VPN industriale · Teltonika RUT

Collega i PLC remoti al Runtime con una VPN sito-a-sito

Quando un PLC non è raggiungibile via cavo LAN dal PC che fa girare Opscadia Runtime — perché è in un altro capannone, in un sito diverso o su una macchina isolata — la soluzione è un router Teltonika RUT per ogni impianto remoto, collegato in VPN al PC. Il Runtime vede il PLC con il suo IP, come se fosse in rete locale.

Vai alla configurazione Confronta i modelli RUT
01 — Scenari

Quando serve questa soluzione

Non sostituisce Opscadia Connect: risolve un problema diverso, a monte — far arrivare la rete fino al PLC fisicamente lontano.

  • A

    Siti distribuiti

    Impianti o macchine in siti diversi dal PC che fa girare il Runtime.

  • B

    Skid e macchine mobili

    Nessun cablaggio LAN dedicato verso la sala controllo: la connettività arriva via SIM.

  • C

    Retrofit su impianti esistenti

    Tirare un nuovo cavo Ethernet fino al quadro costa più del router che porta la rete lì.

  • D

    Impianti senza IT locale

    Nessuno in loco a gestire la rete: il router deve fare tutto da solo e restare gestibile da remoto.

02 — Architettura

Come funziona, passo per passo

Ogni router Teltonika RUT apre un tunnel VPN cifrato verso il PC che ospita il Runtime. Una volta connesso, il PLC dietro quel router è raggiungibile con il suo IP, come qualsiasi altro dispositivo in LAN.

  1. Il PLC resta com'è

    Sito remoto

    Mantiene il suo IP di impianto sulla LAN locale: nessuna riconfigurazione, nessun cambio di indirizzamento.

  2. Il router RUT apre il tunnel

    Sito remoto

    Collegato alla stessa LAN del PLC, fa da client VPN verso l'hub. Se in impianto non c'è internet, lo porta lui via SIM 4G/5G.

  3. Traffico cifrato punto-punto

    Internet

    WireGuard, OpenVPN o IPsec — a scelta, tutti nativi su RutOS. Subnet VPN dedicata, separata dalle LAN locali dei PLC.

  4. Il Runtime interroga il PLC

    Sede / ufficio

    In Opscadia crei il dispositivo con l'IP del PLC remoto, esattamente come faresti per un PLC in LAN.

03 — Prerequisito di rete

Il caso reale: il PC è dietro NAT

Nella maggior parte dei casi il PC che ospita Opscadia Runtime è collegato a un router "normale" (ufficio, impianto) e non ha un IP pubblico raggiungibile: i router Teltonika remoti non possono aprire un tunnel verso di esso senza un intervento specifico. Hai due strade.
Opzione A

Port forwarding + DDNS sul PC

Inoltra la porta UDP usata da WireGuard (es. 51820) sul router che ospita il PC e, se l'IP pubblico è dinamico, usa un servizio DDNS per avere un indirizzo stabile a cui far puntare i router RUT.

Opzione B · consigliata

Hub VPN intermedio

Un router (o piccolo server) con IP pubblico/DDNS fa da "hub": sia il PC Runtime sia tutti i router RUT remoti si collegano ad esso come peer. Il PC non deve mai esporre porte — utile se gestisci più impianti o più clienti.

04 — Hardware

Perché un Teltonika RUT

VPN nativa su RutOS

WireGuard, OpenVPN e IPsec sono integrati nel firmware: nessun software aggiuntivo da installare sul router.

Costruzione industriale

Montaggio su guida DIN, alimentazione 9-30V DC: pensati per stare in un quadro elettrico, non su una scrivania.

Doppia SIM con failover

Se un impianto non ha una LAN con uscita internet, il router porta la connettività via 4G/5G, con switch automatico tra due operatori.

Gestione centralizzata (opzionale)

Con Teltonika RMS monitori e aggiorni tutti i router installati da un'unica dashboard, senza andare in impianto.

Reti isolate per impianto

Ogni router è un peer VPN separato: puoi tenere le reti di più clienti o più impianti isolate tra loro, senza che si vedano.

Porte seriali su alcuni modelli

I modelli con RS232/RS485 integrate collegano anche PLC seriali, non solo Ethernet, senza convertitori esterni.

05 — Modelli

Tre RUT a confronto

Tre punti di partenza in base a porte e connettività necessarie. La scelta finale dipende da copertura SIM, numero di dispositivi per impianto e se serve o meno una porta seriale.

Confronto tra i router Teltonika RUT956, RUT241 e RUT361
Caratteristica Router Teltonika RUT956 RUT956 Ethernet + seriale Router Teltonika RUT241 RUT241 Entry-level Router Teltonika RUT361 RUT361 5G
Caso d'uso tipico Quadro con PLC misti, Ethernet e seriali Singola macchina o piccolo impianto Impianto con più dispositivi o più dati
Connettività mobile 4G LTE 4G LTE 5G
SIM Doppia SIM con failover eSIM + slot SIM fisica Doppia SIM
Porte seriali RS232/RS485 Integrate — non presenti — non presenti
VPN su RutOS WireGuard / OpenVPN / IPsec WireGuard / OpenVPN / IPsec WireGuard / OpenVPN / IPsec
Scheda ufficiale RUT956 RUT241 RUT361
Esplora tutto il catalogo router Teltonika

Link esterni al sito ufficiale Teltonika. Opscadia non vende né distribuisce direttamente i router: scegli il modello in base a copertura SIM, porte necessarie (seriale/Ethernet) e numero di dispositivi da collegare per impianto.

