Una VPN, acronimo di Virtual Private Network, crea un collegamento protetto tra il tuo dispositivo o la tua rete e un endpoint remoto. Nella configurazione tipica usata per navigare su Internet, il traffico destinato al tunnel viene cifrato fino al server remoto e da lì prosegue verso il servizio che vuoi raggiungere.
Questo cambia due cose importanti: chi osserva la rete locale o la connessione del tuo provider Internet non vede il traffico nello stesso modo di una connessione diretta, mentre i siti che raggiungi vedono normalmente come indirizzo di origine quello del server di uscita anziché il tuo IP pubblico.
Ma c’è un punto che vale la pena chiarire subito: usare una VPN non significa diventare anonimi, immuni al tracciamento o protetti da qualsiasi minaccia online. Cookie, account autenticati, fingerprinting, malware e phishing continuano a esistere. Inoltre una parte della fiducia che normalmente riponi nel provider Internet viene spostata verso il gestore del servizio.
Capire questo confine è più utile che partire da una promessa generica di “navigazione anonima”. Vediamo quindi cosa succede realmente alla connessione, cosa viene protetto e in quali situazioni questo strumento ha senso.
Cos’è una VPN e cosa significa
VPN significa Virtual Private Network, in italiano rete privata virtuale. Il termine descrive un meccanismo attraverso il quale due punti possono comunicare mediante una rete pubblica come Internet creando tra loro un collegamento logico protetto.
“Privata” non significa necessariamente che venga costruita una seconda Internet isolata. Significa piuttosto che viene creato un percorso virtuale con proprietà di sicurezza e routing definite dalla configurazione.
Il modello semplificato di una connessione Internet normale è:
dispositivo → router/rete locale → ISP → Internet → servizio
Con una VPN consumer configurata per instradare la navigazione attraverso il provider diventa:
dispositivo → tunnel VPN → server VPN → Internet → servizio
Dal punto di vista del sito finale, la connessione arriva normalmente dall’indirizzo IP pubblico del server di uscita.
Dal punto di vista della rete locale e dell’ISP, invece, è visibile il collegamento verso l’infrastruttura remota, mentre il contenuto trasportato dentro il tunnel è protetto secondo il protocollo utilizzato.
VPN significa Virtual Private Network
Le tre parole dell’acronimo aiutano a capire il concetto.
Virtual indica che il collegamento non richiede necessariamente una linea fisica dedicata tra i due endpoint. Viene costruito logicamente sopra una rete esistente.
Private indica che la comunicazione viene separata e protetta secondo regole di autenticazione, cifratura e routing.
Network ricorda che non stiamo parlando semplicemente di una funzione del browser: questo tipo di rete può collegare dispositivi, utenti, sedi aziendali o intere infrastrutture.
Per questo una rete privata virtuale è molto più vicina al networking che a una generica modalità di “navigazione privata”.
VPN personale e VPN aziendale: stessa tecnologia, esigenze diverse
La parola VPN viene utilizzata almeno in due contesti che conviene distinguere.
Una VPN personale o commerciale viene normalmente utilizzata per instradare il traffico di un dispositivo attraverso l’infrastruttura di un provider. Può essere utile per modificare l’IP pubblico visibile ai servizi raggiunti, proteggere il tratto di rete fra dispositivo e server remoto e ridurre ciò che una rete locale non fidata può osservare.
Una VPN aziendale nasce invece soprattutto per collegare utenti o reti a risorse private. Un dipendente può, per esempio, utilizzare un client per raggiungere sistemi che non devono essere esposti direttamente su Internet.
Esistono poi collegamenti site-to-site che uniscono due reti, per esempio due sedi, attraverso un tunnel.
La tecnologia di base può quindi essere simile, ma il problema che si sta risolvendo è diverso. Non bisogna confondere automaticamente un servizio commerciale con l’accesso remoto a un’infrastruttura aziendale.
Come funziona una VPN
Per capire davvero come funziona una VPN bisogna separare tre operazioni: routing, autenticazione e protezione del traffico.
