IP fisso per l'IoT cellulare: come gli MSP accedono ai dispositivi da remoto

Accedere da remoto a un router, una telecamera, un chiosco o un altro dispositivo su rete cellulare non è sempre semplice come accedere ad apparati collegati a una normale connessione internet. Molte connessioni cellulari usano il carrier-grade NAT (CGNAT): per impostazione predefinita, quindi, il dispositivo non è raggiungibile direttamente dalla rete internet pubblica.

A seconda dell'installazione, gli MSP possono risolvere il problema con un IP pubblico fisso, una rete privata oppure una connessione VPN avviata dal dispositivo. In questa guida vediamo come funziona ciascun approccio, quando conviene usarlo e cosa valutare prima di estendere l'accesso remoto alle sedi dei tuoi clienti.

Perché i dispositivi cellulari possono essere difficili da raggiungere da remoto

Le connessioni cellulari usano spesso il carrier-grade NAT, o CGNAT.

Con il CGNAT, più connessioni cellulari possono condividere lo stesso indirizzo IP pubblico. Il dispositivo riceve un indirizzo privato, mentre la rete cellulare traduce il suo traffico in uscita attraverso un indirizzo pubblico condiviso.

Poiché più connessioni condividono quell'indirizzo pubblico, in genere le connessioni in ingresso non richieste non possono essere instradate direttamente verso un singolo dispositivo dietro CGNAT.

Il dispositivo può avviare connessioni in uscita, ma per l'accesso diretto in ingresso serve un altro approccio di rete.

Inoltre, gli indirizzi IP possono cambiare quando i dispositivi cellulari si disconnettono e si riconnettono. È un ulteriore problema quando una regola firewall, una allow list o una configurazione di accesso remoto dipende da un indirizzo stabile.

Per un MSP questo può incidere su attività come:

• Gestire da remoto router e gateway

• Accedere a telecamere, chioschi o controller

• Collegare i sistemi di monitoraggio agli apparati remoti

• Creare allow list sul firewall

• Impostare alcune configurazioni VPN

Esistono diversi modi per risolvere il problema. Quello giusto dipende da cosa deve comunicare con il dispositivo, da quanti dispositivi gestisci e da come vuoi proteggere l'accesso remoto.

Opzione 1: IP pubblico fisso

Un IP pubblico fisso assegna alla connessione cellulare un indirizzo IP pubblico stabile, invece di affidarsi a un indirizzo variabile o condiviso.

In questo modo gli MSP hanno un endpoint prevedibile per le installazioni che richiedono connettività in ingresso, allow list basate sull'IP o determinate configurazioni VPN.

Cosa rende possibile un IP fisso

Un IP pubblico fisso può fornire un indirizzo stabile per:

• Allow list basate sull'IP

• Configurazioni VPN

• Monitoraggio remoto

• Connettività in ingresso controllata

• Flussi di lavoro per l'accesso remoto

A seconda della configurazione di router, firewall e dispositivo, può anche consentire la connettività in ingresso verso gli apparati dietro il router cellulare.

Vantaggi di un IP pubblico fisso

Indirizzamento costante. L'indirizzo non cambia ogni volta che la connessione cellulare si riconnette.

Integrazione semplice. I sistemi esistenti che dipendono da un IP di origine o di destinazione noto possono continuare a usare regole basate sull'IP.

Nessun tunnel lato dispositivo. L'endpoint non deve per forza stabilire una propria VPN in uscita solo per restare raggiungibile.

Aspetti da valutare

Un IP pubblico fisso rende l'endpoint cellulare sempre raggiungibile da internet. Per questo i controlli di sicurezza sono indispensabili.

Le regole firewall devono limitare il traffico in ingresso a ciò che serve davvero all'installazione, e l'amministrazione remota deve usare protocolli cifrati e un'autenticazione adeguata.

Verifica inoltre:

• Se il provider fornisce un IP fisso pubblico o privato

• Come viene assegnato l'IP

• Se il traffico in ingresso è limitato

• Se determinate porte sono bloccate

• Se l'accesso in ingresso può essere limitato a indirizzi di origine autorizzati

• Come si comporta l'IP fisso sulle diverse reti disponibili per la SIM

• Quali costi aggiuntivi sono previsti

Un IP pubblico fisso è utile quando un'installazione richiede espressamente un indirizzo stabile e raggiungibile da internet.

Un IP fisso offre raggiungibilità, non sicurezza.

Assegnare un IP pubblico fisso rende un endpoint cellulare sempre raggiungibile. Da solo non autentica gli utenti e non protegge il dispositivo. Affiancalo a regole firewall, protocolli cifrati, indirizzi di origine limitati e controlli di autenticazione adeguati.

Opzione 2: rete privata

Non tutti i dispositivi gestiti da remoto devono essere raggiungibili direttamente dalla rete internet pubblica.

Una rete privata offre un percorso controllato tra i dispositivi cellulari e i sistemi che devono comunicare con loro, senza doverli esporre direttamente su internet.

