Categoria: Internet & Reti • Livello: intermedio → avanzato • Tema: VPN
Negli ultimi anni il termine “VPN” è diventato super popolare: pubblicità ovunque, promesse di anonimato e sicurezza totale. Ma la verità è che la VPN non nasce per “cambiare paese” con un click: nasce per il networking professionale. È una tecnologia progettata per estendere reti private sopra Internet in modo sicuro, controllato e verificabile.
In questa guida andiamo oltre la superficie: vediamo come funziona il tunneling, cosa garantisce una VPN seria, i principali tipi di VPN e perché una Site-to-Site fatta bene richiede concetti di routing e subnetting.
Cos’è una VPN (definizione tecnica)
VPN significa Virtual Private Network. In pratica è una rete “logica” (overlay) costruita sopra una rete “fisica” (Internet). L’obiettivo è creare un collegamento privato tra due endpoint, come se esistesse un cavo dedicato tra loro, anche se in realtà stanno comunicando su infrastrutture pubbliche.
Cosa significa “tunnel” e come funziona
Il concetto chiave è il tunneling: i pacchetti vengono cifrati e incapsulati dentro altri pacchetti. Internet vede solo il pacchetto “esterno” (tra IP pubblici), mentre il contenuto interno rimane cifrato.
(Internet Protocol: RFC 791) — Architettura IPsec: RFC 4301
Un PC in rete CH (192.168.1.10) deve raggiungere un server in rete IT (192.168.2.50).
Il pacchetto interno contiene quell’IP di destinazione, ma viaggia dentro un pacchetto esterno che va
dall’IP pubblico CH all’IP pubblico IT. Chi intercetta il traffico vede solo dati cifrati.
I 3 pilastri: confidenzialità, integrità, autenticazione
Una VPN professionale non è “magia”: è matematica + protocolli. Deve garantire: confidenzialità (cifratura), integrità (protezione da modifiche) e autenticazione (verifica che l’altro endpoint sia davvero quello giusto).
AES: NIST FIPS 197 — HMAC: RFC 2104
Confidenzialità = cifratura (es. AES, ChaCha20) • Integrità = MAC/HMAC • Autenticazione = chiavi/certificati/PSK
Tipi di VPN (panoramica completa)
“VPN” è un ombrello: sotto ci sono architetture diverse. La differenza principale è chi si collega e cosa viene collegato: un singolo dispositivo che entra in una rete (Remote Access) oppure due reti complete collegate tra loro (Site-to-Site).
Remote Access VPN (Client-to-Site)
In questo scenario un singolo client (laptop, smartphone) si collega a una rete remota. È la VPN tipica dello smart working: ti autentichi, ottieni un IP “virtuale” e puoi raggiungere risorse interne (server, file share, applicazioni).
Sei in trasferta e devi entrare nel gestionale aziendale che non è esposto su Internet. Con una Remote Access VPN entri nella rete aziendale e accedi al gestionale come se fossi in ufficio.
Site-to-Site VPN (Gateway-to-Gateway)
Qui il collegamento è tra due gateway (router/firewall). È una connessione stabile che unisce due LAN. È il modello classico multi-sede: rete A ↔ rete B. È anche la soluzione perfetta per una home lab “seria”, soprattutto se vuoi condividere servizi tra due case/uffici (NAS, backup, gestione centralizzata).
Due gateway (es. Ubiquiti) in due paesi diversi stabiliscono un tunnel permanente. La rete CH può raggiungere la rete IT come se fosse un’estensione: puoi accedere a un NAS remoto, fare sincronizzazioni, backup e scambi di file in modo sicuro.
Perché le reti non possono avere lo stesso range IP
Questo punto fa la differenza tra “VPN accesa” e “VPN progettata bene”. In una Site-to-Site, le due reti non dovrebbero avere
lo stesso range IP (es. entrambe 192.168.1.0/24) perché si crea un conflitto di routing.
Il router deve capire se un indirizzo è locale oppure remoto: se vede che l’IP appartiene alla subnet locale, non lo invierà nel tunnel.
CH = 192.168.1.0/24 e IT = 192.168.1.0/24. Dal PC CH provi a raggiungere 192.168.1.50:
il sistema pensa “è qui in LAN”, quindi non manda il traffico nel tunnel → risultato: non funziona.
Soluzione: subnet diverse, ad esempio CH 192.168.1.0/24 e IT 192.168.2.0/24.
Intranet VPN e Extranet VPN
In ambienti enterprise si parla spesso di Intranet VPN quando si collegano più sedi della stessa azienda, e di Extranet VPN quando si collega un partner esterno (fornitore/cliente) con accessi limitati a servizi specifici. L’idea è sempre la stessa: “tunnel privato”, ma con policy e regole di accesso molto precise.
VPN commerciali: cosa sono e cosa non sono
Le VPN commerciali (i servizi “abbonamento”) cifrano il traffico tra te e un server VPN e poi escono su Internet con l’IP di quel server. Sono utili per proteggere il traffico su Wi-Fi pubblici e cambiare IP pubblico, ma non sono equivalenti a una VPN aziendale: non collegano due LAN tra loro in modo nativo e non risolvono automaticamente architettura, routing e policy.
Protocolli VPN: IPsec, OpenVPN, WireGuard
Le VPN si basano su protocolli diversi. In generale: IPsec è uno standard enterprise molto usato per Site-to-Site, robusto ma più complesso. OpenVPN è estremamente flessibile (TLS/certificati) e molto diffuso. WireGuard è moderno e minimale: meno complessità, ottime performance, design pulito.
IPsec – Standard IETF:
RFC 4301
OpenVPN – Sito ufficiale:
https://openvpn.net
WireGuard – Sito ufficiale:
https://www.wireguard.com
Site-to-Site enterprise → spesso IPsec • Remote Access flessibile → OpenVPN • Setup moderni/leggeri → WireGuard
VPN e firewall: l’errore più comune
Una VPN crea un ponte tra due ambienti. Ma “connesso” non significa “tutto permesso”. Dopo aver creato un tunnel devi definire regole firewall tra subnet: cosa può parlare con cosa, su quali porte, con quali limiti. Altrimenti rischi di trasformare la VPN in una porta spalancata.
Problemi tipici nelle VPN
Le VPN “non funzionano” quasi sempre per motivi ripetibili: subnet sovrapposte, route mancanti, MTU non ottimale, NAT configurato male, DNS non gestito tra reti. Chi lavora con VPN sul serio deve conoscere routing, subnetting, firewall e troubleshooting.
- Subnet diverse tra sedi (no overlap)
- Routing chiaro (statico o dinamico, ma coerente)
- Regole firewall tra subnet (least privilege)
- DNS pianificato (nomi risolvibili tra reti, se serve)
- Monitoraggio/log: sapere cosa succede quando qualcosa si rompe
Conclusione
Una VPN è una tecnologia di rete seria: crea una rete logica sopra Internet, incapsula e cifra il traffico e permette di estendere una LAN oltre i confini fisici. La Site-to-Site è uno dei casi più “da sistemista”: richiede progettazione (subnet), routing e policy. Ed è esattamente quel tipo di argomento che fa dire: “ok, questo ragazzo capisce di reti”.