in uscita avviata dal gateway del sito. Ciò evita di dipendere da un indirizzo IP pubblico fisso ed elimina la necessità di aprire una porta verso la rete OT.

Latenza e prestazioni per SCADA, Modbus, OPC UA e MQTT

I flussi OT non consumano sempre molta larghezza di banda. Un polling Modbus, i tag OPC UA o i messaggi MQTT industriali richiedono soprattutto stabilità, una bassa perdita di dati e una latenza compatibile con i cicli applicativi.

I fattori che influenzano realmente le prestazioni sono:

• qualità della connessione 4G o 5G;
• livello di segnale radio e SINR;
• carico della cella dell’operatore;
• distanza dal concentratore VPN;
• congestione della connessione locale;
• dimensione dei pacchetti;
• frequenza di polling;
• parametri di timeout SCADA;
• regole QoS;
• potenza della CPU del gateway;
• crittografia selezionata.

Il sovraccarico della VPN è un fenomeno reale, ma raramente rappresenta il fattore limitante in un contesto di supervisione industriale tradizionale. È necessario dare priorità alla stabilità del tunnel, alla QoS e alla configurazione delle applicazioni.

Flusso OT	Sensibilità	Raccomandazione
Modbus TCP	sensibile ai timeout	raggruppare i registri, regolare i tentativi di riconnnessione
OPC UA	dipende dalla sessione	monitorare il keepalive e i certificati
MQTT	tollerante se ben configurato	utilizzare QoS adeguata e buffer locale
RDP o VNC	maggiore consumo	da riservare alla manutenzione puntuale
Trasferimento firmware	può saturare il collegamento	limitare e ridurre la priorità
Video	consumo elevato	isolare dal traffico SCADA

Avvertenza in tempo reale Una VPN su rete 4G non sostituisce un bus di campo deterministico. È adatta alla supervisione, alla manutenzione e ai comandi non critici, ma non ai circuiti di controllo rapidi né alle funzioni di sicurezza di processo.

Sicurezza crittografica: il protocollo non basta

Sia OpenVPN che IPsec possono essere sicuri se configurati correttamente. Al contrario, entrambi possono diventare vulnerabili se si mantengono impostazioni obsolete, chiavi condivise troppo semplici o certificati gestiti in modo inadeguato.

I punti da verificare sono:

• crittografia moderna;
• autenticazione forte;
• certificati individuali;
• revoca documentata;
• durata dei certificati;
• assenza di segreti condivisi tra i fornitori di servizi;
• registrazione delle connessioni;
• disattivazione delle suite obsolete;
• aggiornamento dei componenti VPN;
• separazione tra accesso utente e accesso site-to-site.

OpenVPN si basa su TLS e su una gestione dei certificati molto chiara. Anche IPsec offre un elevato livello di sicurezza, ma la sua ampia flessibilità di configurazione aumenta il rischio di discrepanze tra la politica prevista e quella effettivamente implementata.

Certificati X.509 e revoca degli accessi

I certificati X.509 sono fondamentali per evitare l’uso condiviso degli account. Ogni gateway, tecnico o fornitore di servizi può disporre della propria identità crittografica. Quando è necessario revocare un accesso, basta revocare il certificato in questione, senza modificare l’intera architettura.

I casi di revoca sono frequenti:

• dimissioni di un dipendente;
• scadenza del contratto di un integratore;
• smarrimento di un computer;
• sospetto di compromissione;
• modifica dell’ambito di intervento;
• sostituzione di un gateway;
• chiusura di una sede.

Una piattaforma come Eziwan automatizza questa gestione: generazione, distribuzione, rotazione e revoca. Ciò è particolarmente importante nel settore OT, dove i team non vogliono gestire manualmente i file di configurazione su ogni sito.

Segmentazione OT: evitare la VPN a banda fissa

Il rischio più comune non riguarda solo la scelta del protocollo. Si tratta della VPN “piatta”: una volta connesso, l’utente può accedere all’intera sottorete industriale. In una rete OT, questo è pericoloso.

L’accesso remoto deve essere limitato tramite:

• utente;
• ruolo;
• sito;
• fascia oraria;
• protocollo;
• indirizzo IP di origine;
• indirizzo IP di destinazione;
• porta;
• durata della sessione;
• livello di criticità.

Esempio di politica:

Ruolo: addetto alla manutenzione dei controllori logici programmabili
Site : usine nord
Apparecchiature autorizzate: PLC-L2, HMI-L2
Protocolli consentiti: Modbus TCP 502, HTTPS 443
Durata massima: 2 ore
Autenticazione: certificato e MFA
Registrazione: completa
Accesso ad altre VLAN OT: vietato

Questa logica è più importante del dibattito tra OpenVPN e IPsec. Un tunnel crittografato ma troppo permissivo rimane comunque un rischio operativo.

