Lavorare da casa o da un cliente come se fossi seduto alla tua scrivania: aprire le cartelle del server, usare il gestionale, stampare un documento in ufficio. È quello che permette una VPN aziendale, quando è impostata bene. Quando è impostata male, invece, diventa una delle porte d'ingresso preferite da chi attacca le aziende, oppure un collegamento che cade ogni mezz'ora e fa perdere la pazienza a tutti. In questa guida spieghiamo cos'è una VPN aziendale e in che cosa è diversa da quelle pubblicizzate per navigare in incognito, quando conviene usarla e quando è meglio un'altra soluzione, quali regole la rendono sicura e quali sono le cause più frequenti quando "la VPN non funziona".
Cos'è una VPN aziendale (e cosa non è)
VPN significa rete privata virtuale. In pratica è un tunnel cifrato che passa dentro internet e collega il tuo dispositivo alla rete dell'ufficio. Chi sta in mezzo, per esempio sul Wi-Fi di un albergo, vede passare dati incomprensibili. Dall'altra parte del tunnel c'è un apparecchio che verifica chi sei e ti lascia entrare solo nelle zone della rete a cui hai diritto: di solito è il firewall dell'ufficio, a volte un server dedicato o un servizio in cloud.
Le VPN che vedi nelle pubblicità sono un'altra cosa: servono a nascondere la propria posizione mentre si naviga e non danno nessun accesso all'ufficio. Per il lavoro aziendale non sostituiscono la VPN dell'azienda e, se installate sui PC di lavoro senza criterio, possono anzi creare conflitti.
I due usi principali
Accesso remoto per le persone
Ogni persona ha un programma (client) sul portatile o sul telefono, si autentica con le sue credenziali e un secondo controllo, e si collega all'ufficio quando serve. È l'uso tipico del lavoro da casa, dei commerciali in viaggio, del titolare che controlla qualcosa la sera.
Collegamento fra sedi
Due apparecchi, uno per sede, mantengono sempre attivo un tunnel fra un ufficio e l'altro, o fra l'ufficio e il magazzino. Le persone non devono fare nulla: per loro è come se le due sedi fossero un'unica rete. Si chiama anche VPN "sito a sito".
VPN, desktop remoto o cloud: quale scegliere
La VPN non è l'unica strada per lavorare da fuori e non sempre è la migliore. Dipende da dove stanno i dati e i programmi.
| Soluzione | Quando funziona bene | Limiti |
|---|---|---|
| VPN e lavoro sul proprio portatile | Programmi installati sul portatile che leggono file dal server; documenti di dimensioni normali | Lenta con file molto grandi o con gestionali che lavorano direttamente su archivi condivisi |
| VPN e poi desktop remoto sul PC o sul server dell'ufficio | Gestionali pesanti, programmi che devono restare in ufficio, linee di casa lente | Serve un PC acceso in ufficio o un server predisposto, con le relative licenze |
| Servizi in cloud (posta, documenti, gestionale online) | Persone che lavorano da molti luoghi, archivi già in cloud | Non dà accesso ai sistemi rimasti in ufficio; richiede comunque doppio controllo all'accesso |
Una combinazione molto diffusa nelle PMI è la seconda: la VPN serve solo a entrare in modo protetto, poi si lavora con il desktop remoto sul proprio PC d'ufficio. Così i dati non viaggiano, si spostano solo le immagini dello schermo. Il desktop remoto, però, non va mai reso raggiungibile direttamente da internet senza la VPN davanti: è una delle vie più sfruttate dagli attacchi.
Diverso ancora è il caso del tecnico che ti assiste a distanza con programmi come AnyDesk o RustDesk: è un collegamento occasionale, avviato da te, di cui parliamo nella guida all'assistenza informatica da remoto.
Le tecnologie, spiegate in breve
Non devi diventare un esperto, ma è utile riconoscere i nomi che leggi nei preventivi:
- IPsec (spesso con IKEv2): uno standard diffuso, supportato da quasi tutti i firewall e dai sistemi operativi; molto usato per il collegamento fra sedi.
- SSL VPN: passa sulla stessa porta usata dai siti web sicuri, quindi attraversa più facilmente le reti di alberghi e aziende ospiti. Molti produttori di firewall forniscono un loro client.