Quando attivi il client, il sistema crea normalmente un’interfaccia di rete virtuale e modifica le regole necessarie per far passare attraverso di essa tutto o parte del traffico previsto.
Il client stabilisce quindi una sessione con un server remoto. Le modalità precise dipendono dal protocollo, ma il principio generale è che i due endpoint si autenticano secondo il meccanismo previsto e derivano le chiavi necessarie a proteggere la comunicazione.
I pacchetti destinati al tunnel vengono incapsulati e trasmessi al server. Quest’ultimo li elabora e li inoltra verso la destinazione finale.
La risposta segue il percorso inverso.
Dal dispositivo al server VPN: tunnel, cifratura e autenticazione
Il termine tunnel VPN descrive il collegamento logico creato sopra la rete Internet esistente.
Non è un “tubo” separato fisicamente. I pacchetti continuano a viaggiare sulle infrastrutture degli operatori, ma il loro contenuto viene incapsulato e protetto secondo il protocollo scelto.
Una guida tecnica del NIST sulle VPN IPsec descrive IPsec come un framework di standard destinato a proteggere comunicazioni sulle reti IP. Altre soluzioni, come OpenVPN e WireGuard, implementano il tunnel con architetture differenti.
Questa distinzione conta perché VPN non è il nome di un singolo protocollo. È una categoria di soluzione.
Perché cambia l’indirizzo IP visibile
Quando il traffico Internet viene instradato attraverso il server di uscita, la connessione verso il sito di destinazione parte da quell’infrastruttura.
Di conseguenza il servizio remoto vede normalmente l’indirizzo IP del nodo scelto.
Questo può modificare anche la posizione geografica approssimativa associata all’IP. Se ti trovi ad Ancona e utilizzi un server in Germania, un sito che determina la posizione basandosi soltanto sull’IP potrebbe interpretare la connessione come proveniente dalla Germania.
Non significa però che la tua posizione reale sia diventata invisibile a qualsiasi sistema. Un’app alla quale hai concesso accesso al GPS, un account autenticato, cookie precedenti o altre tecniche di identificazione possono fornire informazioni completamente indipendenti dall’IP.
Dove termina il tunnel VPN e perché è importante capirlo
Questo è uno dei punti più frequentemente semplificati.
In una normale configurazione consumer il tunnel protetto non arriva automaticamente fino al sito web che stai visitando. Arriva dal dispositivo al server VPN.
Dopo il server, il traffico deve continuare verso la destinazione.
Se il sito utilizza HTTPS, quel traffico dispone anche della protezione applicativa fornita da TLS. Se invece un protocollo comunica in chiaro, la presenza del tunnel non trasforma magicamente l’intero percorso fra server e destinazione in una connessione cifrata end-to-end.
È quindi utile distinguere questa protezione dalla crittografia end-to-end, nella quale il confine crittografico e il modello di accesso ai dati sono differenti.
Cosa vedono ISP, provider VPN e siti quando la VPN è attiva
Una VPN modifica chi può osservare quale parte della comunicazione. Non elimina tutti gli osservatori.
| Soggetto | Connessione diretta | Con VPN consumer attiva |
|---|---|---|
| Rete Wi-Fi locale | può osservare metadati di rete e traffico non protetto | vede normalmente la connessione verso il server VPN, non il contenuto dentro il tunnel |
| ISP | trasporta direttamente il traffico Internet dell’utente | vede la connessione verso l’infrastruttura remota e relativi metadati |
| Provider VPN | non è normalmente nel percorso | diventa un intermediario privilegiato della connessione |
| Sito visitato | vede normalmente l’IP pubblico della connessione dell’utente | vede normalmente l’IP di uscita |
| Account autenticato | può identificare l’utente | continua a poter identificare l’utente |
| Tracker web | possono utilizzare cookie, fingerprinting e altri segnali | molte di queste tecniche continuano a funzionare |
La Electronic Frontier Foundation sintetizza bene il punto: una rete privata virtuale è particolarmente efficace nel far passare la connessione attraverso un’altra rete, ma non dovrebbe essere venduta come soluzione universale contro malware, sorveglianza, tracking o criminalità informatica.