06 — Procedura

Configurazione in 4 passi

  1. Prepara il PC Runtime come hub VPN

    Installa un client/server WireGuard sul PC che fa girare Opscadia Runtime e genera la coppia di chiavi. Se il PC è dietro NAT, predisponi il port forwarding con DDNS oppure un hub VPN intermedio (vedi sezione 03).

  2. Configura ogni RUT come peer WireGuard

    RutOS → Services → VPN → WireGuard

    Su ciascun router crea un'istanza e imposta il peer verso l'hub: indirizzo pubblico/DDNS del PC o dell'hub intermedio, chiave pubblica, endpoint e porta UDP. Assegna a ogni router un IP statico nella subnet VPN dedicata, così gli indirizzi restano prevedibili e non entrano in conflitto tra impianti diversi.

    • Un'istanza WireGuard per router, con la propria coppia di chiavi
    • Subnet VPN dedicata (es. 10.66.0.0/24) separata dalle LAN locali dei PLC
    • Persistent keepalive attivo, utile quando il router è dietro NAT del carrier mobile
    Suggerimento

    Se non vuoi gestire le chiavi a mano su più router, valuta Teltonika RMS Connect: automatizza la creazione dei tunnel WireGuard tra i router registrati, restando comunque nello stesso schema hub-and-spoke.

  3. Collega il PLC alla LAN del router

    Collega il PLC a una porta Ethernet del router RUT. Il PLC mantiene il suo IP di impianto: non serve riconfigurarlo, ora è raggiungibile anche attraverso il tunnel.

  4. Verifica e crea il dispositivo in Opscadia

    Dal PC Runtime, verifica che l'IP del PLC risponda attraverso il tunnel (ping o porta del protocollo usato). Poi crea il dispositivo in Opscadia usando quell'IP, esattamente come faresti per un PLC in LAN.

07 — FAQ

Domande frequenti

Che differenza c'è tra questa soluzione e Opscadia Connect?
Sono complementari. Opscadia Connect risolve l'accesso remoto all'HMI dal browser, da qualsiasi luogo, senza VPN: usa una connessione in uscita verso il cloud Opscadia. Questa pagina risolve un problema diverso, a monte — far sì che il Runtime stesso raggiunga fisicamente un PLC che non è sulla sua stessa LAN, tramite VPN sito-a-sito con router Teltonika. Puoi usarle insieme: VPN per collegare i PLC remoti al Runtime, Connect per vedere l'HMI da fuori.
Serve competenza di networking per configurarla?
Un minimo sì: configurare WireGuard/OpenVPN, assegnare subnet e capire il port forwarding richiede nozioni di rete di base. Se preferisci evitare la configurazione manuale su ogni router, Teltonika RMS semplifica la creazione dei tunnel tra i dispositivi registrati mantenendo la stessa architettura.
Quanti PLC posso collegare a un singolo router RUT?
Dipende dal modello e dal numero di porte Ethernet/seriali disponibili, ma in genere un router copre un intero quadro o una piccola cella con più PLC/dispositivi sulla stessa LAN locale, tutti raggiungibili attraverso lo stesso tunnel VPN.
Il PC che ospita il Runtime deve avere per forza un IP pubblico?
No. È il caso più comune infatti il contrario: il PC è dietro un router normale, senza IP pubblico. In quel caso o inoltri la porta UDP di WireGuard sul router del PC (con DDNS se l'IP è dinamico), oppure — soluzione consigliata con più impianti — usi un hub VPN intermedio con IP pubblico/DDNS a cui si collegano sia il PC sia tutti i router RUT, senza mai esporre la rete del PC.
Questa configurazione è sicura?
Il traffico tra ogni router e l'hub è cifrato punto-punto (WireGuard/OpenVPN/IPsec). La sicurezza pratica dipende da come la implementi: usa chiavi dedicate per ogni router, subnet VPN separate dalle LAN locali dei PLC, e — se gestisci più clienti — reti isolate tra un impianto e l'altro così un tunnel compromesso non espone gli altri.
Posso tenere impianti o clienti diversi isolati tra loro?
Sì. Ogni router RUT è un peer VPN a sé: assegnando IP e regole firewall separate per ciascun peer, i PLC di un impianto non sono raggiungibili dai router di un altro, anche se tutti si collegano allo stesso hub sul PC Runtime.
Funziona anche con router VPN di altri brand?
Sì, il principio è generico: qualunque router industriale in grado di fare da client WireGuard/OpenVPN/IPsec verso un hub va bene. Questa guida si concentra su Teltonika RUT perché unisce firmware VPN nativo, costruzione industriale (guida DIN, alimentazione 9-30V DC) e gestione centralizzata opzionale via RMS.

Ti serve l'HMI da browser, senza VPN?

Opscadia Connect risolve l'altro lato del problema: vedere l'HMI in esecuzione da remoto senza toccare firewall né port forwarding.

Scopri Opscadia Connect
Torna alla home