Accesso remoto — Domande frequenti
Mirox ti offre due modi per raggiungere i dispositivi sulla rete di un impianto da qualsiasi luogo: la VPN, una connessione di rete completa per qualsiasi protocollo, e il Proxy del browser, un percorso solo browser verso l'interfaccia web di un dispositivo. Questa pagina risponde alle domande di sicurezza che entrambi sollevano — chi può connettersi, come viene concesso e tolto l'accesso, cosa viene registrato e come il servizio resta disponibile. In breve: l'accesso remoto è una capacità deliberatamente a livelli, con privilegio minimo, ogni connessione è attribuita a una persona nominata e registrata per la conformità, e la rete del tuo impianto non deve mai esporre una porta in ingresso. Per le descrizioni complete delle funzionalità vedi VPN e Proxy; per i dettagli dell'audit vedi Registro di audit degli accessi.
Scegliere tra la VPN e il Proxy
1. Qual è la differenza tra la VPN e il Proxy del browser?
Raggiungono i dispositivi dell'impianto a due livelli diversi. La VPN fornisce al tuo computer una vera connessione di rete verso le reti di impianto per cui sei autorizzato — funziona qualsiasi protocollo (l'interfaccia web di un dispositivo, SSH, Modbus, SNMP o i tuoi strumenti di ingegneria), il che è potente ma significa che è la forma di accesso più privilegiata. Il Proxy del browser è l'opzione deliberatamente più ristretta e più controllata: apre l'interfaccia web HTTP o HTTPS di un dispositivo specifico direttamente nel tuo browser senza alcun client da installare, e può raggiungere solo gli obiettivi web che sono stati configurati per un dispositivo — mai indirizzi e porte arbitrari sulla LAN dell'impianto. Scegli il Proxy per le attività quotidiane nel browser; scegli la VPN quando ti serve davvero una connessione a livello di rete.
2. Quale dovrei usare e perché sono limitati in modo diverso?
Usa il Proxy quando l'attività vive in un browser — controllare il portale di un inverter, l'interfaccia di un data logger, l'amministrazione web di uno switch. Usa la VPN quando ti serve un protocollo non web o i tuoi strumenti che comunicano direttamente con i dispositivi. Entrambi sono riservati ai ruoli tecnici dell'impianto — Operatore e Responsabile Tecnico — e vengono concessi impianto per impianto, mai a livello di piattaforma. Ciò che cambia è il raggio d'impatto, non il pubblico: il Proxy può raggiungere soltanto pagine web di dispositivi pre-approvate, mentre la VPN apre un vero percorso di rete, ed è per questo che ogni sessione VPN viene instradata, limitata nel traffico e sottoposta ad audit a livello di rete. Concedere la portata impianto per impianto, e solo a chi porta la responsabilità tecnica di quell'impianto, è il cuore della progettazione a privilegio minimo. C'è un pubblico in più, più ristretto di entrambi: anche un Responsabile sicurezza raggiunge entrambe le vie, ma solo all'interno dei segmenti di rete che gli sono stati concessi — vedi Segmentazione di rete.
VPN — Accesso e permessi
3. Chi può connettersi alla rete del mio impianto tramite VPN?
La connettività VPN è concessa ai ruoli tecnici dell'impianto — Responsabile Tecnico e Operatore — e viene decisa per impianto, quindi una rotta esiste solo per gli impianti di cui una persona è tecnicamente responsabile. Si raggiunge quel livello in uno di tre modi: una concessione diretta di Responsabile Tecnico o Operatore sull'impianto specifico o sul suo portfolio, l'ereditarietà tramite un ruolo organizzativo (Amministratore e Moderatore corrispondono a Operatore, Asset Manager (tecnico) corrisponde a Responsabile Tecnico, sugli impianti della propria organizzazione), oppure tramite una cooperazione che concede uno di questi ruoli lavorativi su un impianto condiviso. Tutti gli altri — Asset Manager (commerciale), Visualizzatore, semplici membri e ospiti — non ricevono alcuna rotta VPN. Il lato commerciale e di sola lettura della piattaforma non ottiene mai un tunnel di rete grezzo verso un impianto. Anche un Responsabile sicurezza riceve una rotta VPN, ed è la più stretta che la piattaforma emetta: soltanto le sottoreti etichettate come i segmenti che gli sono stati concessi, mai il resto dell'impianto né una rete di controllo.
