VPN: cosa sono e come funzionano

🔗 Cosa significa VPN?

La sigla VPN significa:

cioè rete privata virtuale.

Il concetto chiave è creare una rete logica sopra un’altra rete che viene utilizzata come mezzo di trasporto.

🛡️ Perché viene chiamato tunnel?

L’espressione tunnel VPN descrive il fatto che il traffico della rete privata viene trasportato attraverso un’altra rete.

Dal punto di vista dell’utente, è come creare un collegamento virtuale tra due punti lontani.

📦 Incapsulamento

I dati che devono attraversare la VPN vengono inseriti all’interno del traffico utilizzato dal protocollo VPN.

Una volta raggiunta l’altra estremità, il traffico viene estratto dal tunnel e inoltrato verso la destinazione prevista.

🔒 Cifratura

Una delle caratteristiche più importanti delle VPN moderne è la possibilità di cifrare il traffico.

In questo modo, chi osserva il traffico lungo il percorso Internet non dovrebbe poter leggere direttamente il contenuto protetto dal tunnel.

🔑 Autenticazione

Prima di creare un tunnel VPN, le due estremità devono normalmente autenticarsi.

Possono essere utilizzati:

• chiavi crittografiche;
• certificati;
• username e password;
• pre-shared key;
• combinazioni di più metodi.

🏠 VPN per accedere alla rete di casa

Uno degli utilizzi più interessanti in una rete domestica consiste nel creare un server VPN sul router o su un dispositivo interno.

Dopo aver stabilito la VPN, il dispositivo remoto può ottenere accesso a determinate risorse della LAN secondo le regole configurate.

🖥️ Cosa possiamo raggiungere da remoto?

Una VPN domestica può permettere di raggiungere:

• NAS;
• server domestici;
• computer;
• Home Assistant;
• interfacce di amministrazione;
• telecamere;
• servizi disponibili soltanto nella LAN.

🚪 VPN invece di esporre molti servizi

Senza VPN, potremmo essere tentati di pubblicare direttamente verso Internet diversi servizi interni.

Con una VPN possiamo invece pubblicare principalmente l’accesso VPN e raggiungere i servizi interni dopo l’autenticazione.

🔄 Client VPN e server VPN

Per creare una connessione VPN abbiamo normalmente due ruoli.

📡 Il router può essere un server VPN

Molti router di fascia media e avanzata possono ospitare direttamente un server VPN.

In questo caso il tunnel termina sul router stesso.

Questo può semplificare l’accesso remoto perché il router conosce già le reti interne e può gestire routing e firewall.

💻 Il server VPN può essere anche interno

Non è obbligatorio utilizzare il router.

Il server VPN può essere eseguito anche su:

• server Linux;
• NAS;
• mini PC;
• Raspberry Pi;
• firewall dedicato;
• macchina virtuale.

🔌 VPN e port forwarding

Se il server VPN si trova dietro a un router IPv4 con NAT, può essere necessario permettere al traffico VPN di raggiungerlo.

Questo può richiedere una regola appropriata di firewall e, in determinate configurazioni, di port forwarding.

🌐 Il problema del CGNAT

Se la connessione domestica si trova dietro al CGNAT dell’operatore, non possediamo normalmente un IPv4 pubblico direttamente raggiungibile dall’esterno.

Questo può complicare la possibilità di ospitare direttamente un server VPN IPv4 raggiungibile da Internet.

🌐 E con IPv6?

IPv6 può offrire indirizzi globalmente instradabili, evitando il problema della scarsità IPv4.

Se entrambi gli endpoint dispongono di connettività IPv6 e il firewall è configurato correttamente, una VPN può essere raggiungibile anche tramite IPv6.

🗺️ IP pubblico dinamico

Un’altra difficoltà può essere il cambiamento dell’indirizzo IP pubblico.

Se il provider assegna un IP dinamico, l’indirizzo può cambiare nel tempo.

Per questo esistono servizi di Dynamic DNS o DDNS.

🔗 Dynamic DNS

Un servizio DDNS associa un nome a un indirizzo IP che può cambiare.

Quando cambia l’indirizzo pubblico, il record viene aggiornato e possiamo continuare a utilizzare lo stesso nome.

🚀 WireGuard

WireGuard è un protocollo VPN moderno progettato con una struttura relativamente semplice e un’attenzione particolare a prestazioni e sicurezza.

Viene supportato da molti sistemi operativi e da numerosi router moderni.

🔧 OpenVPN

OpenVPN è un’altra tecnologia VPN molto diffusa.

