Configurazione dei server VPN per agente (VPN diretta)

Una VPN diretta di impianto è un tunnel dedicato tra il Mirox-Agent di un singolo impianto e il router proprietario di quell'impianto — lo strumento giusto quando un impianto gestisce già la propria VPN, oppure quando vuoi che Mirox ospiti una VPN verso cui il router dell'impianto si connette. A differenza della VPN personale, che fornisce a ogni utente un profilo che raggiunge tutti gli impianti autorizzati, una VPN diretta è un tunnel di infrastruttura per singolo impianto che configuri una sola volta e su cui transita il traffico dell'intero team per quell'impianto.

Le VPN dirette si configurano dalla pagina Rete di un impianto, nella scheda Site VPN. La pagina Rete ha cinque schede: Panoramica (la pipeline di connessione), Dispositivi di rete, Site VPN (questa guida), Peers (mostrata quando una VPN ospitata ha più di un sito che si connette) e Registro accessi.

Apri in Mirox

Apri la scheda Site VPN dell'impianto. Nell'app questa è la pagina Rete dell'impianto, scheda Site VPN.

Quando usare una VPN diretta

Affidati a una VPN diretta quando la connettività dell'impianto non si adatta al modello standard della VPN personale:

Il router dell'impianto ospita già il proprio server VPN. Hai un file di configurazione (WireGuard .conf) o un profilo OpenVPN (.ovpn) e vuoi che Mirox si connetta ad esso.
Il router dell'impianto può solo connettersi in uscita, non accettare connessioni in entrata. Mirox ospita l'endpoint VPN e il router vi si connette.
Vuoi un unico tunnel sempre attivo per l'intero impianto invece che ogni utente debba portare un profilo personale.

Per il lavoro tecnico quotidiano su più impianti — apertura delle interfacce web dei dispositivi, esecuzione di strumenti diagnostici — la VPN personale e il Proxy del browser sono di solito la scelta migliore. La tabella seguente riassume la distinzione; il confronto completo si trova nella pagina della funzionalità VPN.

Strumento	Cos'è	Chi la configura
VPN personale	Un profilo personale che raggiunge ogni impianto per cui sei autorizzato	Ogni utente, nei limiti dei propri permessi
VPN diretta (questa guida)	Un tunnel per singolo impianto tra l'agente dell'impianto e il suo router	Un Moderatore o Admin dell'organizzazione dell'impianto
Proxy del browser	Apri l'interfaccia web di un dispositivo dal browser, senza installazione di client	L'Operatore dell'impianto

Le due direzioni

Una VPN diretta può funzionare in una di due direzioni. La procedura guidata di configurazione lo chiede per prima cosa, sotto Dove risiede il server VPN?

Nota: le linee tratteggiate indicano la direzione della connessione — per ogni VPN diretta si applica una sola direzione.

Connessione in uscita — Mirox si connette al router dell'impianto. Il router dell'impianto esegue il proprio server VPN; il Mirox-Agent si connette come client. La scheda mostra un badge Client. Scegli questa opzione quando disponi già di un file di configurazione o delle credenziali per la VPN del router.
Ospitato qui — il router dell'impianto si connette a Mirox. Mirox esegue il server VPN; la scheda mostra un badge Server. L'endpoint (un indirizzo e una porta per singolo impianto), le chiavi e i certificati vengono generati da Mirox e ti vengono consegnati per caricarli sul router dell'impianto. Scegli questa opzione quando il router può connettersi in uscita ma non può accettare connessioni in entrata.

Tutti e tre i protocolli — OpenVPN, WireGuard e IPsec (IKEv2) — sono disponibili in entrambe le direzioni, ma la scelta giusta cambia con la direzione: vedi Scegliere il tipo di VPN più sotto. Un impianto può ospitare un server per variante di protocollo alla volta — WireGuard, OpenVPN su UDP, OpenVPN su TCP e IPsec — e può eseguire in parallelo un numero qualsiasi di connessioni in uscita.

