Blog

Configurare una VPN con pfSense serve sempre a più aziende che permettono ai propri dipendenti e collaboratori di lavorare da remoto, almeno in parte. Per questo bisogna chiedersi sempre se, quando un collaboratore o un dipendente si collega dall’esterno alla rete aziendale, lo fa davvero in sicurezza? La risposta, nella maggior parte dei casi, è: dipende. E se non c’è una VPN configurata correttamente, la risposta è quasi sempre no.

In questa guida vediamo cos’è una VPN, perché è indispensabile per il lavoro da remoto, e come configurarla step-by-step su pfSense usando OpenVPN.

Perché una VPN è fondamentale per il lavoro da casa

Quando un dipendente accede a file aziendali, gestionali, server interni o stampanti di rete stando fuori dall’ufficio, i dati viaggiano su internet. Senza protezione, chiunque si trovi sulla stessa rete (un Wi-Fi pubblico, un router domestico compromesso) potrebbe intercettarli.

Una VPN risolve questo problema creando un tunnel crittografato tra il dispositivo del dipendente e la rete aziendale. Dal punto di vista pratico, è come se il lavoratore fosse fisicamente in ufficio: accede alle stesse risorse, con le stesse autorizzazioni, ma in modo sicuro da qualsiasi luogo.

I vantaggi concreti sono:

• Protezione dei dati sensibili: le comunicazioni sono cifrate end-to-end, inaccessibili a terzi
• Accesso sicuro alle risorse interne: NAS, server gestionali, stampanti, sistemi ERP
• Controllo degli accessi: solo gli utenti autorizzati con credenziali valide possono connettersi
• Conformità normativa: molte normative (GDPR incluso) richiedono misure di sicurezza adeguate per l’accesso remoto a dati personali
• Nessuna esposizione di porte sensibili su internet: il server VPN è l’unico punto di ingresso

Casi d’uso pratici

Per capire meglio il valore di una VPN aziendale, ecco alcuni scenari reali.

Il commerciale in trasferta ha bisogno di aprire un’offerta dal gestionale aziendale. Senza VPN, o non ci riesce affatto, oppure l’azienda ha esposto il gestionale direttamente su internet, con tutti i rischi che ne conseguono. Con la VPN, si connette in modo trasparente come se fosse in ufficio.

Il responsabile amministrativo in smart working deve accedere al software di contabilità installato su un server locale. La VPN gli consente di farlo dal suo notebook di casa, in modo cifrato, senza dover spostare nulla sul cloud.

Il tecnico IT che deve fare assistenza da remoto su macchine nella rete interna. Con la VPN attiva, raggiunge qualsiasi
dispositivo nella LAN aziendale senza bisogno di tool di terze parti a pagamento.

L’ufficio con personale ibrido (parte in sede, parte da casa) può garantire a tutti la stessa esperienza di rete, con accesso uniforme a file server, stampanti e applicativi interni.

Quale protocollo scegliere: OpenVPN, WireGuard o IPsec?

pfSense supporta diversi protocolli VPN. Per l’accesso remoto di singoli utenti (il caso classico “lavoro da casa”), le opzioni più adatte sono tre:

• OpenVPN è la soluzione più collaudata e flessibile. Funziona su UDP o TCP, attraversa facilmente NAT e firewall restrittivi, ed è supportato nativamente da Windows, macOS, Linux, Android e iOS tramite client ufficiale. È la scelta raccomandata per la maggior parte delle PMI.
• WireGuard è più recente, estremamente veloce e con una configurazione più semplice. È una buona scelta se si hanno dispositivi moderni e si vuole massimizzare le prestazioni. Disponibile in pfSense dalla versione 2.5 in poi.
• IPsec IKEv2 è lo standard enterprise per eccellenza, nativo su Windows 10/11, macOS e iOS senza bisogno di client aggiuntivi. Leggermente più complesso da configurare, ma ottimo per ambienti più strutturati.

In questa guida utilizzeremo OpenVPN, perché è il più compatibile, stabile e documentato per lo scenario “remote access” supfSense.

Cosa ti serve prima di iniziare

• Un firewall Netgate con pfSense installato e funzionante
• Accesso all’interfaccia web di amministrazione (WebGUI)
• Un indirizzo IP pubblico statico sull’interfaccia WAN, oppure un servizio Dynamic DNS configurato
• I dati di accesso per creare utenti VPN

Quale hardware scegliere per un ufficio medio

Per un ufficio con 20–50 utenti, di cui una parte lavora regolarmente da remoto, serve un appliance che sappia gestire il
traffico VPN cifrato senza diventare un collo di bottiglia.

