Checklist per la Configurazione VPN Site-to-Site (Cloud ↔ On-Premises)

Panoramica dell'Architettura

Collega le reti on-premises alle VPC cloud tramite tunnel IPsec crittografati che terminano sui gateway VPN cloud e sui dispositivi gateway del cliente.

Procedura Passo-passo (Terminologia AWS; Adattabile ad Azure/GCP)

1. Gateway VPN Cloud

• Crea un Virtual Private Gateway (VGW) o Transit Gateway (TGW) per regione.
• Collega alle VPC di destinazione. Annota gli indirizzi IP pubblici assegnati.

2. Customer Gateway (On-Premises)

• Definisci l'oggetto Customer Gateway: indirizzo IP pubblico del firewall/router on-premises (IP statico preferibile).
• Uno per dispositivo fisico/sede.

3. Connessione VPN (Tunnel)

• Crea una Connessione VPN che colleghi VGW/TGW ↔ Customer Gateway.
• Scegli routing Statico o BGP. BGP preferito per failover e propagazione delle route.
• Configura IPsec: IKEv2, AES-256, SHA-256, Gruppo DH 14+, PFS abilitato.
• Genera una Chiave Pre-Condivisa (o carica un certificato).
• Scarica il file di configurazione per CLI specifico del vendor (Cisco ASA, Palo Alto, FortiGate, Juniper, Ubiquiti, ecc.).

4. Configurazione Dispositivo On-Premises

• Applica la configurazione scaricata: interfaccia tunnel, crypto map, ACL, esenzioni NAT.
• Abilita Dead Peer Detection (DPD) / keepalives.
• Imposta TCPMSS clamping (1350–1380) per evitare la frammentazione.

5. Routing e Sicurezza

• Tabelle di route VPC: aggiungi route CIDR on-premises → VGW/TGW.
• On-premises: aggiungi route CIDR cloud → interfaccia tunnel.
• Security Group / NACL / Criteri Firewall: consenti le porte richieste (es. 3389, 22, 443, 1433, replica AD).

6. Validazione e Monitoraggio

• ping / traceroute da on-premises a istanza cloud (IP privato).
• Verifica stato BGP Established; propagazione delle route in entrambe le direzioni.
• Abilita CloudWatch / Azure Monitor / Cloud Logging per stato tunnel, throughput, errori di replay.
• Imposta alert: tunnel down > 1 min, banda > 80% capacità.

Errori Comuni

• CIDR sovrapposti (usa blocchi RFC1918 unici o NAT)
• Routing asimmetrico (assicura che il percorso di ritorno corrisponda)
• Discrepanza MTU (imposta 1400–1450 sull'interfaccia tunnel)
• Singolo tunnel = punto singolo di guasto; distribuisci due tunnel per connessione (default AWS).