SIM Business con IP Pubblico (DeNAT TIM): cos'è, come funziona e quando conviene

Capita spesso, e quasi sempre nello stesso modo. Un'azienda installa un impianto di videosorveglianza in un cantiere, un inverter fotovoltaico su un tetto industriale o un PLC in una cabina isolata, mette dentro una normale SIM dati e si accorge che tutto funziona a metà: il dispositivo naviga, invia email e notifiche, si aggiorna, ma dall'esterno non è raggiungibile. Il tecnico non riesce a collegarsi da remoto, l'app dell'NVR resta a caricare, il portale di supervisione mostra l'impianto offline.

Il motivo non è un guasto e non è un problema di copertura: è il NAT, il meccanismo con cui tutti gli operatori mobili nascondono le SIM dietro indirizzi privati. La soluzione ha un nome tecnico poco elegante ma molto preciso — DeNAT — ed è un servizio che TIM Business offre sulle SIM dati per assegnare a ogni scheda un indirizzo IP pubblico univoco, quindi raggiungibile da Internet. In questa guida spieghiamo tutto dall'inizio, senza dare per scontato niente.

Partiamo dalle basi: che cos'è un indirizzo IP

Ogni dispositivo collegato a una rete ha bisogno di un indirizzo che lo identifichi, esattamente come una casa ha bisogno di un numero civico perché il postino possa consegnare la posta. Quell'indirizzo si chiama indirizzo IP (Internet Protocol) e nella versione ancora oggi più diffusa, IPv4, ha la forma di quattro numeri separati da punti: 93.44.12.207, per esempio.

IPv4 è nato nel 1981 e utilizza 32 bit per rappresentare un indirizzo. Tradotto: esistono circa 4,3 miliardi di indirizzi possibili. Nel 1981 sembravano infiniti. Oggi, con decine di miliardi di dispositivi connessi nel mondo — smartphone, telecamere, contatori, automobili, sensori industriali — sono largamente insufficienti. Ed è da questa scarsità che nasce tutto il resto della storia.

Per capire il DeNAT bisogna quindi tenere a mente due concetti: gli indirizzi IP non sono tutti uguali e, soprattutto, non ce ne sono abbastanza per tutti.

IP pubblico e IP privato: la differenza che cambia tutto

Un IP pubblico è un indirizzo unico a livello mondiale: è visibile e raggiungibile da qualunque punto di Internet. È il numero civico su una via pubblica, quello che si può scrivere su una busta perché arrivi a destinazione da qualsiasi parte del mondo.

Un IP privato è invece un indirizzo valido soltanto all'interno di una rete locale. Sono gli indirizzi che iniziano con 192.168., 10. o 172.16–31. e li avete già visti: è l'indirizzo che il router di casa assegna al computer o alla stampante. Milioni di reti diverse usano gli stessi indirizzi privati contemporaneamente, senza conflitti, perché quegli indirizzi non escono mai dalla rete locale. È l'interno di un ufficio dentro un grande palazzo: chi è dentro lo trova, chi è fuori non lo può comporre direttamente.

Il NAT: perché la tua SIM dati non è raggiungibile da Internet

NAT sta per Network Address Translation, traduzione degli indirizzi di rete. È il meccanismo che permette a molti dispositivi con indirizzi privati di uscire su Internet condividendo pochi indirizzi pubblici. Il NAT tiene una tabella delle conversazioni in corso: quando la SIM apre una connessione verso un sito, il NAT sostituisce l'indirizzo privato con quello pubblico condiviso, annota la corrispondenza e, al ritorno della risposta, la recapita alla SIM giusta.