Questa risposta riguarda la VPN personale. I tunnel di infrastruttura a livello di impianto — le VPN dirette di impianto e i servizi VPN di organizzazione — vengono configurati separatamente da un Moderatore o Admin dell'organizzazione e trasportano il traffico di monitoraggio e di team dell'impianto stesso, anziché l'accesso di una singola persona.
4. Posso dare a qualcuno l'accesso VPN a un solo impianto?
Sì — è il caso normale. Il controllo avviene per impianto: concedi il ruolo lavorativo di Responsabile Tecnico esattamente sull'impianto (o sul portfolio) di cui quella persona è responsabile, e il suo profilo VPN instrada quelle sottoreti e nient'altro. Chi segue tre dei tuoi venti impianti raggiunge tre reti di impianto; le altre diciassette non sono soltanto nascoste, non vengono mai instradate per quella persona. Tieni presente che un ruolo organizzativo imposta un ruolo lavorativo predefinito su tutti gli impianti dell'organizzazione: chi deve raggiungere solo alcuni impianti dovrebbe avere un ruolo organizzativo che di per sé non concede la VPN (Membro o Esterno), con il ruolo di Responsabile Tecnico concesso impianto per impianto. Le persone esterne si gestiscono allo stesso modo tramite una cooperazione. Vedi il Sistema di permessi per la mappatura completa ruolo-mansione.
5. Un tecnico esterno può ottenere l'accesso a uno dei miei impianti?
Sì — tramite una cooperazione — e alle stesse identiche regole del tuo personale. L'accesso VPN richiede comunque che la cooperazione conceda alla persona esterna il ruolo lavorativo di Responsabile Tecnico o Operatore sull'impianto condiviso, e apre soltanto le reti di quell'impianto; l'accesso Proxy segue gli stessi ruoli tecnici. Nessuna cooperazione può distribuire più di quanto scegli di condividere, ogni connessione effettuata dal tecnico esterno viene registrata nel registro di audit degli accessi del tuo impianto esattamente come una interna, e puoi ridurre o revocare la cooperazione in qualsiasi momento, il che rimuove il loro accesso — normalmente entro pochi secondi e mai oltre il ciclo di sincronizzazione di 10 minuti descritto nella domanda 9.
VPN — Profili, chiavi e routing
6. Perché ogni persona riceve il proprio profilo VPN invece di uno condiviso?
Un profilo personale è ciò che rende possibile la responsabilità individuale. Poiché ogni connessione è legata a un account Mirox nominato, il registro di audit per la conformità può rispondere a "chi si è connesso" per ogni sessione — una chiave condivisa lo renderebbe impossibile. Un profilo personale consente inoltre a ciascun utente di ruotare o revocare le proprie chiavi in modo indipendente senza disturbare nessun altro, e mantiene la custodia della chiave sul lato dell'utente: la chiave privata viene generata sul dispositivo dell'utente e non viene mai memorizzata da Mirox. La configurazione viene mostrata solo una volta quando la crei o la ruoti; se la perdi, basta ruotarla per ottenerne una nuova.
7. Quale crittografia usa la VPN?
La VPN personale usa WireGuard con crittografia moderna: scambio di chiavi Curve25519 e cifratura autenticata. La tua chiave privata viene generata sul tuo dispositivo e non lo lascia mai — Mirox vede sempre e solo la tua chiave pubblica. Il tunnel è uno split tunnel: vi entra solo il traffico destinato alle reti private degli impianti, mentre il tuo traffico internet ordinario (web, email, videochiamate) resta sulla tua connessione e non passa mai attraverso Mirox. Vedi la guida alla configurazione della VPN personale per come emettere e importare il tuo profilo.