A seconda del provider e dell'architettura, può basarsi su indirizzamento privato, configurazione dell'APN, connettività VPN o altri meccanismi di routing.

Poiché i provider usano termini come "APN privato" e "rete privata" in modi diversi, chiedi uno schema di rete che mostri come il traffico si muove tra il dispositivo cellulare e la tua infrastruttura.

Cosa rende possibile una rete privata

Una rete privata permette ai dispositivi remoti e ai sistemi centrali di comunicare tramite connettività privata, invece che tramite indirizzi pubblici esposti su internet.

È utile quando:

• Molti dispositivi comunicano con la stessa infrastruttura centrale

• I dispositivi non devono essere esposti direttamente su internet

• Un MSP ha bisogno di un controllo centralizzato su routing e accessi

• L'installazione ha requisiti aggiuntivi di rete o di sicurezza

Vantaggi di una rete privata

Minore esposizione pubblica. I dispositivi non hanno bisogno di un proprio IP pubblico per comunicare con l'infrastruttura autorizzata.

Architettura centralizzata. La connettività tra dispositivi e sistemi centrali può essere gestita all'interno di un progetto di rete più ampio.

Ideale per installazioni più grandi. Una rete privata offre un'architettura coerente man mano che cresce il numero di dispositivi installati.

Aspetti da valutare

Una rete privata richiede più pianificazione rispetto alla semplice assegnazione di un IP pubblico.

A seconda dell'implementazione, potresti dover definire:

• Gli intervalli di indirizzi privati

• Il routing

• I controlli di accesso

• Come la tua infrastruttura si collega alla rete privata

• Quali sistemi possono comunicare con i dispositivi installati

• Come verrà monitorata la connessione privata

L'architettura esatta varia da provider a provider: prima di progettare la tua soluzione, cerca di capire bene come funziona il servizio di rete privata del provider.

Una rete privata è utile quando i dispositivi hanno bisogno di connettività controllata verso un'infrastruttura centrale senza essere esposti direttamente su internet.

Opzione 3: VPN o tunnel sicuro avviato dal dispositivo

Un terzo approccio consiste nel far avviare al router o al dispositivo una connessione cifrata verso un'infrastruttura gestita dall'MSP, dal cliente o da un provider di fiducia.

Poiché è il dispositivo ad avviare la connessione in uscita, questo approccio funziona anche dietro CGNAT, senza bisogno di un IP pubblico fisso.

Una volta stabilita la connessione sicura, i sistemi autorizzati possono comunicare con il dispositivo attraverso il tunnel.

A seconda dell'hardware e dell'installazione, si possono usare tecnologie come IPsec, OpenVPN o WireGuard, oppure il servizio di gestione remota sicura di un vendor.

Vantaggi di una VPN avviata dal dispositivo

Funziona dietro CGNAT. Il dispositivo stabilisce la connessione in uscita, quindi non serve connettività diretta in ingresso dalla rete cellulare.

Riduce l'esposizione diretta su internet. Il dispositivo non deve accettare connessioni in ingresso non richieste dalla rete internet pubblica.

Funziona con diversi tipi di connessione. Lo stesso approccio si può usare quando una sede passa dalla connettività cablata a quella cellulare.

Riduce la dipendenza dall'indirizzamento IP. L'accesso remoto non dipende dal fatto che la connessione cellulare mantenga un determinato IP pubblico.

Aspetti da valutare

Il router o il dispositivo deve supportare il tunnel o il metodo di accesso remoto scelto.

Il tuo team deve inoltre considerare:

• Chi gestisce il gateway VPN o il servizio di accesso remoto

• Come vengono configurati i dispositivi

• Come viene gestita l'autenticazione

• Se i tunnel si riconnettono automaticamente

• Cosa succede quando cambia la connettività

• Come viene monitorata la disponibilità del tunnel

• Cosa succede se è il tunnel stesso a non funzionare

Per le installazioni critiche, valuta se serve un percorso di accesso alternativo nel caso in cui il metodo principale non sia disponibile.

Quale opzione di accesso remoto scegliere?

Parti dal requisito, non dalla tecnologia.

Se il dispositivo deve solo inviare dati in uscita

La connettività cellulare standard può bastare.

Un dispositivo che invia telemetria a un'applicazione cloud, per esempio, potrebbe non aver bisogno di alcun accesso in ingresso.

Se ti serve un indirizzo pubblico stabile

Valuta un IP pubblico fisso.

È utile per le allow list basate sull'IP, per specifiche configurazioni VPN e per le installazioni che richiedono un endpoint prevedibile e raggiungibile da internet.

Se molti dispositivi hanno bisogno di accesso controllato a un'infrastruttura centrale

Valuta una rete privata.

Offre un'architettura più centralizzata senza che ogni dispositivo installato debba avere un IP raggiungibile pubblicamente.

