🔒 VPN: cos’è e come funziona in una rete domestica

🔗 Che cos’è un tunnel VPN?

Possiamo immaginare Internet come una grande infrastruttura pubblica attraverso la quale transitano i pacchetti. Una VPN crea un collegamento logico tra due punti e protegge i dati trasportati secondo le caratteristiche del protocollo utilizzato.

Il traffico originale può essere incapsulato all’interno dei pacchetti utilizzati dal tunnel. Quando raggiunge l’altra estremità, viene elaborato e inoltrato verso la destinazione prevista.

🏠 VPN server sul router di casa

Uno degli utilizzi più interessanti consiste nell’eseguire il server VPN direttamente sul router domestico. Quando siamo fuori casa, il telefono o il notebook stabiliscono il tunnel verso il router e ricevono l’accesso alle risorse autorizzate della rete interna.

In questo modo possiamo raggiungere dispositivi che normalmente non sono accessibili da Internet senza dover creare una regola di port forwarding separata per ciascun servizio.

🖥️ Esempio pratico: raggiungere il NAS da fuori casa

Supponiamo che il NAS utilizzi l’indirizzo locale 192.168.1.100. Quando siamo collegati al Wi-Fi domestico possiamo raggiungerlo direttamente, ma quell’indirizzo privato non è instradabile attraverso Internet.

Una possibilità sarebbe pubblicare direttamente i servizi del NAS attraverso il router. Una soluzione spesso più prudente consiste invece nel configurare un server VPN e consentire l’accesso al NAS soltanto dopo aver stabilito il tunnel.

⇄ VPN client e VPN server: la differenza fondamentale

Questa distinzione genera moltissima confusione. Quando il router funziona come VPN server, accetta connessioni provenienti dall’esterno e permette ai client autorizzati di entrare nella rete.

Quando invece funziona come VPN client, è il router stesso a collegarsi a un server VPN remoto. Il traffico di alcuni o tutti i dispositivi della LAN può quindi essere instradato attraverso quel tunnel.

🌐 VPN commerciale e VPN di casa non sono la stessa cosa

I servizi VPN commerciali pubblicizzati online utilizzano normalmente un modello nel quale il dispositivo o il router agisce da client e si collega ai server del provider. Il traffico Internet viene quindi instradato attraverso l’infrastruttura di quel servizio.

Una VPN domestica per accesso remoto utilizza invece il modello opposto: il server si trova nella nostra rete e siamo noi a collegarci a casa quando ci troviamo all’esterno.

🔀 Split tunnel e full tunnel

Una VPN non deve necessariamente trasportare tutto il traffico del dispositivo. Con lo split tunneling soltanto determinate reti o destinazioni vengono instradate nel tunnel, mentre il resto continua a utilizzare normalmente la connessione Internet del client.

Con il full tunnel, invece, anche il traffico Internet viene inviato attraverso la VPN. Se ci colleghiamo al router di casa in full tunnel mentre siamo in viaggio, i siti Internet vedranno normalmente il traffico uscire dalla connessione domestica.

☕ VPN quando utilizzi un Wi-Fi pubblico

Se utilizzi una rete Wi-Fi di hotel, aeroporto o locale pubblico, una VPN può creare un tunnel protetto tra il dispositivo e il server VPN. Questo riduce la quantità di traffico direttamente osservabile dalla rete locale relativamente ai dati trasportati nel tunnel.

Se il server VPN si trova a casa, puoi utilizzare la tua connessione domestica come punto di uscita. Se utilizzi un provider commerciale, il punto di uscita sarà invece uno dei server del provider.

🔒 Una VPN rende anonimi?

No. Una VPN modifica il percorso e protegge il traffico tra il client e il server VPN, ma non elimina automaticamente tutti gli elementi attraverso i quali un utente può essere riconosciuto.

Account autenticati, cookie, fingerprint del browser, informazioni fornite ai servizi e attività effettuate dopo l’uscita dal tunnel continuano a essere elementi rilevanti.

🛡️ Cosa protegge realmente una VPN?

La protezione principale riguarda il tratto compreso tra le due estremità del tunnel. Un osservatore sulla rete locale o sul percorso non vede il traffico interno nello stesso modo in cui lo vedrebbe senza il tunnel, secondo le garanzie offerte dal protocollo e dalla configurazione utilizzata.

Dopo essere uscito dal server VPN, il traffico continua però verso la destinazione finale. Per questo protocolli applicativi sicuri come HTTPS rimangono essenziali anche quando utilizziamo una VPN.

🔌 Quali protocolli VPN esistono?

Esistono numerosi protocolli VPN. Nelle reti domestiche moderne due nomi particolarmente importanti sono WireGuard e OpenVPN, entrambi supportati da molti router, firewall e sistemi operativi.

⚡ La VPN riduce la velocità?

Il tunnel introduce elaborazione aggiuntiva e può modificare il percorso seguito dai pacchetti. La velocità effettiva dipende quindi dalla connessione, dal protocollo, dall’hardware che esegue cifratura e decifratura e dalla capacità del server VPN.

Su router poco potenti il processore può diventare il collo di bottiglia molto prima della porta Ethernet o della connessione FTTH. Questo aspetto diventa particolarmente importante sulle linee Gigabit e Multi-Gigabit.

🏠 Perché l’upload di casa è importante

Quando accediamo da remoto a un file conservato sul NAS domestico, quel file deve essere inviato dalla nostra abitazione verso Internet. Dal punto di vista della connessione domestica stiamo quindi utilizzando soprattutto la capacità di upload.

