Il problema delle comunicazioni su reti pubbliche
Quando due dispositivi comunicano attraverso Internet, i dati attraversano reti pubbliche che non sono sotto il nostro controllo diretto: router di provider diversi, backbone internazionali, nodi di transito gestiti da terze parti. Questo comporta rischi concreti:
Un attaccante sulla stessa rete può catturare i pacchetti e leggerne il contenuto
I dati possono essere modificati in transito senza che mittente o destinatario se ne accorgano
Senza autenticazione è impossibile verificare che l’interlocutore sia davvero chi dice di essere
In questo scenario si colloca il concetto di VPN (Virtual Private Network): una tecnologia che consente di creare un collegamento sicuro tra dispositivi fisicamente lontani, sfruttando un’infrastruttura pubblica come Internet ma garantendo caratteristiche di riservatezza e integrità paragonabili a quelle di una rete privata dedicata.
Cos’è una VPN
Il termine Virtual Private Network esprime già le caratteristiche fondamentali della tecnologia:
Il concetto di tunnel crittografico
Il meccanismo centrale di una VPN è il tunnel: i dati originali vengono incapsulati in un nuovo pacchetto e cifrati prima della trasmissione su Internet. Il tunnel è virtuale — non è un cavo fisico ma un percorso logico protetto attraverso la rete pubblica.
I dispositivi alle estremità del tunnel vedono dati in chiaro. Solo il tunnel intermedio è cifrato.
Cosa garantisce una VPN
I dati sono cifrati — illeggibili per chiunque li intercetti in transito
Qualsiasi alterazione del pacchetto viene rilevata e il traffico scartato
L’identità dei soggetti coinvolti viene verificata prima di stabilire il tunnel
Vantaggi e limiti delle VPN
Classificazione delle VPN per utilizzo
VPN Site-to-Site
La VPN Site-to-Site collega due o più reti locali geograficamente distanti come se facessero parte della stessa infrastruttura privata. Non sono i singoli utenti a stabilire la connessione, ma i dispositivi di rete (router o firewall) posti ai confini delle LAN.
- Sede centrale ↔ filiali regionali
- Data center ↔ uffici distribuiti
- Scuola centrale ↔ plessi distaccati
- Configurazione sui router di frontiera (non sui PC)
- Protocollo tipico: IPsec
- Sempre attiva — non richiede azione dell’utente
Intranet ed Extranet — due modelli logici abilitati dalla Site-to-Site
Quando si parla di VPN Site-to-Site è fondamentale distinguere tra due modelli logici che descrivono il perimetro di accesso alle risorse aziendali:
La distinzione non è tecnologica ma logica e organizzativa: Intranet = accesso esclusivo interno; Extranet = estensione controllata verso soggetti fidati ma esterni. La VPN Site-to-Site è la tecnologia che può supportare entrambi i modelli, a seconda di chi viene autorizzato ad accedere e a quali risorse.
VPN Remote Access
La VPN Remote Access è progettata per consentire a un singolo utente di collegarsi alla rete aziendale da remoto tramite un client VPN installato sul proprio dispositivo. È il modello tecnologico che ha reso possibile la diffusione strutturale dello smart working.
Split Tunneling — un concetto operativo importante
Per impostazione predefinita, una VPN Remote Access instrada tutto il traffico del dispositivo attraverso il tunnel aziendale — inclusa la navigazione su YouTube o Gmail. Questo è inefficiente e sovraccarica la rete aziendale.
- Traffico verso risorse aziendali → attraverso il tunnel VPN
- Traffico Internet generico → direttamente verso Internet
Con split tunneling un dispositivo è connesso contemporaneamente alla rete aziendale e a Internet — aumenta la superficie di attacco.
VPN Personal
La VPN Personal è orientata alla protezione della navigazione individuale. L’obiettivo non è l’accesso a una rete aziendale ma la privacy e la sicurezza del traffico personale.
- Proteggere il traffico su Wi-Fi pubblici (bar, aeroporti)
- Mascherare l’IP reale verso siti visitati
- Accedere a contenuti con restrizioni geografiche
Una VPN personale non garantisce anonimato assoluto. Il traffico transita per i server del provider, che potrebbe conservarne i log. La fiducia nel fornitore è determinante.
Classificazione in base al livello di sicurezza
Secure VPN
Le Secure VPN si basano su meccanismi crittografici per creare un tunnel virtuale protetto su Internet. Sono la tipologia più comune nelle reti aziendali moderne.
Trusted VPN — MPLS
Le Trusted VPN non si basano principalmente sulla crittografia, ma su un’infrastruttura gestita da un operatore di telecomunicazioni che garantisce isolamento fisico/logico e qualità del servizio (QoS). La tecnologia più usata è MPLS (Multiprotocol Label Switching).
Una rete MPLS instrada il traffico tramite etichette (label) invece degli indirizzi IP. Il provider garantisce separazione logica tra clienti diversi e qualità del servizio — ma il traffico non è cifrato end-to-end. Chi parla di “VPN MPLS” intende un servizio di connettività privata garantita dall’operatore, non un tunnel crittografico come IPsec. Per garantire riservatezza su MPLS occorrerebbe aggiungere IPsec sopra.
- Una VPN crea un tunnel crittografato su Internet: i dati viaggiano cifrati e risultano inutilizzabili se intercettati
- Site-to-Site: collega reti (configurazione su router di frontiera, trasparente per l’utente); Remote Access: collega singoli utenti (richiede client VPN); Personal: privacy individuale
- Intranet = VPN Site-to-Site tra sedi interne; Extranet = VPN Site-to-Site verso partner/fornitori con accesso limitato a risorse specifiche
- MPLS (Trusted VPN) non è una VPN crittografica: offre isolamento garantito dall’operatore ma non cifratura end-to-end
- Il split tunneling ottimizza le prestazioni instradando solo il traffico aziendale nel tunnel, ma aumenta la superficie di attacco