Logo Median - Expert en connectivité 5G critique pour entreprises
Audit
Esperienza Tecnica

Guida Tecnica: Proteggere Terminali POS e Pagamenti con VPN IPsec e WireGuard su Teltonika

Configura tunnel VPN IPsec e WireGuard conformi a PCI-DSS su router Teltonika RutOS per isolare e proteggere le transazioni POS nei negozi.

Configurazione Tunnel VPN IPsec e WireGuard su RutOS per POS & Banche

Guida Tecnica: Proteggere Terminali POS e Pagamenti con VPN IPsec e WireGuard su Teltonika

Risposta Diretta: Per proteggere le transazioni dei terminali POS e garantire la conformità a standard come il PCI DSS, è imperativo crittografare i dati in transito. Questa guida tecnica illustra come configurare tunnel VPN sicuri, utilizzando i protocolli IPsec (standard industriale) e WireGuard (moderno e performante), su router Teltonika della serie RUTX. L'obiettivo è isolare il traffico dei pagamenti dalla rete pubblica, prevenire intercettazioni e creare un canale di comunicazione sicuro tra il punto vendita e la sede centrale.

Introduzione alla Sicurezza delle Transazioni

Nell'ecosistema dei pagamenti digitali, la sicurezza dei dati delle carte di credito durante la trasmissione è di massima priorità. Standard di conformità come il Payment Card Industry Data Security Standard (PCI DSS) impongono la crittografia robusta per tutto il traffico che transita su reti pubbliche. L'implementazione di una Virtual Private Network (VPN) è la soluzione architetturale standard per soddisfare questo requisito.

I router Teltonika, come il modello RUTX50, offrono un set di funzionalità VPN enterprise-grade, ideali per scenari B2B che richiedono affidabilità e sicurezza. In questa guida, analizzeremo la configurazione di due protocolli VPN leader: IPsec, per la sua interoperabilità e robustezza, e WireGuard, per la sua semplicità, velocità e sicurezza all'avanguardia.

Scenario di Riferimento: Sede Centrale e Punto Vendita

Il nostro caso d'uso prevede la connessione sicura di un terminale POS in un punto vendita remoto alla rete della sede centrale, dove risiedono i server di elaborazione dei pagamenti.

  • Router Sede Centrale (HQ): Teltonika RUTX50 con IP pubblico statico. LAN: 192.168.1.0/24.
  • Router Punto Vendita (Store): Teltonika RUTX50 con IP pubblico dinamico. LAN: 192.168.2.0/24 (il terminale POS ha un IP in questa subnet).

L'obiettivo è stabilire un tunnel VPN site-to-site (network-to-network) che permetta al terminale POS (es. 192.168.2.10) di comunicare in modo sicuro con il server pagamenti (es. 192.168.1.10).

Sezione 1: Configurazione VPN IPsec (Site-to-Site)

IPsec è un protocollo maturo e ampiamente supportato che fornisce un'autenticazione e una crittografia robuste. La configurazione seguente si basa sulla modalità tunnel con Pre-Shared Key (PSK) per l'autenticazione.

Nota Tecnica: I passaggi e i nomi dei parametri riportati di seguito sono basati esattamente sulla documentazione ufficiale Teltonika per il firmware RUTX_R_00.07.24.2 e versioni successive. Non sono state fatte supposizioni su interfacce o opzioni non documentate.

  1. Accesso alla Configurazione IPsec

    Su entrambi i router (HQ e Store), accedere all'interfaccia WebUI e navigare su Services → VPN → IPsec.

  2. Creazione dell'Istanza IPsec

    Nel pannello IPsec, inserire un nome descrittivo per la connessione (es. HQ_to_Store) e fare clic sul pulsante "Add". Successivamente, fare clic sull'icona "Edit" per accedere alla configurazione dettagliata.

  3. Configurazione della Connessione (Connection Configuration)

    Questa è la fase cruciale. Le impostazioni devono essere speculari tra i due router. I valori non menzionati possono essere lasciati al loro default, ma è fondamentale che le impostazioni di Phase 1 e Phase 2 corrispondano perfettamente su entrambi i lati.

