La parola VPN viene usata per cose molto diverse fra loro. Quella che pubblicizzano i servizi in abbonamento serve a mascherare la provenienza del traffico. Quella aziendale serve a tutt'altro: collegare in modo sicuro chi sta fuori alle risorse che stanno dentro. Confondere le due porta a scelte sbagliate.
A cosa serve una VPN aziendale
- Accedere da casa o dal cliente al gestionale, alle cartelle condivise o al server interno.
- Collegare due sedi come se fossero un'unica rete.
- Permettere a un fornitore o a un tecnico di intervenire su un apparato interno senza esporlo su internet.
Il punto chiave è l'ultimo: la VPN esiste per non dover pubblicare servizi interni su internet. Ogni servizio che riuscite a togliere dall'esposizione pubblica e mettere dietro VPN è una porta in meno da difendere.
A cosa non serve
Una VPN non protegge dai virus, non blocca il phishing, non mette al sicuro un computer già compromesso. Anzi: se il portatile di un dipendente è infetto, la VPN porta quel problema direttamente dentro la rete aziendale. È un tunnel, non un filtro.
Le due tipologie principali
Site-to-site: due firewall, uno per sede, mantengono un tunnel permanente. Gli utenti non devono fare nulla, le due reti si vedono. È la soluzione giusta per collegare filiali, magazzini, punti vendita.
Client-to-site (accesso remoto): il singolo utente lancia un programma sul proprio computer e si collega. È quella dello smart working e dell'assistenza. Qui la configurazione fa tutta la differenza.
Gli errori di configurazione più frequenti
- Nessuna autenticazione a due fattori. Una VPN protetta solo da username e password è a una password di distanza dal disastro. Se avete una sola cosa da sistemare, sistemate questa.
- Accesso totale alla rete. Chi si collega da remoto per usare il gestionale non deve poter raggiungere il centralino, le telecamere e tutti i PC dell'ufficio. L'accesso va limitato ai soli server e alle sole porte necessarie.
- Account condivisi. Un solo utente "vpn" usato da otto persone rende impossibile sapere chi ha fatto cosa e impedisce di revocare un singolo accesso.
- Account mai revocati. Le credenziali VPN di chi ha lasciato l'azienda anni fa sono ancora attive più spesso di quanto si immagini. Serve una revisione periodica dell'elenco.
- Firmware del firewall non aggiornato. Le vulnerabilità sui concentratori VPN sono fra le più sfruttate in assoluto negli attacchi alle aziende: sono esposte per definizione.
- Nessun registro degli accessi. Senza log non si capisce nulla né durante né dopo un incidente.
Split tunnel: sì o no
Con lo split tunnel solo il traffico diretto all'azienda passa nel tunnel, il resto va su internet direttamente. Alleggerisce la linea aziendale ed è comodo per le videoconferenze. In cambio si perde il controllo su cosa fa quel computer mentre è collegato. La scelta dipende da quanto sono sensibili i dati e da che controlli avete sulle postazioni: entrambe le configurazioni sono legittime, purché sia una decisione consapevole.
Le alternative da valutare
Per alcuni scenari esistono soluzioni più semplici e più sicure della VPN classica: pubblicare un singolo applicativo tramite un portale con autenticazione forte, oppure adottare un approccio a verifica continua (zero trust) in cui si autorizza l'accesso alla singola risorsa e non all'intera rete. Se l'unica esigenza è far lavorare tre persone su un gestionale, aprire l'intera rete è sproporzionato.
Conclusione
La VPN aziendale resta lo strumento giusto per collegare sedi e far lavorare le persone da fuori, a condizione che abbia doppio fattore, accessi limitati al necessario, utenze nominali e firmware aggiornato. Se avete una VPN configurata anni fa e mai più rivista, vale la pena farle un controllo: possiamo verificarla e metterla in sicurezza.