La parola VPN viene usata per cose molto diverse: il collegamento di un dipendente alla rete aziendale, l'unione di due sedi attraverso Internet, il servizio in abbonamento che promette navigazione "anonima". Il meccanismo tecnico è lo stesso, ma scopi e benefici cambiano parecchio. Capire come funziona aiuta a scegliere la soluzione giusta e a non aspettarsi ciò che una VPN non può dare.
Il principio: un tunnel cifrato
Una VPN (Virtual Private Network) crea un tunnel: i pacchetti della tua rete vengono incapsulati dentro altri pacchetti, cifrati e inviati attraverso Internet fino a un punto di arrivo, il server o gateway VPN. Lì vengono estratti e consegnati alla rete di destinazione come se il tuo dispositivo fosse collegato direttamente a essa.
Chi osserva il traffico tra te e il gateway, per esempio sulla rete Wi-Fi di un albergo, vede solo una connessione cifrata verso un indirizzo, senza poterne leggere il contenuto né capire quali servizi stai usando.
Sul dispositivo compare un'interfaccia di rete virtuale con un proprio indirizzo IP. Le tabelle di instradamento decidono quale traffico passa nel tunnel e quale no.
Tre usi diversi
| Tipo | Scopo | Esempio |
|---|---|---|
| Accesso remoto | Collegare un dispositivo a una rete privata | Raggiungere il NAS di casa o il gestionale dell'ufficio da fuori |
| Sito-sito | Unire due reti in modo permanente | Due sedi aziendali che condividono server e stampanti |
| Commerciale | Far uscire il traffico da un server di un fornitore | Proteggere la navigazione su reti pubbliche, cambiare la località apparente |
I protocolli principali
- WireGuard: moderno, con un codice molto ridotto e una configurazione semplice basata su coppie di chiavi. È veloce e si riconnette in modo trasparente quando cambi rete, per esempio passando dal Wi-Fi alla rete mobile. Lavora su UDP.
- IPsec: standard storico, molto diffuso negli apparati aziendali e nelle VPN sito-sito tra router di marche diverse. È potente ma più complesso da configurare correttamente; spesso è abbinato a IKEv2 per la negoziazione.
- OpenVPN: maturo e flessibile, basato su TLS, può funzionare su UDP o TCP, anche sulla porta 443, utile in reti che bloccano molto traffico.
Per una nuova installazione domestica o di piccolo ufficio, WireGuard è di solito la scelta più semplice. Molti router e firewall lo integrano già.
Tutto nel tunnel o solo una parte
Con il full tunnel tutto il traffico del dispositivo passa nella VPN: anche la navigazione su Internet esce dal gateway remoto. Con lo split tunneling passa nel tunnel solo il traffico destinato a certe reti, per esempio 192.168.37.0/24 di casa, mentre il resto va direttamente su Internet.
- Il full tunnel offre più protezione su reti non affidabili e un unico punto di controllo.
- Lo split tunnel riduce il carico sul gateway e la latenza per i servizi che non ne hanno bisogno.
Attenzione al DNS: se usi lo split tunnel ma le richieste DNS continuano ad andare al resolver della rete locale, i nomi dei servizi interni non verranno risolti, e chi controlla quella rete vedrà comunque quali domini interroghi.
Kill switch e perdite di traffico
Un kill switch blocca tutto il traffico se il tunnel cade, impedendo che il dispositivo torni silenziosamente a usare la connessione normale. È importante quando la VPN serve per non esporre il traffico su una rete ostile. Si può realizzare con la funzione integrata nel client o con regole del firewall di sistema che permettono l'uscita solo attraverso l'interfaccia VPN e verso il server VPN.
Vanno verificate anche le perdite IPv6: se la VPN gestisce solo IPv4 e la rete locale offre IPv6, una parte del traffico può uscire fuori dal tunnel.
Cosa una VPN non fa
- Non ti rende anonimo: sposti la fiducia dal provider di rete al gestore della VPN, che vede le tue connessioni.
- Non protegge da phishing e malware: se apri un allegato malevolo, il tunnel non lo ferma.
- Non sostituisce HTTPS: oltre il gateway il traffico prosegue come farebbe normalmente.
- Non rende sicuro un dispositivo vulnerabile: anzi, una VPN aziendale collega quel dispositivo alla rete interna.
Buone pratiche per l'accesso remoto
- Preferisci una VPN all'apertura diretta di porte verso NAS, telecamere o pannelli di amministrazione.
- Usa una chiave o un profilo diverso per ogni dispositivo, così puoi revocarne uno senza toccare gli altri.
- Abilita l'autenticazione a più fattori dove il sistema la supporta.
- Limita con il firewall cosa possono raggiungere i client VPN: non serve che vedano tutta la rete.
- Tieni aggiornato il gateway: i concentratori VPN esposti a Internet sono bersagli frequenti.
In sintesi
- Una VPN incapsula e cifra il traffico in un tunnel fino a un gateway.
- Accesso remoto, sito-sito e servizi commerciali usano la stessa tecnica per scopi diversi.
- WireGuard è semplice e veloce; IPsec e OpenVPN restano diffusi e compatibili.
- Scegli tra full tunnel e split tunnel e verifica DNS, IPv6 e kill switch.
- Una VPN protegge il tragitto, non il dispositivo né le tue scelte online.
