WireGuard su Peplink: la moderna VPN di remote access arriva con la Firmware 8.6.0

Il remote access è da anni un requisito centrale per l'infrastruttura di rete moderna. I dipendenti accedono alle risorse aziendali da casa, in mobilità o dalle filiali. I protocolli VPN precedenti come OpenVPN, L2TP o PPTP hanno dimostrato di funzionare — ma mostrano i loro limiti appena si tratta di performance, stabilità della connessione nei cambi di rete o manutenibilità.

Con la Firmware 8.6.0 Peplink cambia le carte in tavola. WireGuard — il protocollo VPN più moderno attualmente sviluppato — è da subito disponibile su tutti i modelli Peplink. In qualità di Peplink Gold Partner, Ascend vi supporta nell'implementazione e nella migrazione della vostra infrastruttura VPN.

In questo articolo esaminiamo WireGuard nel contesto Peplink, lo confrontiamo con i protocolli consolidati e forniamo raccomandazioni chiare per i vostri casi d'uso.

WireGuard è un protocollo VPN moderno, pubblicato come stabile nel 2020 dopo anni di sviluppo. È stato progettato da zero — non come prodotto evolutivo di protocolli esistenti, ma con l'ambizione di fare tutto meglio: più veloce, più sicuro, più semplice.

Le proprietà principali

Codebase snella. Il codice kernel di WireGuard conta circa 4.000 righe. Per confronto: gli stack OpenVPN/IPsec si muovono nell'ordine di 100.000 fino a 400.000 righe. Meno codice significa minore superficie d'attacco, audit più leggeri e meno bug. Non è solo un argomento accademico — nella pratica l'architettura snella porta a una stabilità misurabilmente superiore.

Crittografia moderna. WireGuard usa per impostazione predefinita Curve25519 (ECDH), ChaCha20 (cifratura simmetrica), Poly1305 (autenticazione) e BLAKE2s (hashing). Questi algoritmi sono considerati state of the art e vengono raccomandati all'unanimità dal mondo crittografico. Niente caos di configurazione con cipher suite come su OpenVPN — WireGuard fissa gli algoritmi.

Setup della connessione fulmineo. L'handshake dura pochi millisecondi. Dove OpenVPN spesso richiede svariati secondi per stabilire un tunnel, WireGuard è praticamente istantaneo. Per gli utenti finali significa: cliccate connetti, e il tunnel c'è — senza ritardi percepibili.

Roaming senza interruzione del tunnel. WireGuard sopravvive ai cambi di rete — dalla WLAN alla rete mobile e viceversa — senza perdere la connessione. È un vantaggio decisivo per gli utenti mobili. Il tunnel resta attivo, la sessione prosegue, le applicazioni non si interrompono.

Perché è importante per gli utenti Peplink

I router Peplink vengono spesso impiegati in ambienti esigenti — da cantieri a luoghi di eventi fino agli impieghi mobili. Qui la combinazione di performance e robustezza di WireGuard paga particolarmente. Con la Firmware 8.6.0 tutti i modelli Peplink hanno accesso a questa tecnologia — senza licenze aggiuntive né upgrade hardware.

I router Peplink supportano con la Firmware 8.6.0 quattro protocolli VPN per il Remote User Access: WireGuard, OpenVPN, L2TP e PPTP. Di seguito confrontiamo le tre opzioni rilevanti.

Tabella di confronto

• Codebase: WireGuard circa 4.000 righe; stack OpenVPN nell'ordine di 100.000 righe e più; L2TP basato su IPsec e di conseguenza complesso.
• Cifratura: WireGuard con ChaCha20 fisso; OpenVPN configurabile (tipicamente AES); L2TP via IPsec.
• Handshake: WireGuard nell'ordine dei millisecondi; OpenVPN e L2TP richiedono in genere secondi.
• Roaming al cambio di rete: WireGuard resta attivo; i tunnel OpenVPN e L2TP in genere si interrompono.
• Sforzo di configurazione: WireGuard minimo; OpenVPN medio-alto; L2TP medio.
• Supporto piattaforme: WireGuard con client nativi per tutti i sistemi operativi diffusi; OpenVPN con client proprio; L2TP integrato nel sistema operativo.

WireGuard

Punti di forza: sforzo di configurazione minimo, handshake il più rapido, roaming trasparente. Inoltre WireGuard non risponde a pacchetti non autenticati ed è discreto verso gli scan. WireGuard è l'opzione più moderna e performante.

Punti deboli: relativamente nuovo nell'ecosistema Peplink, quindi con meno edge case documentati rispetto a OpenVPN. Nessun supporto nativo per connessioni site-to-site su Peplink (volutamente — per quello c'è SpeedFusion).

OpenVPN

Punti di forza: collaudato da decenni, enorme community, configurabile con estrema flessibilità. La modalità TCP funziona anche attraverso firewall restrittivi.

Punti deboli: handshake lento, il tunnel si interrompe al cambio di rete, configurazione delle cipher complessa, maggiore consumo di risorse sul router.

L2TP

Punti di forza: integrato nel sistema operativo (nessun client aggiuntivo necessario), cifratura IPsec.

Punti deboli: handshake il più lento delle tre opzioni, il tunnel si interrompe al cambio di rete, fissato sulle porte UDP 500 e 4500 (rilevante per il firewall). L2TP senza IPsec è insicuro — IPsec è complesso da configurare.

