Il problema delle VPN tradizionali in ambito industriale
Le VPN tradizionali (IPSec site-to-site, OpenVPN server) sono state progettate per interconnettere reti aziendali, non per la manutenzione di apparecchiature OT da parte di tecnici in trasferta. Se applicate al contesto industriale, comportano complessità operative e rischi per la sicurezza ben documentati.
I team di manutenzione lo sanno bene: aprire un accesso VPN per risolvere da remoto un problema su un PLC comporta spesso l’apertura di un ticket al servizio informatico, la configurazione delle regole del firewall, l’installazione di un client sul computer del tecnico e, talvolta, l’assegnazione di un indirizzo IP pubblico fisso alla sede — prima ancora di potersi connettere.
L’accesso remoto industriale moderno risponde a queste esigenze con un’architettura fondamentalmente diversa.
Confronto tra VPN tradizionale e accesso remoto industriale Eziwan
| Criterio | VPN classica (IPSec/OpenVPN) | Accesso remoto industriale Eziwan |
|---|---|---|
| Configurazione | Complessa (concentratore VPN, regole NAT/PAT) | Zero-config sul campo (ZTP) |
| Porte in entrata | Sì (UDP 500/4500 o TCP/UDP 1194) | Nessuna (tunnel inverso in uscita) |
| Autenticazione | Chiave pre-condivisa o certificato | MFA (TOTP, SMS) + certificato TLS |
| Multisito | Concentratore per sito o VPN hub-and-spoke | Un unico portale per l’intera flotta |
| Granularità di accesso | Accesso all’intera sottorete VPN | Accesso per dispositivo, per utente |
| Audit e tracciabilità | Log di base sul concentratore | Registro completo: chi, quando, quanto |
| Cliente tecnico | Software VPN da installare | Solo browser web |
| Aggiornamento | Manuale (firmware del concentratore) | Automatico OTA tramite cloud |
| IP pubblico richiesto | Spesso (lato campo) | No (solo connessione in uscita) |
Architettura a tunnel inverso: perché non è necessaria alcuna porta in entrata
La differenza architettonica fondamentale tra una VPN tradizionale e l’accesso remoto Eziwan è la direzione della connessione iniziale.
VPN classica: il concentratore VPN è in ascolto sulle porte UDP 500 (IKE) e 4500 (NAT-T) per IPSec, oppure sulla porta TCP/UDP 1194 per OpenVPN. Il tecnico remoto avvia la connessione verso il sito industriale. Queste porte devono essere aperte ed esposte su Internet.
Accesso remoto Eziwan: il router sul campo avvia autonomamente una connessione in uscita verso la piattaforma Eziwan sulla porta HTTPS 443 — generalmente autorizzata su tutti i firewall industriali. Questo tunnel persistente viene mantenuto costantemente attivo. Quando un tecnico si connette dal portale, la connessione viene instradata attraverso questo tunnel esistente. Nessuna porta in entrata viene mai aperta sul lato campo.
Terrain (routeur Eziwan) → connexion HTTPS sortante → Cloud Eziwan
Technicien (navigateur) → portail web Eziwan → Cloud Eziwan
(proxy via tunnel)
Sicurezza: il principio del privilegio minimo applicato all’OT
Con una VPN site-to-site tradizionale, un tecnico autenticato ottiene l’accesso all’intera sottorete del sito OT — in genere una /24 con decine di dispositivi. In caso di compromissione dell’account del tecnico (phishing, credential stuffing), l’autore dell’attacco accede all’intera rete OT.
L’accesso remoto Eziwan applica il principio del privilegio minimo a livello di dispositivo:
- Per sito: un tecnico è autorizzato solo ai siti di cui si occupa
- Per apparecchiatura: accesso a una determinata interfaccia utente Siemens, non all’intera rete OT
- Per fascia oraria: accesso consentito solo durante le finestre di manutenzione
- Per sessione: ogni connessione genera un log con data e ora che riporta l’identità del tecnico, l’apparecchiatura a cui si è acceduto e la durata
Tale tracciabilità è fondamentale per gli audit di sicurezza e la conformità alla direttiva NIS2.
Zero-Trust: i quattro pilastri dell’architettura Eziwan
1. Nessuna fiducia implicita — anche dall’interno della rete, ogni richiesta di accesso viene autenticata. Il tecnico deve autenticarsi tramite MFA ad ogni sessione.
2. Accesso con il minimo privilegio — ogni accesso è limitato alle risorse necessarie per l’attività in corso. Nessun accesso alla rete in generale.
3. Microsegmentazione — la rete OT rimane segmentata; l’accesso remoto apre solo i flussi necessari verso l’apparecchiatura di destinazione.
4. Monitoraggio e registrazione continua — tutte le sessioni vengono registrate (chi, quando, quale indirizzo IP di origine, quale apparecchiatura OT di destinazione, quale durata) ai fini della tracciabilità e dell’individuazione di anomalie.
Caso d’uso: manutenzione remota senza VPN tradizionale
Manutenzione correttiva urgente — Un controllore logico programmabile (PLC) fa scattare un allarme alle 2 del mattino. Il tecnico di reperibilità si connette dal proprio telefono tramite l’app mobile Eziwan, accede all’interfaccia utente del controllore in meno di 30 secondi, effettua la diagnosi e riavvia il processo. Nessun client VPN, nessuna chiamata all’assistenza IT per ottenere l’accesso.
Subappaltatore per la manutenzione — Un fornitore esterno deve intervenire su un convertitore di frequenza. Gli create un accesso temporaneo nel portale Eziwan: autorizzato esclusivamente su quel convertitore di frequenza, per le 4 ore previste dalla manutenzione programmata. L’accesso scade automaticamente. Non gli fornite le credenziali VPN del vostro sistema informatico.
Audit di sicurezza — Il responsabile della sicurezza informatica (RSSI) richiede l’elenco degli accessi remoti ai siti OT del mese scorso. Il portale Eziwan genera un rapporto completo: ogni sessione, ogni tecnico, ogni apparecchiatura a cui si è avuto accesso, ogni durata — in pochi clic.
Come effettuare la migrazione da una VPN tradizionale
Il passaggio all’accesso remoto Eziwan può avvenire in modo graduale, senza interrompere l’accesso esistente:
-
Fase 1 — Coesistenza: il router Eziwan mantiene il tunnel VPN IPSec esistente verso il vostro sistema informativo e stabilisce contemporaneamente il tunnel inverso Eziwan. I due accessi coesistono.
-
Fase 2 — Verifica pilota: in 3-5 sedi, i tecnici utilizzano l’accesso remoto Eziwan parallelamente alla VPN. Verifica della qualità dell’accesso e della copertura dei casi d’uso.
-
Fase 3 — Transizione: migrazione graduale dei tecnici verso il portale Eziwan. La VPN tradizionale rimane attiva come soluzione di riserva durante il periodo di transizione.
-
Fase 4 — Semplificazione: rimozione del concentratore VPN e delle relative regole del firewall una volta completata la transizione.
Vedi anche: APN privato vs VPN industriale · Router 4G vs 5G industriale · Alternativa a Teltonika