Se il dispositivo può stabilire da solo una connessione sicura

Una VPN o un tunnel sicuro avviato dal dispositivo può darti l'accesso remoto di cui hai bisogno senza richiedere connettività in ingresso tramite il provider cellulare.

Questi approcci non si escludono necessariamente a vicenda. L'architettura giusta può combinare metodi diversi per installazioni di clienti diversi.

In generale, un IP pubblico fisso è utile quando ti serve un indirizzo stabile raggiungibile da internet, una rete privata è utile quando i dispositivi hanno bisogno di connettività controllata verso un'infrastruttura centrale, e una VPN avviata dal dispositivo può offrire accesso remoto senza richiedere connettività in ingresso tramite il provider cellulare.

Sicurezza nell'accesso remoto su rete cellulare

Ogni volta che rendi accessibili apparati remoti, la sicurezza deve far parte dell'architettura fin dall'inizio, non essere un ripensamento.

Questo vale soprattutto quando usi un IP pubblico fisso.

Limita l'accesso in ingresso

Consenti solo le connessioni di cui l'installazione ha davvero bisogno. Dove possibile, limita l'accesso in ingresso a indirizzi di origine noti e disattiva i servizi non necessari esposti sulla WAN.

Usa protocolli cifrati

Usa protocolli cifrati e autenticati per la gestione remota. Evita di esporre direttamente su internet protocolli di amministrazione non cifrati.

Sostituisci le credenziali predefinite

Usa credenziali robuste e univoche e, dove possibile, disattiva gli account predefiniti.

Richiedi un'autenticazione adeguata

Usa l'autenticazione a più fattori per le piattaforme di gestione e gli strumenti di accesso remoto, dove supportata.

Mantieni aggiornati i dispositivi

Definisci un processo per gli aggiornamenti firmware e di sicurezza e documenta le versioni installate su tutti gli apparati.

Monitora gli accessi

Registra i tentativi di accesso e le modifiche di configurazione, dove l'hardware e gli strumenti di gestione lo consentono.

Monitora il consumo dati

Un aumento imprevisto del traffico cellulare può indicare un problema di configurazione, un comportamento anomalo del dispositivo o una possibile attività non autorizzata.

Il monitoraggio dei consumi e i limiti di utilizzo aiutano a individuare presto i cambiamenti.

Checklist per configurare l'accesso remoto

Segui un processo coerente ogni volta che aggiungi l'accesso remoto cellulare a un nuovo dispositivo o a una nuova sede cliente.

Pianifica

• Individua quali dispositivi richiedono l'accesso remoto.

• Documenta perché serve l'accesso remoto.

• Individua quali sistemi devono avviare la connessione.

• Stabilisci se è necessario un IP pubblico stabile.

• Decidi se IP fisso, rete privata o VPN avviata dal dispositivo è la soluzione più adatta al requisito.

• Verifica che l'hardware supporti l'approccio scelto.

• Verifica che il provider di connettività supporti l'opzione di rete necessaria.

Configura

• Attiva il servizio di IP fisso o di rete privata necessario.

• Configura routing e regole firewall.

• Limita il traffico in ingresso dove possibile.

• Disattiva i servizi e le interfacce di amministrazione non utilizzati.

• Configura VPN o tunnel sicuri con riconnessione automatica, dove applicabile.

• Imposta credenziali robuste e controlli di autenticazione adeguati.

Testa

• Verifica che l'accesso remoto autorizzato funzioni dall'esterno della sede del cliente.

• Riavvia il dispositivo cellulare e verifica che l'accesso torni disponibile senza interventi manuali.

• Testa la riconnessione della VPN o del tunnel, se applicabile.

• Se usi la rete cellulare per il failover, simula un'interruzione della connessione principale e verifica che il metodo di accesso remoto si comporti come previsto.

• Controlla il consumo dati per capire il traffico aggiuntivo generato da monitoraggio, keepalive e gestione remota.

Documenta e monitora

• Registra il dispositivo, la SIM e il metodo di accesso remoto.

• Documenta indirizzi IP, configurazioni di rete e regole di accesso rilevanti.

• Annota perché hai scelto quell'architettura.

• Configura avvisi adeguati su connettività e consumi.

• Pianifica test periodici per le installazioni critiche.

Configura l'accesso remoto per le tue installazioni cellulari

Simbase offre agli MSP diversi modi per costruire la connettività cellulare intorno ai requisiti di rete delle installazioni dei loro clienti.

Aggiungi un IP pubblico fisso quando un dispositivo ha bisogno di un indirizzo stabile raggiungibile da internet, oppure usa una rete privata quando i dispositivi hanno bisogno di connettività controllata verso la tua infrastruttura senza esposizione pubblica diretta.

Gestisci la connettività cellulare tramite la piattaforma Simbase e usa l'API per automatizzarne la gestione man mano che le installazioni crescono.

Ti serve aiuto per scegliere la configurazione giusta?

Parla con un esperto IoT del nostro team dei requisiti di rete della tua installazione.