IPsec crea un tunnel site-to-site bidirezionale e crittografato tra il gateway dedicato della rete privata e un concentratore VPN situato presso l'utente, nella rete aziendale o in un VPC cloud. Una volta stabilito il tunnel, il traffico tra le due reti viene crittografato e autenticato, in modo che i SIM possano accedere alle risorse presenti sulla rete dell'utente e che la rete dell'utente possa accedere ai SIM.
Per l'architettura della rete privata e la configurazione di WireGuard, consultare Reti private e configurazione di WireGuard.
Panoramica
Nella maggior parte dei casi d'uso dell'IoT si ricorre a un server applicativo dotato di un indirizzo IP pubblico, in modo che i dispositivi possano trasmettere i dati tramite la rete Internet pubblica. Un tipico esempio è rappresentato da un localizzatore GPS che invia la propria posizione a un server ogni cinque minuti.
In alcuni casi è invece necessaria una connessione privata. I tunnel IPsec collegano la rete aziendale o cloud direttamente alla sottorete utilizzata dalle schede SIM.
Nella configurazione riportata di seguito, le schede SIM possono accedere a qualsiasi risorsa su Internet, oltre che alle risorse private all'interno della rete.
È inoltre possibile instradare tutto il traffico della SIM attraverso il tunnel, consentendoti di gestire il tuo gateway Internet e di controllare tutto il traffico in entrata e in uscita.
Configurare un tunnel IPsec
Prima di configurare il tunnel, implementa la tua rete privata e assicurati di avere a disposizione un concentratore VPN. I passaggi fondamentali sono i seguenti:
Implementare una rete privata. Vedi Reti private e configurazione di WireGuard.
Implementate un concentratore VPN nella vostra rete aziendale o cloud con un indirizzo IP pubblico. Simbase consiglia pfSense se non ne gestisci già uno.
Configurare il tunnel IPsec nella dashboard di Simbase.
Configura il tunnel IPsec sul tuo concentratore VPN in modo che corrisponda.
Testare il tunnel in un ambiente di laboratorio prima di utilizzarlo in produzione. I passaggi esatti dipendono dalla marca e dal software del concentratore; consultare la relativa documentazione e valutare la possibilità di rivolgersi a un tecnico di rete in caso di configurazioni più grandi o complesse.
Configurazione di IPsec (dashboard Simbase)
Informazioni generali
| Ambientazione | Descrizione |
|---|---|
Versione con scambio di chiavi | Gestisce il tunnel. IKEv2 è più veloce e più sicuro di IKEv1 ed è preferibile se il concentratore lo supporta. Se non si è sicuri, utilizzare l'impostazione "auto". |
Indirizzo IP di Simbase | L'indirizzo IP del concentratore VPN Simbase. Prendine nota: ti servirà per configurare il tuo lato. |
Indirizzo IP remoto | L'indirizzo IPv4 pubblico del tuo concentratore VPN. |
Chiave pre-condivisa | Autentica entrambe le estremità del tunnel. Utilizza una chiave lunga e casuale oppure copia quella suggerita. Evita i caratteri speciali. Non condividerla mai: chiunque possieda questa chiave può compromettere il tunnel. |
Versione con scambio di chiavi
Indirizzo IP di Simbase
Indirizzo IP remoto
Chiave pre-condivisa
Phase 1 (Key exchnage)
| Ambientazione | Descrizione |
|---|---|
Algoritmo di crittografia | Crittografa il traffico relativo allo scambio di chiavi. Si consiglia di utilizzare AES128-GCM (128 bit) per ottenere il miglior equilibrio tra sicurezza e prestazioni. |
Algoritmo di hash | Verifica l'integrità del traffico relativo allo scambio di chiavi. Si raccomanda l'uso di SHA256. SHA1 è generalmente considerato non sicuro e dovrebbe essere evitato. |
Chiave del gruppo DH | Gruppo di Diffie-Hellman per lo scambio di chiavi. Si raccomanda il gruppo DH 14 (2048 bit). |
Durata | La durata, in secondi, della sessione di Fase 1 prima della rinegoziazione. 28800 è un valore predefinito ragionevole. Impostare un endpoint su questo valore e l'altro su un valore superiore di almeno il 10% (ad es. 31680) per evitare sovrapposizioni. Intervallo: 20000–86400 secondi. |
Rilevamento dei peer inattivi | Verifica che il peer sia ancora attivo utilizzando scambi INFORMATIONAL IKEv2 o messaggi R_U_THERE IKEv1. Viene eseguito solo se non è stato ricevuto alcun pacchetto IKE o ESP/AH per il tempo di attesa configurato. Impostare su "disabilitato" in caso di dubbi. |
Algoritmo di crittografia
Algoritmo di hash
Chiave del gruppo DH
Durata
Rilevamento dei peer inattivi
Phase 2 (Data session)
| Ambientazione | Descrizione |
|---|---|
Rete SIM | La sottorete utilizzata dalle tue schede SIM. È fissa e non può essere modificata. |
Rete remota | La sottorete sul tuo lato del tunnel, in notazione CIDR. Impostala su 0.0.0.0/0 per instradare tutto il traffico SIM verso la tua rete. |
ESP | Encapsulating Security Payload: gestisce la crittografia e l'autenticazione del traffico del tunnel. Non può essere modificato. |
Algoritmo di crittografia | Crittografa il traffico del tunnel. Si consiglia l'uso di AES128-GCM (128 bit). |
Algoritmo di hash | Verifica l'integrità del traffico nel tunnel. Si consiglia l'uso di SHA256. SHA1 è generalmente considerato non sicuro e dovrebbe essere evitato. |
Chiave del gruppo DH | Gruppo Diffie-Hellman per la sessione dati. Si raccomanda il gruppo DH 14 (2048 bit). |
Durata | Durata della sessione di dati prima del rinnovo della chiave, espressa in secondi. Deve essere superiore alla durata della Fase 1. Impostare un valore a questo valore e l'altro ad un valore superiore di almeno il 10% per evitare sovrapposizioni. Intervallo: 1800–7200 secondi. |
Rete SIM
Rete remota
ESP
Algoritmo di crittografia
Algoritmo di hash
Chiave del gruppo DH
Durata
Configurare IPsec (dal proprio lato)
La configurazione di IPsec da parte tua dipende dal concentratore che utilizzi. La demo riportata di seguito illustra la procedura da seguire in pfSense.
Correlati
Reti private e configurazione di WireGuard, l'architettura con gateway dedicato e la configurazione di WireGuard
VPN per l'IoT, quando vale la pena affrontare la maggiore complessità di una VPN
La traduzione degli indirizzi di rete (NAT) e cosa comporta per l'IoT
Indirizzi IP pubblici, per la raggiungibilità in entrata su una singola SIM senza rete privata
Verifica che il tuo dispositivo sia compatibile prima di procedere all'implementazione
© 2026 Simbase Global Group. All rights reserved.