Site-to-site VPN: collegare due sedi
Il collegamento site-to-site (S2S) e il classico scenario aziendale in cui due o più sedi devono comportarsi come un'unica rete privata. Le opzioni variano da IPsec/IKEv2 (tradizionale) a WireGuard (moderno) fino a SD-WAN gestiti.
Pianificazione delle subnet
La prima regola e che le LAN dietro i tunnel non si sovrappongano: se la sede A usa 192.168.1.0/24 è la sede B la stessa subnet, e necessario rinumerare oppure usare NAT 1:1. Pianifica un piano di indirizzamento gerarchico (es. 10.10.0.0/16, 10.20.0.0/16) per evitare collisioni future.
Procedura passo-passo
- Mappa subnet, dispositivi e servizi attivi in entrambe le sedi.
- Scegli il protocollo: IPsec (massima compatibilità con apparati di marche diverse) o WireGuard (leggerezza).
- Configura il router/firewall lato A con tunnel verso IP pubblico di B, e viceversa.
- Definisci i Phase 1/Phase 2 per IPsec o AllowedIPs per WireGuard includendo subnet remote.
- Apri sui firewall le porte UDP 500/4500 (IPsec) o porta WireGuard scelta.
- Aggiungi rotte statiche o usa routing dinamico (OSPF/BGP) per propagare le subnet.
- Testa connettivita end-to-end con ping, traceroute e applicazioni reali.
BGP over IPsec
Per scenari multi-sede con più link, BGP over IPsec offre routing dinamico professionale: configura iBGP tra i firewall, annuncia subnet locali, ricevi quelle remote. BGP gestisce automaticamente failover quando un tunnel cade e load balancing su tunnel multipli. Strumenti come FRR su Linux o BGP integrato in pfSense/OPNsense rendono accessibile questa configurazione anche a piccole aziende.
DPD e keepalive
Dead Peer Detection (DPD) e configurazione fondamentale per S2S IPsec: il firewall invia messaggi R-U-THERE periodici e se il peer non risponde dopo N attempts considera il tunnel morto e tenta riconnessione. Configura dpdtimeout=30s e dpdaction=restart in strongSwan. Su FortiGate equivalente e dead-peer-detection on-demand. Senza DPD i tunnel possono restare zombie senza traffico effettivo.
Monitoring di tunnel S2S
Strumenti come PRTG, Zabbix, LibreNMS possono monitorare via SNMP lo stato dei tunnel IPsec, generando alert su tunnel down. Per WireGuard usa wireguard_exporter con Prometheus. Definisci alert con threshold (es. tunnel down > 5 min) per evitare falsi positivi su brevi rinegoziazioni. Documenta runbook di intervento per ogni tunnel critico.
VTI (Virtual Tunnel Interface) IPsec
L'approccio moderno per IPsec S2S usa VTI: il tunnel diventa un'interfaccia di rete (es. vti0) sopra cui il routing applicativo viene applicato come su qualsiasi interfaccia. Vantaggi: routing dinamico (OSPF, BGP) sul tunnel, monitoring SNMP nativo, integrazione con firewall basato su zone. Strongswan, Linux IPsec, FortiGate, Cisco ASA supportano VTI.
Multipath e load balancing
Per sedi con due o più link WAN, configura tunnel ridondanti: IPsec con due tunnel verso destinazioni diverse + BGP che annuncia stesso prefisso con metrica diversa per failover. Tunnel WireGuard multipli con ECMP per load balancing reale. SD-WAN come Fortinet Secure SD-WAN aggiunge intelligenza application-aware path selection.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Tunnel up ma niente traffico: spesso e regola NAT che riscrive il sorgente: aggiungi NO-NAT per le subnet interne incrociate.
- Subnet overlap: rinumera una sede o configura NAT 1:1 mappando 192.168.1.0/24 in 10.10.1.0/24.
- MTU eccessiva su IPsec: imposta MSS clamping a 1360 o abilita PMTUD; sintomo tipico: SSH ok, HTTPS pagine si bloccano.
- Tunnel cade ogni ora: rekey timer male allineato tra i due peer: imposta lifetime IKE e Child SA identici.
Domande frequenti
D: Quanti tunnel posso avere?
R: Dipende dal firewall, ma anche apparati medi gestiscono decine di tunnel concorrenti.
D: Meglio routing statico o dinamico?
R: Per 2-3 sedi va bene statico; oltre serve OSPF/BGP per gestire ridondanza.
D: Posso fare site-to-site tra fornitori diversi?
R: Si con IPsec: e lo standard supportato da praticamente ogni marca.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.