Scegliere il tipo di VPN

Mirox parla tre protocolli di tunnel — OpenVPN, WireGuard e IPsec (IKEv2) — e la procedura guidata li mostra affiancati con ciò che depone a favore e contro ciascuno. Quale sia consigliato dipende dalla direzione scelta, e il badge «Consigliato» si sposta di conseguenza. Non è una questione di gusti: le due direzioni collocano la parte fragile della connessione su lati opposti del tunnel.

La parte fragile è chi risolve l'indirizzo dell'altra estremità, e con quale frequenza. Mirox gira in più regioni di data center e l'endpoint VPN di un impianto può spostarsi tra queste durante un failover. Un client che risolve di nuovo il nome DNS del server a ogni riconnessione segue quello spostamento da solo; un client che lo ha risolto una sola volta all'avvio continua a chiamare un indirizzo che non risponde più.

Quale protocollo VPN scegliere?

In sintesi — il dettaglio specifico per direzione segue più avanti. L'opzione consigliata dipende dalla direzione scelta, ma il carattere di ciascun protocollo è lo stesso in entrambi i casi:

Protocollo	Uso tipico	Funziona su
WireGuard	L'opzione snella e moderna — la più rapida da configurare, una coppia di chiavi per lato e nessun certificato. Una buona scelta per un sito appena realizzato, o ovunque la gestione dei certificati sia l'ostacolo.	IPv4, IPv6 o entrambi
OpenVPN	Quello universale — supportato da praticamente ogni router, compreso firmware vecchio di molti anni. La scelta sicura predefinita quando Mirox ospita il server.	IPv4, IPv6 o entrambi
IPsec (IKEv2)	Lo standard industriale e spesso l'unico protocollo offerto da un router o firewall industriale (Cisco, Lancom, Fortigate).	IPv4 o IPv6

IPv4 o IPv6? Un tunnel funziona su IPv6 esattamente come su IPv4 e, quando Mirox ospita il server, entrambi vengono pubblicati per impostazione predefinita. Vedi Versione IP per sapere cosa cambiare e quando. Per una connessione in uscita non c'è nulla da scegliere — il tunnel segue l'indirizzo del server in loco.

Versione IP

Mirox pubblica nel DNS l'indirizzo del tunnel. Per un VPN ospitato sei tu a decidere quali record vengono pubblicati:

Impostazione	Cosa viene pubblicato	Quando usarla
IPv4 + IPv6 (predefinito)	Un record A e un record AAAA	Quasi sempre. Il router usa quello che sa usare.
Solo IPv4	Un record A	L'impianto non ha un IPv6 funzionante, o il suo router rifiuta i tunnel IPv6.
Solo IPv6	Un record AAAA	L'impianto è raggiungibile via IPv6 e IPv4 non è desiderato.

Tenere online entrambi i record è ciò che dà la compatibilità più ampia, ed è il motivo per cui IPv4 + IPv6 è preselezionato. Un router con IPv6 funzionante prenderà normalmente il record AAAA — è il comportamento ordinario di uno stack IP che dispone di entrambi — e un router con solo IPv4 prenderà il record A. In nessuno dei due casi occorre configurare qualcosa in impianto.

Pubblicare entrambi non è un ripiego automatico per WireGuard

Un client WireGuard risolve l'indirizzo una sola volta, all'avvio del tunnel, e non prova l'altra famiglia se quel tentativo fallisce. Un router il cui IPv6 esiste ma è guasto può quindi prendere il record AAAA e restare giù — pubblicare entrambi i record non lo salva. È esattamente a questo che serve Solo IPv4. OpenVPN si comporta diversamente: scorre gli indirizzi che ha risolto e si riprende da solo.

IPsec (IKEv2) offre solo IPv4 oppure IPv6, mai entrambi: una connessione IKE compone una sola famiglia di indirizzi alla volta.

Dove si trova. Poiché il valore predefinito è quello giusto per quasi ogni impianto, l'impostazione non fa parte del percorso iniziale della procedura guidata per WireGuard e OpenVPN — apri Mostra opzioni avanzate nel passaggio di configurazione. IPsec la chiede direttamente, non avendo un "entrambi" di ripiego. Su un VPN esistente si trova in cima a Modifica → Configurazione. Cambiarla in seguito non disturba i tunnel già attivi.