Funziona perfettamente, ma solo in una direzione. Il NAT sa dove mandare una risposta perché la conversazione è stata iniziata dall'interno. Se invece è qualcuno da Internet a voler contattare la SIM per primo, il NAT non ha nessuna riga in tabella a cui appoggiarsi e la connessione viene semplicemente scartata. È il motivo per cui:

• la SIM naviga, invia email e carica dati sul cloud senza problemi;
• un DVR con SIM standard non si raggiunge digitando un indirizzo nel browser;
• l'apertura delle porte sul router non produce nessun effetto, perché il blocco è a monte, nella rete dell'operatore;
• un software di supervisione che deve interrogare periodicamente l'impianto lo vede offline;
• più SIM diverse, viste da un sito esterno, sembrano provenire dallo stesso indirizzo IP.

TIM ha introdotto il NAT sulla propria rete mobile nel 2014 e da allora, per impostazione predefinita, le SIM ricevono un indirizzo privato dinamico: privato perché non visibile da Internet, dinamico perché cambia a ogni nuova connessione dati. La stessa logica è adottata da tutti gli operatori mobili.

L'esaurimento degli indirizzi IPv4

Il NAT non è un capriccio degli operatori: è una necessità. Nel 2011 l'organismo che assegna gli indirizzi a livello mondiale ha esaurito i blocchi IPv4 disponibili, e da allora gli indirizzi pubblici sono una risorsa scarsa che si redistribuisce e si riutilizza. Nel frattempo il numero di dispositivi connessi ha superato i venti miliardi già intorno al 2020, con stime attorno ai trenta miliardi negli anni immediatamente successivi (Cisco, Annual Internet Report 2018–2023).

La soluzione strutturale esiste e si chiama IPv6, che di indirizzi ne mette a disposizione una quantità praticamente illimitata. La transizione però procede lentamente, perché richiede che tutta la catena — rete, apparati, software gestionali — sia compatibile. Nel mondo industriale, dove un PLC o una centrale d'allarme può restare in servizio quindici anni, i tempi si allungano ulteriormente. Per questo, oggi, la strada praticabile per rendere raggiungibile un dispositivo su rete mobile resta ottenere un IPv4 pubblico: cioè il DeNAT.

Che cos'è il DeNAT e come funziona

Il nome dice già tutto: DeNAT significa «togliere il NAT». È un servizio che si attiva sulla singola SIM e che modifica il modo in cui la rete mobile le assegna l'indirizzo. Al posto di un indirizzo privato condiviso, la SIM riceve un indirizzo IPv4 pubblico univoco, valido su tutta Internet, senza nessuna traduzione intermedia. In pratica il dispositivo dietro quella SIM torna a essere un nodo di Internet a tutti gli effetti: può iniziare connessioni e riceverne.

Il punto interessante, dal lato pratico, è che il DeNAT non richiede interventi sul dispositivo. La configurazione avviene sulla rete: l'apparato continua a prendere l'indirizzo automaticamente, come faceva prima, con la differenza che ora l'indirizzo che riceve è pubblico. Cambia una sola impostazione lato terminale, l'APN, ovvero il nome del punto di accesso che la SIM usa per collegarsi alla rete dati.

• Nessuna configurazione speciale su router, DVR o PLC: l'indirizzo continua ad arrivare in automatico.
• Un APN dedicato da impostare sull'apparato al posto di quello standard.
• Un indirizzo per SIM: ogni scheda ha il suo, non condiviso con altri clienti.
• Nessun vincolo di durata: il servizio si può disattivare quando non serve più.

Se non avete familiarità con questo parametro, abbiamo una guida dedicata su come si configura un APN sui dispositivi più comuni.

Il servizio DeNAT dati di TIM Business e l'APN ibox

Sulle SIM dati TIM Business il servizio si attiva in abbinamento all'APN ibox: è quell'unico parametro da modificare sull'apparato perché la SIM esca sulla rete con l'indirizzo pubblico assegnato. Il servizio è disponibile sia su SIM in abbonamento sia su SIM ricaricabili, per profili solo dati e anche su linee voce e dati, purché sulla linea sia attiva un'offerta dati.