Una linea FTTH simmetrica o con upload elevato può offrire prestazioni molto superiori rispetto a una connessione con upload limitato, soprattutto quando trasferiamo file grandi o utilizziamo servizi multimediali attraverso la VPN.

🌐 Serve un indirizzo IPv4 pubblico?

Per ospitare un server VPN tradizionale raggiungibile direttamente tramite IPv4 è necessario che il traffico proveniente da Internet possa arrivare alla nostra rete. Una connessione dietro CGNAT può quindi complicare o impedire il normale accesso IPv4 in ingresso.

Le possibili soluzioni dipendono dal provider e dall’architettura utilizzata: IPv4 pubblico, IPv6, servizi overlay oppure un server intermedio possono consentire di superare il problema in modi differenti.

6️⃣ VPN e IPv6

IPv6 può offrire connettività end-to-end senza il tradizionale NAT IPv4, ma il server deve comunque essere raggiungibile e il firewall deve autorizzare soltanto il traffico necessario. L’assenza di NAT non significa assenza di sicurezza.

Una VPN continua inoltre ad avere senso con IPv6 perché non serve soltanto a superare NAT: crea un collegamento protetto e autenticato verso le risorse autorizzate.

🔗 VPN site-to-site: collegare due case o due sedi

Un’altra configurazione molto interessante è la VPN site-to-site. Invece di collegare un singolo notebook alla rete domestica, creiamo un tunnel permanente o semipermanente tra due gateway.

I dispositivi della prima rete possono quindi raggiungere determinati dispositivi della seconda attraverso le rotte configurate, senza dover avviare manualmente un client VPN su ogni computer.

⚠️ Le due LAN devono avere subnet differenti

Questo è un dettaglio molto importante nelle VPN site-to-site e nell’accesso remoto. Se entrambe le reti utilizzano, per esempio, 192.168.1.0/24, il dispositivo può avere difficoltà a capire se una destinazione appartiene alla rete locale oppure deve essere raggiunta attraverso il tunnel.

Utilizzare subnet differenti, come 192.168.10.0/24 e 192.168.20.0/24, rende il routing molto più semplice e prevedibile.

⚙️ Come funziona una connessione VPN domestica

🔎 VPN e DNS

Durante una connessione VPN è possibile utilizzare anche resolver DNS raggiungibili attraverso il tunnel. Questo è particolarmente utile quando dobbiamo risolvere nomi interni della rete domestica oppure vogliamo che le richieste DNS seguano lo stesso percorso del traffico VPN.

Una configurazione errata può invece provocare quello che viene comunemente definito DNS leak, cioè richieste DNS che continuano a utilizzare un resolver esterno al percorso previsto dalla VPN.

🛡️ VPN o port forwarding?

Il port forwarding è utile quando un servizio deve essere deliberatamente pubblicato verso Internet. Una VPN è invece particolarmente interessante quando quel servizio deve essere raggiunto soltanto da utenti o dispositivi autorizzati.

🔐 Proteggere correttamente il server VPN

Una VPN riduce la necessità di esporre molti servizi, ma il server VPN stesso diventa un punto importante dell’infrastruttura. Deve quindi essere mantenuto aggiornato e configurato utilizzando protocolli e metodi di autenticazione adeguati.

• Utilizza protocolli VPN moderni e supportati.
• Mantieni aggiornato il firmware del router o del server.
• Proteggi chiavi, certificati e credenziali.
• Revoca gli accessi dei dispositivi che non utilizzi più.
• Concedi soltanto l’accesso alle reti realmente necessarie.
• Controlla periodicamente la configurazione.
• Non condividere configurazioni VPN private pubblicamente.
• Conserva backup sicuri delle impostazioni importanti.

📱 Cosa puoi fare con una VPN domestica?

🧩 Diagnosi rapida: perché la VPN non si collega?

⚠️ Errori comuni con le VPN domestiche

• Confondere VPN server e VPN client.
• Pensare che qualsiasi VPN renda anonimi.
• Non controllare la presenza di CGNAT.
• Usare la stessa subnet su entrambe le reti.
• Dimenticare le regole firewall necessarie.
• Configurare full tunnel quando serve soltanto accesso alla LAN.
• Ignorare il limite dell’upload domestico.
• Pensare che una porta 10 Gigabit garantisca una VPN a 10 Gbit/s.
• Esporre comunque NAS e pannelli amministrativi anche dopo aver configurato la VPN.
• Non revocare configurazioni e chiavi di vecchi dispositivi.

🧪 Esempio completo: collegarsi a casa dallo smartphone

Immaginiamo di avere un router domestico che supporta WireGuard e una LAN 192.168.1.0/24. Configuriamo il router come server VPN e generiamo un profilo destinato allo smartphone.

Quando siamo collegati alla rete mobile, lo smartphone raggiunge l’indirizzo pubblico della connessione domestica e stabilisce il tunnel. Il router autentica il dispositivo e permette di raggiungere la subnet 192.168.1.0/24.

Possiamo quindi aprire l’indirizzo 192.168.1.100 del NAS, collegarci a un server locale o amministrare un dispositivo esattamente attraverso la rete privata, pur trovandoci fisicamente lontani da casa.

Se configuriamo soltanto 192.168.1.0/24 nel routing VPN, il normale traffico Internet dello smartphone continuerà a utilizzare la rete mobile. Se invece configuriamo un full tunnel, anche quel traffico attraverserà la connessione domestica.