A VPN (Rete privata virtuale) crea un tunnel crittografato tra due endpoint. Nell'ambito dell'IoT, l'utilizzo tipico consiste nel fornire a un dispositivo cellulare un percorso sicuro per ricollegarsi ai propri server o alla rete aziendale, come se il dispositivo fosse collegato direttamente in ufficio, anche se in realtà è connesso tramite una rete mobile pubblica dall'altra parte del mondo.

Questo articolo spiega cos’è una VPN IoT, in quali casi offre un valore aggiunto e quali funzionalità supporta Simbase. Per la configurazione, consultare le guide specifiche per ciascun protocollo disponibili alla voce Reti private.

Cosa fa una VPN per l'IoT

Un tunnel VPN tra un dispositivo mobile e un endpoint remoto offre i seguenti vantaggi:

• Crittografia durante il trasferimento. Il traffico all'interno del tunnel non è visibile a nessuno lungo il percorso di rete.

• Autenticazione. Entrambe le parti verificano la propria identità prima che il tunnel venga stabilito. I dispositivi privi di credenziali valide non possono stabilire il tunnel.

• Appartenenza logica alla rete. Una volta stabilito il tunnel, il dispositivo appare come se si trovasse sulla rete remota. Può accedere alle risorse interne tramite i loro indirizzi interni.

• Controllo del percorso. Sei tu a decidere quale traffico passa attraverso il tunnel e quale va direttamente su Internet.

Una VPN non sostituisce il protocollo TLS per la crittografia a livello di applicazione. Si tratta infatti di un livello di trasporto sottostante. La maggior parte dei progetti IoT utilizza comunque il protocollo TLS, e la VPN viene aggiunta a livello superiore solo quando sussiste un motivo specifico per farlo.

Quando vale la pena utilizzare una VPN per l'IoT

Una VPN aumenta la complessità operativa e il carico sulla CPU del dispositivo. Sceglila quando si verifica una delle seguenti condizioni:

• È necessario rendere accessibili i servizi interni ai dispositivi. I dispositivi devono connettersi a un database, a un server AD/LDAP, a un broker MQTT interno o a un'altra risorsa presente all'interno della rete aziendale. Una VPN consente al dispositivo di accedere a tale rete.

• La conformità richiede un trasporto crittografato che vada oltre il protocollo TLS. Alcuni settori soggetti a regolamentazione (sanità, pubblica amministrazione, difesa) richiedono che tutto il traffico tra endpoint sensibili transiti attraverso un tunnel crittografato, indipendentemente dalla crittografia a livello di applicazione.

• Ti stai collegando alla rete di un cliente o di un partner. In molte implementazioni IoT B2B, il traffico della SIM viene instradato nella VPN del cliente, in modo che sia il team IT del cliente a gestire l'instradamento e le politiche.

• Stai effettuando il consolidamento su un unico endpoint di pubblicazione. Un endpoint VPN centrale può rivelarsi utile quando molti dispositivi devono accedere a un unico servizio interno che non si desidera rendere pubblico.

• Vuoi un indirizzo IP di origine fisso per il traffico del dispositivo. Un concentratore VPN può far apparire tutto il traffico dei dispositivi come proveniente da un unico indirizzo IP di origine, semplificando la creazione di elenchi di autorizzazione sui sistemi dei partner.

Quando una VPN è non la risposta giusta

• Ti serve solo la crittografia. TLS gestisce questo aspetto per HTTPS, MQTTS e qualsiasi altro protocollo applicativo moderno.

• Il dispositivo comunica esclusivamente con le API pubbliche. Una VPN non aggiunge nulla.

• È necessaria la raggiungibilità in entrata per un singolo dispositivo. A IP pubblico è più semplice di una VPN.

• Stai cercando di nascondere la posizione del dispositivo. Gli operatori di telefonia mobile sanno sempre dove si trova il dispositivo, e una VPN non cambia questa situazione.

Cosa supporta Simbase

Simbase supporta due protocolli VPN site-to-site, configurati a livello di gateway di rete:

Entrambe le configurazioni vengono effettuate una sola volta da parte di Simbase. Il traffico della vostra flotta passa attraverso il tunnel senza alcuna configurazione specifica per singolo dispositivo, il che è molto più semplice dal punto di vista operativo rispetto all’installazione di un client VPN su ogni dispositivo.

Utilizza IPsec quando i dispositivi devono essere costantemente raggiungibili dalla rete, quando il traffico scorre in entrambe le direzioni o quando si integra con dispositivi VPN già gestiti dal team IT (Cisco ASA, Palo Alto, Fortinet e simili). È la scelta standard per l'ambiente di produzione.

Utilizza WireGuard quando è necessario accedere ai dispositivi in modo sporadico anziché continuo, per la manutenzione, la diagnostica o l'estrazione dei log. È più veloce da configurare e più facile da gestire in caso di problemi, il che lo rende ideale anche per la prototipazione.

VPN sul dispositivo vs VPN sulla rete

Esistono due modi diversi per collegare i dispositivi a una VPN:

Domande frequenti

Related

• Reti private, Configurazione di WireGuard

• Reti private, configurazione IPsec

• Indirizzi IP pubblici, per garantire la raggiungibilità in entrata senza VPN

• APN (APN privato), per un’integrazione di rete ancora più stretta