IPv6 all'interno del tunnel

L'impostazione qui sopra decide quale famiglia trasporta il pacchetto cifrato fino all'impianto. Ciò che indirizzi all'interno del tunnel — i dispositivi dell'impianto — è oggi IPv4. La piattaforma è pronta anche lì per IPv6; semplicemente non è ancora realizzato, perché finora nessun impianto ne ha avuto bisogno. Se i dispositivi del tuo impianto sono indirizzati in IPv6, faccelo sapere e lo realizzeremo.

Ospitato qui (Mirox è il server) — si consiglia OpenVPN

In questa direzione il router dell'impianto è il client, quindi la nuova risoluzione la fa il suo firmware: hardware che non amministriamo e che non possiamo riparare da remoto.

Opzione	A favore	Contro
OpenVPN (consigliato)	Risolve di nuovo l'indirizzo del server a ogni riconnessione: dopo un failover Mirox il tunnel torna da solo, indipendentemente da marca e firmware del router. Supportato praticamente da ogni router, anche con firmware vecchi di molti anni.	Basato su certificati: sul router vanno inseriti una CA, un certificato e una chiave, invece di una sola coppia di chiavi.
WireGuard	Si configura con pochi valori — una coppia di chiavi per lato, nessun pacchetto di certificati.	La maggior parte dei router risolve l'indirizzo del server una sola volta all'avvio; dopo un failover Mirox il tunnel resta giù finché il router non si riavvia o Mirox non torna alla sede originaria. I firmware più vecchi potrebbero non offrire affatto WireGuard.
IPsec (IKEv2)	Lo standard sui router industriali (Cisco, Lancom, Fortigate).	Chiave precondivisa e configurazione manuale del router — nessun file di configurazione da importare. Più lento: la cifratura gira in userspace, quindi si adatta soprattutto a telemetria di volume ridotto.

La domanda decisiva qui non è quale protocollo sia il più moderno — lo è WireGuard — ma quale sopravvive a un cambio di regione su hardware che non controlliamo. OpenVPN lo fa su qualsiasi firmware, ed è per questo che è preselezionato. Scegli WireGuard quando la gestione dei certificati è l'ostacolo maggiore per il router che hai davanti, accettando che dopo un failover possa servire un riavvio del router. Scegli IPsec quando il router non offre altro.

I certificati non scadono

L'autorità di certificazione, il certificato del server e ogni certificato dei peer che Mirox emette per un server OpenVPN ospitato hanno vita lunga. Non c'è nessun rinnovo da ricordare e nulla che scada silenziosamente anni dopo: il costo di OpenVPN è il lavoro di importazione una tantum sul router, non la manutenzione.

Porta di riconnessione WireGuard

WireGuard ricorda l'indirizzo a cui si è collegato la prima volta e non lo risolve mai più. Perciò, se il lato server Mirox di un tunnel WireGuard ospitato viene mai spostato — durante un failover o per manutenzione —, un peer di sito collegato può restare disconnesso finché non viene riavviato. OpenVPN e IPsec ricontrollano l'indirizzo da soli e non necessitano di tale impostazione; WireGuard no.

La Porta di riconnessione elimina questa debolezza. È la porta di ascolto WireGuard del router remoto (il peer di sito). Compilala quando crei una VPN WireGuard ospitata, oppure più tardi su un peer esistente in Modifica → Peer remoto, o per singolo peer in Peers → Modifica. Una volta impostata, Mirox può richiamare il peer al suo indirizzo pubblico dopo che il lato server si è spostato, così il tunnel si ristabilisce automaticamente e sopravvive a un failover. Se lasciata vuota, il tunnel resta fissato: il lato server non viene spostato e, dopo uno spostamento, resterebbe giù finché il router non si riconnette da sé. Per rimuovere di nuovo una porta di riconnessione, basta svuotare il campo e salvare.

