VPN aziendale: cos'è e come funziona davvero

Una VPN aziendale è una rete privata virtuale che crea un "tunnel" cifrato tra chi lavora e le risorse dell'azienda, facendo viaggiare i dati in sicurezza anche su Internet pubblico. Serve a collegare sedi e collaboratori remoti alla rete interna come se fossero in ufficio, proteggendo il traffico da intercettazioni e accessi non autorizzati.

Che cos'è una VPN aziendale

VPN sta per Virtual Private Network, rete privata virtuale. In pratica è una connessione protetta che si appoggia a una rete pubblica — la normale linea Internet — ma si comporta come un cavo privato dedicato tra due punti. Tutto ciò che passa nel tunnel viene cifrato: chi intercetta il traffico vede solo dati illeggibili, non le tue email, i file del gestionale o le credenziali dei tuoi collaboratori.

Per un'azienda questo risolve un problema concreto. I dati importanti stanno in ufficio o su un server: gestionale, cartelle condivise, database, applicativi interni. Ma le persone non stanno sempre in sede. Ci sono i tecnici in trasferta, i commerciali fuori, chi lavora da casa, la seconda filiale. La VPN è ciò che permette a tutti costoro di raggiungere quelle risorse in modo sicuro, senza esporle direttamente su Internet dove sarebbero un bersaglio per chiunque.

Nella nostra esperienza sul campo con le PMI lombarde, la VPN è spesso data per scontata finché non si rompe: il giorno in cui un venditore non riesce a caricare un ordine da fuori, ci si accorge di quanto quel tunnel fosse critico. Vale quindi la pena capire come funziona, per configurarlo bene fin dall'inizio.

Come funziona una VPN: il tunnel cifrato spiegato semplice

Il meccanismo si regge su tre passaggi.

Prima c'è l'autenticazione: il dispositivo che vuole entrare deve dimostrare di esserne autorizzato, tipicamente con credenziali e — se la rete è fatta bene — un secondo fattore. Poi si stabilisce il tunnel: i due estremi (per esempio il portatile del dipendente e il firewall dell'azienda) negoziano una connessione protetta e si scambiano le chiavi di cifratura. Infine avviene la cifratura del traffico: da quel momento ogni pacchetto che viaggia nel tunnel è incapsulato e crittografato con algoritmi come AES-256.

L'effetto pratico è che il portatile di chi lavora da casa "diventa" parte della rete aziendale. Riceve un indirizzo IP interno, vede le cartelle condivise, stampa sulla stampante di rete, apre il gestionale come se fosse seduto alla scrivania in ufficio. Solo che i dati, invece di attraversare la LAN, attraversano Internet dentro un involucro cifrato.

I protocolli che rendono possibile tutto questo sono cambiati nel tempo. Oggi i più usati sono IPsec (solido standard per i collegamenti tra sedi), OpenVPN (flessibile e molto diffuso) e WireGuard, il più recente, apprezzato per la leggerezza e le buone prestazioni. Protocolli datati come PPTP vanno invece abbandonati: sono considerati insicuri e non andrebbero più usati in produzione.

I due tipi di VPN aziendale che ti servono

Non tutte le VPN fanno la stessa cosa. Nelle aziende se ne incontrano principalmente due tipi, spesso attivi contemporaneamente.

VPN site-to-site (tra sedi)

La VPN site-to-site collega due reti tra loro: la sede principale e una filiale, o l'azienda e un capannone di produzione. Il tunnel è permanente e gestito dagli apparati di rete ai due estremi — di solito due firewall. Gli utenti non se ne accorgono nemmeno: accendono il PC in filiale e raggiungono il server della sede centrale in modo trasparente, come se fossero un'unica rete. È la soluzione tipica per chi ha più sedi che devono condividere gestionale, archivi e servizi.

VPN client-to-site (accesso remoto)

La VPN client-to-site, detta anche VPN ad accesso remoto, serve alle singole persone. Il collaboratore installa un piccolo software (il client VPN) sul portatile o sullo smartphone, si autentica e apre un tunnel verso la rete aziendale. È la VPN dello smart working, delle trasferte, del tecnico che deve collegarsi da un cliente. Ogni sessione è individuale e, se configurata correttamente, richiede l'identità verificata dell'utente prima di dare accesso.

La differenza è importante quando si dimensiona un apparato: un firewall che gestisce bene qualche tunnel site-to-site può faticare con decine di client remoti simultanei. È uno dei parametri da considerare nella scelta del firewall aziendale, che nella pratica è anche il "terminatore" della maggior parte delle VPN nelle PMI.

