1. OpenVPN¶
Il percorso è Rete → Server VPN OpenVPN. È la VPN più versatile dell'apparato: serve sia a far collegare i singoli utenti da remoto, sia a unire due reti fra loro, ed è quella che si integra con l'autenticazione aziendale.
La pagina elenca i server OpenVPN configurati, ciascuno con lo stato, il nome, il tipo, l'endpoint con cui è raggiungibile, le reti remote che rende accessibili, il metodo di autenticazione, il protocollo e le azioni per gestirlo, fra cui scaricare la configurazione da consegnare al client.
1.1 Due modi di usarla¶
Il pulsante di creazione offre i due modi in cui OpenVPN si usa:
- Remote Access — l'accesso dei singoli utenti da remoto: dal portatile o dal computer di casa ci si collega alla rete aziendale con un profilo OpenVPN. È il caso dello smart working e dell'accesso occasionale.
- Site-to-Site — due reti collegate stabilmente attraverso Internet, come se fossero un'unica rete. È il caso di due sedi della stessa azienda.
La creazione chiede pochi elementi: un nome, la rete fittizia su cui vive
il tunnel, la rete locale che si vuole rendere raggiungibile dall'altro capo,
la porta, il protocollo (UDP o TCP) e la crittografia (per esempio
AES-256-GCM). Le reti remote dichiarano quali reti interne il collegamento
rende accessibili: sono le rotte che l'apparato annuncia al client o alla sede.
1.2 Autenticazione: dal solo certificato all'Active Directory con 2FA¶
Per l'accesso dei singoli utenti (Remote Access), il campo Utilizza Utente e Password stabilisce come le persone si identificano, oltre al certificato che identifica il dispositivo. Le scelte vanno dalla più semplice alla più robusta:
| Opzione | Che cosa richiede |
|---|---|
| Nessun utente (solo certificato SSL) | Solo il certificato: chi possiede il profilo entra |
| Utenti Locali | Il certificato più utente e password definiti sull'apparato |
| Utenti Locali + 2FA | In più, un secondo fattore — un codice temporaneo da un'app |
| Usa Active Directory | Utente e password del dominio aziendale, senza account VPN separati |
| Usa Active Directory + 2FA | Le credenziali di dominio più il secondo fattore |
Su una VPN esposta, il solo certificato o la sola password non bastano
Il server VPN è pubblicato su Internet e riceve tentativi di accesso in continuazione. Un certificato può essere copiato da un portatile rubato; una password può essere indovinata o riutilizzata. L'Active Directory più il secondo fattore è la combinazione che regge in questi casi: serve la credenziale aziendale valida e il codice del momento, e nessuno dei due da solo apre la porta.
Con un dominio, Active Directory + 2FA è la scelta da preferire
Dove esiste un Active Directory, legarvi la VPN evita un secondo elenco di utenti da tenere allineato: l'accesso si concede e si revoca gestendo l'utente nel dominio, dove lo si gestisce comunque, e un account disabilitato è fuori dalla VPN nello stesso istante. Aggiungere il 2FA copre il caso in cui una credenziale di dominio venga rubata o indovinata.