PPTP VPN: perché evitarla
PPTP (Point-to-Point Tunneling Protocol) e stata la prima VPN integrata in Windows, semplice da configurare è ancora supportata da molti router consumer. Tuttavia oggi è considerata insicura e va evitata in qualsiasi scenario in cui la riservatezza dei dati sia rilevante.
Le vulnerabilita di PPTP
PPTP usa MS-CHAPv2 per l'autenticazione e MPPE per la cifratura. Entrambi sono stati compromessi: nel 2012 e stato dimostrato che MS-CHAPv2 può essere ridotto a un singolo DES, crackabile in poche ore con servizi cloud. Inoltre PPTP non supporta perfect forward secrecy, quindi una compromissione della chiave espone tutto il traffico registrato.
Procedura passo-passo
- Identifica se hai server o client PPTP attivi (in Windows compare come tipo VPN nel pannello rete).
- Pianifica la migrazione a IKEv2, OpenVPN o WireGuard valutando i client supportati.
- Genera certificati o configurazioni WireGuard per ogni utente PPTP esistente.
- Distribuisci i nuovi profili VPN, testa la connessione su un sottoinsieme di utenti.
- Disattiva il servizio PPTP sul server e rimuovi le regole NAT/firewall relative.
- Aggiorna la documentazione e forma gli utenti sulla nuova procedura di connessione.
Storia e diffusione
PPTP e stato introdotto da Microsoft nel 1996 e per oltre un decennio e stato lo standard VPN consumer. La sua diffusione massiccia in Windows, router consumer e mobile l'ha reso popolare anche dopo che le prime debolezze emergevano. Nel 2012 il ricercatore Moxie Marlinspike ha pubblicato Chapcrack, dimostrando il crack di MS-CHAPv2 in poche ore con CloudCracker.
Quando si trova ancora
PPTP si incontra ancora in scenari legacy: vecchie installazioni mai aggiornate, router consumer con firmware obsoleto, dispositivi IoT che supportano solo PPTP per gestione remota. In tutti questi casi e prioritario sostituirla con un'alternativa moderna. Se hai dispositivi che non supportano altro, isola la subnet e considera l'aggiornamento hardware.
Alternative moderne
Le alternative dipendono dallo scenario: per VPN aziendale scegli IKEv2 (nativo Windows) o WireGuard (moderno e veloce). Per VPN consumer su router casalingo, WireGuard installabile su OpenWrt o firmware Asus-Merlin offre la migliore esperienza. Per accesso remoto a singolo dispositivo, Tailscale è una soluzione zero-config che sostituisce PPTP senza dover gestire chiavi.
Disabilitazione su Windows Server
Per disabilitare PPTP su Windows Server con RRAS: apri Routing and Remote Access > Properties > Security > Authentication Methods, deseleziona MS-CHAP. In RRAS > Ports > Configure, riduci i WAN Miniport PPTP a 0. Disabilita anche Generic Routing Encapsulation (protocollo 47) nel firewall. Per gli utenti, comunica con almeno 30 giorni di preavviso fornendo nuovi profili.
PPTP nei router consumer
Molti router consumer hanno PPTP server come feature default-on: TP-Link, ASUS, D-Link, Netgear. Se il tuo router casalingo ha questa opzione disattivala salvo necessità specifiche. Considera l'aggiornamento a router con WireGuard nativo (ASUS recenti, Synology, Ubiquiti) per soluzione moderna pari complessita di setup.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Errore 619 o 800: tipicamente firewall che blocca GRE (protocollo IP 47) o porta 1723: PPTP non funziona dietro molti NAT moderni.
- Credenziali rubate dopo cattura traffico: MS-CHAPv2 e violabile: assumi che le password siano compromesse e ruotale subito.
- Provider che blocca PPTP: molti ISP e operatori mobili bloccano GRE: e un'ulteriore ragione per migrare.
- Pensare che PPTP sia sicura per il lavoro: non lo e: anche solo per dipendenti che lavorano da reti pubbliche serve una soluzione moderna.
Domande frequenti
D: PPTP è cifrata?
R: Tecnicamente si con MPPE, ma la cifratura e debole è l'autenticazione MS-CHAPv2 e crackata.
D: Posso usarla per uso personale non sensibile?
R: Anche per uso casalingo conviene WireGuard, che è altrettanto semplice e molto più sicuro.
D: Microsoft la supporta ancora?
R: Windows 11 la include come legacy ma molti provider e versioni server l'hanno già rimossa.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.