Riconnessione dopo un’interruzione della connessione 4G o dual SIM

Le reti mobili possono subire microinterruzioni, cambiamenti di indirizzo IP, commutazioni di antenna, perdite di segnale radio o interventi di manutenzione da parte dell’operatore. Una VPN industriale deve riprendere rapidamente il funzionamento senza bloccare il sistema SCADA per lunghi minuti.

OpenVPN può essere configurato con meccanismi di keepalive, riconnessione automatica e tunnel persistente. IPsec IKEv2 è in grado di gestire efficacemente alcune variazioni di rete, in particolare con MOBIKE quando l’ambiente lo supporta.

I parametri importanti sono:

• keepalive;
• tempo di attesa prima della segnalazione di tunnel inattivo;
• frequenza di riconnessione;
• persistenza dell’interfaccia tunnel;
• comportamento in modalità dual SIM;
• ordine di priorità degli operatori;
• instradamento al ripristino della connessione;
• conservazione locale dei dati;
• registrazione dei cambi di connessione.

Situazione	Rischio	Buona pratica
Microinterruzione 4G	timeout SCADA	keepalive e riconnessione rapida
Cambio di IP mobile	tunnel interrotto	tunnel in uscita e riconnessione automatica
Commutazione dual SIM	perdita di percorso	supervisione del tunnel e routing dinamico
Interruzione prolungata	perdita di dati	archiviazione locale e successiva ritrasmissione
Ritorno a rete instabile	commutazioni ripetute	temporizzazione e soglie di stabilità

QoS e prioritizzazione dei flussi OT

La VPN crittografa il traffico, ma non deve trattarlo tutto allo stesso modo. Un trasferimento di firmware, una sessione remota grafica o un’esportazione di grandi dimensioni possono compromettere le comunicazioni SCADA se non vengono applicate regole di prioritizzazione.

I flussi da considerare prioritari sono generalmente:

• Modbus TCP;
• OPC UA;
• EtherNet/IP;
• DNP3;
• MQTT per applicazioni industriali critiche;
• monitoraggio dei tunnel;
• allarmi ed eventi.

I flussi da limitare sono:

• RDP;
• VNC;
• trasferimento di file;
• aggiornamenti;
• video;
• backup di grandi dimensioni;
• navigazione sul Web dal sito.

La QoS deve essere applicata prima che la connessione raggiunga la saturazione. Su un gateway industriale è possibile contrassegnare, limitare o assegnare priorità ai flussi in base al protocollo, alla porta, all’indirizzo o al ruolo.

OpenVPN integrato in Eziwan

Eziwan integra OpenVPN in un’architettura progettata per le reti OT: tunnel in uscita, certificati X.509, provisioning automatico, filtraggio per dispositivo, registrazione degli eventi e monitoraggio dello stato del tunnel.

Le funzionalità principali sono:

• OpenVPN nativo su gateway industriale;
• trasporto UDP o TCP 443 a seconda del contesto;
• certificati X.509 generati e distribuiti automaticamente;
• revoca centralizzata;
• tunnel persistente;
• riconnessione automatica;
• dual SIM con monitoraggio della connessione;
• regole di filtraggio OT;
• registri di accesso;
• integrazione con dashboard multisito;
• compatibilità con SCADA, PLC, HMI e apparecchiature sul campo.

Per gli ambienti che richiedono l’uso di IPsec, Eziwan può anche integrarsi in un’architettura IKEv2 in base alle politiche di rete dell’azienda. L’obiettivo non è quello di imporre un unico protocollo, ma di scegliere quello che funziona davvero nelle condizioni concrete.

Confronto dettagliato per scenario

Scenario	Protocollo consigliato	Perché
Sito industriale con 4G LTE	OpenVPN	attraversamento NAT, TCP 443 possibile, implementazione semplice
Data center verso sede fissa in fibra ottica	IPsec o OpenVPN	scelta in base agli standard IT interni
Parco di 100 gateway	OpenVPN con provisioning	certificati e configurazione automatizzabili
Ambiente firewall altamente controllato	IPsec IKEv2	integrazione nella rete aziendale
Accesso temporaneo per fornitori	OpenVPN con certificati	revoca e tracciabilità semplici
Vecchie apparecchiature L2TP	Migrazione consigliata	protocollo prevalentemente legacy
Elevati requisiti di prestazioni	IPsec con accelerazione o OpenVPN ottimizzato	dipende dall’hardware e dalla crittografia
SCADA multisito	OpenVPN o IPsec hub-and-spoke	hub centrale e filtraggio OT

Buone pratiche di implementazione

Una VPN industriale affidabile richiede ben più della semplice scelta del protocollo. La progettazione deve coprire l’intero ciclo di vita.