Ci sono però due incompatibilità da conoscere prima di procedere, perché sono la causa più frequente di attivazioni che «non funzionano»:

• il DeNAT non è compatibile con i servizi di sicurezza di rete di tipo Safe Web mobile, che per funzionare hanno bisogno proprio dell'indirizzo privato dinamico: sulla stessa SIM si può avere uno oppure l'altro, non entrambi;
• non è cumulabile con eventuali vecchi profili DeNAT già presenti sulla linea, che vanno rimossi prima di attivare il servizio attuale.

NAT e DeNAT a confronto

Detto in una riga: il NAT protegge e limita, il DeNAT apre e responsabilizza. Non esiste una configurazione «migliore» in assoluto — esiste quella coerente con ciò che il dispositivo deve fare.

IP pubblico dinamico e IP pubblico statico non sono la stessa cosa

È il punto su cui si generano più fraintendimenti in fase di acquisto. Pubblico e statico sono due caratteristiche indipendenti: la prima riguarda la visibilità su Internet, la seconda la stabilità nel tempo. Con il DeNAT si ottiene un indirizzo pubblico, ma dinamico: cambia a ogni nuova connessione dati, sia in Italia sia all'estero. Se il router si riavvia o la connessione cade e si ristabilisce, l'indirizzo con cui il dispositivo si presenta su Internet è diverso da prima.

Sulle SIM di rete mobile, in sintesi, gli scenari realistici sono questi:

• privato dinamico: la configurazione predefinita di qualunque SIM dati;
• pubblico dinamico: ciò che si ottiene con il DeNAT sull'APN dedicato;
• privato statico: possibile in scenari con APN aziendale dedicato o condiviso, tipici delle soluzioni Intranet con collegamento diretto alla rete dell'azienda;
• pubblico statico: non ottenibile con le offerte commerciali su rete mobile, ed è importante saperlo prima di promettere a un cliente un indirizzo fisso.

Come si convive con un IP che cambia: il DNS dinamico

La soluzione classica e collaudata è il DDNS (Dynamic DNS). Funziona così: un piccolo client, di solito già integrato nel router 4G/5G o nel DVR, comunica a un servizio esterno l'indirizzo IP corrente ogni volta che cambia. Il servizio aggiorna in tempo reale la corrispondenza tra un nome — per esempio impianto-cantiere-3.dyndns-esempio.net — e l'indirizzo del momento. Voi vi collegate sempre allo stesso nome, senza sapere quale indirizzo ci sia dietro.

Quando serve davvero un IP pubblico sulla SIM

Prima di attivare qualunque servizio, conviene rispondere a una sola domanda: chi inizia la conversazione? Se è sempre il dispositivo a contattare l'esterno — invia dati, carica su un portale, manda notifiche o email — la SIM standard con NAT è perfetta e più sicura. Se invece è l'esterno a dover contattare il dispositivo, allora serve un indirizzo pubblico: sono i cosiddetti scenari network initiated.

L'ultima riga merita un'annotazione, perché fa risparmiare parecchio: molti produttori di telecamere, inverter e centraline offrono un servizio cloud proprietario in cui è l'apparato a collegarsi verso i loro server, e l'utente accede passando da lì. In quel caso il DeNAT non serve. Vale sempre la pena verificarlo prima di attivare servizi aggiuntivi su decine di SIM.

Le applicazioni aziendali più frequenti

Videosorveglianza: DVR, NVR e telecamere IP

È il caso d'uso numero uno, soprattutto dove non arriva una linea fissa: cantieri, magazzini esterni, aree di stoccaggio, impianti sportivi, seconde sedi. Con un IP pubblico sulla SIM il registratore diventa raggiungibile e il titolare o la vigilanza possono visualizzare le riprese in diretta, scaricare gli spezzoni di un evento e riconfigurare il sistema senza spostarsi. Tenete a mente due cose: il flusso video consuma traffico in modo consistente, quindi il piano dati va dimensionato di conseguenza, e il registratore va sempre protetto, mai lasciato con le credenziali di fabbrica.

