Cos’è un VPN IPsec? Come funziona e perché viene bloccato

IPsec di solito appare in uno dei pochi posti. Nel menu dei protocolli di un’app VPN, accanto a WireGuard e OpenVPN. Oppure in un’email dall’IT, che dice che il vecchio VPN aziendale viene ritirato e questo è ciò che lo sostituisce. 

Quindi, cos’è un VPN IPsec? La risposta breve: IPsec è un insieme di regole per crittografare il traffico internet, e un VPN IPsec è un VPN costruito su quelle regole.

Tutto ciò che segue è dove le cose diventano confuse, e c’è un motivo per questo: IPsec è stato progettato negli anni ’90, e l’internet per cui è stato progettato non è quello che usiamo ora. È stato corretto e ampliato da allora per tenere il passo, il che lo rende così complicato oggi. Questa guida chiarisce quali parti sono ancora importanti per te e quali puoi ignorare.

Cos’è IPsec?

Prima di arrivare a IPsec, c’è qualcos’altro da trattare prima: il Protocollo Internet. Questa è la parte di internet che sposta i dati da un luogo all’altro. È stato costruito per consegnare, senza protezione, quindi tutto ciò che trasporta viaggia in chiaro e può essere letto da chiunque lo gestisca lungo il percorso. IPsec è l’insieme di standard aggiunti successivamente per colmare quella lacuna. Il nome è l’unione di queste due idee: Protocollo Internet, più sicurezza.

Quindi IPsec non è un singolo protocollo VPN, e non è il nome di una VPN. È quell’insieme di standard, quelli che rendono il Protocollo Internet più sicuro per inviare dati.

La differenza è più facile da vedere affiancata:

IPsec è il gruppo di standard.

IPsec VPN è una VPN costruita utilizzando essi.

IKEv2/IPsec è l’opzione che vedrai nelle app VPN. È un modo particolare di far funzionare IPsec ed è quasi l’unico ancora in uso quotidiano.

La maggior parte delle spiegazioni si concentra sui primi due. Il terzo è quello con cui dovrai effettivamente confrontarti.

Cosa fa realmente IPsec per te

Quindi torniamo a IPsec. Cosa fa realmente? Gestisce due compiti.

Il primo è crittografia. I dati che lasciano il tuo dispositivo vengono mescolati, quindi chiunque li gestisca lungo il percorso, incluso il tuo fornitore di servizi Internet, vede un insieme di caratteri che non possono decifrare. Questo mantiene i tuoi dati privati.

Il secondo è verifica. IPsec conferma che i dati provengono realmente dal dispositivo da cui affermano di provenire e che nulla è stato alterato durante il transito. Questo mantiene i dati intatti.

Diverse parti di IPsec gestiscono questi due compiti, motivo per cui alcune guide li presentano come una scelta che devi fare. Di solito vedrai i due elencati affiancati, uno che verifica solo i dati e uno che li cripta anche, con una linea sottostante che dice che il secondo è più sicuro. Tuttavia, ha smesso di essere una vera scelta anni fa, anche se molti articoli continuano a descriverlo come tale.

Perché IPsec sembra più complicato di quanto dovrebbe?

Per quanto riguarda il motivo per cui IPsec sembra così complicato, ciò risale a quando è stato costruito. Proviene dalla metà degli anni ’90, e Internet all’epoca era un luogo molto più semplice di quanto non sia ora.

L’assunzione all’epoca era che qualsiasi due dispositivi potessero raggiungersi direttamente, ognuno con il proprio indirizzo pubblico, e che tutto ciò che c’era in mezzo avrebbe trasmesso i dati senza toccarli o guardare che tipo di dati fossero.

Nessuna di quelle assunzioni è valida ora. A casa, il tuo router riscrive gli indirizzi mentre i dati escono. Fuori casa, le reti di hotel e uffici filtrano in base al tipo di traffico, lasciando passare alcuni e scartando gli altri. E i telefoni si spostano tra Wi-Fi e dati mobili diverse volte al giorno.

Il design originale di IPsec non teneva conto di tutto ciò, e non è mai stato ricostruito attorno ad esso. Ogni volta che si presentava una nuova situazione, veniva aggiunto un ulteriore strato in modo che le connessioni potessero comunque passare.

È da lì che provengono i nomi strani che incontrerai: i numeri di porta extra e i componenti descritti in altri articoli. La maggior parte di essi non era presente all’inizio. È stata aggiunta per mantenere IPsec funzionante in un mondo per cui non era stato progettato.

