VPN split tunneling: vantaggi, rischi e quando conviene

Quando un’azienda abilita l’accesso remoto deve prendere una decisione che quasi nessuno discute: tutto il traffico del dispositivo passa dalla rete aziendale, oppure solo quello diretto ai sistemi interni?

La seconda opzione si chiama split tunneling, e la scelta fra le due ha conseguenze su banda, costi e controllo che si vedono solo dopo.

1. Che cos’è il split tunneling
2. Come si decide cosa passa dal tunnel
3. Perché le aziende lo attivano
4. Che cosa si perde
5. Quando conviene e quando no
6. Come si riducono i rischi

Che cos’è il split tunneling

Le VPN aziendali nascono con una logica semplice: tutto il traffico del dispositivo remoto entra nel tunnel cifrato, raggiunge la rete aziendale e da lì esce verso internet. È la configurazione chiamata tunnel integrale.

Funziona, ma ha un costo.
Ogni pagina che il dipendente apre, ogni videochiamata, ogni aggiornamento scaricato attraversa due volte la connessione aziendale.
Con dieci persone in remoto è gestibile, con duecento diventa un collo di bottiglia.

Il split tunneling divide il traffico in due flussi.
Quello diretto ai sistemi interni passa dal tunnel cifrato, tutto il resto esce direttamente dalla connessione domestica del dipendente senza toccare l’infrastruttura aziendale.

La differenza che conta non è tecnica ma di perimetro: nel primo caso l’azienda vede e controlla tutto quello che il dispositivo fa, nel secondo vede solo la parte che la riguarda.

Come si decide cosa passa dal tunnel

La separazione si configura sul client VPN e può basarsi su tre criteri.

1. Per indirizzo di destinazione: si dichiarano le reti aziendali e tutto il traffico diretto lì entra nel tunnel. È il metodo più diffuso e il più prevedibile.
2. Per applicazione: si stabilisce che il gestionale e il client di posta passino dalla VPN mentre il browser no. È comodo ma fragile, perché un’applicazione che cambia comportamento o un aggiornamento possono spostare traffico dove non ci si aspetta.
3. Per tipo di traffico: si instradano protocolli specifici. È il criterio meno usato in ambito aziendale, perché richiede una conoscenza fine di cosa gira sui dispositivi.

Esiste anche la configurazione inversa, in cui si dichiara cosa deve restare fuori dal tunnel e tutto il resto ci entra.
È più prudente, perché l’errore di configurazione porta a proteggere qualcosa in più anziché in meno.

Perché le aziende lo attivano

Le ragioni sono pratiche e riguardano tutte la stessa cosa: la banda.

Il carico sul concentratore VPN si riduce drasticamente, perché smette di trasportare traffico che non ha niente a che fare con l’azienda.
Videochiamate su piattaforme esterne, aggiornamenti dei sistemi operativi, streaming durante la pausa: tutto questo esce dalla connessione domestica.

Ne segue un guadagno di prestazioni percepito dagli utenti.
Una videoconferenza che non fa il giro della sede aziendale ha meno latenza, e per chi lavora in remoto è la differenza fra una riunione fluida e una faticosa.

C’è poi un risparmio diretto.
La banda in ingresso sulla sede ha un costo, e il concentratore VPN ha un limite di sessioni oltre il quale va sostituito con un modello superiore. Lo split tunneling sposta quella soglia più in là.

Infine l’accesso alle risorse locali: la stampante di casa, il disco di rete domestico, i dispositivi sulla stessa rete continuano a essere raggiungibili senza uscire dal tunnel per poi rientrare.

Che cosa si perde

Il traffico che esce dal tunnel esce anche da tutti i controlli aziendali e questa è la conseguenza da mettere in conto.

Il filtro di navigazione smette di applicarsi.
Se l’azienda blocca categorie di siti o domini noti come pericolosi, quel blocco vale solo per il traffico che passa dalla VPN.
Una pagina di phishing raggiunta fuori dal tunnel non incontra nessuna barriera.

Spariscono anche i registri. Quello che il dispositivo fa al di fuori del tunnel non compare da nessuna parte nell’infrastruttura aziendale, quindi in caso di incidente manca la parte di percorso che potrebbe spiegare come è cominciato.

Il rischio più concreto però è un altro, ed è quello che viene descritto male quasi ovunque. Il dispositivo si trova contemporaneamente collegato alla rete domestica e alla rete aziendale. Se la rete domestica ospita apparati compromessi, e succede più spesso di quanto si creda visto lo stato di telecamere e dispositivi connessi, quel computer diventa un ponte verso l’interno.

Va detto che questo rischio esiste anche con il tunnel integrale, perché il dispositivo resta comunque su una rete che non controllate.
Lo split tunneling non lo crea, lo amplia: senza filtri sul traffico in uscita, le probabilità che la postazione venga compromessa aumentano.

Quando conviene e quando no

Non esiste una risposta valida per tutti, ma esistono due situazioni chiare.

Conviene quando i dispositivi sono aziendali e gestiti, con protezione degli endpoint installata e aggiornata, e quando l’azienda ha già spostato i filtri di sicurezza sul dispositivo invece che sulla rete. In quel caso il controllo non dipende dal fatto che il traffico passi dalla sede.

Non conviene quando i dispositivi sono personali, quando la rete interna non è segmentata, o quando il secondo fattore di autenticazione non è attivo su tutti gli accessi remoti. Sono le tre condizioni in cui perdere visibilità costa più di quanto si guadagni in banda.

Il criterio pratico è questo: lo split tunneling sposta la difesa dalla rete al dispositivo.
Se il dispositivo non è difeso, non si è spostata la difesa, la si è tolta.

Come si riducono i rischi

Chi decide di attivarlo può recuperare buona parte di quello che perde.

1. La prima misura è il secondo fattore di autenticazione su tutti gli accessi remoti. Una credenziale in circolazione, da sola, non deve bastare per entrare: è il presupposto di qualunque altra cosa, e vale la pena sapere come si abilita la 2FA prima di occuparsi d’altro.
2. La seconda è spostare i controlli sul dispositivo. Protezione degli endpoint, filtro di navigazione locale, aggiornamenti applicati entro tempi definiti: sono le funzioni che la rete aziendale non può più svolgere e che devono esistere da qualche altra parte.
3. La terza è la segmentazione. Il tunnel deve consegnare l’accesso ai sistemi che servono a quella persona, non alla rete interna per intero. È la misura che decide la gravità di un incidente, e vale indipendentemente dalla configurazione del tunnel.
4. La quarta è configurare la separazione per indirizzo di destinazione e non per applicazione, mantenendo un elenco esplicito e rivedendolo quando cambia qualcosa nell’infrastruttura. Le regole per applicazione si rompono in silenzio.

Resta una domanda che nessuna di queste misure risolve: che cosa raggiunge, una volta dentro, chi supera quell’accesso.
È l’unica verifica che dice se la segmentazione tiene davvero.