Cosa vede la rete locale e il provider Internet
Quando il tunnel è configurato correttamente, chi controlla la rete locale non può leggere direttamente il traffico che passa al suo interno.
Lo stesso principio vale per l’ISP: sa che il tuo dispositivo sta comunicando con un determinato endpoint e può osservare informazioni come tempi e quantità di traffico, ma non vede la navigazione nello stesso modo in cui la vedrebbe se il traffico passasse direttamente attraverso la sua rete.
Questo non significa che “l’ISP non vede più nulla”. La presenza stessa della connessione e i relativi metadati restano osservabili.
Cosa può vedere il provider VPN
Il server VPN si trova in un punto particolarmente delicato del percorso.
Ciò che nascondi alla rete locale e all’ISP non scompare semplicemente: cambia il soggetto che gestisce il punto di uscita.
La EFF descrive questo passaggio come uno spostamento della fiducia. Per questo la scelta di un provider non dovrebbe basarsi soltanto sul numero di server, sulla velocità dichiarata o sulla presenza di un grande pulsante “no log”.
Bisogna capire chi gestisce il servizio, quali informazioni raccoglie, per quanto tempo le conserva e quali affermazioni possono essere verificate.
Cosa continuano a vedere siti, app e account
Supponiamo che tu attivi il servizio e poi acceda al tuo account Google, Amazon o Facebook.
La piattaforma non ha bisogno del tuo vecchio IP per sapere chi sei: hai effettuato volontariamente l’accesso.
Lo stesso vale per cookie, identificatori pubblicitari e numerosi sistemi di fingerprinting.
Il tunnel modifica quindi alcuni segnali disponibili ai servizi online, soprattutto l’IP di origine, ma non resetta la tua identità digitale.
A cosa serve una VPN e quando ha davvero senso usarla
La domanda “a cosa serve una VPN?” non ha una sola risposta perché esistono configurazioni e scenari differenti.
Il criterio più utile è chiedersi da chi vuoi proteggere la comunicazione e quale parte della connessione vuoi modificare.
| Esigenza | Una VPN è utile? | Perché |
|---|---|---|
| Ridurre ciò che la rete locale può osservare | Sì | protegge il tratto verso il server VPN |
| Nascondere l’IP reale al sito visitato | Sì, normalmente | il sito vede l’IP di uscita |
| Accedere a una rete aziendale privata | Sì | è uno degli utilizzi classici |
| Diventare completamente anonimi | No | restano account, cookie, fingerprinting e altri segnali |
| Bloccare phishing e malware | Non da sola | sono problemi diversi |
| Proteggere password su siti HTTPS | HTTPS lo fa già sul relativo canale | il tunnel aggiunge un diverso livello di protezione e routing |
| Nascondere la posizione GPS | No | GPS e IP sono fonti di posizione differenti |
Ridurre ciò che la rete locale e l’ISP possono osservare
Se utilizzi una rete che non controlli, creare un tunnel verso un endpoint di cui ti fidi può ridurre l’esposizione locale.
È una distinzione particolarmente importante in hotel, aeroporti, reti condivise e infrastrutture amministrate da soggetti che non conosci.
Non significa che qualsiasi Wi-Fi pubblico senza VPN sia automaticamente pericoloso. Gran parte della navigazione moderna utilizza già HTTPS, che protegge il contenuto fra browser e sito.
Il tunnel interviene però su un confine diverso: protegge il traffico diretto verso il proprio server e modifica ciò che la rete locale può osservare sulla destinazione della connessione.
Collegarsi da remoto a una rete privata o aziendale
Questo è uno degli utilizzi storici più chiari.
Il client si collega all’endpoint controllato dall’organizzazione e riceve la possibilità di raggiungere determinate reti o risorse come se disponesse di un percorso interno autorizzato.
In questo caso la tecnologia non serve principalmente a cambiare paese virtuale o a nascondere l’IP a un sito pubblico. Serve a estendere in modo controllato l’accesso a una rete privata.
