Per impianti di sicurezza, videosorveglianza e reti aziendali, l’accesso remoto deve essere controllato. Router, NVR, server, telecamere, controller accessi e apparati tecnici non dovrebbero essere pubblicati direttamente su internet. Una VPN ben configurata consente accesso protetto, manutenzione remota e collegamenti tra sedi senza esporre servizi inutilmente.
Perché usare MikroTik
MikroTik offre router, switch e sistemi wireless con RouterOS, un sistema operativo molto flessibile per routing, firewall, VLAN, VPN, monitoring e gestione avanzata della rete. Il vantaggio è la possibilità di costruire architetture tecniche anche complesse con costi controllati.
La flessibilità, però, richiede competenza. Un MikroTik configurato bene è uno strumento potente; configurato male è una porta aperta con un bel pannello di controllo sopra. Elegante, ma non rassicurante.
WireGuard
WireGuard è oggi una delle soluzioni più interessanti per accesso remoto e collegamenti semplici tra sedi. È leggero, moderno e adatto anche a router compatti. In RouterOS consente configurazioni pulite, peer definiti, chiavi pubbliche e gestione ordinata degli indirizzi VPN.
È particolarmente utile per manutenzione remota, collegamenti tra siti, accesso controllato a reti tecniche, teleassistenza e connessioni stabili verso impianti non presidiati.
IPsec
IPsec resta una soluzione importante per collegamenti site-to-site, soprattutto quando bisogna interoperare con firewall di altri produttori, infrastrutture aziendali o requisiti specifici. Richiede più attenzione nella configurazione, ma è maturo e ampiamente utilizzato.
La scelta tra WireGuard e IPsec non deve essere ideologica. Dipende da scenario, compatibilità, prestazioni, policy del cliente, apparati coinvolti e modalità di gestione futura.
OpenVPN e altri tunnel
OpenVPN può essere utile in scenari specifici, soprattutto quando servono compatibilità client o attraversamento di reti restrittive. In RouterOS sono disponibili anche altri protocolli e tunnel, ma ogni scelta va valutata rispetto a sicurezza, prestazioni, semplicità e manutenzione.
La regola pratica è semplice: usare il protocollo più adatto al caso, non quello che “si è sempre usato”. La tradizione è nobile, ma non deve amministrare i firewall.
VPN per videosorveglianza e sicurezza
Per NVR, VMS, telecamere, centrali e controllo accessi, la VPN consente di evitare esposizioni dirette. L’utente autorizzato entra nella rete tramite tunnel, raggiunge solo le risorse previste e lascia traccia secondo le regole configurate.
È importante limitare gli accessi: un tecnico che deve raggiungere un NVR non dovrebbe avere automaticamente accesso a tutta la rete aziendale. Segmentazione, firewall e address-list sono strumenti essenziali.
Hardening del router
Un router di produzione deve essere protetto: servizi inutili disattivati, accesso amministrativo limitato, firewall corretto, aggiornamenti controllati, backup configurazioni, utenti separati e log. La VPN non sostituisce l’hardening: lo completa.
In particolare, l’amministrazione del router non dovrebbe essere esposta direttamente lato WAN. Quando serve gestione remota, l’accesso deve avvenire tramite tunnel o indirizzi autorizzati.
Metodo ABC Solutions
ABC Solutions progetta VPN MikroTik partendo dallo scenario: accesso tecnico, sede-sede, apparati di sicurezza, reti separate, VLAN, indirizzamento, firewall, backup, documentazione e procedure di emergenza.
La configurazione viene pensata per essere mantenibile: nomi chiari, regole leggibili, backup, documentazione, accessi limitati e nessuna apertura inutile verso internet.
Riferimenti tecnici
La documentazione ufficiale MikroTik descrive RouterOS, WireGuard, IPsec, OpenVPN e le linee guida per proteggere l’accesso al router. Le configurazioni operative devono essere sempre adattate alla versione RouterOS e allo scenario reale.