VPN per l'IoT: quando usarla e cosa supporta Simbase

Una VPN (Virtual Private Network) crea un tunnel cifrato tra due endpoint. Nell'IoT serve di solito a dare a un dispositivo cellulare un percorso sicuro verso i tuoi server o la tua rete aziendale, come se fosse collegato in ufficio, anche se in realtà è connesso a una rete mobile pubblica dall'altra parte del mondo.

Questo articolo spiega cos'è una VPN IoT, quando è utile e cosa supporta Simbase. Per la configurazione, consulta le guide in Reti private e IPsec.

Cosa fa una VPN IoT

Un tunnel VPN tra un dispositivo cellulare e un endpoint remoto ti offre:

• Cifratura in transito. Il traffico nel tunnel è illeggibile per chiunque si trovi sul percorso di rete.

• Autenticazione. Entrambe le estremità dimostrano la propria identità prima che il tunnel si attivi. I dispositivi senza credenziali valide non possono stabilire il tunnel.

• Appartenenza logica alla rete. Con il tunnel attivo, il dispositivo appare come parte della rete remota. Raggiunge le risorse interne tramite i loro indirizzi interni.

• Controllo del routing. Decidi tu quale traffico passa nel tunnel e quale va direttamente su internet.

Una VPN non sostituisce TLS per la cifratura a livello applicativo. È un livello di trasporto sottostante. La maggior parte delle architetture IoT usa comunque TLS e aggiunge una VPN solo quando c'è un motivo preciso.

Quando conviene una VPN per l'IoT

Una VPN aumenta la complessità operativa e il carico della CPU sul dispositivo. Sceglila se vale uno di questi casi:

• Devi rendere accessibili servizi interni ai dispositivi. I dispositivi devono raggiungere un database, AD/LDAP, un broker MQTT interno o un'altra risorsa nella tua rete aziendale. Una VPN porta il dispositivo dentro quella rete.

• La compliance richiede un trasporto cifrato oltre a TLS. Alcuni settori regolamentati (sanità, pubblica amministrazione, difesa) richiedono che tutto il traffico tra endpoint sensibili passi in un tunnel cifrato, indipendentemente dalla cifratura applicativa.

• Ti colleghi alla rete di un cliente o partner. Molti progetti IoT B2B fanno terminare il traffico della SIM nella VPN del cliente, così il suo team IT controlla routing e policy.

• Vuoi concentrare tutto su un unico endpoint interno. Un endpoint VPN centrale è utile quando molti dispositivi devono raggiungere un solo servizio interno che non vuoi esporre pubblicamente.

• Vuoi un IP sorgente fisso per il traffico dei dispositivi. Un concentratore VPN fa uscire tutto il traffico dei dispositivi da un solo IP sorgente, semplificando le allowlist sui sistemi dei partner.

Quando una VPN non è la scelta giusta

• Ti serve solo la cifratura. Ci pensa TLS per HTTPS, MQTTS e qualsiasi altro protocollo applicativo moderno.

• Il dispositivo comunica solo con API pubbliche. Una VPN non aggiunge nulla.

• Devi rendere raggiungibile dall'esterno un singolo dispositivo. Un IP pubblico è più semplice di una VPN.

• Vuoi nascondere la posizione del dispositivo. Gli operatori mobili sanno sempre dove si trova il dispositivo, e una VPN non cambia nulla.

Cosa supporta Simbase

Simbase supporta due protocolli VPN site-to-site, configurati a livello di gateway di rete. Un terzo connettore, NAT, assegna alle SIM un IP pubblico senza tunnel:

Entrambi si configurano una sola volta lato Simbase. Il traffico della tua flotta passa nel tunnel senza configurazioni per singolo dispositivo: molto più semplice da gestire che installare un client VPN su ogni dispositivo.

Usa IPsec quando i dispositivi devono essere sempre raggiungibili dalla tua rete, quando il traffico va in entrambe le direzioni o quando ti integri con apparati VPN che il tuo team IT gestisce già (Cisco ASA, Palo Alto, Fortinet e simili). È la scelta standard per la produzione.

Usa WireGuard quando devi raggiungere i dispositivi ogni tanto e non in modo continuo, per manutenzione, diagnostica o per scaricare i log. Si attiva più in fretta ed è più facile da analizzare in caso di problemi, quindi è adatto anche ai prototipi.

VPN sul dispositivo o VPN nella rete

Ci sono due modi per mettere i dispositivi "in VPN":

Domande frequenti

Articoli correlati

• Reti private: configurare WireGuard

• IPsec: attivare un tunnel IPsec

• IP pubblici: per la raggiungibilità dall'esterno senza VPN

• APN (APN privato): per un'integrazione di rete ancora più stretta