A cosa serve davvero una VPN aziendale

Al di là della definizione tecnica, ecco i motivi concreti per cui un'impresa ne ha bisogno.

• Lavoro remoto sicuro: dipendenti e collaboratori accedono a file, gestionale e applicativi da casa o in trasferta senza esporli su Internet.
• Collegamento tra sedi: filiali, magazzini e uffici distaccati condividono le stesse risorse come un'unica rete.
• Protezione su reti non affidabili: il tunnel cifrato mette al riparo chi si collega da hotel, aeroporti o Wi-Fi pubblici, dove il traffico in chiaro sarebbe facilmente intercettabile.
• Accesso controllato dei fornitori: manutentori esterni entrano solo sulle risorse strettamente necessarie, con credenziali tracciate e revocabili.
• Continuità operativa: se ben progettata, la VPN permette all'azienda di continuare a lavorare anche quando le persone non possono raggiungere fisicamente la sede.

Su tutti questi fronti la VPN è un tassello della più ampia gestione della rete informatica aziendale, dove connettività, firewall, segmentazione e accessi remoti vanno progettati insieme e non a pezzi scollegati.

VPN, MFA e Zero Trust: la sicurezza non finisce col tunnel

Qui arriva il punto che molti sottovalutano: una VPN cifra il traffico, ma non garantisce da sola che a entrare sia la persona giusta. Se un attaccante ruba username e password di un dipendente, con la sola VPN classica ha in mano le chiavi della rete interna. È esattamente lo scenario da cui partono molti incidenti che ci troviamo a gestire.

Per questo una VPN aziendale seria oggi va accompagnata da due elementi:

• MFA (autenticazione a più fattori): oltre alla password serve un secondo fattore — un codice sull'app dello smartphone, una notifica push, un token. Un accesso VPN senza MFA, nel 2026, è una porta lasciata socchiusa.
• Principio del privilegio minimo e logiche Zero Trust: invece di dare a ogni utente collegato l'accesso all'intera rete, si concede solo alle risorse che gli servono davvero. L'approccio Zero Trust Network Access (ZTNA) spinge oltre questa idea: non ci si fida di nessuno per default, ogni richiesta viene verificata di continuo, indipendentemente da dove arriva.

Molti apparati moderni permettono di segmentare gli accessi VPN per reparto o ruolo, così un fornitore esterno non vede il gestionale della contabilità e un commerciale non raggiunge i server di produzione. È un lavoro di configurazione, non un interruttore da accendere, e fa la differenza tra un accesso remoto comodo e uno realmente sicuro.

Errori comuni che vediamo sulle VPN delle PMI

Alcuni sbagli si ripetono con regolarità impressionante:

• VPN senza MFA: la protezione più efficace e più trascurata. La sola password non basta più.
• Protocolli obsoleti: tunnel PPTP ancora attivi "perché hanno sempre funzionato", con cifratura ormai violabile.
• Accessi mai revocati: credenziali VPN di ex dipendenti o vecchi fornitori ancora valide dopo mesi.
• Nessuna segmentazione: ogni utente collegato vede tutta la rete, così un solo portatile compromesso raggiunge qualsiasi cosa.
• Firmware fermo: il firewall che termina la VPN lasciato senza aggiornamenti, con vulnerabilità note non corrette.

Sul monitoraggio di questi aspetti abbiamo sviluppato Hector, la nostra piattaforma basata su intelligenza artificiale che osserva server e apparati di rete, segnala accessi anomali e comportamenti sospetti prima che diventino un incidente. Perché anche la VPN meglio configurata va tenuta d'occhio: i log servono a poco se nessuno li legge in tempo utile.

Progettiamo la tua VPN aziendale con criterio

Una VPN aziendale non è un interruttore da accendere: è un pezzo di infrastruttura da progettare sul tuo numero di sedi, sui tuoi utenti remoti e sul livello di sicurezza che ti serve davvero, MFA e segmentazione comprese. Da oltre 25 anni affianchiamo le PMI di Melzo e della Lombardia nella gestione di reti e server, con la concretezza di chi la manutenzione la fa sul campo (ISO 9001 e 27001, Google 4.7/5 su 37 recensioni).

Chiama TN Solutions allo 02 9517550 per una consulenza sull'accesso remoto più adatto alla tua azienda, oppure scrivici dalla pagina contatti. Analizziamo la tua rete e ti diciamo, dati alla mano, come collegare persone e sedi senza aprire falle.