• dare priorità ai tunnel in uscita dal sito OT;
• evitare qualsiasi reindirizzamento di porta verso controllori o interfacce uomo-macchina;
• utilizzare certificati individuali;
• attivare l’autenticazione a più fattori (MFA) per gli accessi degli utenti con privilegi sensibili;
• separare gli accessi site-to-site da quelli dei fornitori di servizi;
• filtrare i flussi in base all’apparecchiatura e al protocollo;
• documentare le rotte e le VLAN;
• monitorare lo stato del tunnel;
• registrare connessioni, errori e revoche;
• testare il passaggio a 4G e la doppia SIM;
• applicare la QoS ai flussi critici;
• prevedere una procedura di revoca;
• salvare le configurazioni;
• testare il ripristino di un gateway.

Informazioni sull’audit Per le procedure NIS2, IEC 62443 o di audit interno, il valore deriva dalla combinazione di crittografia, identità, segmentazione, registrazione e revoca. Il protocollo VPN da solo non è sufficiente a dimostrare il controllo degli accessi.

Errori comuni

I progetti VPN OT raramente falliscono a causa di un unico parametro. I problemi derivano spesso da un accumulo di piccole decisioni poco oculate.

• utilizzare una chiave condivisa per più fornitori di servizi;
• aprire una porta pubblica verso un’interfaccia utente;
• concedere l’accesso all’intera sottorete OT;
• dimenticare di revocare i vecchi account;
• scegliere IPsec senza verificare il NAT dell’operatore;
• mantenere L2TP per abitudine;
• mescolare il traffico SCADA e il trasferimento di file senza QoS;
• non testare la riconnessione dopo un’interruzione del 4G;
• non monitorare il tunnel;
• documentare gli accessi in un foglio di calcolo non aggiornato;
• lasciare certificati senza data di scadenza;
• ignorare i registri di accesso.

Un’architettura VPN industriale deve essere testata nelle sue condizioni di malfunzionamento: interruzione della rete, sostituzione della SIM, certificato revocato, utente non autorizzato, apparecchiatura offline e saturazione del collegamento.

Dove si inserisce Eziwan nella vostra rete OT

Eziwan fornisce il livello di connettività sicura tra i vostri siti industriali, i vostri tecnici, i vostri controllori logici programmabili (PLC) e il vostro sistema di supervisione. Il gateway Eziwan stabilisce il tunnel dal sito, le soluzioni di connettività industriale gestiscono i collegamenti 4G, in fibra ottica o via satellite, mentre la piattaforma cloud centralizza certificati, registri, avvisi e politiche di accesso.

Per approfondire il tema della sicurezza della rete industriale, consulta anche la guida sulla sicurezza delle reti OT senza porte pubbliche e l’articolo dedicato al SCADA su 4G LTE.

Conclusione

OpenVPN, IPsec e L2TP non rispondono alle stesse esigenze. IPsec rimane una soluzione valida per ambienti di rete controllati e tunnel site-to-site tradizionali. L2TP è utilizzato principalmente per garantire la compatibilità con i sistemi legacy. OpenVPN è spesso la scelta più pragmatica per le reti OT distribuite, i siti 4G, gli accessi dei fornitori di servizi e le implementazioni multisito, grazie al suo supporto del NAT, alla gestione tramite certificati e alla semplicità di gestione.

Con Eziwan, OpenVPN è integrato in un’architettura industriale completa: tunnel in uscita, certificati X.509, provisioning automatico, riconnessione mobile, dual SIM, filtraggio OT, registrazione e revoca centralizzata. Il risultato non è solo una VPN crittografata, ma un accesso remoto utilizzabile, tracciabile e adattato alle reali esigenze dei controllori logici programmabili (PLC), dei sistemi SCADA e dei siti industriali.

Per approfondire

• VPN industriale — soluzioni VPN adatte alle esigenze delle reti OT e delle connessioni 4G
• Accesso remoto industriale — accedete ai vostri controllori e alle vostre interfacce uomo-macchina senza esporre porte pubbliche
• Cybersicurezza industriale — proteggi le tue reti OT dalle attuali minacce informatiche
• VPN tradizionale vs accesso remoto industriale — quali differenze concrete per le tue esigenze sul campo
• APN privato vs VPN industriale — confronta le architetture di rete per i tuoi siti industriali