Permessi, autenticazione, segmentazione e configurazione continuano comunque a essere essenziali. Il tunnel non rende sicura una risorsa configurata male.
Cambiare l’indirizzo IP e la posizione apparente
Un servizio consumer può permetterti di scegliere un nodo di uscita in una regione differente.
Questo modifica l’IP visibile ai servizi Internet e può cambiare il risultato dei sistemi che applicano regole basate sulla geolocalizzazione dell’indirizzo.
È il motivo per cui questi servizi vengono utilizzati anche per accedere a risorse durante viaggi, testare contenuti da reti differenti o superare alcune limitazioni basate sull’IP.
Non è però una garanzia: piattaforme e servizi possono riconoscere e bloccare determinati indirizzi appartenenti a infrastrutture di questo tipo o applicare regole aggiuntive.
VPN e Wi-Fi pubblico: perché HTTPS ha cambiato il quadro
Per anni le VPN sono state presentate quasi come requisito indispensabile ogni volta che ci si collegava a un Wi-Fi pubblico.
Il consiglio oggi richiede più precisione.
Quando visiti correttamente un sito HTTPS, TLS protegge la comunicazione tra browser e server. Un osservatore locale non può semplicemente leggere password o contenuti della pagina intercettando i pacchetti come avverrebbe con una connessione HTTP in chiaro.
Questo riduce notevolmente il rischio associato alla semplice intercettazione passiva.
Il tunnel può comunque essere utile perché protegge un confine più ampio verso il proprio endpoint, riduce i metadati esposti localmente e copre anche traffico che non dispone della stessa protezione applicativa.
La scelta va quindi formulata così: HTTPS e VPN non sono due alternative allo stesso problema.
Cosa non protegge una VPN
Capire i limiti evita di prendere decisioni di sicurezza sbagliate.
Una VPN protegge un determinato percorso di rete. Non sostituisce tutte le altre difese necessarie su dispositivo, browser, account e applicazioni.
Una VPN non rende anonimi su Internet
Cambiare IP è utile per la privacy, ma privacy e anonimato non sono sinonimi.
Se effettui il login, comunichi direttamente la tua identità al servizio.
Se un sito ha già impostato cookie persistenti, può riconoscere lo stesso browser anche quando l’IP cambia.
Tecniche di fingerprinting possono inoltre combinare caratteristiche del dispositivo e del browser per distinguere utenti o sessioni.
La EFF è particolarmente netta su questo punto: il servizio non va considerato uno strumento completo di anonimizzazione.
Cookie, account e browser fingerprinting continuano a esistere
Immagina di visitare un ecommerce senza tunnel attivo, effettuare il login, chiudere il browser, attivare la connessione protetta e rientrare con lo stesso account.
Il nuovo IP non cancella il fatto che hai appena fornito username e password.
Lo stesso principio vale per molti altri identificatori.
Una connessione VPN deve quindi essere vista come uno strato del modello di privacy, non come un interruttore capace di far sparire tutta la storia precedente dell’utente.
Malware, phishing e dispositivi compromessi richiedono altre difese
Se inserisci volontariamente la password su una pagina di phishing, il tunnel può trasportarla in maniera perfettamente cifrata fino all’infrastruttura prevista, ma questo non rende legittimo il sito sul quale l’hai inserita.
Analogamente, se un computer contiene malware in grado di leggere dati prima che entrino nel tunnel, il problema si trova all’endpoint e non nel collegamento di rete.
Questo strumento non sostituisce aggiornamenti, autenticazione forte, protezioni del dispositivo, backup, browser sicuro o capacità di riconoscere un tentativo di phishing.
