Come configurare IPsec per la tua rete privata Simbase
IPsec crea un tunnel site-to-site cifrato e bidirezionale tra il gateway dedicato della tua rete privata e un concentratore VPN dal tuo lato: la tua rete aziendale o un VPC cloud. Una volta attivo il tunnel, il traffico tra le due reti è cifrato e autenticato, così le SIM raggiungono le risorse della tua rete e la tua rete raggiunge le SIM.
Per l'architettura delle reti private e la configurazione di WireGuard, vedi Reti private e configurazione di WireGuard.
Panoramica
La maggior parte delle installazioni IoT usa un server applicativo con un indirizzo IP pubblico, a cui i dispositivi inviano i dati tramite internet. Un tracker GPS che comunica la sua posizione ogni cinque minuti è il caso tipico, e non ha bisogno di alcun tunnel.
IPsec serve alle installazioni che hanno bisogno del contrario: un percorso privato tra la tua rete e la subnet in cui si trovano le tue SIM. Una volta attivo il tunnel, le SIM raggiungono server che non hai mai esposto a internet e la tua rete raggiunge le SIM.
L'impostazione Remote network nella fase 2 decide quanto traffico segue quel percorso. Con 0.0.0.0/0, tutto ciò che le SIM inviano passa nel tunnel: il tuo gateway internet gestisce il loro accesso a internet e controlli ogni pacchetto in entrata e in uscita. Con una subnet specifica, solo il traffico diretto a quella rete usa il tunnel e il resto raggiunge internet come sempre tramite il gateway di Simbase.
Il diagramma qui sotto mostra il caso 0.0.0.0/0, con tutto il traffico delle SIM instradato verso la rete del cliente.
Configurare un tunnel IPsec
Prima di configurare il tunnel, attiva la tua rete privata e tieni pronto un concentratore VPN. I passaggi principali sono:
Attiva una rete privata. Vedi Reti private e configurazione di WireGuard.
Installa un concentratore VPN con un indirizzo IP pubblico nella tua rete aziendale o cloud. Simbase consiglia pfSense se non ne hai già uno.
Configura il tunnel IPsec nella dashboard di Simbase.
Configura il tunnel IPsec sul tuo concentratore VPN con le stesse impostazioni.
Prova il tunnel in un ambiente di test prima di usarlo in produzione. I passaggi esatti dipendono da marca e software del tuo concentratore, quindi consulta la sua documentazione. Per configurazioni più grandi o complesse, coinvolgi un ingegnere di rete.
Configurare IPsec (dashboard di Simbase)
Generale
| Impostazione | Descrizione |
|---|---|
Key exchange version | Negozia il tunnel. IKEv2 è più veloce e sicuro di IKEv1 ed è da preferire se il tuo concentratore lo supporta. Se hai dubbi, scegli auto. |
Simbase IP address | L'indirizzo IP del concentratore VPN di Simbase. Annotalo: ti servirà per configurare il tuo lato. |
Remote IP address | L'indirizzo IPv4 pubblico del tuo concentratore VPN. |
Pre-shared key | Autentica le due estremità del tunnel. Usa una chiave lunga e casuale, oppure copia quella proposta. Evita i caratteri speciali. Non condividerla mai! Chiunque abbia questa chiave può compromettere il tunnel. |
Key exchange version
Simbase IP address
Remote IP address
Pre-shared key
Fase 1 (scambio di chiavi)
| Impostazione | Descrizione |
|---|---|
Encryption algorithm | Cifra il traffico dello scambio di chiavi. AES128-GCM (128 bit) è consigliato per il miglior equilibrio tra sicurezza e prestazioni. |
Hash algorithm | Verifica l'integrità del traffico dello scambio di chiavi. È consigliato SHA256. SHA1 è in genere considerato non sicuro e va evitato. |
DH group key | Gruppo Diffie-Hellman per lo scambio di chiavi. È consigliato DH Group 14 (2048 bit). |
Lifetime | Quanto dura la sessione di fase 1 prima di rinegoziare, in secondi. 28800 è un buon valore predefinito. Imposta un endpoint su questo valore e l'altro almeno il 10% più alto (ad es. 31680) per evitare sovrapposizioni. Intervallo: 20000–86400 secondi. |
Dead peer detection | Verifica che il peer sia ancora attivo tramite scambi IKEv2 INFORMATIONAL o messaggi IKEv1 R_U_THERE. Si attiva solo se non è stato ricevuto alcun pacchetto IKE o ESP/AH per il ritardo configurato. Se hai dubbi, impostalo su disabled. |
Encryption algorithm
Hash algorithm
DH group key
Lifetime
Dead peer detection
Fase 2 (sessione dati)
| Impostazione | Descrizione |
|---|---|
SIM network | La subnet usata dalle tue SIM. Fissa, non si può modificare. |
Remote network | La subnet dal tuo lato del tunnel, in notazione CIDR. Impostala su 0.0.0.0/0 per instradare tutto il traffico delle SIM verso la tua rete. |
ESP | Encapsulating Security Payload: gestisce cifratura e autenticazione del traffico nel tunnel. Non si può modificare. |
Encryption algorithm | Cifra il traffico nel tunnel. È consigliato AES128-GCM (128 bit). |
Hash algorithm | Verifica l'integrità del traffico nel tunnel. È consigliato SHA256. SHA1 è in genere considerato non sicuro e va evitato. |
DH group key | Gruppo Diffie-Hellman per la sessione dati. È consigliato DH Group 14 (2048 bit). |
Lifetime | Quanto dura la sessione dati prima che la Child SA scada, in secondi. Deve essere maggiore del tempo di rekey. Imposta un endpoint su questo valore e l'altro almeno il 10% più alto, ad esempio 5400, per evitare sovrapposizioni. Intervallo: da 1800 a 7200 secondi. |
SIM network
Remote network
ESP
Encryption algorithm
Hash algorithm
DH group key
Lifetime
Configurare IPsec (il tuo lato)
Come configuri IPsec dal tuo lato dipende dal tuo concentratore. La demo qui sotto mostra la procedura in pfSense.
Domande frequenti
Sì. Il tunnel termina sul gateway dedicato della tua rete privata, quindi attiva prima la rete e assegnale le SIM. Vedi Reti private e la configurazione di WireGuard.
Black, Green e Red: gateway negli USA e nell'UE. Blue e Yellow: solo gateway nell'UE
Sì. I tunnel sono fatturati per tunnel e per giorno, oltre alla rete privata a cui il tunnel è collegato. Vedi Voci fatturabili.
Qualsiasi concentratore che supporti IPsec standard, tra cui Cisco ASA, Palo Alto e Fortinet. Simbase consiglia pfSense se non ne hai già uno.
Articoli correlati
Reti private e configurazione di WireGuard: l'architettura con gateway dedicato e la configurazione di WireGuard
VPN: quando una VPN vale la complessità aggiuntiva
Network Address Translation (NAT): cosa significa per l'IoT
IP pubblici: per raggiungere dall'esterno una singola SIM senza rete privata
Verificare la compatibilità: verifica che i tuoi dispositivi siano compatibili prima della messa in produzione
© 2026 Simbase. Tutti i diritti riservati.