Impostala solo quando quella porta è davvero raggiungibile

Impostare una porta di riconnessione è una promessa che Mirox possa raggiungere il router a quell'indirizzo — ed è ciò che consente di spostare il tunnel per il failover. Perciò, una volta impostata, uno spostamento del lato server può avvenire, e tale spostamento fa cadere brevemente il tunnel per poi ristabilirlo. Perché si ripristini invece di restare interrotto, il router del sito deve essere effettivamente in ascolto su quella porta WireGuard, raggiungibile al suo indirizzo IPv4 o IPv6 pubblico, con la porta aperta nel firewall in loco. Se la porta non è raggiungibile, uno spostamento fa cadere il tunnel senza via di ritorno — quindi compilala solo quando l'endpoint WireGuard del sito è in ascolto e il firewall lo consente. Nel dubbio, lasciala vuota; il tunnel resta allora semplicemente dov'è.

Impostare una porta di riconnessione per ogni peer di sito WireGuard è consigliato ovunque la porta di ascolto del router sia nota e raggiungibile.

In uscita (Mirox è il client) — si consiglia WireGuard

In questa direzione il server esiste già in loco e Mirox vi si collega. Questo ribalta entrambi gli argomenti precedenti:

La parte che risolve di nuovo ora è la nostra. Mirox risolve di nuovo l'indirizzo del server in loco e si riconnette da solo, con qualsiasi protocollo: l'obiezione che ha deciso il caso ospitato scompare del tutto.
Scompare anche la questione del firmware. Sul router non va installato nulla; il protocollo è semplicemente quello che il server esistente parla, e Mirox ne riprende le impostazioni.

Il server in loco deve essere raggiungibile da internet

Questa direzione funziona solo se Mirox riesce a collegarsi: la linea dell'impianto ha quindi bisogno di un indirizzo proprio, raggiungibile dalla rete internet pubblica. È sufficiente una delle due famiglie: un IPv4 pubblico oppure un IPv6 pubblico. Una linea priva di IPv4 pubblico ma con IPv6 funzionante va perciò benissimo.

A escludere questa direzione è soltanto un operatore che tiene la linea all'interno della propria rete condivisa: il router non possiede allora, su nessuna delle due famiglie, un indirizzo raggiungibile dall'esterno. È il caso tipico delle tariffe mobili e SIM economiche. Chiedi all'impianto di controllare la pagina internet del router: un IPv4 indicato come condiviso con altri clienti e nessun IPv6 pubblico sulla connessione significano che questa direzione è impossibile. Un nome DynDNS che si risolve non dimostra nulla qui — si risolve altrettanto bene su una linea condivisa.

In tal caso ospita la VPN qui (sezione precedente): il router si collega allora verso l'esterno, e questo funziona su qualsiasi linea. Scegli lì OpenVPN — su una linea simile un tunnel WireGuard ospitato non potrebbe essere riparato nemmeno dal nostro lato, perché una porta di riconnessione presuppone esattamente la stessa raggiungibilità, e resterebbe inattivo dopo un failover finché il router non si riconnette da solo.

Resta ciò che deve essere importato in Mirox — ed è lì che i tre differiscono davvero:

Opzione	A favore	Contro
WireGuard (consigliato)	Una coppia di chiavi e un endpoint sono tutto l'import: non c'è altro che debba coincidere tra le due estremità. Mirox risolve di nuovo l'indirizzo del server in loco e si riconnette da solo, così un cambio DynDNS o una caduta di linea si sistema da sé.	Il server in loco deve inserire la chiave pubblica Mirox come peer — non basta che consegni un profilo.
OpenVPN	Quasi tutti i server VPN esistenti lo offrono e il loro profilo `.ovpn` si può caricare qui così com'è.	Cifratura, HMAC e impostazioni TLS devono corrispondere esattamente a quelle del server: una differenza fallisce in silenzio, per questo la procedura guidata le rivede insieme a te in un passaggio dedicato. Il profilo è un pacchetto: CA, certificato, chiave e chiave tls-auth devono arrivare tutti dal sito.
IPsec (IKEv2)	Spesso l'unica cosa che un firewall industriale offre (Cisco, Lancom, Fortigate).	La chiave precondivisa e entrambe le identità IKE vanno concordate a mano con il sito: non c'è alcun profilo da importare. Più lento: la cifratura gira in userspace, quindi si adatta soprattutto a telemetria di volume ridotto.