È flessibile e disponibile su numerosi sistemi, router e piattaforme.

🔄 Site-to-site VPN

Una VPN non deve necessariamente collegare un singolo computer a una rete.

Possiamo collegare direttamente due reti differenti.

I router delle due sedi possono instradare il traffico attraverso il tunnel.

📱 Remote access VPN

Il modello domestico più comune è invece la VPN di accesso remoto.

Il singolo client entra virtualmente nella rete remota o riceve almeno accesso a determinate subnet e servizi.

🔌 Full tunnel

In una configurazione full tunnel, tutto o quasi tutto il traffico Internet del client può essere inviato attraverso la VPN.

Il traffico Web passa quindi attraverso la connessione della rete VPN prima di raggiungere Internet.

🔗 Split tunnel

Con lo split tunneling soltanto determinate destinazioni passano attraverso la VPN.

📊 Full tunnel e split tunnel a confronto

🚀 La VPN può ridurre la velocità?

Sì.

Il traffico VPN richiede elaborazione crittografica, incapsulamento e un percorso potenzialmente più lungo.

⬆️ L’upload di casa può essere il limite

Se accediamo alla rete domestica da remoto, i dati che riceviamo dalla casa devono essere trasmessi attraverso l’upload della connessione domestica.

Se scarichiamo un file dal NAS mentre siamo fuori casa, dal punto di vista della connessione domestica quel file sta andando in upload.

🌐 VPN commerciale

Il termine VPN viene utilizzato molto anche per servizi commerciali.

In questo caso il client si collega a un server gestito dal provider VPN.

I siti Internet vedranno normalmente la connessione provenire dall’indirizzo del server VPN utilizzato come uscita.

🏠 VPN domestica e VPN commerciale non sono la stessa cosa

🔒 VPN su Wi-Fi pubblico

Una VPN può essere utile quando utilizziamo reti che non controlliamo, come un Wi-Fi pubblico.

Il tunnel protegge il traffico VPN tra il dispositivo e il server VPN.

📝 VPN e routing

Quando una VPN viene attivata, il dispositivo può aggiungere nuove rotte alla propria tabella di routing.

oppure, in una configurazione full tunnel:

🛡️ VPN e firewall

Dopo aver creato il tunnel, non dobbiamo necessariamente dare al client VPN accesso a tutta la rete.

Il firewall può quindi applicare regole specifiche anche agli utenti VPN.

🔑 Ogni client dovrebbe avere le proprie credenziali

Quando possibile, è preferibile non condividere la stessa configurazione VPN tra decine di dispositivi.

Avere credenziali o chiavi separate permette di revocare un singolo dispositivo senza modificare tutti gli altri.

🚫 Non utilizzare protocolli VPN obsoleti

Le tecnologie VPN si sono evolute nel tempo.

Protocolli molto vecchi possono non offrire oggi un livello di sicurezza adeguato.

🔧 Aggiornare anche il server VPN

Un server VPN esposto verso Internet è un servizio che deve essere mantenuto correttamente.

È quindi importante:

• aggiornare router o server;
• utilizzare chiavi sicure;
• revocare dispositivi persi;
• controllare gli utenti autorizzati;
• evitare configurazioni inutilmente permissive;
• monitorare eventuali errori di autenticazione.

📋 Esempio completo: VPN domestica

Il telefono non deve esporre direttamente il NAS su Internet.

Prima entra nella rete attraverso la VPN e poi accede al servizio interno.

📊 VPN, firewall e VLAN insieme

In una rete più avanzata possiamo combinare le tecnologie viste finora.

È qui che firewall, routing, VPN e VLAN iniziano davvero a lavorare insieme.

📊 Cosa può e non può fare una VPN

🎯 Cosa devi ricordare

• VPN significa Virtual Private Network.
• Una VPN crea un collegamento logico attraverso un’altra rete.
• Il traffico può essere incapsulato e cifrato.
• Client e server devono normalmente autenticarsi.
• Una VPN domestica può permettere l’accesso remoto alla propria LAN.
• VPN domestica e VPN commerciale sono utilizzi differenti della stessa idea generale.
• WireGuard e OpenVPN sono due tecnologie VPN molto diffuse.
• Una VPN può essere remote-access oppure site-to-site.
• Full tunnel e split tunnel instradano il traffico in modi differenti.
• CGNAT può complicare l’hosting diretto di un server VPN IPv4.
• La VPN può essere limitata dalla CPU del router e dall’upload della connessione.
• Firewall e VPN devono essere configurati insieme per stabilire cosa può raggiungere un client remoto.