VPN: cos’è, come funziona, a cosa serve e quali rischi comporta

Una VPN (Virtual Private Network) è una connessione cifrata che crea un “tunnel” sicuro tra il tuo dispositivo e una rete remota, come quella aziendale: i dati che lo attraversano sono illeggibili per chiunque li intercetti, e il dispositivo lavora come se fosse fisicamente collegato a quella rete. È lo strumento che ha reso possibile il lavoro remoto - ed è anche, se configurato male, una delle porte d’ingresso preferite dagli attaccanti. In questa guida: come funziona davvero, a cosa serve in azienda, dove finiscono le sue protezioni e quali rischi devi gestire.

Cos'è una VPN, in concreto?

Tecnicamente, una VPN è fatta di due ingredienti: un protocollo di tunneling, che incapsula il traffico di rete dentro pacchetti trasportabili su Internet, e la cifratura, che rende quel traffico indecifrabile senza le chiavi. Il risultato è una rete privata “virtuale” perché non richiede cavi dedicati: usa Internet come trasporto, ma con le garanzie di riservatezza di un collegamento privato.

Come funziona: tunneling e cifratura

Quando il client VPN si connette, negozia con il server (o con l’appliance di confine) le chiavi crittografiche e stabilisce il tunnel. Da quel momento ogni pacchetto viene cifrato prima di uscire dal dispositivo e decifrato solo all’altro capo. Gli algoritmi sono gli stessi che proteggono il web moderno - se vuoi capire come lavora la cifratura di trasporto, abbiamo una guida dedicata al protocollo TLS 1.3. Un dettaglio che in azienda conta: con lo split tunneling solo il traffico verso la rete aziendale passa nel tunnel, il resto va diretto su Internet - più efficiente, ma da governare, perché il dispositivo vive contemporaneamente in due mondi.

Remote access e site-to-site: i due tipi di VPN

• VPN remote access: il singolo dipendente si collega alla rete aziendale da casa o in mobilità. È il caso più comune - e quello con la superficie d’attacco più ampia, perché moltiplica credenziali e dispositivi esposti.
• VPN site-to-site: collega stabilmente due reti - sede e filiale, azienda e datacenter - attraverso i rispettivi firewall. Trasparente per gli utenti, va presidiata a livello di appliance e regole.

I protocolli più usati

IPsec/IKEv2 è lo standard delle site-to-site e delle implementazioni enterprise; OpenVPN resta il riferimento open source, maturo e flessibile; WireGuard è il più recente - codice minimale, prestazioni eccellenti, adottato ormai anche in ambito enterprise; le SSL VPN basate su portale web hanno il pregio di funzionare ovunque ma sono anche la categoria più colpita da vulnerabilità critiche negli ultimi anni: se ne usi una, il patching dell’appliance non è negoziabile. Protocolli legacy come PPTP sono da considerare deprecati: la loro cifratura è violabile.

A cosa serve una VPN in azienda

Cosa una VPN NON fa: i limiti di sicurezza

Qui cadono molte aziende: la VPN cifra il trasporto, non rende sicuro ciò che ci passa sopra. Non blocca malware e phishing, non protegge un PC già compromesso - anzi, gli dà una strada diretta verso la rete aziendale - e non sostituisce la protezione degli endpoint né la sicurezza informatica aziendale nel suo complesso. Un tunnel cifrato con dentro un laptop infetto è solo un attacco cifrato.

I rischi reali

Nella nostra attività di incident response, l’accesso VPN compromesso è tra i vettori iniziali più frequenti. Tre scenari dominano: credenziali rubate o riusate (phishing o data breach di terzi) usate su VPN senza MFA; appliance VPN non aggiornate con vulnerabilità note sfruttate in massa; accessi troppo larghi, dove entrare in VPN significa vedere tutta la rete e muoversi lateralmente. Se sospetti che sia già successo, qui trovi come capire se sei stato hackerato; per l’approfondimento tecnico su questi scenari abbiamo una analisi dedicata ai rischi della VPN in accesso remoto.

Oltre la VPN: MFA, ZTNA e segmentazione

La direzione del mercato è chiara: la VPN resta utile, ma da sola non basta più. Tre evoluzioni da mettere in agenda: MFA obbligatoria su ogni accesso remoto (azzera il valore delle credenziali rubate); segmentazione della rete, così che l’accesso VPN apra solo le risorse necessarie a quel ruolo; e la transizione verso lo ZTNA (Zero Trust Network Access), dove l’accesso non è più “alla rete” ma alla singola applicazione, verificando identità e stato del dispositivo a ogni richiesta. È il percorso che progettiamo con la nostra consulenza cybersecurity per aziende.

Checklist: configurare una VPN aziendale in sicurezza