In pratica la scelta è spesso già fatta: deve essere il protocollo che il server esistente parla. La raccomandazione vale quando il sito ne offre più di uno — e quando il sito è ancora in costruzione, vale la pena chiedere WireGuard.

UDP o TCP (solo OpenVPN)

OpenVPN funziona su UDP o TCP. UDP è il funzionamento per cui è pensato — più veloce e molto più stabile su una linea mobile debole — ed è l'impostazione predefinita. TCP è per quel sito il cui firewall non lascia uscire alcun UDP, o il cui router offre solo TCP.

Ospitato qui: la scelta si trova nel passaggio Configurazione, dietro Mostra opzioni avanzate, accanto alle impostazioni crittografiche. Non toccarla se non sai che UDP è bloccato. Il trasporto fa parte dell'identità del server, quindi un impianto può ospitare un server OpenVPN UDP e uno TCP affiancati.
In uscita: un file .ovpn caricato lo indica già; con l'inserimento manuale scegli UDP o TCP insieme ai dettagli di connessione.

Impostazioni di compatibilità OpenVPN

Si trovano nel passaggio Configurazione della procedura guidata. La sua vista predefinita non contiene alcuna manopola: un server ospitato non modificato applica il profilo moderno, quello giusto per ogni router ancora supportato. I preset di compatibilità e le singole direttive compaiono dietro Mostra opzioni avanzate.

Per OpenVPN puoi adattare le impostazioni di un router più datato, in modo che si connetta anche il firmware legacy: cifrario, digest di autenticazione, versione minima di TLS, compressione, mssfix, intervallo di rinegoziazione e la modalità TLS auth. La procedura guidata convalida la combinazione mentre digiti e rifiuta gli abbinamenti che nessun firmware di router supportato è realmente in grado di negoziare.

Un server OpenVPN ospitato offre inoltre:

Algoritmo delle chiavi PKI — i nuovi server usano per impostazione predefinita RSA-2048, l'algoritmo accettato dai comuni router industriali; ECDSA P-256 è disponibile dove il router lo supporta. L'algoritmo viene fissato alla creazione; cambiarlo in seguito significa ruotare l'intera catena di certificati.
Ruota CA — riemette in un unico passaggio l'autorità di certificazione del server, il certificato del server e il certificato di ogni peer che si connette. La nuova configurazione di ciascun peer viene mostrata una sola volta per il download; i vecchi certificati smettono di funzionare non appena la rotazione viene applicata.
Richiedi autenticazione utente — i peer che si connettono devono presentare in aggiunta un nome utente e una password che definisci per ciascun peer.

Impostazioni IPsec (IKEv2)

Per IPsec la procedura guidata chiede ciò che serve a un responder IKEv2: la chiave precondivisa — lasciala vuota su un server ospitato e Mirox ne genera una robusta, mostrata una sola volta dopo la creazione —, le identità IKE locale e remota (facoltative; per impostazione predefinita si usa l'FQDN dell'endpoint), le proposte IKE ed ESP, le loro durate e l'intervallo DPD, che decide quanto rapidamente viene rilevato un peer morto. Entrambe le estremità devono concordare sulle proposte e non c'è alcun profilo da scambiare: questi valori si digitano a mano sul router.

Prima di iniziare

Chi può configurare le VPN dirette

La scheda Site VPN è visibile a Technical Manager o superiore sull'impianto (incluso l'Operatore). Creare, modificare o eliminare una VPN diretta richiede un Moderatore o Admin dell'organizzazione proprietaria dell'impianto. I ruoli inferiori, e gli utenti che raggiungono l'impianto tramite una cooperazione, vedono i tunnel configurati ma non possono modificarli. L'accesso segue il sistema di permessi.

Tieni pronto:

La direzione che ti serve (in uscita o ospitata), in base a ciò che il router dell'impianto supporta.
Per la direzione in uscita: il file di configurazione della VPN del router (.conf o .ovpn), oppure l'indirizzo dell'endpoint e le chiavi da inserire manualmente.
Nella direzione in uscita il protocollo è imposto dal server già attivo in loco. Nella direzione ospitata la scelta è tua — vedi Scegliere il tipo di VPN.
La sottorete dell'impianto (o le sottoreti) dietro il router che vuoi raggiungere — gli intervalli di rete locale (CIDR) in cui si trovano gli inverter, i logger e gli altri dispositivi.

