Connettività VPN

Un tunnel WireGuard dedicato tra il tuo impianto e il nostro concentratore. Noi non entriamo mai nella tua rete; tu apri un canale minimo che lascia passare solo il traffico verso la subnet OT dove vive il tuo PLC.

A cosa serve

I PLC vivono dietro il firewall dell'impianto. Perché Rela AI possa leggere i suoi registri Modbus, OPC UA, S7 o EtherNet/IP, serve un modo per attraversare il firewall senza esporre il PLC a Internet. La VPN self-service risolve questo con un tunnel dedicato, tracciabile e revocabile in pochi secondi — senza toccare la tua VPN aziendale né aprire porte pubbliche.

Come funziona

1. Vai a Impostazioni → Connettività VPN nel dashboard.
2. Dai un nome al tunnel (ad esempio "Impianto Torino") e premi Crea.
3. Ti assegniamo automaticamente una subnet privata /24 nel range 10.200.0.0/16.
4. Scegli la tua apparecchiatura (pfSense, OPNsense, Mikrotik, Ubiquiti, Linux, Windows, Docker) e scarichi la configurazione adattata.
5. La incolli nel tuo router/firewall — una sola volta.
6. Al primo handshake (10–30 secondi dopo), il dashboard mostra Connesso e puoi creare fonti Modbus che puntano all'IP privato del tuo PLC.

La chiave privata del tuo lato del tunnel non lascia mai il tuo equipaggiamento: se cambi fornitore, la cancelli e in pochi secondi non raggiungiamo più la tua rete.

Benefici

Onboarding del tunnel — passo per passo

1. Creare il peer nel dashboard

Vai a /settings/connectivity e clicca Crea tunnel. Assegna un'etichetta leggibile che identifichi l'impianto (ad esempio "Impianto Milano Nord"). Al momento della creazione il sistema:

• Ti assegna una subnet privata unica (10.200.X.0/24).
• Genera una coppia di chiavi WireGuard. La chiave privata viene cifrata con GCP KMS e servita una sola volta al download.
• Pubblica un evento al concentratore per accettare il tuo peer.

2. Scaricare la configurazione per la tua apparecchiatura

Sopra il pannello appare un selettore di 7 apparecchiature. Scegli la tua:

3. Applicare sul router e validare

Una volta incollata la configurazione e attivata l'interfaccia, il tunnel esegue un handshake ogni 25 secondi (PersistentKeepalive). Il primo arriva tipicamente entro 10–30 secondi.

Nel dashboard vedrai il widget cambiare:

• Connessione in attesa (stato iniziale).
• Connesso (primo handshake arrivato — pronto).
• Nessuna connessione recente (handshake più vecchio di 5 minuti — controlla il router).

4. Creare la fonte Modbus/OPC UA

Una volta connesso il tunnel, puoi creare una fonte che punta all'IP privato del PLC sulla tua rete interna. Il routing è automatico: qualsiasi pacchetto al range 10.200.0.0/16 esce dal tunnel.

Dettagli per apparecchiatura

pfSense

Apri l'XML scaricato e copia il contenuto. Nella console web del router:

1. VPN → WireGuard → Tunnels.
2. Clic sul pulsante Import (icona caricamento file).
3. Incolli l'XML e Save.
4. L'interfaccia si attiva automaticamente; in Status → WireGuard vedi il peer e l'ultimo handshake.
5. Verifica che in Firewall → Rules ci sia una regola che permetta il traffico tra la LAN OT e l'interfaccia rela_vpn.

OPNsense

Stessa idea di pfSense ma il percorso del menu è VPN → WireGuard → Instances:

1. VPN → WireGuard → Instances → Add.
2. Copi i valori dall'XML manualmente (OPNsense non ha un importatore XML diretto per WireGuard — in sua assenza, usa i valori del file).
3. VPN → WireGuard → Peers → Add, incolli la pubkey del server.
4. Attiva l'interfaccia in Interfaces → Assignments.

Mikrotik RouterOS 7+

Apri il Terminal (WinBox o SSH) e incolla riga per riga il contenuto di rela-vpn-mikrotik.rsc. Lo script crea:

• Un'interfaccia WireGuard rela-vpn.
• Un address su quell'interfaccia.
• Un peer che punta al concentratore con allowed-address della nostra subnet.
• Una route statica verso 10.200.X.0/24 via rela-vpn.

Poi controlla /interface wireguard peers print — last-handshake dovrebbe essere sotto i 30 secondi.

Ubiquiti EdgeRouter / EdgeOS

SSH al router e incolla il batch configure... set... commit... save... exit. Se al salvataggio dà errore, verifica di avere il pacchetto WireGuard installato (EdgeOS 2.x lo include nativamente; v1.x richiede un .deb manuale).

Linux / Raspberry Pi

sudo mv ~/Downloads/rela-vpn.conf /etc/wireguard/rela-vpn.conf
sudo chmod 600 /etc/wireguard/rela-vpn.conf
sudo wg-quick up rela-vpn
sudo systemctl enable wg-quick@rela-vpn

Il systemctl enable fa sì che il tunnel sopravviva a un riavvio.

Windows

1. Scaricare il client ufficiale: wireguard.com/install/
2. Add Tunnel → Import tunnel(s) from file → selezioni rela-vpn.conf.
3. Clic su Activate.
4. Windows Services → Run on startup perché si riattivi al boot.

Docker Compose

Metti docker-compose.yml e rela-vpn.conf nella stessa directory. Poi:

docker compose up -d
docker compose logs -f rela-vpn

Se il container muore per mancanza di capabilities, assicurati che l'host supporti NET_ADMIN e SYS_MODULE (qualsiasi Linux moderno lo fa).

Troubleshooting

L'handshake non arriva mai

• Verifica che l'UDP 51820 in uscita non sia bloccato dal tuo firewall o ISP.
• Controlla che la pubkey mostrata dal tuo router sia quella generata dal dashboard (il copy-paste a volte taglia caratteri).
• Se il router è dietro NAT, assicurati che PersistentKeepalive = 25 sia attivo perché il NAT non chiuda il mapping.

Handshake attivo ma il traffico non arriva al PLC

• Verifica che PLC e router siano nella stessa subnet.
• Su pfSense/OPNsense: Firewall → Rules → WireGuard interface deve avere una regola di Allow tra la LAN OT e il router.
• Su Mikrotik: /ip route print deve mostrare la route 10.200.X.0/24 → rela-vpn.

Il dashboard dice "Nessuna connessione recente"

• Il tuo router ha perso il tunnel. Cause comuni: cambio di IP pubblico (DHCP dell'ISP), reboot del router senza systemctl enable, black-out.
• Controlla i log del router. Su Linux: sudo journalctl -u wg-quick@rela-vpn.

Perché non usiamo la tua VPN aziendale?

Questa è la domanda più frequente del tuo team IT. La risposta breve è: per sicurezza, per compliance, e perché la tua VPN aziendale è pensata per umani, non per macchine. Le 9 ragioni tecniche dettagliate sono in Perché un tunnel dedicato?.