- OpenVPN: progetto aperto, affidabile, molto configurabile.
- WireGuard: più recente, semplice e veloce; supportato da un numero crescente di apparecchi.
La scelta dipende soprattutto da cosa sa fare l'apparecchio che hai in ufficio. Più della sigla contano la configurazione e gli aggiornamenti.
Le regole che rendono sicura una VPN
- Un utente per persona, mai credenziali condivise. Quando qualcuno lascia l'azienda, il suo accesso si disattiva lo stesso giorno.
- Doppio controllo all'accesso obbligatorio. Password più codice sul telefono. Le credenziali VPN rubate sono vendute nei mercati criminali proprio perché aprono la porta dell'azienda.
- Accesso solo a ciò che serve. L'amministrazione raggiunge il gestionale, il commerciale le sue cartelle, il fornitore esterno solo la macchina su cui deve lavorare e solo quando serve.
- Apparecchio sempre aggiornato. Firewall e concentratori VPN sono esposti su internet per definizione: i loro difetti vengono cercati e sfruttati in fretta. Gli aggiornamenti di sicurezza vanno installati appena escono.
- Dispositivi in ordine. Il portatile che si collega deve essere aggiornato, protetto e preferibilmente aziendale. Un PC di casa usato da tutta la famiglia porta in ufficio i suoi problemi.
- Registri attivi. Chi si è collegato, quando e da dove. Un accesso alle tre di notte da un paese lontano deve far scattare un controllo.
Queste regole si integrano con le altre misure di base, come aggiornamenti e backup, descritte nella guida alla sicurezza informatica per piccole aziende.
La VPN non funziona: le cause più comuni
Prima di tutto, una domanda: non funziona per tutti o solo per te? Se nessuno riesce a collegarsi, il problema è quasi sempre in ufficio (linea, apparecchio, certificato scaduto). Se il problema è solo tuo, guarda la tabella.
| Sintomo | Causa probabile | Cosa fare |
|---|---|---|
| Non si collega da un albergo, da un treno o dalla rete di un cliente | La rete ospite blocca le porte usate dalla VPN | Prova con l'hotspot del telefono; se funziona, chiedi al tecnico un profilo VPN che usi porte più permissive |
| Collegato, ma non vedi il server o le cartelle | La rete di casa usa gli stessi indirizzi di quella dell'ufficio (per esempio 192.168.1.x in entrambe) | Il tecnico cambia gli indirizzi della rete dell'ufficio o della VPN; nel frattempo si può cambiare quella del router di casa |
| Il server si raggiunge con l'indirizzo numerico ma non con il nome | Il PC non usa i server DNS dell'ufficio quando è in VPN | Correggere la configurazione DNS del profilo VPN |
| Funzionava, da oggi dice "credenziali errate" | Password scaduta, account bloccato dopo troppi tentativi o telefono nuovo senza l'app del secondo controllo | Chiedere lo sblocco e la nuova associazione dell'app; non riprovare a ripetizione |
| Errore di certificato | Certificato scaduto sull'apparecchio dell'ufficio, oppure data e ora sbagliate sul portatile | Controllare data e ora del PC; se è giusta, il certificato va rinnovato in ufficio |
| Nessuno riesce più a collegarsi da un giorno all'altro | L'indirizzo internet dell'ufficio è cambiato, oppure l'operatore ha cambiato il router o la linea | Verificare con il tecnico; gli uffici senza indirizzo fisso usano un nome dinamico (DDNS), che va tenuto aggiornato |
| Si collega, ma cade spesso o si blocca sui file grandi | Linea instabile o impostazioni della dimensione dei pacchetti (MTU) non adatte | Provare via cavo o con un'altra rete; se persiste, il tecnico regola i parametri |
| Dopo un aggiornamento di Windows il client non parte | Versione del client non più compatibile | Installare la versione aggiornata indicata dal produttore dell'apparecchio |
Un caso particolare: alcune linee, soprattutto mobili o di certi operatori, non danno all'ufficio un indirizzo internet pubblico raggiungibile dall'esterno. In questi casi nessuno può collegarsi all'ufficio finché non si chiede all'operatore un indirizzo pubblico o si cambia architettura.
