Hub-and-spoke VPN: topologia
La topologia hub-and-spoke prevede un nodo centrale (hub) che riceve tunnel da tutte le sedi periferiche (spoke). È semplice da gestire, centralizza policy e filtri, ma introduce un single point of failure ed eventuali colli di bottiglia di banda.
Quando ha senso
Hub-and-spoke è ideale quando le sedi periferiche comunicano principalmente con servizi centralizzati (ERP, file server, datacenter privato) e raramente tra loro. È anche più semplice da auditing perché tutto il traffico passa da un punto controllato.
Procedura passo-passo
- Identifica l'hub: tipicamente sede principale o datacenter con banda elevata e IP pubblico statico.
- Configura su ogni spoke un tunnel verso l'hub (IPsec o WireGuard).
- Sull'hub aggrega le subnet spoke nel routing e applica policy firewall comuni.
- Configura policy DNS centralizzata, instradando le query dei client verso DNS interno dell'hub.
- Imposta QoS per evitare che backup massivi saturino il link tra spoke e hub.
- Monitora salute dei tunnel con SNMP/ICMP e alert proattivi su disconnessioni.
- Pianifica failover dell'hub: secondo nodo replicato o backup link in cloud.
Microsegmentazione su hub
L'hub centrale è il punto ideale per implementare microsegmentazione: applica regole firewall stratificate tra subnet spoke, blocca lateral movement, ispeziona traffico inter-sede con IDS/IPS, applica content filtering uniforme. Questa centralizzazione e potente ma rende ancora più critico l'hub: tienilo sotto attenta sorveglianza.
Migrazione da hub-and-spoke a SD-WAN
Molte aziende stanno migrando da hub-and-spoke IPsec tradizionale a SD-WAN (Fortinet Secure SD-WAN, Cisco Meraki, Cato Networks). I vantaggi: routing application-aware, optimized path per cloud, integrated security. La transizione e graduale: convivenza temporanea, poi spostamento per priorità. Pianifica almeno 6 mesi per progetto medio.
Costi e ROI
Hub-and-spoke ha costi prevedibili: 1 firewall hub robusto + N firewall spoke più modesti, connettivita Internet su tutte le sedi. ROI valuta riduzione complessita gestione vs limitazioni di scalabilità. Per aziende fino a 10-20 sedi resta competitivo; oltre conviene investire in mesh o SD-WAN. Considera anche TCO incluso staff IT necessario per gestione.
DMVPN Cisco
DMVPN (Dynamic Multipoint VPN) di Cisco e variante avanzata di hub-and-spoke: spoke registrano dinamicamente al hub via mGRE+NHRP, e possono creare tunnel diretti on-demand quando comunicano tra loro (DMVPN Phase 2/3). Combina semplicità gestione hub con vantaggi mesh on-demand. Disponibile su router Cisco ISR e Catalyst SD-WAN, alternative simili su Fortinet ADVPN e Juniper AutoVPN.
Hub multipli regionali
Per aziende globali, hub singolo introduce latenza inaccettabile per spoke geograficamente lontani. Soluzione: hub multipli regionali (EMEA, APAC, AMER) interconnessi tra loro. Ogni spoke connette al hub più vicino. Inter-region traffic passa attraverso più hub. La gerarchia mantiene la centralizzazione policy ma riduce latenza.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Spoke-to-spoke traffic non funziona: ricorda di abilitare il routing transit sull'hub: per default può non inoltrare tra spoke.
- Hub saturato: valuta link Internet più grande o promuovi spoke a hub regionale (gerarchia a più livelli).
- Single point of failure: implementa hub ridondato con HSRP/VRRP o tunnel di backup verso secondo sito.
- Latenza tra spoke remoti: il traffico fa hairpin attraverso l'hub: per spoke geograficamente vicini conviene tunnel diretto.
Domande frequenti
D: E adatta per smart working?
R: Si, se gli utenti remoti accedono principalmente a servizi centralizzati.
D: Posso mescolare hub-and-spoke con mesh?
R: Si: spoke comuni passano dall'hub, mentre coppie ad alto traffico hanno tunnel diretto (full mesh parziale).
D: Come misuro la salute?
R: Tunnel up/down, latenza ICMP, throughput aggregato, drop rate del link WAN del hub.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.