Nethesis
NethSecurity e WireGuard: accesso remoto senza aprire tutta la rete
Una VPN cifra il collegamento, ma non decide da sola quali risorse aziendali rendere disponibili. Come progettare peer, reti e regole firewall con un esempio pratico e limiti chiari.
La VPN protegge il percorso, non sostituisce le autorizzazioni
WireGuard crea un collegamento cifrato tra due peer e può essere usato per raggiungere la rete aziendale da una postazione esterna. Questo evita di pubblicare direttamente su Internet servizi interni come cartelle condivise o applicazioni gestionali. La VPN, però, non stabilisce automaticamente chi debba vedere ogni risorsa. Una progettazione corretta separa tre decisioni: quale dispositivo può collegarsi, quali reti deve conoscere e quali traffici il firewall deve consentire. L’obiettivo non è far entrare un computer remoto “come se fosse ovunque”, ma offrirgli soltanto il percorso necessario.
In NethSecurity ogni client è un peer
La documentazione NethSecurity indica che il server WireGuard può essere gestito dall’interfaccia web e che ogni peer riceve un indirizzo IP statico nella rete VPN. Diversamente dal server OpenVPN Road Warrior, gli account WireGuard non sono legati al database utenti: vengono creati e amministrati direttamente nella sezione WireGuard. È una differenza organizzativa importante. Il nome del peer dovrebbe identificare chiaramente persona e dispositivo, mentre file di configurazione e codice QR vanno trattati come credenziali sensibili. Condividerli fra più computer renderebbe più difficile revocare un singolo accesso o ricostruire l’origine di una connessione.
Una zona separata permette regole precise
Quando viene creata un’istanza server, NethSecurity apre la porta necessaria e genera una zona VPN isolata. L’accesso alle reti interne deve poi essere governato dalle regole di inoltro tra zone. La documentazione del firewall permette di specificare zona e indirizzo sorgente, destinazione e servizio. Si può quindi autorizzare un peer verso un solo server e una sola applicazione, invece di consentire genericamente tutta la LAN. L’ordine delle regole conta, perché viene applicata la prima corrispondente. Ogni eccezione dovrebbe avere un nome comprensibile e una motivazione documentata.
Traffico aziendale soltanto o tutta la navigazione
Per ciascun peer NethSecurity propone le reti server raggiungibili e l’opzione per instradare tutto il traffico attraverso la VPN. Sono scelte diverse. Nel primo caso, spesso chiamato instradamento selettivo, il client usa il tunnel per le reti indicate e continua a navigare tramite la connessione locale. Nel secondo anche il traffico Internet passa dall’azienda, con maggiore controllo ma anche più consumo di banda e dipendenza dal firewall. Non esiste un’impostazione universalmente migliore: bisogna considerare applicazioni, politiche, prestazioni e necessità di utilizzare i DNS aziendali.
Un esempio per l’accesso al gestionale
Immaginiamo un’impiegata amministrativa che, durante una trasferta, debba usare un gestionale ospitato su un server interno. Il tecnico crea un peer dedicato al suo portatile, limita le reti server a quella necessaria e aggiunge una regola dalla zona VPN verso l’indirizzo del gestionale, soltanto per il servizio richiesto. Da una connessione esterna controlla l’avvio del tunnel, la risoluzione del nome e l’accesso applicativo; verifica anche che altri server non autorizzati restino irraggiungibili. È uno scenario ipotetico, non una configurazione eseguita da System & Software né una regola valida per ogni gestionale.
Modifiche, smarrimenti e reti sovrapposte
La rete VPN non deve sovrapporsi a reti già esistenti. Anche la rete dalla quale si collega l’utente può creare conflitti se utilizza gli stessi indirizzi della sede, perciò il collaudo va eseguito da collegamenti realmente esterni. NethSecurity avverte inoltre che, dopo la modifica del server o di un peer, occorre scaricare nuovamente la configurazione e applicarla al client. Se un computer viene perso, ceduto o compromesso, non basta cambiare la password Windows: il peer interessato deve essere disabilitato o sostituito e la configurazione va rimossa dal dispositivo secondo la procedura aziendale.
I limiti da ricordare
Una VPN non rende sicuro un computer non aggiornato, non protegge le credenziali dell’applicazione e non sostituisce backup, antivirus o controllo degli accessi. WireGuard utilizza chiavi pubbliche e private, ma la corretta custodia del dispositivo resta responsabilità dell’organizzazione. Anche un tunnel attivo non dimostra che DNS, MTU, routing e regole siano adatti a tutte le connessioni. Prima dell’uso ordinario servono prove da reti differenti, verifica dei servizi consentiti e una procedura di revoca. Nel tempo conviene riesaminare i peer inutilizzati e confrontare le autorizzazioni con le mansioni effettive.
Fonti e riferimenti
Fonti consultate il 24/10/2026.