Perché il gestionale è lento in VPN
La lamentela più frequente non è "non si collega", ma "è lentissimo". Il motivo spesso sta nella linea dell'ufficio, non in quella di casa: quando lavori da fuori, i dati partono dall'ufficio verso di te usando la velocità in upload della linea aziendale, che su molti contratti è molto più bassa di quella in download. Se tre persone si collegano insieme, la dividono.
C'è poi il tipo di programma. Alcuni gestionali e alcuni archivi lavorano aprendo direttamente file di database sulle cartelle condivise: in ufficio, sulla rete locale, vanno benissimo; attraverso internet diventano lenti e rischiano di danneggiare l'archivio se il collegamento cade a metà. Per questi programmi la soluzione giusta è la VPN seguita dal desktop remoto, oppure la versione web del gestionale, se esiste.
Esempio: uno studio con tre persone in lavoro agile
Uno studio di consulenza ha un server in ufficio con l'archivio e il programma di contabilità, e tre collaboratori che lavorano da casa due giorni a settimana. All'inizio si collegano con un programma di controllo remoto installato a suo tempo e mai aggiornato, con la stessa password per tutti.
La soluzione adottata: VPN sul firewall dell'ufficio, un utente per persona con codice sul telefono, accesso limitato ai rispettivi PC d'ufficio tramite desktop remoto, registro dei collegamenti attivo. Il vecchio programma di controllo remoto viene disinstallato. Il risultato è un accesso più sicuro e anche più veloce, perché sul collegamento viaggia solo lo schermo e non l'archivio della contabilità.
Come lo facciamo noi
Faberweb configura VPN per singole persone e collegamenti fra sedi su firewall nuovi o già presenti, sistema le VPN esistenti che danno problemi e lascia al cliente la documentazione di utenti, profili e regole. Molti problemi di collegamento si risolvono da remoto; l'intervento in sede serve soprattutto quando c'è da installare o sostituire l'apparecchio, nel raggio di circa 100 km da Lodi Vecchio. Il tempo di lavoro costa 43 € + IVA all'ora, uguale in sede e a distanza; per l'intervento in sede si somma l'uscita, proporzionata ai chilometri. Trovi gli altri servizi su Informatica e assistenza e la guida al firewall aziendale per la parte di rete. Per un parere sul tuo caso, scrivici.
Domande frequenti
Posso usare una VPN gratuita per collegarmi all'ufficio?
No. Le VPN gratuite o commerciali per la navigazione non danno accesso alla rete aziendale: fanno passare il tuo traffico dai loro server, che non sono collegati all'ufficio. La VPN aziendale deve terminare su un apparecchio dell'azienda o su un servizio scelto e controllato dall'azienda.
Serve un indirizzo IP statico per la VPN?
Aiuta, ma non è sempre indispensabile. Con un indirizzo che cambia si può usare un nome dinamico (DDNS) che segue l'ufficio. È invece indispensabile che la linea dell'ufficio abbia un indirizzo pubblico raggiungibile da internet: alcune connessioni non lo danno, e va chiesto all'operatore.
Posso collegarmi alla VPN dal mio PC personale?
Tecnicamente sì, ma è un rischio: il PC di casa può avere programmi non aggiornati o essere usato da altri. Se non si può avere un portatile aziendale, è meglio che dal PC personale ci si colleghi solo in desktop remoto al PC d'ufficio, senza copiare file in locale, e con sistema e protezioni aggiornati.
Quanto costa impostare una VPN aziendale?
Dipende da cosa c'è già. Se il firewall dell'ufficio la supporta, il costo è soprattutto il tempo di configurazione, test e documentazione, più eventuali licenze per i client o per il doppio controllo all'accesso. Se l'apparecchio è vecchio o non la gestisce, va messo in conto anche il firewall nuovo.
Con la VPN tutto il mio traffico passa dall'ufficio?
Dipende da come è configurata. Con il tunnel completo tutto il traffico, anche la navigazione, passa dall'ufficio ed è soggetto ai suoi filtri; con il tunnel diviso (split tunneling) passa dall'ufficio solo quello diretto ai sistemi aziendali. Il primo è più controllato, il secondo pesa meno sulla linea dell'ufficio: si sceglie in base all'azienda.