Telecontrollo, PLC e impianti fotovoltaici

Qui il ritorno economico è immediato e misurabile. Un manutentore che si collega da remoto a un PLC, a un quadro di comando o al datalogger di un impianto fotovoltaico può leggere gli allarmi, scaricare i log, modificare i parametri e spesso risolvere il problema senza fare centinaia di chilometri. Sulle stesse basi funzionano le stazioni di pompaggio, gli impianti di irrigazione, le cabine di trasformazione, le colonnine di ricarica per veicoli elettrici, i sistemi di gestione degli edifici e i totem o distributori automatici distribuiti sul territorio.

Router 4G e 5G aziendali

Un router mobile con SIM a IP pubblico può funzionare come punto di accesso di una piccola sede: consente di attestare una VPN in ingresso, di raggiungere apparati della rete locale e di gestire il router stesso da remoto. È la soluzione tipica dove la fibra non arriva o dove serve una linea di scorta indipendente da quella principale. Se state valutando questo scenario, il nostro calcolatore di risparmio sulla telefonia aziendale aiuta a confrontare i costi complessivi, e nelle offerte di telefonia aziendale trovate i profili dati adatti a un uso continuativo. C'è però un passaggio da non saltare prima di ordinare la SIM: verificare la qualità del segnale nel punto esatto in cui finirà l'apparato, che spesso è un quadro elettrico, un vano tecnico o un locale interrato. Un IP pubblico non serve a nulla se lì il campo non arriva, e non tutti gli operatori coprono allo stesso modo lo stesso indirizzo: nella nostra guida su che operatore prende meglio nella tua zona spieghiamo come fare una verifica concreta prima di scegliere la rete su cui attivare la SIM dati.

IoT, M2M e telemetria

Nel mondo IoT la regola generale è opposta: la maggior parte dei sensori e dei contatori intelligenti invia dati verso una piattaforma e non ha bisogno di essere contattata, quindi resta benissimo dietro NAT. Il DeNAT diventa utile per i nodi che devono essere interrogati o riconfigurati singolarmente — gateway, concentratori, apparati di campo con interfaccia di gestione. Se il vostro progetto riguarda molte schede, la guida su SIM IoT e M2M per le aziende spiega come impostare profili, soglie di traffico e monitoraggio.

Vantaggi e limiti da mettere sul tavolo

I vantaggi, sintetizzati:

• Accesso remoto reale: il dispositivo è raggiungibile da qualunque punto di Internet.
• Nessun intervento sull'hardware: cambia solo l'APN, l'indirizzo arriva sempre in automatico.
• Meno trasferte: diagnostica e manutenzione si spostano sul remoto, con un risparmio che spesso ripaga il servizio in un solo intervento.
• Attivabile sulla singola SIM: si mette dove serve, senza ridisegnare la connettività aziendale.
• Reversibile: se lo scenario cambia, il servizio si disattiva.

I limiti, con la stessa onestà:

• L'indirizzo è dinamico: cambia a ogni riconnessione, in Italia e all'estero. Serve un DDNS o un'architettura che ne prescinda.
• Sicurezza non inclusa: firewall, aggiornamenti e credenziali sono responsabilità del cliente.
• Incompatibilità con i servizi di protezione di rete che richiedono l'indirizzo privato.
• Va gestito il traffico: un impianto raggiungibile e interrogato spesso consuma più dati del previsto.
• Serve un'offerta dati attiva sulla linea: senza traffico dati, l'indirizzo pubblico non serve a nulla.