IKEv2: la parte di IPsec che vedrai realmente

IPsec è un gruppo di standard, e uno di essi gestisce tutto ciò che deve essere risolto prima che qualsiasi dato venga trasferito. Quello è IKE, abbreviazione di Internet Key Exchange. È anche il nome che vedrai all’interno di un’app VPN, elencato lì come IKEv2/IPsec.

In maggiore dettaglio, IKE è ciò che stabilisce quale metodo di crittografia utilizzerà la connessione, se ciascuna parte è realmente chi afferma di essere e quali chiavi crittograferanno e decrittograferanno tutto ciò che segue. Una volta che IKE ha risolto tutto ciò, passa il compito alle parti di IPsec che trasportano i tuoi dati.

IKE ha due versioni, IKEv1 e IKEv2. Alcuni guide descrivono queste due versioni come due fasi nel funzionamento di IKE, ma è sbagliato. Sono due versioni della stessa cosa, a sette anni di distanza, e IKEv2 è stato scritto per sostituire IKEv1. Qualsiasi connessione utilizza l’una o l’altra.

Il malinteso probabilmente deriva dal fatto che IKEv1 ha due fasi interne, conosciute come Fase 1 e Fase 2. IKEv2 non ha affatto una struttura del genere.

IKEv1 è stato ormai ritirato. I principali client VPN hanno abbandonato il supporto per esso e non è raccomandato per nuove configurazioni, il che lascia IKEv2/IPsec come quasi l’unica versione ancora in uso generale.

IKEv2 ha un’altra caratteristica degna di nota. Se utilizzi una VPN sul tuo telefono, può mantenere una connessione attiva quando la rete sottostante cambia. Diciamo che esci di casa: il tuo telefono disconnette il Wi-Fi e passa ai dati mobili, e il tunnel VPN rimane attivo invece di interrompersi e chiederti di riconnetterti. Questo deriva da una parte opzionale di IKEv2 chiamata MOBIKE, quindi dipende dalla tua app e dai suoi server che la supportano. Quando lo fanno, è davvero comodo.

Il punto debole di IPsec: perché il tuo VPN fallisce su Wi-Fi dell’hotel

IKE deve completare la sua preparazione prima che il resto di IPsec possa iniziare a trasferire i tuoi dati, e quella preparazione viaggia su numeri di porta specifici: UDP 500 o UDP 4500 su reti che utilizzano NAT.

Quei numeri di porta sono etichette. Ogni pezzo di dati che attraversa una rete ne porta una, indicando che tipo di traffico è, e l’attrezzatura lungo il percorso la legge per decidere cosa fare con i dati. Il traffico web porta un’etichetta, il traffico email ne porta un’altra, e l’IPsec porta la sua.

Le etichette di IPsec sono state fissate quando sono stati scritti gli standard. Ogni connessione IPsec utilizza le stesse etichette, e chiunque può cercarle. Questo rende una connessione IPsec facile da riconoscere. L’attrezzatura di rete non deve rompere la crittografia o leggere nulla all’interno del pacchetto, poiché leggere l’etichetta è sufficiente per identificare il traffico IPsec. Significa anche che IPsec è facile da bloccare.

Ormai puoi probabilmente vedere perché un VPN che utilizza IPsec spesso non riesce a connettersi in un aeroporto o in un hotel. Il loro Wi-Fi di solito consente la navigazione web e l’email e blocca tutto il resto, quindi quando il tuo VPN si connette tramite IPsec, la rete legge l’etichetta, scopre che non è nella lista consentita e la connessione non viene mai stabilita. I router domestici con controlli parentali o filtraggio dei contenuti funzionano allo stesso modo su scala più piccola, e le reti mobili sono a volte più rigide delle connessioni domestiche.

Se desideri che un VPN funzioni in luoghi come questi, puoi cambiarlo a un protocollo diverso. OpenVPN è quello da scegliere, poiché può viaggiare come il traffico web ordinario e viene lasciato passare su quella base. WireGuard è improbabile che aiuti qui. Utilizza solo UDP e non include offuscamento integrato, quindi le reti restrittive potrebbero comunque identificarlo e bloccarlo, anche se non si basa su una porta fissa.

Due scelte che altri guide dicono che devi fare: AH vs ESP e modalità tunnel vs modalità trasporto.

In altri articoli su IPsec, ti imbatterai in altre due parti descritte come scelte che devi fare. Nessuna delle due è realmente una decisione che devi più prendere.

AH e ESP

I lavori di crittografia e verifica menzionati in precedenza sono gestiti da diversi componenti di IPsec, e quei componenti hanno nomi:

AH gestisce solo la verifica.

ESP gestisce insieme la verifica e la crittografia.

