Punti chiave
- Poiché i protocolli da soli non riflettono la sicurezza, l’usabilità o i requisiti operativi, scegli i tipi di VPN in base all’utilizzo e alla distribuzione degli accessi negli ambienti reali.
- Le VPN ad accesso remoto collegano i singoli utenti ai sistemi interni dall’esterno del perimetro di rete. Questo li rende la scelta standard per gli ambienti di lavoro remoti e ibridi.
- Le VPN site-to-site collegano intere reti piuttosto che utenti, consentendo alle sedi distaccate di comunicare e condividere le risorse come un’unica rete privata.
- I modelli di VPN client-based e clientless influenzano i segmenti di rete che gli utenti possono raggiungere, il grado di controllo sugli endpoint e la fruibilità della connessione.
- La VPN always-on stabilisce automaticamente le connessioni quando un dispositivo gestito è online, imponendo una postura di sicurezza coerente ma aumentando la dipendenza dalla disponibilità e dalla resilienza dell’infrastruttura VPN.
- Gli ambienti cloud e ibridi riducono la dipendenza dai tunnel VPN a livello di rete, con un accesso basato sull’identità e specifico a livello di applicazione, che spesso integra o sostituisce la connettività VPN tradizionale.
La scelta del tipo di VPN giusto dipende da come e dove viene utilizzato l’accesso, non solo dai protocolli che costituiscono il tunnel. Gli scenari di accesso reali variano notevolmente. Un dipendente remoto che si collega da casa ha esigenze molto diverse rispetto a due reti di uffici che devono rimanere sempre connessi.
Considerando i tipi di VPN come modelli di implementazione piuttosto che come meccaniche di tunnel, è più facile scegliere soluzioni che corrispondano ai modelli di accesso, ai requisiti di sicurezza e alla complessità operativa.
Comprendere le VPN per l’accesso remoto
Una rete privata virtuale (VPN) ad accesso remoto consente agli utenti di collegarsi in modo sicuro ai sistemi interni dall’esterno del perimetro di rete. È ampiamente utilizzata negli ambienti di lavoro remoti e ibridi, dove i dipendenti devono raggiungere le risorse aziendali private da qualsiasi luogo.
La VPN stabilisce un tunnel crittografato tra il dispositivo dell’utente e la rete interna, proteggendo i dati in transito. Ecco come funziona:
- L’organizzazione imposta un servizio VPN o un gateway per accettare connessioni remote.
- L’utente apre un’applicazione VPN o si connette automaticamente se è abilitato l’accesso “always-on”.
- L’utente accede utilizzando una password, un’autenticazione a più fattori (MFA) o un certificato del dispositivo o dell’utente.
- Dopo l’autenticazione, la VPN crea un tunnel crittografato per proteggere i dati che viaggiano tra l’utente e la rete.
- L’utente può quindi accedere ad applicazioni, file o sistemi interni approvati.
- La connessione termina quando l’utente si disconnette o quando le condizioni del criterio non sono più soddisfatte.
Controlli della postura degli endpoint
Le decisioni di accesso non si basano esclusivamente sull’identità. Molte VPN per l’accesso remoto tengono conto della postura del dispositivo di connessione prima di concedere l’accesso alla rete.
Cosa viene controllato?
Versione del sistema operativo, stato della crittografia del disco, presenza di antivirus o EDR, disponibilità del certificato e registrazione del dispositivo tramite la gestione dei dispositivi mobili (MDM).
Cosa succede ai dispositivi che non riescono a superare la convalida della postura?
I dispositivi che non soddisfano i requisiti di postura possono essere bloccati o limitati ad alcune risorse specifiche.
Comprendere le VPN site-to-site
Le VPN site-to-site, invece, sono progettate per collegare intere reti piuttosto che singoli utenti. Mentre le VPN per l’accesso remoto supportano le persone che lavorano fuori dall’ufficio, le VPN site-to-site mantengono sempre collegate più sedi.
