VPN sta per Virtual Private Network, e dietro la sigla c’è un’idea piuttosto semplice: costruire un collegamento privato, un tunnel, fra due punti che si trovano su Internet. Da una parte c’è il tuo computer, dall’altra il server dell’ufficio oppure quello di un fornitore di servizi; quello che passa nel mezzo viaggia cifrato, sicché chi riuscisse a intercettarlo si ritroverebbe fra le mani soltanto dati illeggibili.
Detta così sembra una cosa da grandi aziende, e invece le VPN si usano da anni anche in casa, per motivi molto diversi fra loro. Vale la pena capire come si mettono in piedi, dato che le strade sono parecchie e non tutte servono allo stesso scopo.
Come si crea una VPN
La via più immediata è affidarsi a un servizio già pronto, gratuito o a pagamento: si installa un programma e ci si collega ai server messi a disposizione da chi lo offre. Non c’è niente da configurare, ma non c’è nemmeno niente di tuo, perché il punto da cui il traffico esce è la macchina di qualcun altro. Come vedremo più avanti, non è un dettaglio da poco.
Quando invece l’obiettivo è collegare fra loro due punti precisi, per esempio due uffici della stessa azienda, la VPN si costruisce su misura. In genere se ne occupa il firewall aziendale, che apre un tunnel diretto verso quello dell’altra sede: da quel momento le due reti si parlano come se stessero nello stesso edificio, con l’unico limite della velocità delle rispettive connessioni.
Per un privato può bastare il router di casa, sempre che lo preveda. È il metodo più rapido, ma dipende per intero da quello che quel router sa fare, dal momento che non tutti supportano gli stessi protocolli.
Resta infine la possibilità di usare le funzioni già integrate nel sistema operativo. Anche qui la scelta dei protocolli è limitata, e c’è un inconveniente che quasi sempre ci si dimentica di valutare: il collegamento esiste soltanto finché quel computer è acceso, sicché se ne serve quella singola macchina e non tutta la rete.
I tre protocolli che si incontrano più spesso
Il protocollo è il modo in cui il tunnel viene costruito e il traffico cifrato. Nella pratica i nomi che ricorrono sono tre, e conviene sapere in che cosa si distinguono.
- OpenVPN, il più diffuso e il più collaudato. È open source, funziona praticamente ovunque e passa anche attraverso reti che lasciano transitare poco, il che lo rende la scelta sicura quando non si sa che cosa si troverà dall’altra parte. In cambio è il più lento dei tre.
- IPsec/IKEv2, lo standard delle apparecchiature di rete: è quello che trovi già pronto su firewall e router aziendali. Regge bene i cambi di rete, tanto che è la scelta abituale sui telefoni, dove capita di continuo di passare dal Wi-Fi alla connessione dati.
- WireGuard, il più recente. È molto più snello degli altri due, sensibilmente più veloce e ormai supportato quasi dappertutto, cosicché quando non ci sono vincoli è diventato la scelta naturale.
Possibili utilizzi
Trattandosi di un collegamento diretto verso un altro punto della rete, gli usi possibili sono parecchi e piuttosto diversi fra loro.
Il più conosciuto è cambiare il proprio indirizzo IP, facendolo risultare in un’altra città o in un altro paese, di solito per raggiungere contenuti che dove ci si trova non sono disponibili. C’è poi la protezione sulle reti di altri: collegandosi al Wi-Fi di un albergo o di un aeroporto, il tunnel impedisce a chi gestisce quella rete di guardare quello che stai facendo.
In azienda gli usi sono più concreti. Da un lato lo scambio di dati riservati fra due sedi, che così non viaggiano in chiaro su Internet; dall’altro il lavoro da fuori, che è poi il motivo per cui la maggior parte delle aziende una VPN ce l’ha: permettere a chi non è in ufficio di raggiungere il gestionale, le cartelle condivise e le stampanti come se fosse alla propria scrivania.
Che cosa passa davvero attraverso una VPN
Qui conviene sfatare un equivoco piuttosto diffuso. Dal momento che tutto il traffico attraversa il server della VPN, si tende a pensare che una volta accesa si diventi invisibili. Non è così.
Chi ti offre il servizio conserva comunque qualche informazione sui collegamenti fatti da e verso i propri server, e lo stesso vale per le VPN aziendali, dove è il firewall a tenere traccia delle connessioni. Quello che cambia è chi ti vede, non il fatto che qualcuno ti veda: prima era il tuo operatore, adesso è chi gestisce la VPN.
Per questo, soprattutto con i servizi gratuiti, vale la pena verificare di chi ci si sta fidando, visto che gli passa davanti tutto il traffico. Sul fronte aziendale il controllo da fare è un altro, e cioè che il firewall o il router su cui gira la VPN non abbia problemi di sicurezza già noti: è la porta d’ingresso alla rete e resta aperta ventiquattr’ore su ventiquattro, sicché una falla lì dentro vale molto più che altrove.
Quello che invece è certo è che il contenuto viaggia cifrato. Ogni protocollo lo fa a modo suo, con algoritmi diversi, ma il risultato non cambia: chi sta nel mezzo non legge niente.
Quello che una VPN non fa
C’è un ultimo punto che vale la pena mettere in chiaro, perché è all’origine di parecchi guai. Una VPN protegge il traffico mentre viaggia, ma non dice nulla su chi sia davvero la persona all’altro capo, né su che cosa possa fare una volta arrivata. Chi entra con credenziali valide si ritrova nella rete aziendale con una certa libertà di movimento, e se quelle credenziali erano state rubate il tunnel cifrato avrà protetto con la stessa diligenza il lavoro di un estraneo.
È il motivo per cui, negli ultimi anni, per l’accesso delle persone si sono affermati modelli diversi da IPsec e OpenVPN, che verificano ogni singolo accesso anziché concedere fiducia a chi ha superato il login una volta sola. Il tunnel resta utilissimo dove ha sempre funzionato bene, cioè per tenere collegate fra loro le sedi; per far lavorare le persone da fuori, sempre meno.
Se ti interessa la parte di protezione perimetrale, abbiamo scritto anche un articolo sul ruolo del firewall nella sicurezza della rete e uno su come si attiva lo smart working in azienda.
