Always-on VPN: configurazione

Always-on VPN, evoluzione di DirectAccess Microsoft, e una soluzione aziendale che permette al dispositivo di stabilire automaticamente un tunnel VPN prima ancora del login utente (device tunnel) e un secondo tunnel dopo il login (user tunnel). Questo garantisce gestione remota costante e accesso trasparente alle risorse.

Device tunnel vs user tunnel

Il device tunnel autentica con certificato della macchina e instaura un canale verso domain controller, server di patching e MDM. Il user tunnel autentica con certificato utente o credenziali e permette accesso a file server, intranet e applicazioni line-of-business.

Procedura passo-passo

1. Predisponi un Server RRAS Windows con SSTP/IKEv2 e certificati lato server e client.
2. Genera profili XML VPN con strumenti come Get-VpnConnection o ProfileXML manuale.
3. Distribuisci i profili via Intune (Mobile Device Management) o PowerShell + Group Policy.
4. Imposta il device tunnel come AlwaysOn e RememberCredentials su false.
5. Configura traffic filters per limitare il device tunnel a risorse di management.
6. Verifica con rasdial e Get-VpnConnection -AllUserConnection che entrambi i tunnel siano attivi.
7. Monitora connessioni tramite log RRAS e dashboard Intune.

Network connectivity status indicator

Windows controlla la connettivita di rete pingando www.msftconnecttest.com. Con Always-on VPN configura ProbeURL pubblico per la rete trusted e ProbeURL interno (es. intranet.azienda.it/probe) per identificare quando il device tunnel e attivo. Questo evita che Windows mostri No Internet anche con VPN attiva.

Conditional Access e Zero Trust

Always-on VPN integra bene con Azure AD Conditional Access: il device tunnel autentica il dispositivo, il user tunnel autentica l'utente. Le policy Conditional Access possono richiedere device compliance (Intune), MFA, location-based access. Questo trasforma VPN tradizionale in una soluzione zero-trust moderna.

Troubleshooting strumenti

Strumenti utili per debug Always-on: Get-VpnConnection -AllUserConnection, rasdial, log file in C:\Windows\Tracing, Event Viewer > Applications and Services > Microsoft > Windows > VpnPlugin. Sono indispensabili per identificare problemi distribuzione profilo, certificati, autenticazione.

Trusted Network Detection

Always-on VPN supporta Trusted Network Detection (TND): quando il device e collegato alla rete trusted (LAN aziendale o specifiche SSID), la VPN non si attiva automaticamente. Configurabile via ProfileXML azienda.local. Migliora esperienza utente evitando doppio tunnel quando in ufficio.

Setup certificate auto-enrollment

Per device tunnel serve certificato macchina: usa Active Directory Certificate Services con auto-enrollment via GPO per distribuirli automaticamente ai computer Windows joined. Template Certificate con uso EKU Client Authentication, autoenrollment abilitato. Per Azure AD joined usa NDES (Network Device Enrollment Service) o Intune cloud certificate connector.

Best practice di sicurezza

Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.

Monitoring e osservabilita

Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.

Documentazione e procedure operative

Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.

Errori comuni e come risolverli

• Device tunnel non si connette prima del login: verifica che il certificato sia in Local Machine store e che ProfileXML sia distribuito a livello system.
• User tunnel non aggiorna credenziali: imposta correttamente AuthenticationMethod EAP e CryptographySuite supportata dal server.
• Errore certificato: controlla EKU: client authentication per user, server authentication per server.
• Performance basse: su connessioni 4G usa IKEv2 e abilita NRPT solo per i domini necessari.

Domande frequenti

D: E gratuita?
R: Always-on VPN e funzionalita di Windows 10/11 Enterprise e Pro: nessuna licenza extra oltre Windows.

D: Funziona su Mac?
R: Esistono soluzioni equivalenti via configuration profile MDM (Jamf, Mosyle) con IKEv2 always on.

D: Sostituisce DirectAccess?
R: Si, Microsoft consiglia Always-on come successore moderno di DirectAccess.

Hai bisogno di aiuto?

Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.