VPN vs HTTPS, proxy e Tor: non risolvono lo stesso problema
Quattro tecnologie vengono spesso raggruppate sotto l’etichetta generica di “privacy”, ma agiscono in punti differenti.
| Tecnologia | Problema principale | Cosa cambia | Cosa non fa automaticamente |
|---|---|---|---|
| VPN | proteggere/instradare traffico verso un endpoint remoto | crea un tunnel e può sostituire l’IP visibile | anonimizzare completamente l’utente |
| HTTPS/TLS | proteggere la comunicazione applicativa con un servizio | cifra e autentica il canale client-server | nascondere l’IP del client al sito |
| Proxy | intermediare determinate connessioni | inoltra richieste attraverso un altro sistema | creare necessariamente un tunnel cifrato |
| Tor | aumentare privacy e anonimato distribuendo la fiducia | instrada il traffico attraverso più relay | offrire le stesse prestazioni e lo stesso modello di una normale VPN |
VPN e HTTPS: proteggono parti diverse della connessione
Con HTTPS, browser e sito stabiliscono un canale protetto mediante TLS.
Con una VPN consumer, dispositivo e server remoto stabiliscono un altro tipo di collegamento protetto.
Le due tecnologie possono quindi essere utilizzate contemporaneamente.
Se apri un sito HTTPS mentre sei collegato, semplificando ottieni:
dispositivo → tunnel VPN → server VPN → connessione HTTPS → sito
La rappresentazione è intenzionalmente semplificata, ma rende evidente il punto: i confini crittografici non coincidono.
VPN vs proxy
Un proxy è un intermediario a cui un’applicazione o un sistema invia determinate richieste.
Una rete privata virtuale crea invece normalmente un’interfaccia e un tunnel attraverso cui viene instradato il traffico previsto dalla configurazione.
Per capire il modello tecnico del primo prima del confronto, puoi partire dalla guida dedicata al server proxy.
La differenza però non può essere ridotta alla frase “la VPN è sempre sicura, il proxy no”. Esistono proxy protetti tramite TLS e configurazioni differenti. Bisogna valutare protocollo, routing, cifratura e punto di fiducia effettivo.
VPN vs Tor
Tor affronta la privacy con un’architettura differente.
Il Tor Project spiega che il traffico viene fatto transitare attraverso una rete distribuita di relay e che nessun singolo relay dovrebbe conoscere contemporaneamente origine e destinazione completa della comunicazione.
Un normale servizio consumer utilizza invece un provider che gestisce il punto attraverso cui passa la connessione.
Per questo Tor e VPN non sono intercambiabili: il primo è progettato esplicitamente attorno a un modello di anonimato e distribuzione della fiducia; il secondo privilegia normalmente semplicità, routing e prestazioni.
Tipi di VPN e protocolli: cosa cambia davvero
La parola VPN descrive più architetture.
Una distinzione utile separa VPN remote access, site-to-site e servizi personali, mentre un secondo livello riguarda il protocollo utilizzato per creare il tunnel.
VPN personali, remote access e site-to-site
Una soluzione personale collega normalmente un dispositivo all’infrastruttura del provider e può instradare attraverso di essa il traffico Internet.
Una configurazione remote access collega invece un utente remoto a una rete privata.
Una VPN site-to-site mette in comunicazione due reti. Può essere utilizzata, per esempio, per collegare sedi geograficamente separate.
Il concetto è quindi più ampio delle app consumer che mostrano una mappa e un elenco di paesi.
WireGuard, OpenVPN e IKEv2/IPsec
I protocolli non devono essere trattati come semplici etichette commerciali.
| Tecnologia | Modello | Punto distintivo |
|---|---|---|
| WireGuard | protocollo VPN moderno basato su UDP | implementazione relativamente compatta e cryptokey routing |
| OpenVPN | soluzione VPN basata su SSL/TLS | elevata configurabilità e ampia diffusione |
| IKEv2/IPsec | negoziazione IKE + protezione IPsec | standard consolidato per sicurezza a livello IP |
La documentazione ufficiale di WireGuard descrive un handshake basato sul framework Noise e l’utilizzo di primitive moderne come ChaCha20-Poly1305 e Curve25519.
OpenVPN utilizza invece SSL/TLS per la creazione e autenticazione della sessione e può lavorare con interfacce virtuali TUN/TAP.
IPsec è una famiglia di standard più ampia per la sicurezza a livello IP, normalmente affiancata da IKE per la negoziazione.