Raccomandazione

WireGuard è dalla Firmware 8.6.0 la raccomandazione standard per il nuovo Remote User Access. I setup OpenVPN esistenti non vanno migrati immediatamente, ma per le nuove configurazioni e per gli utenti mobili WireGuard è la scelta superiore. L2TP dovrebbe essere impiegato ormai solo in casi di compatibilità.

Una delle decisioni più importanti nella pianificazione VPN è: si tratta di Remote User Access (un singolo utente si connette alla rete) o di Site-to-Site (due reti vengono collegate in modo permanente)?

Remote User Access con WireGuard

Casi d'uso:

• Dipendenti in home office accedono alla rete aziendale
• Collaboratori esterni in trasferta si connettono in mobilità
• Tecnici accedono da remoto agli impianti
• Amministratori curano i sistemi a distanza

Vantaggi di WireGuard qui: stabilimento rapido della connessione, roaming al passaggio tra WLAN e rete mobile, basso consumo di risorse sul router. L'utente avvia il client WireGuard sul proprio dispositivo (Windows, macOS, iOS, Android) e si connette al router Peplink come server.

Site-to-Site con SpeedFusion

Casi d'uso:

• Due o più filiali devono essere collegate in permanenza
• Load balancing su più connessioni WAN
• Aggregazione di banda (WAN bonding)
• Failover tra sedi

Perché non WireGuard per il site-to-site? Peplink posiziona WireGuard deliberatamente per il Remote User Access. Per le connessioni site-to-site tra router Peplink SpeedFusion è la soluzione ottimale. SpeedFusion offre WAN bonding, failover automatico, ottimizzazione del traffico e tunnel VPN sviluppati appositamente per connessioni permanenti tra sedi. Nessun protocollo VPN generico può tenergli testa.

Scala decisionale

1. Un utente si connette alla rete? → WireGuard (Remote User Access)
2. Un utente deve accedere a un router specifico, non all'intera rete? → SFC Direct Access (vedi sezione successiva)
3. Due reti devono essere collegate in permanenza? → SpeedFusion (site-to-site)
4. Due reti devono essere collegate, ma nessun Peplink dall'altro lato? → VPN IPsec (site-to-site, interscambio tra produttori)

Con la Firmware 8.6.0 Peplink supporta per la Fase 2 IPsec ora anche SHA2-384 come algoritmo di hash, il che migliora ulteriormente l'interoperabilità con altri produttori.

Una novità che accompagna da vicino il rilascio di WireGuard è SFC Direct Access. Questa funzione dell'app SpeedFusion Connect (SFC) consente di accedere direttamente ai router supportati — senza configurazione manuale del tunnel VPN.

Come funziona SFC Direct Access

L'app SpeedFusion Connect sul dispositivo terminale stabilisce automaticamente un tunnel verso il router di destinazione. L'amministratore non deve effettuare alcuna configurazione VPN complessa sul router — la connessione viene mediata tramite l'infrastruttura Peplink e stabilita automaticamente.

Casi d'uso per SFC Direct Access

• Manutenzione a distanza: gli amministratori raggiungono rapidamente i router senza creare profili VPN manualmente.
• Supporto da parte di Ascend: in qualità di Peplink Gold Partner, Ascend può raggiungere via SFC Direct Access i router supportati — ideale per un servizio proattivo.
• Accesso temporaneo: connessioni a breve termine per troubleshooting o modifiche di configurazione, senza creare profili VPN permanenti.

SFC Direct Access vs. WireGuard Remote Access

• Criterio: sforzo di configurazione · SFC Direct Access: minimo (basato su app) · WireGuard Remote Access: medio (profili e chiavi)
• Criterio: destinazione · SFC Direct Access: singolo router · WireGuard Remote Access: intera rete
• Criterio: persistenza · SFC Direct Access: legata alla sessione · WireGuard Remote Access: permanente
• Criterio: client · SFC Direct Access: app SpeedFusion Connect · WireGuard Remote Access: client WireGuard (nativo del sistema operativo)
• Criterio: ideale per · SFC Direct Access: manutenzione a distanza, supporto · WireGuard Remote Access: accesso remoto regolare

I due approcci si completano. WireGuard è la scelta per l'accesso remoto regolare e permanente alla rete aziendale. SFC Direct Access è ideale per gli accessi amministrativi a singoli router senza onere di configurazione.

Con la Firmware 8.6.0 Peplink porta il mondo VPN al passo con i tempi. WireGuard è da subito la prima scelta per il Remote User Access — più veloce, più robusto e più semplice di OpenVPN o L2TP. L'implementazione nativa su tutti i modelli Peplink rende la migrazione semplice.

Importante è la distinzione: WireGuard è per il Remote User Access, non per il site-to-site. Per le connessioni tra sedi su router Peplink resta SpeedFusion la soluzione ottimale. E per la rapida manutenzione a distanza dei singoli router SFC Direct Access completa il portafoglio.

In qualità di Peplink Gold Partner Ascend vi supporta nella pianificazione, implementazione e migrazione della vostra infrastruttura VPN. Che introduciate WireGuard da zero o migriate da OpenVPN — i nostri ingegneri certificati Peplink sono pronti.

Contattate Ascend per la vostra implementazione VPN: https://www.ascend.de/it/loesungen/marken/peplink/

Questo articolo è stato redatto e verificato con il supporto dell'IA e controllato prima della pubblicazione dagli ingegneri certificati Peplink di Ascend.