8. Come compaiono nuovi impianti nella mia VPN senza riscaricare nulla?
Il tuo file di configurazione è fisso per tutta la durata del tuo profilo — non lo reimporti mai quando il tuo accesso cambia. La parte che si muove è mantenuta sul lato Mirox: l'insieme delle sottoreti di impianto che il tuo profilo può raggiungere viene calcolato dai tuoi permessi attuali e mantenuto sincronizzato in modo continuo. Nel momento in cui ti viene concesso l'accesso come Responsabile Tecnico od Operatore a un nuovo impianto, le reti di quell'impianto diventano raggiungibili attraverso il tuo tunnel esistente — in genere entro pochi secondi e al più tardi entro 10 minuti (vedi la domanda 9) — senza reinstallazione e senza alcuna azione da parte tua. Il pulsante Refresh nella scheda VPN del tuo profilo ricalcola le rotte all'istante se non vuoi aspettare. Un impianto il cui agente in loco non è ancora distribuito appare come "non ancora raggiungibile" e diventa attivo automaticamente non appena il suo agente è online.
VPN — Revoca e isolamento
9. Come viene tolto l'accesso — e quanto velocemente?
Quando il tuo ruolo tecnico su un impianto termina — perché il tuo ruolo lavorativo viene rimosso o abbassato, la tua appartenenza all'organizzazione cambia o una cooperazione viene ridotta o terminata — l'impianto interessato viene rimosso dalle tue rotte raggiungibili e il percorso di rete verso di esso viene smantellato. Di solito questo avviene entro pochi secondi; il limite massimo garantito è di 10 minuti.
Entrambi i valori sono reali, e la distanza tra loro è deliberata. La maggior parte delle modifiche ai permessi attiva un ricalcolo immediato dei profili interessati. Alcune modifiche hanno però una portata troppo ampia per essere gestite così — abbassare il ruolo di una cooperazione può riguardare tutti gli utenti di entrambe le parti contemporaneamente. Perciò, invece di inseguire ogni possibile percorso con un ricalcolo immediato, una sincronizzazione in background è sempre attiva e ri-verifica ogni profilo attivo rispetto ai permessi correnti con un ciclo di 10 minuti, rimuovendo qualsiasi rotta che non dovrebbe più esistere. Il limite massimo è quindi una proprietà del sistema e non di un singolo percorso di codice: un evento mancato o non gestito non può lasciare in piedi una rotta oltre un ciclo.
La stessa modifica dei permessi revoca anche il tuo accesso al Proxy. Se il tuo account utente viene eliminato, il tuo accesso remoto si interrompe con la stessa regola, mentre la cronologia di conformità che hai generato viene conservata per il periodo di conservazione legale.
10. Come sono isolati tra loro i diversi impianti e le diverse organizzazioni?
La connessione di ciascun utente è confinata a un insieme isolato di rotte derivato esclusivamente dagli impianti su cui quell'utente detiene un ruolo tecnico idoneo, più qualsiasi ambito di cooperazione esplicitamente invitato. Le sottoreti per cui non sei autorizzato semplicemente non vengono mai instradate per te — non esiste alcun percorso di rete dal tuo tunnel verso le reti di impianto di un'altra organizzazione, e gli utenti di un'organizzazione non possono vedere quelli di un'altra. La raggiungibilità è derivata dai permessi da un capo all'altro, quindi l'isolamento è imposto da ciò che viene instradato, non semplicemente da ciò che viene mostrato nell'interfaccia.
11. Cosa succede quando due impianti usano lo stesso intervallo di IP interni?
Questo viene gestito esplicitamente. Se due impianti che puoi raggiungere usano entrambi lo stesso intervallo locale (ad esempio due impianti su 192.168.1.0/24), il sistema rileva la sovrapposizione e la segnala nell'elenco delle tue rotte invece di tirare a indovinare. Decidi tu quale dei due impianti in conflitto ha la priorità per te, così non c'è mai alcuna ambiguità su quale rete stai raggiungendo — l'interruttore Use this park sulla rotta in conflitto scambia la priorità in qualsiasi momento, così puoi raggiungere i due impianti uno dopo l'altro.
