Quando un collaboratore apre il portatile in trasferta o da casa e deve raggiungere i gestionali in sede, la sicurezza di quella connessione dipende da come è stata progettata la vpn aziendale.
Negli ultimi anni l’accesso remoto è diventato la norma operativa per le PMI italiane, eppure molte configurazioni restano un mix di scelte ereditate ed eccezioni mai riviste.
Capire come funziona una VPN e quali errori la trasformano in un vettore d’ingresso è il primo passo per ridurre la superficie d’attacco.
A cosa serve una VPN aziendale
Una VPN aziendale crea un canale cifrato tra un utente o una sede e le risorse interne, evitando di esporre direttamente su Internet servizi, file server e applicazioni gestionali.
Le funzioni ruotano intorno a tre obiettivi operativi.
Protezione del traffico in transito
Il primo motivo per cui si installa una VPN aziendale è la cifratura del traffico tra il dispositivo dell’utente e il perimetro dell’azienda.
Senza tunnel, una sessione RDP o un accesso a un applicativo interno viaggia su Internet pubblico e diventa intercettabile, soprattutto su Wi-Fi non controllati di hotel, bar e coworking.
Il tunnel impedisce che credenziali e dati applicativi siano leggibili da chi sta sullo stesso segmento. La cifratura non è opzionale quando il traffico attraversa reti di terzi, ed è la prima leva richiesta dagli adempimenti GDPR.
La robustezza dipende dall’algoritmo (oggi AES-256-GCM è lo standard) e dalla gestione delle chiavi. Una VPN con protocolli legacy come PPTP perde gran parte del valore difensivo.
Accesso sicuro alle risorse interne
La seconda funzione è permettere agli utenti remoti di raggiungere file share, gestionali e database senza pubblicarli su Internet.
Esporre un servizio significa offrirlo agli scanner automatici che mappano ogni IP pubblico in poche ore.
Con una vpn aziendale ben dimensionata il servizio resta raggiungibile solo da chi ha superato l’autenticazione del concentratore.
Meno superficie esposta, meno occasioni di sfruttare vulnerabilità note.
L’esperienza utente cambia poco rispetto al lavoro in sede, ma cambia molto la tracciabilità: ogni sessione passa da un punto controllato dove si registra chi accede, da dove e con quale dispositivo.
Connessione tra sedi e collaboratori distribuiti
Il terzo scenario è la connettività site-to-site: filiali, magazzini o punti vendita che devono comportarsi come parte della stessa rete logica.
Una VPN site-to-site collega in modo permanente due firewall, instradando il traffico tra subnet diverse dentro un tunnel cifrato.
Questa configurazione sostituisce o integra collegamenti MPLS più costosi sfruttando connettività Internet.
Le aziende multi-sede del Nord Italia adottano architetture miste, con un backbone site-to-site e VPN remote per i collaboratori in mobilità.
Quando le sedi crescono una topologia full-mesh diventa ingestibile. Entrano allora in gioco architetture hub-and-spoke, SD-WAN e logiche più moderne.
Come funziona dal punto di vista tecnico
Una VPN aziendale combina protocolli di tunneling, autenticazione e logica di routing per costruire una rete virtuale sopra Internet.
La differenza tra una soluzione robusta e una fragile sta nei dettagli implementativi.
Tunnel cifrato e protocolli principali
Il tunnel nasce quando client e concentratore VPN negoziano una sessione protetta tramite un protocollo dedicato.
I tre più diffusi in ambito enterprise sono IPsec, SSL/TLS (alla base delle SSL VPN) e WireGuard.
IPsec opera a livello rete ed è lo standard storico per i collegamenti site-to-site: supporta cifratura forte ma richiede policy configurate con attenzione.
SSL/TLS lavora a livello applicativo e attraversa più facilmente firewall e proxy, motivo per cui è preferito nelle Remote Access VPN moderne.
WireGuard è il protocollo emergente: codice ridotto, performance superiori, configurazione snella. Sempre più vendor lo integrano come opzione enterprise, anche se IPsec resta il riferimento per interconnessioni tra apparati di brand diversi.
Protocolli a confronto
Una sintesi delle caratteristiche operative dei protocolli più diffusi aiuta a orientarsi nella scelta tecnica più adatta al proprio scenario.
| Protocollo | Livello OSI | Punti di forza | Limiti |
| IPsec | Rete (L3) | Robusto, standard site-to-site | Configurazione complessa, attrito con NAT |
| SSL/TLS | Applicativo (L7) | Attraversa firewall, ottimo per remote access | Overhead maggiore |
| WireGuard | Rete (L3) | Performance elevate, codice minimale | Ecosistema enterprise ancora in maturazione |
| OpenVPN | Applicativo | Open source, molto flessibile | Throughput inferiore a WireGuard |
La scelta non è binaria: ambienti complessi adottano protocolli diversi per scenari diversi, mantenendo coerenza nelle policy di sicurezza.
VPN client-to-site e site-to-site
La VPN client-to-site (Remote Access) collega un singolo utente al concentratore aziendale tramite client software.