Non serve scegliere un servizio soltanto perché pubblicizza il nome del protocollo più recente. Implementazione, configurazione, client e infrastruttura contano almeno quanto l’etichetta.
Full tunnel e split tunneling
Una connessione protetta non deve necessariamente instradare ogni pacchetto attraverso lo stesso percorso.
Nel full tunnel, il traffico previsto dalla route predefinita passa attraverso l’endpoint remoto.
Con lo split tunneling, soltanto determinate destinazioni, reti o applicazioni utilizzano il tunnel, mentre il resto continua a seguire il collegamento ordinario.
Lo split tunneling può migliorare prestazioni o permettere di raggiungere contemporaneamente risorse locali e remote, ma amplia anche il numero di percorsi che devono essere configurati e compresi correttamente.
Una VPN rallenta Internet? Da cosa dipendono le prestazioni
Inserire un server intermedio e una fase aggiuntiva di elaborazione può aumentare latenza e overhead. Dire però che “una VPN rallenta sempre di X%” non avrebbe senso.
Le prestazioni dipendono dal percorso reale.
Distanza, percorso, server e congestione
Se sei in Italia e scegli un endpoint molto distante, i pacchetti devono percorrere una strada più lunga prima di raggiungere la destinazione.
Conta anche la qualità dell’infrastruttura del provider, il carico sul server, il peering fra reti e il percorso scelto dagli operatori.
In alcuni casi un routing differente può persino evitare un percorso particolarmente inefficiente, quindi la distanza geografica da sola non predice tutta la performance.
Il protocollo conta, ma non esiste una velocità garantita
Il protocollo determina parte dell’overhead e del lavoro crittografico, ma non può compensare un server sovraccarico o una cattiva connettività.
Per questo considero poco significative le classifiche che dichiarano un servizio “il più veloce” senza spiegare almeno posizione del client, server utilizzato, connessione di riferimento, orario, protocollo e metodo di misura.
Se la velocità è importante, il dato utile è quello misurato sulla tua connessione e verso le destinazioni che utilizzi realmente.
Come scegliere una VPN senza fidarsi solo del marketing
Scegliere un provider significa scegliere chi gestirà un punto molto privilegiato del percorso di rete.
Il criterio principale dovrebbe quindi essere fiducia verificabile, non quantità di claim.
Logging, proprietà e privacy policy
“No log” è una frase commerciale finché non viene definito cosa significa.
Un provider può non conservare la cronologia completa dei siti visitati ma raccogliere dati tecnici, timestamp, informazioni sull’account, diagnostica o altri metadati.
La domanda corretta non è quindi soltanto “salva i log?”, ma quali dati raccoglie, perché, per quanto tempo e con quali soggetti può condividerli.
Anche la proprietà dell’azienda conta. Marchi apparentemente separati possono appartenere allo stesso gruppo.
Audit indipendenti e trasparenza
Un audit esterno è un segnale più interessante di una semplice promessa, ma va interpretato correttamente.
Bisogna capire chi ha svolto la verifica, quale sistema è stato analizzato, quale periodo copre e quali limitazioni aveva l’incarico.
Un audit non dimostra che qualsiasi versione futura dell’infrastruttura continuerà automaticamente a comportarsi allo stesso modo.
È evidenza, non una garanzia perpetua.
Protocolli, kill switch e protezione dalle perdite DNS
Per un normale servizio consumer controllerei che siano disponibili protocolli moderni e che il client permetta di capire chiaramente cosa succede in caso di perdita della connessione.
Un kill switch può interrompere il traffico quando cade il tunnel, evitando che il sistema torni silenziosamente sulla connessione ordinaria.
La gestione del DNS è altrettanto importante: se vuoi che determinate richieste seguano il percorso protetto, una configurazione che le lascia uscire attraverso resolver esterni non previsti può rivelare informazioni che pensavi fossero all’interno del tunnel.
Sono funzioni utili, ma vanno verificate nella piattaforma che utilizzi realmente. La presenza della voce nella pagina commerciale non dimostra che sia implementata nello stesso modo su Windows, macOS, Android, iOS e router.