Aggiungere una VPN diretta

Apri in Mirox: apri la scheda Site VPN dell'impianto — la pagina Rete dell'impianto, scheda Site VPN.
Clicca su Aggiungi connessione VPN. Si apre una breve procedura guidata.
Scegli la direzione — Mirox si connette al Park-Router (in uscita) o Park-Router si connette a Mirox (ospitato).
Tipo di VPN — scegli OpenVPN, WireGuard o IPsec (IKEv2). La procedura guidata contrassegna l'opzione consigliata per la direzione scelta e la preseleziona; ogni scheda elenca ciò che depone a favore e contro. Vedi Scegliere il tipo di VPN.
Configurazione — (solo ospitato) il profilo di compatibilità per il router dell'impianto. Il valore predefinito va bene per qualsiasi router degli ultimi anni; Mostra opzioni avanzate rivela il trasporto (UDP/TCP), le singole direttive crittografiche, l'autenticazione facoltativa con nome utente e password, la chiave precondivisa WireGuard o le impostazioni del responder IPsec.
Dettagli di connessione — (solo in uscita) carica il file .conf/.ovpn del router, oppure passa all'inserimento manuale e digita l'endpoint e le chiavi. Per OpenVPN segue un passaggio di verifica della compatibilità, in cui la procedura guidata mostra ciò che ha letto dal profilo così puoi correggerlo.
Sottorete dell'impianto — aggiungi gli intervalli di rete locale raggiungibili dietro il router. La piattaforma convalida ogni intervallo e blocca tutto ciò che entrerebbe in conflitto con l'intervallo del tunnel riservato, una rotta di un servizio VPN dell'organizzazione o un'altra VPN diretta sullo stesso impianto.
Rivedi e applica — conferma il riepilogo, quindi clicca su Applica.

Il tunnel si dà il nome da solo

Non c'è alcun nome da inserire. Mirox assegna al tunnel il nome dell'impianto e del protocollo scelto — per esempio Impianto Nord OpenVPN-UDP — e aggiunge un numero se quel nome è già occupato, così è univoco sull'impianto. Puoi rinominarlo o aggiungere una descrizione in qualsiasi momento in Modifica → Generale.

Salva subito le credenziali della VPN ospitata

Quando crei una VPN ospitata, Mirox genera la configurazione di cui il router dell'impianto ha bisogno per connettersi — inclusa la sua chiave privata o il suo certificato — e la mostra una sola volta. Scaricala e caricala sul router prima di chiudere la finestra di dialogo; non può essere recuperata in seguito. Se va persa, ruota il peer (WireGuard) o i certificati (OpenVPN) per ottenerne una nuova.

Una volta che il tunnel è attivo, i dispositivi sulle sottoreti dell'impianto configurate diventano raggiungibili, e qualsiasi rilevamento dei dispositivi di rete eseguito sull'impianto effettua la scansione attraverso di esso.

Il percorso predefinito non è mai consentito

Una VPN diretta non trasporta mai un percorso 0.0.0.0/0 "invia tutto". Elenca sempre le sottoreti esplicite dell'impianto che vuoi raggiungere. Se carichi una configurazione che contiene un percorso predefinito, la piattaforma lo rimuove e ti chiede di aggiungere gli intervalli specifici.

Gestire una VPN diretta esistente

Ogni VPN diretta appare come una scheda nella tab Site VPN, contrassegnata come Server (ospitata) o Client (in uscita), con una barra di connessione in tempo reale e un indicatore di traffico. Per una VPN ospitata con più siti che si connettono, la barra mostra il peggiore dei peer connessi — un solo sito giù colora l'intera scheda. Apri il menu ... della scheda per:

Modifica — cambia il nome, la descrizione, le sottoreti, le impostazioni di connessione o le chiavi. La finestra di modifica ha le schede Generale, Sottoreti, Config (impostazioni del protocollo) e Peer remoto (la chiave o il certificato del lato che si connette, la rotazione e l'aggiunta di ulteriori peer).
Riavvia VPN — riavvia il tunnel senza modificarne la configurazione; utile dopo una modifica delle impostazioni o un'interruzione temporanea.
Stato live — apre la finestra di ispezione (vedi sotto) con lo stato per singolo peer in tempo reale, i log, la diagnosi e gli strumenti di debug.
Diagnostica — (mostrato quando il tunnel è attualmente disconnesso) passa direttamente alla diagnosi automatica.
Gestisci peer — (VPN ospitate con più di un sito che si connette) passa alla scheda Peers.
Elimina — rimuove il tunnel. Devi digitare il nome del tunnel per confermare; la finestra di dialogo elenca i dispositivi di rete che perderebbero la loro rotta.

La finestra di ispezione: stato live, log, diagnosi, debug

Stato live su una scheda apre una finestra di dialogo con quattro sezioni e un badge di connessione in tempo reale:

Stato live — un riquadro per ogni peer, aggiornato circa una volta al secondo, direttamente dall'impianto: stato della connessione, IP del tunnel, endpoint, traffico ricevuto/inviato con velocità in tempo reale e — in base al protocollo — l'età dell'handshake (WireGuard; oltre ~3 minuti significa che il tunnel non è attualmente stabilito) o la durata della sessione (OpenVPN). I peer con un indirizzo di tunnel mostrano un grafico di latenza integrato, alimentato da una verifica continua di raggiungibilità.
Diagnostica — la diagnosi automatica con un clic: un assistente AI legge i log recenti e lo stato in tempo reale del tunnel, spiega ciò che trova in linguaggio semplice e — per le discrepanze nelle impostazioni OpenVPN — può proporre una correzione sicura della configurazione che applichi con un clic. Vedi anche la pagina Assistente AI.
Log — il log di connessione in tempo reale del tunnel, con colorazione per livello e scorrimento all'indietro nella cronologia.
Debug — strumenti in sola lettura eseguiti presso l'impianto: la tabella di routing del tunnel, un ping libero attraverso il tunnel e una cattura ICMP che mostra se le richieste partono davvero e se qualcosa risponde — il modo classico per distinguere "tunnel attivo ma il sito non risponde" da "tunnel giù".

Riconnettere un peer WireGuard ospitato

WireGuard risolve l'altro capo una sola volta, all'avvio del tunnel: un peer in impianto non ritrova quindi più questo server se l'indirizzo del server cambia. Quando il tunnel di un peer così è interrotto, la sua scheda in Stato live offre un pulsante Riconnetti con l'ultimo indirizzo e l'ultima porta noti già compilati — basta un solo handshake dal nostro lato: il peer risolve di nuovo l'indirizzo e da quel momento porta avanti la connessione da solo. Modifica i campi se l'impianto è cambiato.

Viene offerto solo per un VPN WireGuard ospitato, solo finché quel peer è disconnesso, e non cambia nulla di ciò che è memorizzato — nessuna configurazione viene scritta e l'agente dell'impianto non viene riavviato. Nulla di quanto inserito qui può peggiorare la situazione: se il peer si connette in seguito da un altro indirizzo, WireGuard adotta semplicemente l'indirizzo da cui il pacchetto è realmente arrivato.

"Nessun dato — potrebbe essere obsoleto"

Il badge live diventa rosso quando non arriva alcuna lettura aggiornata. Significa che la lettura non è disponibile — deliberatamente non viene mai mostrato come "tunnel giù", perché una lettura mancante non è una prova di interruzione.

Gestire le sottoreti dell'impianto

Le sottoreti instradate da una VPN diretta sono ciò che rende raggiungibili i dispositivi dell'impianto. Aggiungi o rimuovi intervalli dalla vista Modifica della VPN in qualsiasi momento. Rimuovere una sottorete che ha ancora dispositivi di rete dietro di sé lascia quei dispositivi senza rotta — la finestra di dialogo di eliminazione ti avverte ed elenca i dispositivi interessati, così puoi riassegnarli prima a un altro tunnel.