Il Proxy del browser
12. Chi può usare il Proxy?
Il Proxy è aperto a Operatore e Responsabile Tecnico sull'impianto — inclusi gli Amministratori e i Moderatori dell'organizzazione che corrispondono a tali ruoli lavorativi, e i membri di cooperazione che li detengono. I Visualizzatori vengono esclusi. È lo stesso pubblico tecnico della VPN, e per lo stesso motivo: entrambi sono percorsi verso apparecchiature di impianto in funzione, quindi restano a chi porta la responsabilità tecnica di quello specifico impianto. Il Proxy è il più ristretto dei due — raggiunge soltanto interfacce web di dispositivi pre-approvate, mai la rete dell'impianto stessa, e ogni singola richiesta viene verificata nei permessi e sottoposta ad audit. Configurare quali pagine web dei dispositivi esistono come obiettivi è di per sé un'azione di livello Responsabile Tecnico e superiore. Anche un Responsabile sicurezza può aprire il Proxy, limitato ai dispositivi all'interno dei segmenti concessi — e solo per usare le destinazioni esistenti: definire o riorientare una destinazione web resta compito di Operatore e Responsabile Tecnico, perché orientare una destinazione è il modo per raggiungere una rete mai concessa.
13. Il Proxy richiede l'autenticazione a due fattori?
Sì. Aprire un dispositivo tramite il Proxy richiede una configurazione attiva dell'autenticazione a due fattori (TOTP) sul tuo account; senza di essa il Proxy rifiuta di aprire un dispositivo, qualunque sia il tuo ruolo. Questo è più rigoroso del resto della piattaforma proprio perché il Proxy è un percorso verso apparecchiature attive. Oltre al tuo login Mirox e alla 2FA, il dispositivo stesso può richiedere il proprio login, quindi spesso ci sono due livelli di autenticazione indipendenti a protezione di un dispositivo.
14. Le mie password dei dispositivi vengono memorizzate e chi può vederle?
Le credenziali dei dispositivi che salvi per il Proxy (e per i controlli di connessione dei dispositivi) sono custodite in una cassaforte delle credenziali cifrata, e l'accesso per inserirle o usarle è limitato a Operatore e Technical Manager sull'impianto. Non vengono mai esposte ad altri ruoli, mai mostrate all'assistente AI e mai scritte nei registri. Il Proxy gestisce solo il trasporto e il controllo degli accessi sul lato Mirox; l'autenticazione propria del dispositivo resta in vigore. Un Responsabile sicurezza dispone delle credenziali dell'interfaccia web dei dispositivi di rete dei propri segmenti — la password di amministrazione di una telecamera, per esempio — e mai dei segreti del data logger, che restano a Operatore e Responsabile Tecnico.
15. Qualcuno può entrare se condivido un link al proxy?
No — un URL del proxy non è una concessione di accesso. L'indirizzo per l'interfaccia web proxata di un dispositivo è stabile e condivisibile, ma chiunque lo apra deve comunque essere autenticato in Mirox, superare l'autenticazione a due fattori e detenere il ruolo richiesto su quell'impianto. Un link da solo non raggiunge nulla; il controllo dei permessi avviene a ogni richiesta.
Disponibilità e resilienza
16. Quanto è robusto l'accesso remoto — cosa succede se un server o una regione si guasta?
La piattaforma opera contemporaneamente su più regioni di data center europee indipendenti, ciascuna delle quali esegue lo stack completo, e all'interno di ogni regione l'accesso remoto è servito da più server — quindi non esiste un singolo punto di guasto. La tua connessione si aggancia sempre a un punto di ingresso integro; se uno diventa non disponibile, viene ristabilita automaticamente verso un altro server integro, e non devi riconfigurare nulla. In combinazione con la supervisione automatica degli agenti in loco, l'architettura è progettata per offrire un'affidabilità del 99,999%.
17. Cosa mantiene disponibile il lato impianto?
L'agente in loco di ciascun impianto è supervisionato da un livello di orchestrazione che ne verifica continuamente sia l'esistenza sia la prontezza su un ciclo breve. Se un agente è mancante, smette di rispondere o il suo host si guasta, viene automaticamente riavviato, ridistribuito o ricollocato su un altro host integro — senza un intervento in loco. Una salvaguardia garantisce che lo stesso agente non venga mai eseguito in due posti contemporaneamente. Poiché l'agente è ciò che termina la connessione lato impianto sia per la VPN sia per il Proxy, questa supervisione è ciò che mantiene il tuo impianto raggiungibile.