Ciò consente alle filiali, ai data center e agli ambienti cloud di operare come se facessero parte di un’unica rete interna. Ecco come funziona:
- Ogni sede è dotata di un gateway VPN (di solito un router o un firewall).
- Questi gateway negoziano i parametri di crittografia e i metodi di autenticazione.
- I gateway si autenticano a vicenda per stabilire la fiducia.
- Una volta stabilita la fiducia, viene creato un tunnel crittografato tra i siti. Questo tunnel rimane sempre attivo.
- Tutto il traffico che si muove tra le reti viaggia attraverso questo tunnel crittografato, mantenendo i dati protetti durante il transito.
Modello VPN client-based vs senza client
Le VPN vengono comunemente distribuite utilizzando un modello basato su client o senza client. La tabella seguente mette a confronto le differenze tra i vari modelli per quanto riguarda il metodo di connessione, l’ambito di accesso e i requisiti di gestione.
|
Aspetti |
VPN basate su client |
VPN senza client |
| Gli utenti devono installare un software? | Sì. Sul dispositivo deve essere installato un software VPN dedicato. | No. L’accesso avviene tramite una sessione sicura del browser. |
| Come viene stabilita la connessione? | Viene creato un tunnel crittografato dall’endpoint alla rete interna. | Una sessione basata sul browser collega gli utenti a risorse specifiche. |
| Quanto accesso alla rete viene fornito? | In genere, l’accesso alla rete è ampio o completo, in base ai criteri. | Limitato a specifiche applicazioni o servizi. |
| Quali controlli di sicurezza sono supportati? | Supporta i controlli della postura dei dispositivi e l’applicazione della VPN sempre attiva. | Controllo limitato a livello di endpoint a causa della mancanza di un software client. |
| Quante operazioni di configurazione e gestione sono necessarie? | Richiede la distribuzione del client e la gestione continua degli endpoint. | Richiede una configurazione minima e nessuna gestione del client. |
| Quando viene utilizzato questo modello? | Per i dispositivi di proprietà dell’organizzazione e gestiti. | Per dispositivi non gestiti, condivisi o temporanei. |
Le VPN client-based e clientless offrono esperienze di accesso molto diverse. La scelta del modello giusto è importante perché determina il grado di accesso degli utenti, il controllo che l’organizzazione ha sui loro dispositivi e l’usabilità complessiva della connessione.
Modelli VPN sempre attivi
Le VPN always-on stabiliscono una connessione sicura automaticamente quando un dispositivo gestito è online. Gli utenti non devono avviare la connessione, poiché l’accesso è imposto dai criteri.
Questo approccio riduce la dipendenza dal comportamento dell’utente e mantiene il traffico protetto per impostazione predefinita. Le VPN always-on sono più adatte per i dispositivi di cui l’organizzazione è proprietaria e che gestisce, in particolare negli ambienti in cui sono richieste protezione e conformità continue.
Modelli di accesso cloud e ibrido
Gli ambienti IT moderni si affidano sempre più ad applicazioni cloud-native e a modelli di accesso basati sull’identità. Di conseguenza, l’accesso non è più legato esclusivamente alla posizione della rete, cosa che riduce la dipendenza dai tradizionali tunnel VPN a livello di rete.
In questi casi, le VPN tradizionali vengono spesso integrate o sostituite completamente da soluzioni di accesso al cloud che forniscono una connettività più diretta e specifica a livello di applicazione.
Ulteriori considerazioni
Nella scelta e nell’implementazione di una VPN, diversi fattori pratici possono influenzare l’allineamento della soluzione ai requisiti di accesso e alle aspettative operative.
Le prestazioni della VPN dipendono dalle decisioni di routing e split tunneling
Le prestazioni delle VPN dipendono in larga misura dal modo in cui il traffico viene instradato. Forzare tutto il traffico attraverso la VPN può introdurre latenza, vincoli di larghezza di banda e un accesso più lento ai servizi cloud.