VPN gratuita o a pagamento: conta il modello di fiducia, non soltanto il prezzo
“Gratis” non significa automaticamente insicuro e “a pagamento” non significa automaticamente affidabile.
La domanda è: come viene finanziata l’infrastruttura e quali incentivi ha l’operatore che gestisce il tuo traffico?
Un servizio gratuito sostenuto da un’organizzazione identificabile e con policy trasparenti è un caso molto diverso da un’app di origine poco chiara che promette traffico illimitato senza spiegare come sostiene server, banda e sviluppo.
Allo stesso modo, pagare un abbonamento non corregge una cattiva privacy policy.
Il prezzo è quindi un criterio secondario rispetto a proprietà, trattamento dei dati, architettura, trasparenza e qualità del client.
Come usare una VPN e verificare che stia funzionando
Per un normale servizio consumer la procedura è semplice, ma vale la pena aggiungere un passaggio di verifica invece di fidarsi soltanto dell’icona “connesso”.
- Installa il client esclusivamente dalla fonte ufficiale del provider o dallo store indicato dal produttore. Prima di collegarti, controlla il tuo indirizzo IP pubblico e, se ti interessa la gestione DNS, quali resolver stai utilizzando. Attiva quindi la connessione verso il server scelto e verifica di nuovo l’IP: dovrebbe corrispondere all’infrastruttura remota e non alla tua connessione ordinaria. Se il servizio dichiara di gestire anche le richieste DNS, controlla che non continuino a uscire attraverso resolver che non ti aspetti. Infine prova cosa succede quando interrompi artificialmente il tunnel: se utilizzi un kill switch, devi capire se e come impedisce al traffico di tornare sulla connessione normale.
Connettersi tramite client VPN
Nella maggior parte delle applicazioni consumer la complessità di configurazione viene nascosta dal client.
Sotto il pulsante “Connetti” continuano però a esistere scelte tecniche reali: endpoint, protocollo, route, DNS e comportamento in caso di errore.
Lasciare le impostazioni automatiche può essere perfettamente ragionevole per un utente normale, ma sapere che questi componenti esistono aiuta a diagnosticare problemi di velocità, accesso o perdita della connessione.
Controllare IP e DNS dopo la connessione
Il controllo dell’IP è la verifica minima.
Se prima della connessione il sito di verifica mostra l’indirizzo assegnato dal tuo provider e dopo mostra quello dell’endpoint remoto, il routing Internet sta passando almeno per il nodo previsto.
Non dimostra però che ogni pacchetto del dispositivo utilizzi quel percorso.
Split tunneling, eccezioni applicative, IPv6, DNS e configurazioni particolari possono produrre percorsi diversi. Quando il requisito di privacy è importante, bisogna verificare il comportamento della configurazione effettiva e non soltanto la presenza dell’icona verde nel client.
Conclusione
Una VPN è utile quando hai un problema di rete preciso da risolvere: vuoi creare un collegamento protetto con un endpoint remoto, ridurre ciò che una rete locale può osservare, accedere a una rete privata oppure far uscire la connessione Internet da un altro punto.
Il concetto più importante da ricordare è però il confine della protezione.
Il tunnel protegge il traffico fra gli endpoint previsti dalla configurazione. Non rende automaticamente anonimo l’utente, non sostituisce HTTPS, non elimina tracking e fingerprinting e non protegge un dispositivo già compromesso.
Per un servizio commerciale entra inoltre in gioco la fiducia nel provider. Nascondere parte della navigazione all’ISP per consegnarla a un operatore di cui non conosci proprietà, policy e pratiche non è necessariamente un miglioramento.
Per questo sceglierei una rete privata virtuale partendo dalla domanda “da chi e da cosa devo proteggere questa connessione?”, e soltanto dopo confronterei protocollo, client, server e prezzo.
È un criterio meno spettacolare delle promesse di anonimato totale, ma descrive molto meglio ciò che una VPN può realmente fare.