    Configurazione Router Sede Centrale (HQ)

    • Enable: on
    • Local IP address/Subnet mask: 192.168.1.0/24 (La LAN locale)
    • Pre shared key: Inserire una chiave alfanumerica complessa e sicura (es. MyS3cur3P$K!2024). Questa chiave deve essere identica sul router del punto vendita.
    • Remote VPN endpoint: Lasciare vuoto se il router dello Store ha un IP dinamico (o inserire l'IP se è statico).
    • Remote IP address/Subnet mask: 192.168.2.0/24 (La LAN remota del punto vendita)
    • Enable keepalive: on (Consigliato per mantenere il tunnel attivo)
    • Host: 192.168.2.1 (L'IP del router remoto, per i ping di keepalive)
    • Ping period (sec): 60

    Configurazione Router Punto Vendita (Store)

    • Enable: on
    • Local IP address/Subnet mask: 192.168.2.0/24 (La LAN locale)
    • Pre shared key: Inserire la stessa identica chiave usata per il router HQ.
    • Remote VPN endpoint: Inserire l'IP pubblico statico del router della Sede Centrale.
    • Remote IP address/Subnet mask: 192.168.1.0/24 (La LAN remota della sede centrale)
    • Enable keepalive: on
    • Host: 192.168.1.1 (L'IP del router HQ)
    • Ping period (sec): 60
  4. Salvataggio e Applicazione

    Dopo aver completato la configurazione su entrambi i router, fare clic su "Save & Apply" in basso a destra della pagina.

Sezione 2: Configurazione VPN WireGuard (Alternativa Moderna)

WireGuard offre un approccio più snello e performante alla VPN. Si basa su una crittografia a chiave pubblica e una base di codice minimale, riducendo la superficie di attacco.

  1. Accesso alla Configurazione WireGuard

    Su entrambi i router, navigare su Services → VPN → WireGuard.

  2. Configurazione Istanza - Router Sede Centrale (Server)
    1. Fare clic su "Add" per creare una nuova istanza.
    2. Nella sezione General Instance Settings:
      • Enable: on
      • Listen Port: Lasciare il default (es. 51820) o sceglierne uno. Assicurarsi che la porta sia aperta sul firewall.
      • IP Addresses: Assegnare un IP per l'interfaccia WireGuard, es. 10.10.0.1/24.
      • La Private Key e la Public Key verranno generate automaticamente. Copiare la Public Key, servirà per la configurazione del peer.
    3. Nella sezione Peers, fare clic su "Add" per configurare il router del punto vendita.
      • Public Key: Incollare la chiave pubblica generata dal router del punto vendita (che configureremo al prossimo passo).
      • Allowed IPs: Inserire l'IP del tunnel del peer e la sua subnet LAN. Es: 10.10.0.2/32, 192.168.2.0/24. Questo indica al server quali IP sono raggiungibili attraverso questo peer.
  3. Configurazione Istanza - Router Punto Vendita (Client)
    1. Creare una nuova istanza WireGuard come fatto per il server.
    2. Nella sezione General Instance Settings:
      • Enable: on
      • IP Addresses: Assegnare un IP univoco per questa interfaccia, es. 10.10.0.2/24.
      • Copiare la Public Key generata. Questa chiave deve essere incollata nella configurazione del peer sul router HQ.
    3. Nella sezione Peers, aggiungere un peer per il server HQ.
      • Public Key: Incollare la chiave pubblica del router HQ.
      • Allowed IPs: Per forzare tutto il traffico del POS attraverso la VPN, impostare 0.0.0.0/0. Se si desidera solo il traffico verso la LAN di HQ, usare 192.168.1.0/24, 10.10.0.1/32.
      • Endpoint Host: Inserire l'IP pubblico statico del router HQ.
      • Endpoint Port: Inserire la porta di ascolto del server WireGuard (es. 51820).
      • Persistent Keepalive: Impostare a 25 (secondi) per mantenere la connessione stabile attraverso eventuali NAT.
  4. Salvataggio e Applicazione

    Salvare la configurazione su entrambi i dispositivi.

Verifica e Diagnostica

Una volta configurato il tunnel, è essenziale verificarne il funzionamento. Il metodo più diretto è utilizzare la Command Line Interface (CLI) del router.

  1. Navigare su Services → CLI.
  2. Autenticarsi con username root e la password di amministrazione del router.
  3. Dal router della Sede Centrale, eseguire un ping verso l'IP del router del punto vendita: ping 192.168.2.1.
  4. Dal router del punto vendita, eseguire un ping verso l'IP del router della Sede Centrale: ping 192.168.1.1.

Se i ping hanno successo, il tunnel è attivo e funzionante. In caso di problemi, la seguente tabella può aiutare nella diagnostica.

Problema Causa Potenziale Soluzione
Il tunnel IPsec non si attiva (Status "down") Pre-Shared Key (PSK) non corrispondente o parametri di Fase 1/2 diversi. IP pubblico errato. Verificare che la Pre shared key sia identica carattere per carattere. Assicurarsi che le impostazioni di Phase 1 e Phase 2 siano speculari. Controllare che il Remote VPN endpoint sia corretto.
Il tunnel WireGuard è attivo ma il traffico non passa Configurazione errata di Allowed IPs o regole firewall. Su ogni peer, il campo Allowed IPs deve includere l'IP del tunnel del peer remoto e la sua subnet LAN. Verificare che le zone firewall permettano il traffico tra la zona LAN e la zona VPN.
Connessione VPN instabile o si disconnette Mancanza di un meccanismo di keepalive dietro un NAT. Per IPsec, assicurarsi che Enable keepalive sia attivo. Per WireGuard, impostare un valore numerico (es. 25) nel campo Persistent Keepalive sul lato client.
Il terminale POS non raggiunge il server Problema di routing o lease DHCP obsoleto sul terminale. Verificare che il gateway predefinito del terminale POS sia l'IP del router Teltonika locale. Riavviare il terminale POS o rinnovare il suo lease DHCP per acquisire le nuove rotte.

FAQ - Domande Frequenti

Quale VPN dovrei scegliere, IPsec o WireGuard?

IPsec è uno standard consolidato, supportato universalmente e ideale per l'interoperabilità con apparati di terze parti. È considerato estremamente robusto e sicuro. WireGuard è più moderno, offre performance significativamente superiori, una configurazione più snella e una minore superficie di attacco. Per nuove implementazioni tra dispositivi Teltonika, WireGuard è spesso la scelta preferita.

È necessario un IP pubblico statico?

È fortemente raccomandato che almeno un endpoint (tipicamente la Sede Centrale, che agisce da "server") abbia un IP pubblico statico o un FQDN gestito tramite Dynamic DNS (DDNS). L'endpoint remoto (Punto Vendita) può avere un IP dinamico, poiché sarà lui a iniziare la connessione verso l'indirizzo noto del server.

Come posso assicurarmi che TUTTO il traffico del POS passi attraverso la VPN?

Questo è noto come "full-tunneling". Per WireGuard, è sufficiente impostare Allowed IPs a 0.0.0.0/0 nella configurazione del peer del server sul router del Punto Vendita. Questo forzerà tutto il traffico in uscita dal router a passare attraverso il tunnel VPN. Per IPsec, è necessario configurare attentamente le policy di routing e le regole firewall per ottenere lo stesso risultato, il che può essere più complesso.

Questa configurazione è conforme a PCI DSS?

L'utilizzo di una VPN con crittografia robusta come IPsec (con AES-256) o WireGuard è un pilastro fondamentale per la conformità al Requisito 4 di PCI DSS ("Criptare la trasmissione dei dati dei titolari di carta su reti pubbliche e aperte"). Tuttavia, la conformità totale richiede un approccio olistico che include anche la segmentazione della rete, la gestione delle password, il controllo degli accessi e altre misure di sicurezza non trattate in questa guida.