Lo split tunneling può migliorare le prestazioni consentendo al traffico non sensibile di bypassare la VPN, ma deve essere applicato con attenzione per evitare lacune nella sicurezza.
L’integrazione delle identità influenza l’efficacia del controllo degli accessi
L’accesso VPN dipende in larga misura dai sistemi di identità. Le integrazioni con i moderni fornitori di identità, come SSO e MFA, consentono un controllo degli accessi e un’applicazione dei criteri più precisi. In questo modo è più facile concedere l’accesso alle giuste condizioni senza esporre eccessivamente le risorse interne.
L’esperienza dell’utente influisce sull’adozione e sulla conformità
Le VPN lente, inaffidabili o complesse da usare spesso portano alla ricerca di workaround e a una riduzione della conformità. Prestazioni prevedibili, meno passaggi manuali e autenticazione semplificata migliorano l’adozione e aiutano a mantenere gli utenti sul percorso di accesso previsto.
Le VPN non sostituiscono gli strumenti per la sicurezza degli endpoint
Le VPN proteggono il traffico in transito, ma non proteggono il dispositivo stesso. Gli endpoint richiedono comunque sistemi operativi aggiornati, strumenti di endpoint detection and response (EDR) e altri controlli di sicurezza per ridurre il rischio complessivo.
Risoluzione dei problemi
Di seguito elenchiamo alcuni problemi comuni delle VPN che sorgono quando i modelli di accesso o le scelte di implementazione non sono in linea con l’utilizzo reale, e alcune possibili soluzioni.
Prestazioni lente
Il ritardo o la riduzione del throughput sono spesso legati al modo in cui il traffico viene instradato. Esamina il tipo di VPN e determina se tutto il traffico è forzato attraverso il tunnel o se lo split tunneling è configurato in modo appropriato.
Accesso troppo ampio
Se gli utenti hanno più visibilità o permessi di quelli previsti, rivedi il modello di distribuzione e l’ambito di accesso. Verifica se la VPN garantisce l’accesso completo alla rete o l’accesso specifico alle applicazioni e modifica i criteri in modo che seguano il principio del minor privilegio.
Confusione per gli utenti
Flussi di lavoro VPN complessi o incoerenti aumentano gli errori degli utenti e riducono la conformità. La semplificazione del comportamento di connessione, la riduzione dei passaggi manuali o l’adozione di modelli always-on possono creare un’esperienza più prevedibile.
Problemi di scalabilità
Quando le prestazioni della VPN si riducono sotto carico, il problema è solitamente di architettura. Rivaluta la capacità del gateway, le dipendenze di autenticazione e il layout complessivo della VPN per garantire che il progetto sia in grado di supportare la domanda attuale e futura.
Integrazione con NinjaOne
NinjaOne supporta i team che gestiscono dispositivi con diversi modelli di VPN. Ecco come:
|
Capacità di NinjaOne |
Come ti può aiutare |
| Visibilità degli endpoint | Fornisce informazioni sullo stato dei dispositivi e sul comportamento della connettività tra gli endpoint che utilizzano diversi modelli VPN |
| Monitoraggio della postura del dispositivo | Aiuta a identificare se gli endpoint soddisfano i requisiti di sicurezza che influenzano le decisioni di accesso alla VPN |
| Gestione degli endpoint | Supporta la configurazione coerente e l’applicazione dei criteri per i dispositivi gestiti che utilizzano l’accesso basato su VPN |
| Monitoraggio centralizzato | Semplifica la supervisione centralizzando le informazioni sullo stato di integrità degli endpoint, la postura di sicurezza e i segnali di connettività in un’unica vista |
Allineare le moderne esigenze di accesso con i giusti tipi di VPN
I tipi di VPN si comprendono meglio in base al modo in cui vengono distribuiti e agli scenari di accesso che sono stati progettati per supportare. La scelta del modello giusto riduce gli attriti inutili, migliora l’allineamento della sicurezza e supporta l’accesso scalabile in base all’evoluzione degli ambienti.
Argomenti correlati:
