VPN cascade (multi-hop)
Una VPN cascade (o multi-hop) instrada il traffico attraverso due o più server VPN concatenati: il primo server cifra verso il secondo, che a sua volta cifra verso la destinazione. Questo approccio aumenta la resilienza ad attacchi di correlazione, al costo di latenza e velocità ridotte.
Modello di minaccia
Il multi-hop e utile quando si vuole impedire che un singolo provider VPN, anche se compromesso, possa correlare il client all'attività finale. Distribuendo i server in giurisdizioni diverse si riduce la possibilità che un singolo ordine legale ottenga tutta la catena di metadati.
Procedura passo-passo
- Scegli un provider che supporti multi-hop nativo (NordVPN Double VPN, Surfshark Multi-Hop, ProtonVPN Secure Core).
- Nel client seleziona la configurazione multi-hop è gli endpoint desiderati (es. Svezia -> Svizzera).
- In alternativa configura tu stesso due tunnel WireGuard concatenati su due VPS.
- Verifica che il routing sia corretto: il default gateway deve passare per il primo hop.
- Testa con whoer.net o ipleak.net che IP esposto sia quello dell'ultimo hop.
- Misura latenza: tipicamente +50-150 ms rispetto a singolo hop.
- Documenta per chi accede ai servizi che IP source potrebbe cambiare per georestrizioni.
Setup manuale con WireGuard
Multi-hop self-hosted: due VPS in giurisdizioni diverse, ognuno con WireGuard server. Sul VPS-1 il default route esce via VPS-2; il client si connette a VPS-1 e tutto il suo traffico transita prima VPS-1 (cifrato) poi VPS-2 (cifrato nuovamente verso Internet). Servono iptables MASQUERADE su entrambi e routing oculato. Costo: 2 VPS economici (~10 EUR/mese).
Latenza e ottimizzazione percorso
L'aggiunta di hop aumenta latenza in modo non lineare se i nodi sono geograficamente distanti. Per latency-sensitive: scegli hop nello stesso continente (es. Italia -> Germania -> Olanda) anziche cross-continente. Misura RTT prima/dopo con ping e mtr per quantificare costo. Per attività non real-time il trade-off vale spesso la pena.
Considerazioni operative
Multi-hop e potente ma operativamente più fragile: due punti di failure, doppio costo, debug più complesso. Documenta architettura, automatizza provisioning con Ansible/Terraform, monitora ogni hop separatamente. Per la maggior parte degli utenti single-hop VPN ben configurata e sufficiente; multi-hop ha senso per casi d'uso specifici.
Trust assumptions
Multi-hop riduce trust su singolo provider ma non lo elimina: se entrambi i provider sono colluding o costretti dalla stessa autorità legale, il vantaggio scompare. Scegli provider in giurisdizioni geograficamente e politicamente distinte per massimizzare beneficio. Tor offre protezione superiore sotto questo aspetto perché basato su volontari distribuiti.
Performance benchmark
Benchmark realistici: VPN single-hop Italia-Germania ~20ms RTT, ~80% banda nativa. Multi-hop Italia-Germania-Olanda ~50ms RTT, ~50% banda nativa. Multi-hop Italia-Svizzera-USA ~150ms RTT, ~30% banda nativa. Numeri variano per setup ma indicano l'ordine di degradazione. Pianifica trade-off coscientemente.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Throughput crolla: doppia cifratura e doppio routing penalizzano la banda di un 30-50%.
- Latency troppo alta per real-time: evita VoIP/gaming su multi-hop; ottimizza scegliendo hop geograficamente vicini.
- Provider stesso paese su entrambi gli hop: minore beneficio anti-correlazione: scegli hop in giurisdizioni eterogenee.
- DNS leak: configurare DNS interno al primo hop e farlo propagare al secondo per evitare leak.
Domande frequenti
D: Meglio multi-hop o Tor?
R: Tor offre più anonimato ma e molto più lento; multi-hop e compromesso ragionevole.
D: E legale?
R: Si nei paesi dove la VPN è legale; alcuni paesi (Cina, Russia, Iran) limitano l'uso.
D: Quanti hop usare?
R: Due bastano per beneficio principale; tre o più hanno rendimenti decrescenti.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.