WireGuard vs OpenVPN vs IPsec: confronto tecnico

La scelta del protocollo VPN influisce su prestazioni, sicurezza, compatibilità e gestibilità per anni. WireGuard, OpenVPN e IPsec sono i tre standard più usati in azienda, ciascuno con punti di forza specifici. Vediamo le differenze concrete per fare una scelta informata in base al contesto.

Le tre filosofie

WireGuard è il più moderno (2018), scritto in soli 4000 righe di codice C/kernel module. Usa esclusivamente algoritmi crittografici moderni (ChaCha20, Curve25519, Poly1305, BLAKE2s). Configurazione minimalista: chiavi pubbliche e peer endpoint, niente certificati.

OpenVPN esiste dal 2001 ed è il più diffuso. Usa OpenSSL per la crittografia, può girare su UDP o TCP, supporta autenticazione utente con username/password e certificati X.509. Configurazione più complessa ma estremamente flessibile.

IPsec è uno standard IETF degli anni 90, integrato in tutti i sistemi operativi. Spesso usato per VPN site-to-site con phase 1 (IKE) e phase 2 (ESP). Configurazione complessa ma performance native nel kernel.

Performance reali

Misurazioni tipiche su CPU AMD/Intel moderne con AES-NI: WireGuard 900-2000 Mbps single core; OpenVPN UDP 200-400 Mbps single core; IPsec AES-GCM 800-1500 Mbps single core. WireGuard ha latenza inferiore (handshake più rapido) e consuma meno CPU/batteria su mobile.

Procedura passo-passo

1. Identifica il caso d'uso: site-to-site (IPsec o WireGuard), remote access utenti (OpenVPN o WireGuard), mobile (WireGuard).
2. Verifica compatibilità: WireGuard richiede client moderno; OpenVPN gira ovunque; IPsec è nativo su iOS/Android/Windows.
3. Per WireGuard: genera coppia chiavi (wg genkey | tee private.key | wg pubkey > public.key), configura interfaccia, peer e endpoint.
4. Per OpenVPN: crea PKI con EasyRSA, configura server.conf con certificati, distribuisci client.ovpn.
5. Per IPsec: configura phase 1 IKEv2 (auth method, encryption), phase 2 ESP (cifratura, autenticazione).
6. Apri le porte: WireGuard UDP 51820, OpenVPN UDP/TCP 1194, IPsec UDP 500/4500 + ESP 50.
7. Test connettività e MTU (spesso serve MSS clamping 1380).

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• MTU sbagliato: pacchetti grandi non passano, web rotto. Imposta MTU 1420 per WireGuard, MSS clamp 1380.
• OpenVPN su TCP: TCP over TCP collassa con perdita pacchetti. Usa UDP quando possibile.
• IPsec con doppio NAT: spesso impossibile. Passa a IKEv2 con NAT-T o cambia tecnologia.
• Chiavi WireGuard committate in git: comprometti la VPN. Tienile fuori dal repo.
• OpenVPN con cifrature deprecate: BF-CBC, RC4 vanno disabilitati. Usa solo AES-GCM o ChaCha20.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con WireGuard, OpenVPN e IPsec, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per WireGuard, OpenVPN e IPsec questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: WireGuard è production-ready?
R: Sì da Linux kernel 5.6, audit completati.

D: IPsec è ancora valido?
R: Sì per site-to-site verso device legacy o hardware appliance enterprise.

D: OpenVPN sta morendo?
R: No, ma sta perdendo terreno. OpenVPN Data Channel Offload (DCO) lo rilancia.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.