VPN ospitata: i peer che si connettono

Una VPN ospitata accetta peer in connessione di due tipi:

Peer di sito — il router dell'impianto stesso (o un altro sito fisso) che si connette e annuncia le proprie sottoreti. Il primo peer di sito viene creato per te quando configuri una VPN ospitata; la sua chiave o il suo certificato risiede nella scheda Peer remoto della finestra di modifica. Una VPN ospitata può servire più peer di sito — un impianto suddiviso su più router, ciascuno dei quali annuncia i propri intervalli.
Peer utente — singole persone che si connettono allo stesso server ospitato con un profilo personale. Un peer utente disconnesso è normale (le persone si connettono al bisogno) e non conta mai come interruzione del sito.

Con più di un peer di sito, la pagina Rete dell'impianto mostra la scheda Peers: una tabella di tutti i peer connessi con IP del tunnel, identità (chiave pubblica WireGuard o nome del certificato OpenVPN), traffico, cronologia delle connessioni e modifica per singolo peer (sottoreti, rotazione di chiave/certificato, eliminazione). Con un solo peer di sito le stesse impostazioni si trovano direttamente nella finestra di modifica e la scheda Peers resta nascosta.

Eliminare un server ospitato è distruttivo

Eliminare una VPN ospitata rimuove il server e ogni peer che si connette — sia i siti che gli utenti. Le loro configurazioni smettono di funzionare immediatamente e non possono essere riemesse; ricreare il server in seguito significa emettere configurazioni nuove per ogni peer.

Se il tunnel non si connette

La scheda Diagnostica automatizza la maggior parte di questi controlli; gli schemi qui sotto sono ciò che essa (e l'assistente AI) cerca:

Sintomo	Causa più probabile	Dove guardare
VPN ospitata, un peer non si è mai connesso	La configurazione generata non è mai stata installata sul router, oppure compone verso l'indirizzo o la porta sbagliati	Carica la configurazione del peer sul router; verifica l'endpoint sulla scheda
Il peer era connesso, ora è giù, i log mostrano "sent … received 0"	Il router remoto ha smesso di rispondere — spesso dopo il riavvio di un router o di un modem	Spegni e riaccendi il router/modem remoto; verifica il suo collegamento internet
Tunnel connesso ma dispositivi irraggiungibili	Il router del sito blocca o non instrada il traffico (su diverse marche di router, le interfacce VPN finiscono per impostazione predefinita in una zona simile alla WAN che consente solo il traffico in uscita)	Sezione Debug: ping + cattura ICMP — "il traffico parte ma nulla risponde" lo conferma; aggiungi una rotta o una regola firewall sul router
OpenVPN in uscita non si connette mai	Discrepanza di impostazioni con il server remoto (cifrario, versione TLS, compressione …)	Esegui Diagnostica — può proporre le impostazioni corrispondenti come correzione con un clic
WireGuard in uscita giù subito dopo un cambio di chiave/PSK	Il tunnel non ha ancora ricaricato le nuove chiavi	Riavvia VPN sulla scheda
La connessione è intermittente (su/giù ripetutamente)	Collegamento instabile presso il sito remoto, oppure una stessa configurazione peer usata da due dispositivi	Cronologia delle connessioni sulla scheda; emetti un peer separato per ciascun dispositivo
Tutto l'impianto giù in una volta	Interruzione di internet o di corrente al sito — non un problema di VPN	La pipeline di connessione nella scheda Panoramica

Funzionalità correlate

Utilizzare la VPN — il profilo VPN personale, per singolo utente, che raggiunge tutti gli impianti autorizzati
Utilizzare il Proxy — apri l'interfaccia web di un dispositivo nel browser senza un client VPN
Gestire i dispositivi di rete — rileva e monitora i dispositivi raggiungibili tramite un tunnel
VPN (funzionalità) — come differiscono le varianti di VPN e come funzionano l'instradamento e l'auditing
Servizi VPN di organizzazione — un unico gateway condiviso che serve più impianti
Local Network Inspector — controlli di raggiungibilità della rete dell'impianto lato piattaforma
Registro di audit degli accessi — la traccia di audit che copre tutti gli accessi remoti
Volume dati per impianto — quanti dati trasferisce l'impianto e se un collegamento lento è un problema di capacità