L'accesso remoto non è gestione remota: Teltonika RMS o VPN proprio?

Teltonika RMS compare spesso nei colloqui di consulenza come risposta a una domanda che in realtà è un'altra. Chi chiede „Come accedo al mio router da remoto?“ pone una domanda da VPN. Chi chiede „A che livello di firmware sono i miei 300 dispositivi in 300 sedi, e chi si è collegato per ultimo?“ pone una domanda di gestione – e per questo una VPN da sola non è pensata.

La distinzione di fondo è semplice, ma nella pratica viene spesso confusa: una VPN crea un tunnel di rete cifrato, un percorso da A a B. Una piattaforma di gestione fornisce stato, inventario, configurazione e log su un'intera flotta di dispositivi. Chi vuole solo „entrare“ – per una manutenzione una tantum, per un intervento breve – ha bisogno di una VPN. Chi deve sapere a che livello sono 300 dispositivi ha bisogno di gestione.

Teltonika offre entrambe le cose: protocolli VPN propri direttamente sul router e Teltonika RMS come piattaforma di gestione remota con la propria RMS VPN. Questo articolo inquadra quando conviene quale approccio, come i due percorsi si collegano tecnicamente – e cosa è effettivamente comprovato per gli operatori italiani in materia di gestione dei dati e accesso. Maggiori informazioni sul portfolio router sono disponibili sulla nostra pagina Teltonika.

Un esempio rende tangibile la differenza. Un tecnico deve modificare a breve termine una regola del firewall su un singolo router in una filiale. Per questo basta un tunnel cifrato verso quel preciso dispositivo – una VPN classica risolve il problema in modo affidabile. Un'operazione IT con 300 router in 300 sedi ha invece un compito diverso: deve sapere costantemente quale firmware è installato dove, quale configurazione si discosta dal modello, chi si è collegato e quando, e se un dispositivo è ancora online. Una VPN non risponde a nessuna di queste domande – apre soltanto il percorso.

È esattamente qui che entra in gioco una piattaforma di gestione. Rappresenta la flotta come inventario, conserva le configurazioni, registra gli accessi e rende visibili gli scostamenti prima che diventino un problema. Una VPN può far parte di questa piattaforma – come in Teltonika RMS, dove accesso VPN e gestione confluiscono in un unico sistema – ma non la sostituisce. La domanda quindi raramente è „VPN o RMS“, quanto piuttosto: quale problema sta risolvendo in questo momento – l'accesso a un singolo dispositivo o la visione d'insieme su una flotta?

I router Teltonika supportano un ampio spettro di protocolli VPN, compresi quelli più datati. Per nuove installazioni, secondo Teltonika, WireGuard, OpenVPN e IPsec sono le opzioni più naturali. Tra i due protocolli più utilizzati esiste una differenza tecnica che si nota nella pratica: OpenVPN gira in user space anziché in kernel space – a parità di hardware questo significa un throughput inferiore rispetto a WireGuard, oltre a una configurazione più complessa, in particolare per la gestione dei certificati.

WireGuard si distingue inoltre per una base di codice nettamente più piccola: secondo Teltonika è dell'ordine di circa 4.000 righe, contro le centinaia di migliaia di OpenVPN. Una base di codice più piccola significa una superficie di attacco minore e una maggiore facilità di verifica (audit) – un argomento che pesa nelle installazioni critiche per la sicurezza. Teltonika indica inoltre IPsec come terza opzione per le nuove installazioni.

Per una VPN propria vale in ogni caso quanto segue: è Lei a gestire il nodo remoto, i certificati e la configurazione – e questo per ogni sede che collega.

RMS VPN è l'approccio proprio di Teltonika per risolvere questo problema operativo. Secondo Teltonika, RMS VPN è pensata per la gestione remota ed economica di reti di grandi dimensioni. La differenza rispetto a una VPN punto-punto classica: RMS VPN consente tunnel cifrati per accedere a più endpoint in pochi secondi, invece di dover creare e mantenere un nodo remoto separato per ogni sede.

RMS VPN funziona non solo con hardware Teltonika – secondo Teltonika funziona anche con dispositivi di terze parti dotati di un proprio client OpenVPN. Può inoltre gestire RMS VPN in modo autonomo, senza utilizzare il resto della gestione remota RMS. Questo ha un costo: senza la gestione RMS viene meno, tra l'altro, la configurazione automatica del client per i dispositivi Teltonika. E un secondo punto fa parte di un inquadramento onesto: RMS VPN richiede strumenti aggiuntivi per raggiungere effettivamente i dispositivi terminali nella rete dietro il router – il tunnel verso il router non è automaticamente l'accesso a tutto ciò che vi è collegato.