Separato in questo modo, sembra qualcosa da cui scegliere, ed è così che la maggior parte degli articoli su IPsec lo presenta. In pratica non c’è nulla da scegliere. Quando i dati lasciano la tua rete, il tuo router domestico riscrive le informazioni sull’indirizzo in essi, e la verifica di AH copre quelle informazioni sull’indirizzo. AH non ha modo di distinguere un router che svolge il suo lavoro normale da qualcuno che manomette i dati lungo il percorso, quindi una volta che l’indirizzo cambia, la verifica fallisce e la connessione si interrompe.

Ciò significa che AH non funziona su una rete domestica ordinaria, il che lo esclude in quasi ogni situazione. Le connessioni IPsec utilizzano invece ESP. E se la verifica senza crittografia è tutto ciò di cui hai bisogno, ESP può farlo da solo, il che lascia AH con ancora meno motivi di esistere.

Modalità tunnel e modalità trasporto

Poi la seconda coppia. I dati viaggiano in una delle due modalità:

Modalità tunnel: il pacchetto originale è racchiuso interamente all’interno di un nuovo pacchetto che trasporta un nuovo indirizzo.

Modalità di trasporto: i contenuti sono protetti, ma le informazioni originali sull’indirizzo rimangono inalterate.

Se stai utilizzando un VPN, sei in modalità tunnel. La modalità di trasporto è principalmente utilizzata per configurazioni specifiche all’interno di reti private e di solito non è tra le opzioni che un’app VPN ti offre.

In breve, nessuna delle due coppie vale la pena di essere memorizzata. Conoscere i nomi è sufficiente. Poi, quando ti imbatti in una tabella di confronto costruita attorno a loro, saprai che non c’è scelta da fare, perché è tutto già stato deciso per te.

Un IPsec VPN è ancora utile nel 2026?

Su telefoni e dispositivi personali, IPsec non è più la scelta principale. WireGuard è più veloce e è già diventato il protocollo predefinito nella maggior parte delle app VPN per consumatori. Gli unici veri argomenti rimasti a favore di IPsec sono la connessione continua quando la rete cambia e il fatto che sia integrato nel sistema operativo, e questi non sono più sufficienti per farlo diventare la prima scelta.

Nelle aziende, la situazione è l’opposto. Per anni, SSL VPN è stata la soluzione predefinita per il lavoro remoto, ma l’ultimo decennio non è stato clemente con essa. Gli stessi componenti hanno mostrato vulnerabilità critiche più e più volte, e molte di esse venivano sfruttate prima che esistesse una patch. La NSA e la CISA negli Stati Uniti consigliano alle organizzazioni di preferire IPsec basato su standard con IKEv2 rispetto a VPN SSL/TLS costruite su codice personalizzato, e il centro nazionale per la sicurezza informatica della Norvegia è andato oltre, dicendo alle organizzazioni di eliminare completamente SSL VPN. Fortinet ha rimosso la modalità tunnel SSL VPN da FortiOS 7.6.3 e versioni successive, lasciando IPsec come percorso di migrazione per i suoi clienti.

Nel complesso, IPsec è una tecnologia di trent’anni in una posizione strana: in fase di abbandono sui dispositivi mobili e fortemente raccomandata dai governi per le reti aziendali.

Quindi dovresti scegliere IKEv2/IPsec?

La domanda che le persone pongono per prima è di solito quale protocollo sia il più sicuro, e la risposta onesta è che la sicurezza non è il fattore decisivo qui. IKEv2/IPsec, WireGuard e OpenVPN sono tutti considerati sicuri quando sono configurati correttamente, e qualsiasi di essi manterrà il tuo traffico privato su una rete di cui non ti fidi. Ciò che li distingue è il loro comportamento, non la loro forza.

Questo è anche il motivo per cui la maggior parte delle app ha un’impostazione automatica e perché lasciarla così com’è è una scelta ragionevole piuttosto che una scelta pigra. L’app seleziona in base a cose che non puoi vedere facilmente e cambia quando una connessione non funziona.

Se preferisci scegliere da solo:

IKEv2/IPsec se sei per lo più su un telefono e ti sposti tra Wi-Fi e dati mobili durante il giorno. Si riconnette meno spesso e, essendo integrato nel sistema operativo, tende a rimanere leggero.

WireGuard se vuoi l’opzione più veloce e sei su una rete che non interferisce con essa.

OpenVPN se sei in un luogo che blocca gli altri, come un hotel o un aeroporto.

E se stai configurando questo per accedere a una rete aziendale, la decisione non spetta a te. L’IT sceglie il protocollo e, per le ragioni indicate nell’ultima sezione, l’IPsec è sempre più quello che scelgono.

FAQ