È il modello per smart working, trasferte e collaboratori esterni temporanei.
La VPN site-to-site collega due reti intere via gateway dedicati: nessun software sui client finali, la cifratura avviene a livello di firewall perimetrale. È il modello scelto per sedi permanenti, datacenter secondari o ambienti cloud privati.
Le due architetture coesistono nello stesso disegno. Una progettazione di security networking ben fatta integra entrambe con policy coerenti, evitando che la complessità diventi un insieme di eccezioni ingovernabili.
Come configurare una VPN aziendale senza compromettere la sicurezza
Attivare una vpn aziendale non equivale ad averla resa sicura.
Le configurazioni nate “per far funzionare le cose” e mai riviste sono la prima causa di compromissioni da accessi remoti. Tre aree richiedono attenzione costante.
MFA e identità verificata
L’autenticazione a singolo fattore con username e password è oggi il punto debole più sfruttato dagli attaccanti, tramite credential stuffing e phishing mirato.
Una VPN senza MFA, nel 2026, è una porta aperta con un cartello “spingere”.
L’integrazione con un identity provider (Azure AD, Google Workspace, LDAP interno) e un secondo fattore, TOTP, push notification o certificato dispositivo, alza in modo sostanziale la barriera di ingresso.
Per scenari ad alto rischio si aggiungono controlli sul posture del dispositivo: OS aggiornato, EDR attivo, disco cifrato.
Una VPN aziendale moderna verifica chi sei, ma anche da dove e con quale strumento ti colleghi.
Minimo privilegio e segmentazione
Il difetto più ricorrente nelle VPN ereditate è l’accesso flat: dentro il tunnel l’utente vede l’intera LAN. Comodo per il troubleshooting, pessimo per la sicurezza, un endpoint compromesso si propaga senza ostacoli.
La logica corretta prevede segmentazione tramite VLAN, gruppi di sicurezza e policy granulari sul firewall, secondo il principio del least privilege.
L’utente accede solo alle risorse necessarie al proprio ruolo.
Per fornitori e tecnici esterni il discorso si stringe: account nominativi, accessi temporanei con scadenza automatica e tunnel limitati ai sistemi su cui devono intervenire. Account condivisi e sessioni anonime vanno eliminati.
Monitoraggio e log management
Una VPN che non logga è una VPN che non protegge. Senza visibilità su chi si è collegato, da quale IP e a quali sistemi ha avuto accesso, qualsiasi incidente diventa impossibile da ricostruire.
Il concentratore deve esportare i log verso un SIEM, con alert su pattern anomali: accessi da Paesi inattesi, login fuori orario, fallimenti ripetuti, sessioni concorrenti.
Va presidiata anche la gestione operativa: aggiornamenti firmware del Fortinet firewall o del concentratore VPN, rotazione delle chiavi pre-shared, revisione periodica degli utenti abilitati.
Gli account dormienti sono uno scenario classico da cui partono i breach.
Oltre la VPN tradizionale: Zero Trust e SASE
La VPN aziendale classica nasce in un’epoca con dentro e fuori chiaramente distinti.
Oggi le applicazioni stanno in cloud, gli utenti sono ovunque e il perimetro è dissolto. Il paradigma sta cambiando di conseguenza.
I limiti del modello perimetrale
Una VPN tradizionale presuppone che, una volta autenticato, l’utente sia affidabile.
Questa fiducia implicita non regge più: account compromessi, dispositivi infetti e ransomware che si propagano via tunnel hanno mostrato la fragilità del modello castle-and-moat.
Instradare tutto il traffico verso la sede prima di uscire verso applicazioni SaaS introduce latenza inutile.
Un utente che apre Microsoft 365 da casa non ha motivo tecnico di passare dal datacenter.
ZTNA: accesso basato sull’identità
Lo Zero Trust Network Access ribalta la logica: nessuna fiducia di default, verifica continua di identità e contesto, accesso alla singola applicazione invece che all’intera rete.
L’utente non entra “in azienda”, riceve un tunnel puntuale verso il servizio richiesto.
Il modello riduce in modo deciso la superficie d’attacco: se le credenziali vengono compromesse, l’attaccante non ottiene accesso laterale all’infrastruttura ma solo all’applicazione autorizzata.
Le policy ZTNA valutano dinamicamente identità, dispositivo, posizione e comportamento.
SASE come approccio integrato
Il Secure Access Service Edge unifica connettività e sicurezza in un servizio cloud-delivered
ZTNA, Secure Web Gateway, CASB, firewall as a service e SD-WAN convergono in un’unica piattaforma, riducendo la frammentazione di strumenti diversi.
Per le aziende distribuite del Nord Italia soluzioni come FortiSASE sono l’evoluzione
naturale dell’accesso remoto. Il percorso non è sostitutivo ma progressivo: la VPN aziendale legacy coesiste con i nuovi servizi durante la migrazione.
Per valutare il passaggio a un modello Zero Trust conviene partire da un assessment dell’infrastruttura e degli accessi in essere, percorso che il team GDPR e cybersecurity di Digitalway affianca alle PMI.