In breve: RMS VPN risolve il problema di scalabilità di una VPN propria su molte sedi, ma nel nucleo resta comunque uno strumento di tunneling – la vera capacità di gestione risiede nella piattaforma RMS sovrastante.

Per gli operatori in Italia una domanda è spesso più decisiva di qualsiasi caratteristica funzionale: dove si trovano i dati, e chi può accedervi? Per Teltonika RMS si può rispondere in modo concreto.

I server backend di RMS si trovano, secondo Teltonika, a Francoforte; i server frontend sono distribuiti a livello mondiale per garantire prestazioni affidabili. RMS stessa gira su Amazon Web Services (AWS). Per l'accesso VPN, Teltonika gestisce quattro server VPN – in Germania, Stati Uniti, Australia e Bahrein. La comunicazione tra dispositivo e server avviene tramite un protocollo proprietario, trasportato via MQTT con crittografia TLS 1.2; i certificati di comunicazione vengono ruotati di routine, singolarmente per ogni dispositivo.

Per l'accesso, RMS utilizza il protocollo OAuth2. Ogni account RMS può attivare l'autenticazione a più fattori – a scelta via e-mail, password monouso basata sul tempo (TOTP) o tramite un Teltonika ID proprio con autenticazione biometrica; è possibile anche il Single Sign-On (SSO). Alcune funzioni, come l'accesso API, sono utilizzabili solo dopo aver attivato l'MFA.

Ogni interazione tra utente e dispositivo viene registrata; questo log è consultabile dagli amministratori del rispettivo account. I collaboratori di Teltonika non possono accedere al Suo account o ai Suoi dispositivi di rete senza che Lei abbia prima concesso espressamente l'autorizzazione. Tutti i database RMS sono cifrati e accessibili solo a un numero limitato di collaboratori autorizzati.

Non esiste una risposta universale, ma una regola pratica utile: quanto più piccola è la flotta e quanto più puntuale è il fabbisogno di accesso, tanto più spesso basta una VPN propria. Poche sedi, manutenzione remota occasionale, un server VPN già presente nella propria infrastruttura – in questi casi l'impegno di una piattaforma di gestione propria spesso non si giustifica ancora.

Con la crescita della flotta il calcolo cambia. Non appena gestisce decine o centinaia di sedi, la domanda „Chi ha avuto accesso a cosa e quando, e quale configurazione gira in questo momento sul dispositivo X?“ diventa la questione centrale dell'esercizio – ed è esattamente per questo che è pensata una piattaforma di gestione, non una VPN. RMS offre questa visione centralmente, log degli accessi incluso, e RMS VPN fornisce il livello di accesso adeguato, pensato per molti endpoint.

Importante per la pratica: le due strade non si escludono a vicenda. Può gestire una VPN propria per collegamenti specifici e ben definiti, e utilizzare contemporaneamente RMS per inventario, configurazione e log sull'intera flotta. La decisione quindi è raramente „o l'uno o l'altro“, quanto piuttosto una questione di quale strumento assuma quale compito nel rispettivo modello operativo.

Resta una domanda che nella discussione sulle VPN passa spesso in secondo piano: chi gestisce in realtà il nodo remoto? Con una VPN propria è Lei – inclusi server, certificati e la responsabilità che tutto funzioni. Con RMS VPN questa parte viene assunta da Teltonika come gestore della piattaforma, con le sedi, i protocolli e le regole di accesso descritti sopra.

Per gli operatori che vogliono creare tunnel o aggregare linee, ma non desiderano gestire in proprio il nodo remoto, offriamo con il nostro VPN Hub Hosting una terza opzione: un nodo remoto gestito da Ascend, senza dover costruire un'infrastruttura server propria. Non è un sostituto di RMS, né un obbligo – per molte installazioni una VPN propria o RMS VPN sono del tutto sufficienti. È un'opzione per il caso in cui la gestione stessa del nodo remoto diventi il collo di bottiglia.

Se desidera dimensionare correttamente accesso e gestione per la Sua flotta: ci contatti. Forniamo hardware Teltonika dal nostro magazzino e offriamo consulenza sulla scelta del protocollo, sull'impiego di RMS e sul VPN Hub Hosting. Come aggregare in aggiunta i percorsi di rete mobile lo legge nel nostro articolo su Bondix nel Teltonika Package Manager; come l'eSIM semplifichi il rollout di grandi flotte lo descriviamo nell'articolo sul codice d'ordine eSIM.

Questo articolo è stato redatto con il supporto dell'intelligenza artificiale e verificato da Ascend prima della pubblicazione.