Configurare una VPN con pfSense serve sempre a più aziende che permettono ai propri dipendenti e collaboratori di lavorare da remoto, almeno in parte. Per questo bisogna chiedersi sempre se, quando un collaboratore o un dipendente si collega dall’esterno alla rete aziendale, lo fa davvero in sicurezza? La risposta, nella maggior parte dei casi, è: dipende. E se non c’è una VPN configurata correttamente, la risposta è quasi sempre no.
In questa guida vediamo cos’è una VPN, perché è indispensabile per il lavoro da remoto, e come configurarla step-by-step su pfSense usando OpenVPN.
Perché una VPN è fondamentale per il lavoro da casa
Quando un dipendente accede a file aziendali, gestionali, server interni o stampanti di rete stando fuori dall’ufficio, i dati viaggiano su internet. Senza protezione, chiunque si trovi sulla stessa rete (un Wi-Fi pubblico, un router domestico compromesso) potrebbe intercettarli.
Una VPN risolve questo problema creando un tunnel crittografato tra il dispositivo del dipendente e la rete aziendale. Dal punto di vista pratico, è come se il lavoratore fosse fisicamente in ufficio: accede alle stesse risorse, con le stesse autorizzazioni, ma in modo sicuro da qualsiasi luogo.
I vantaggi concreti sono:
- Protezione dei dati sensibili: le comunicazioni sono cifrate end-to-end, inaccessibili a terzi
- Accesso sicuro alle risorse interne: NAS, server gestionali, stampanti, sistemi ERP
- Controllo degli accessi: solo gli utenti autorizzati con credenziali valide possono connettersi
- Conformità normativa: molte normative (GDPR incluso) richiedono misure di sicurezza adeguate per l’accesso remoto a dati personali
- Nessuna esposizione di porte sensibili su internet: il server VPN è l’unico punto di ingresso
Casi d’uso pratici
Per capire meglio il valore di una VPN aziendale, ecco alcuni scenari reali.
Il commerciale in trasferta ha bisogno di aprire un’offerta dal gestionale aziendale. Senza VPN, o non ci riesce affatto, oppure l’azienda ha esposto il gestionale direttamente su internet, con tutti i rischi che ne conseguono. Con la VPN, si connette in modo trasparente come se fosse in ufficio.
Il responsabile amministrativo in smart working deve accedere al software di contabilità installato su un server locale. La VPN gli consente di farlo dal suo notebook di casa, in modo cifrato, senza dover spostare nulla sul cloud.
Il tecnico IT che deve fare assistenza da remoto su macchine nella rete interna. Con la VPN attiva, raggiunge qualsiasi
dispositivo nella LAN aziendale senza bisogno di tool di terze parti a pagamento.
L’ufficio con personale ibrido (parte in sede, parte da casa) può garantire a tutti la stessa esperienza di rete, con accesso uniforme a file server, stampanti e applicativi interni.
Quale protocollo scegliere: OpenVPN, WireGuard o IPsec?
pfSense supporta diversi protocolli VPN. Per l’accesso remoto di singoli utenti (il caso classico “lavoro da casa”), le opzioni più adatte sono tre:
- OpenVPN è la soluzione più collaudata e flessibile. Funziona su UDP o TCP, attraversa facilmente NAT e firewall restrittivi, ed è supportato nativamente da Windows, macOS, Linux, Android e iOS tramite client ufficiale. È la scelta raccomandata per la maggior parte delle PMI.
- WireGuard è più recente, estremamente veloce e con una configurazione più semplice. È una buona scelta se si hanno dispositivi moderni e si vuole massimizzare le prestazioni. Disponibile in pfSense dalla versione 2.5 in poi.
- IPsec IKEv2 è lo standard enterprise per eccellenza, nativo su Windows 10/11, macOS e iOS senza bisogno di client aggiuntivi. Leggermente più complesso da configurare, ma ottimo per ambienti più strutturati.
In questa guida utilizzeremo OpenVPN, perché è il più compatibile, stabile e documentato per lo scenario “remote access” supfSense.
Cosa ti serve prima di iniziare
- Un firewall Netgate con pfSense installato e funzionante
- Accesso all’interfaccia web di amministrazione (WebGUI)
- Un indirizzo IP pubblico statico sull’interfaccia WAN, oppure un servizio Dynamic DNS configurato
- I dati di accesso per creare utenti VPN
Quale hardware scegliere per un ufficio medio
Per un ufficio con 20–50 utenti, di cui una parte lavora regolarmente da remoto, serve un appliance che sappia gestire il
traffico VPN cifrato senza diventare un collo di bottiglia.
Netgate 4200
Il Netgate 4200 è pensato esattamente per questo scenario: uffici medi, connettività multi-gigabit, carico VPN sostenuto.
Monta un processore ARM quad-core con AES-NI hardware, che accelera significativamente la cifratura OpenVPN e IPsec.
Dispone di quattro porte da 2.5 GbE e una porta da 10 GbE SFP+, più che sufficienti per separare WAN, LAN e DMZ in modo ordinato.
È compatto, silenzioso e adatto anche a installazioni in spazi ridotti.
È la nostra raccomandazione principale per PMI con esigenze di VPN remote access per 10 – 30 utenti simultanei.
Acquista il Netgate 4200 su shop.eniacom.com
Netgate 6100
Se l’ufficio è più grande, o se si prevede una crescita nelle connessioni simultanee e nel traffico, il Netgate 6100 offre un
salto di prestazioni significativo.
Processore multi-core ad alte prestazioni, fino a 10 GbE di throughput e supporto per funzionalità avanzate come High Availability con failover automatico. Ideale per sedi principali che gestiscono anche connessioni site-to-site verso filiali.
Acquista il Netgate 6100 su shop.eniacom.com
Configurazione OpenVPN su pfSense: guida passo passo
pfSense include una procedura guidata (wizard) per configurare OpenVPN in modalità “Remote Access” che semplifica molto il processo. Ecco come procedere.
Passo 1. Creare una Certificate Authority (CA)
Prima di tutto, pfSense ha bisogno di una CA interna per firmare i certificati del server e dei client VPN.
Vai su System → Cert. Manager → CAs e clicca su Add.
Compila i campi:
- Descriptive name: es. VPN-CA
- Method: Create an internal Certificate Authority
- Key type: RSA, 2048 bit (o 4096 per maggiore sicurezza)
- Digest Algorithm: SHA256
- Lifetime: 3650 giorni (10 anni)
- Compila i campi di identità (Country, Organization, ecc.) con i dati della tua azienda.
Clicca Save.
Passo 2. Creare il certificato del server
Vai su System → Cert. Manager → Certificates e clicca su Add/Sign.
- Method: Create an internal Certificate
- Descriptive name: es. Server-VPN
- Certificate Authority: seleziona la CA creata al passo precedente
- Certificate Type: Server Certificate
- Key type: RSA 2048
- Digest Algorithm: SHA256
- Lifetime: 397 giorni (consigliato per compatibilità con i client moderni)
Clicca Save.
Passo 3. Avviare il wizard OpenVPN
Vai su VPN → OpenVPN e seleziona la scheda Wizards.
Segui i passaggi:
- Authentication Backend: seleziona Local User Access per usare gli utenti locali di pfSense
- Certificate Authority: seleziona la CA creata al passo 1
- Server Certificate: seleziona il certificato creato al passo 2
- Interface: WAN
- Protocol: UDP su porta 1194 (raccomandato) oppure TCP 443 se si è dietro firewall restrittivi
- Tunnel Network: inserisci una subnet dedicata alla VPN, es. 10.8.0.0/24 (deve essere diversa dalla LAN aziendale)
- Local Network: inserisci la subnet della LAN aziendale, es. 192.168.1.0/24 sarà la rete raggiungibile dai client VPN
- Concurrent Connections: imposta il numero massimo di connessioni simultanee (es. 25)
- DNS Server: inserisci l’IP del DNS interno se presente, oppure lascia il DNS del firewall
- Spunta Add a rule to the firewall e Add a rule to redirect gateway → clicca Next
Il wizard creerà automaticamente le regole firewall necessarie.
Passo 4. Creare gli utenti VPN
Vai su System → User Manager e clicca Add per ogni utente che deve accedere alla VPN.
Compila:
- Username e Password
- Spunta Click to create a user certificate per generare automaticamente un certificato client
- Assegna il certificato alla CA VPN creata in precedenza.
Clicca Save.
Ripeti per ogni utente.
Ogni dipendente avrà le proprie credenziali e un certificato univoco: questo permette di revocare l’accesso in modo granulare se un dispositivo viene perso o un dipendente lascia l’azienda.
Passo 5 – Esportare la configurazione client
pfSense include il pacchetto OpenVPN Client Export che genera automaticamente i file di configurazione pronti per l’uso sui dispositivi degli utenti.
Se non è già installato, vai su System → Package Manager e installa openvpn-client-export.
Poi vai su VPN → OpenVPN → Client Export. Troverai tutti gli utenti creati: per ciascuno puoi scaricare:
- Un file .ovpn per Windows/macOS/Linux
- Un installer per Windows
- Un profilo per iOS/Android
Invia il file appropriato all’utente tramite canale sicuro (email cifrata, link protetto da password).
Passo 6 – Connessione dal client
L’utente finale deve:
- Installare il client OpenVPN per il proprio sistema operativo (disponibile su openvpn.net o direttamente dall’App Store Google Play)
- Importare il file .ovpn ricevuto
- Inserire username e password quando richiesto
- Cliccare Connect
Una volta connesso, il dispositivo è nella rete aziendale a tutti gli effetti.
Verifica e monitoraggio
Per verificare che le connessioni funzionino correttamente, vai su Status → OpenVPN nella WebGUI di pfSense. Vedrai in
tempo reale gli utenti connessi, gli IP assegnati e i dati di traffico.
Per i log dettagliati: Status → System Logs → OpenVPN.
Consigli aggiuntivi per la sicurezza
- Cambia la porta predefinita: usare una porta diversa dalla 1194 riduce i tentativi di scansione automatica
- Abilita il 2FA: pfSense supporta l’autenticazione a due fattori via TOTP (Google Authenticator) integrata nel sistema utenti
- Imposta un certificato con scadenza breve: ruota i certificati client ogni anno
- Revoca immediatamente i certificati degli utenti che lasciano l’azienda: System → Cert. Manager → Certificates → seleziona il certificato → Revoke
- Monitora i log regolarmente per individuare tentativi di accesso anomali
Conclusione
Configurare una VPN con pfSense non è particolarmente complesso, ma richiede attenzione ai dettagli – soprattutto nella gestione dei certificati e degli utenti.
Con l’hardware giusto, come un Netgate 4200 o Netgate 6100, e pfSense configurato correttamente, si ottiene una soluzione di accesso remoto sicura, affidabile e completamente sotto il controllo dell’azienda – senza dipendere da servizi cloud di terze parti.
Se hai bisogno di supporto per la configurazione o vuoi valutare l’hardware più adatto alla tua rete, il team di Eniacom è a disposizione per una consulenza tecnica.
📞 Contattaci – ti aiutiamo a scegliere e configurare la soluzione giusta.