18. La rete del mio impianto ha bisogno di una porta in ingresso aperta?
No. L'agente in loco è sempre la parte che compone verso l'esterno verso il cloud Mirox; la connessione viene stabilita dall'interno della rete del tuo impianto. Il tuo firewall ha quindi bisogno solo di connettività in uscita — nessuna porta in ingresso viene aperta, e nulla su internet pubblico può avviare una connessione verso la rete del tuo impianto. Questo vale sia per la VPN sia per il Proxy.
19. L'agente è l'unico modo per entrare nella rete del mio impianto?
Sì. La rete dell'impianto diventa raggiungibile tramite la piattaforma solo finché il tunnel in uscita dell'agente in loco è attivo, e tutto il traffico autorizzato — VPN o Proxy — raggiunge l'impianto attraverso quell'agente. È il punto di ingresso unico, ed è vincolato al proprio impianto: non può raggiungere, e non è un percorso verso, nessun altro impianto o rete.
Audit e privacy
20. Ogni accesso viene registrato? Quale standard soddisfa il registro?
Sì — ogni connessione VPN e ogni sessione Proxy vengono registrate automaticamente dalla piattaforma mentre il traffico scorre; gli utenti non possono influenzare ciò che viene acquisito. Il registro degli accessi è progettato per soddisfare i requisiti di registrazione dell'accesso remoto della normativa tedesca KRITIS e della NIS2 dell'UE. Per ogni accesso registra chi si è connesso, quando e da dove (IP di origine e regione geografica), quali sottoreti e dispositivi dell'impianto sono stati raggiunti e quali protocolli e porte; per il Proxy registra inoltre l'attività delle richieste web (il dispositivo raggiunto, il numero di richieste e i metodi, il volume di dati). I record vengono conservati per 730 giorni (24 mesi) per impostazione predefinita e poi eliminati automaticamente. La profondità di questo audit è trattata per intero nella pagina Registro di audit degli accessi.
21. Chi può vedere il registro degli accessi? Posso vedere le mie connessioni?
Il registro completo degli accessi di un impianto è visibile solo agli operatori responsabili di quell'impianto — livello Technical Manager e superiore sull'impianto, inclusi i tecnici di cooperazione invitati. L'utente che si connette non vede il registro di audit dell'operatore; quella superficie è riservata alla parte con l'obbligo di rendicontazione. Puoi però consultare la tua cronologia delle connessioni dal tuo profilo: quando è iniziata ogni sessione, da quale regione e IP di origine, la posizione approssimativa e quanti dati sono transitati. Né gli operatori né gli utenti possono modificare o eliminare i record di audit — vedi la sezione su conservazione e resistenza alla manomissione del registro di audit. Anche un Responsabile sicurezza vede il registro, filtrato sui dispositivi all'interno dei segmenti concessi: abbastanza per rendere conto del proprio lavoro sull'impianto, e nulla su chi ha raggiunto le reti che non gli sono state concesse.
22. Mirox vede il contenuto delle mie sessioni?
No. L'audit registra i metadati — connessioni, endpoint, porte, protocolli, marche temporali e volumi di traffico, oltre a quali pagine web dei dispositivi ha toccato una sessione Proxy — non il contenuto di ciò che fai. I payload dei pacchetti VPN, i corpi delle pagine web, le sequenze di tasti e le registrazioni dello schermo non vengono deliberatamente acquisiti, perché sarebbe sia problematico per la privacy sia non necessario per la rendicontazione di conformità. Il confine della privacy è descritto in dettaglio nella sezione sulla privacy del Registro di audit degli accessi.
Funzionalità correlate
- VPN — il tunnel personale che raggiunge ogni rete di impianto per cui sei autorizzato
- Proxy — accesso basato su browser alle interfacce web dei dispositivi dell'impianto, senza alcun client VPN
- Registro di audit degli accessi — il registro allineato a KRITIS e NIS2 di tutti gli accessi VPN e Proxy
- Sistema di permessi — la mappatura ruolo-mansione che decide chi raggiunge quali impianti
- Configurazione della VPN personale — guida passo passo per emettere, ruotare e usare il tuo profilo VPN