Sicurezza: un IP pubblico è una porta che si apre

Questo è il capitolo che troppo spesso si salta, e invece è il più importante. Finché la SIM è dietro NAT, il dispositivo è invisibile: nessuno può nemmeno provare a raggiungerlo. Nel momento in cui riceve un indirizzo pubblico, entra nel raggio delle scansioni automatiche che percorrono Internet ventiquattro ore al giorno cercando apparati esposti con password predefinite o firmware non aggiornati. Non è allarmismo: i registratori di videosorveglianza sono da anni tra i bersagli preferiti, proprio perché installati a migliaia e raramente aggiornati.

Se state impostando le regole di sicurezza per un parco di apparati distribuiti, la nostra guida alla cybersecurity per le aziende raccoglie le misure di base da adottare, comprese quelle organizzative.

VPN: alternativa o complemento al DeNAT

Una VPN (rete privata virtuale) crea un tunnel cifrato tra due punti e può risolvere il problema in due modi diversi. Nel primo, il dispositivo con IP pubblico ospita il concentratore VPN e i tecnici si collegano al tunnel invece di raggiungere direttamente il DVR o il PLC: il DeNAT serve, ma l'unica cosa esposta su Internet è il servizio VPN, progettato per stare esposto. Nel secondo, è il dispositivo a stabilire da solo un tunnel permanente verso un concentratore in sede o in cloud: in questo caso l'IP pubblico sulla SIM non serve affatto, perché la connessione parte sempre dall'interno.

La seconda strada è la più elegante e la più sicura, ma richiede un'infrastruttura centrale e apparati che la supportino. La prima è più semplice e immediata, e nella maggior parte dei casi rappresenta il compromesso migliore tra sicurezza e complessità di gestione.

Scarica la guida in PDF

Abbiamo raccolto i contenuti essenziali di questa guida in un documento sintetico di quattro pagine, comodo da girare al proprio installatore o al responsabile IT prima di decidere: schema NAT/DeNAT, tabella dei casi d'uso, checklist di sicurezza e domande da porre al fornitore. Scarica la guida «SIM Business con IP Pubblico (DeNAT)» in PDF — documento originale di telefonia.business, nessuna registrazione richiesta.

Come scegliere: i consigli pratici

Riassumiamo il percorso decisionale in cinque passi, nell'ordine in cui conviene affrontarli.

• Chiedete chi inizia la connessione. Se è sempre il dispositivo, restate dietro NAT: più semplice, più sicuro, senza costi aggiuntivi.
• Verificate se esiste già un cloud del produttore. Molti impianti sono raggiungibili tramite piattaforma proprietaria e non hanno bisogno di nulla.
• Chiarite se serve pubblico o statico. Il DeNAT dà un indirizzo pubblico dinamico: se il fornitore pretende un indirizzo fisso, la soluzione è un DDNS, una VPN o una linea fissa.
• Pianificate la sicurezza prima dell'attivazione, non dopo il primo incidente: credenziali, firmware, porte, VPN.
• Dimensionate il traffico dati sull'uso reale, tenendo conto che il video e le interrogazioni frequenti consumano molto più di quanto si stimi a tavolino.

Il DeNAT non è una tecnologia complicata: è un interruttore che va acceso solo dove serve, con la consapevolezza di ciò che comporta. Il vero errore, nella nostra esperienza, non è attivarlo o non attivarlo, ma non aver capito in anticipo che tipo di indirizzo serviva all'impianto: si scopre a installazione conclusa, quando rimediare costa un ritorno sul posto.

Se avete un impianto da rendere raggiungibile da remoto — o un parco di SIM dati da riordinare — possiamo analizzare il caso specifico e dirvi se serve un IP pubblico, una VPN o semplicemente una configurazione diversa. Trovate qui la nostra consulenza sulla telefonia mobile aziendale e i contatti per parlare con un consulente. Altre guide tecniche su connettività e servizi per le imprese sono raccolte in tutte le guide del blog. Se la vostra è una linea TIM Business e preferite un riferimento diretto anziché un numero verde, potete rivolgervi al nostro agente TIM Business: vi seguirà la stessa persona dall'attivazione del servizio alla gestione delle SIM negli anni successivi.