Netgate 4200

Il Netgate 4200 è pensato esattamente per questo scenario: uffici medi, connettività multi-gigabit, carico VPN sostenuto.

Monta un processore ARM quad-core con AES-NI hardware, che accelera significativamente la cifratura OpenVPN e IPsec.

Dispone di quattro porte da 2.5 GbE e una porta da 10 GbE SFP+, più che sufficienti per separare WAN, LAN e DMZ in modo ordinato.

È compatto, silenzioso e adatto anche a installazioni in spazi ridotti.

È la nostra raccomandazione principale per PMI con esigenze di VPN remote access per 10 – 30 utenti simultanei.

Acquista il Netgate 4200 su shop.eniacom.com

Netgate 6100

Se l’ufficio è più grande, o se si prevede una crescita nelle connessioni simultanee e nel traffico, il Netgate 6100 offre un
salto di prestazioni significativo.

Processore multi-core ad alte prestazioni, fino a 10 GbE di throughput e supporto per funzionalità avanzate come High Availability con failover automatico. Ideale per sedi principali che gestiscono anche connessioni site-to-site verso filiali.

Acquista il Netgate 6100 su shop.eniacom.com

Configurazione OpenVPN su pfSense: guida passo passo

pfSense include una procedura guidata (wizard) per configurare OpenVPN in modalità “Remote Access” che semplifica molto il processo. Ecco come procedere.

Passo 1. Creare una Certificate Authority (CA)

Prima di tutto, pfSense ha bisogno di una CA interna per firmare i certificati del server e dei client VPN.

Vai su System → Cert. Manager → CAs e clicca su Add.

Compila i campi:

• Descriptive name: es. VPN-CA
• Method: Create an internal Certificate Authority
• Key type: RSA, 2048 bit (o 4096 per maggiore sicurezza)
• Digest Algorithm: SHA256
• Lifetime: 3650 giorni (10 anni)
• Compila i campi di identità (Country, Organization, ecc.) con i dati della tua azienda.

Clicca Save.

Passo 2. Creare il certificato del server

Vai su System → Cert. Manager → Certificates e clicca su Add/Sign.

• Method: Create an internal Certificate
• Descriptive name: es. Server-VPN
• Certificate Authority: seleziona la CA creata al passo precedente
• Certificate Type: Server Certificate
• Key type: RSA 2048
• Digest Algorithm: SHA256
• Lifetime: 397 giorni (consigliato per compatibilità con i client moderni)

Clicca Save.

Passo 3. Avviare il wizard OpenVPN

Vai su VPN → OpenVPN e seleziona la scheda Wizards.

Segui i passaggi:

• Authentication Backend: seleziona Local User Access per usare gli utenti locali di pfSense
• Certificate Authority: seleziona la CA creata al passo 1
• Server Certificate: seleziona il certificato creato al passo 2
• Interface: WAN
• Protocol: UDP su porta 1194 (raccomandato) oppure TCP 443 se si è dietro firewall restrittivi
• Tunnel Network: inserisci una subnet dedicata alla VPN, es. 10.8.0.0/24 (deve essere diversa dalla LAN aziendale)
• Local Network: inserisci la subnet della LAN aziendale, es. 192.168.1.0/24 sarà la rete raggiungibile dai client VPN
• Concurrent Connections: imposta il numero massimo di connessioni simultanee (es. 25)
• DNS Server: inserisci l’IP del DNS interno se presente, oppure lascia il DNS del firewall
• Spunta Add a rule to the firewall e Add a rule to redirect gateway → clicca Next

Il wizard creerà automaticamente le regole firewall necessarie.

Passo 4. Creare gli utenti VPN

Vai su System → User Manager e clicca Add per ogni utente che deve accedere alla VPN.

Compila:

• Username e Password
• Spunta Click to create a user certificate per generare automaticamente un certificato client
• Assegna il certificato alla CA VPN creata in precedenza.

Clicca Save.

Ripeti per ogni utente.

Ogni dipendente avrà le proprie credenziali e un certificato univoco: questo permette di revocare l’accesso in modo granulare se un dispositivo viene perso o un dipendente lascia l’azienda.

Passo 5 – Esportare la configurazione client

pfSense include il pacchetto OpenVPN Client Export che genera automaticamente i file di configurazione pronti per l’uso sui dispositivi degli utenti.

Se non è già installato, vai su System → Package Manager e installa openvpn-client-export.

Poi vai su VPN → OpenVPN → Client Export. Troverai tutti gli utenti creati: per ciascuno puoi scaricare:

• Un file .ovpn per Windows/macOS/Linux
• Un installer per Windows
• Un profilo per iOS/Android

Invia il file appropriato all’utente tramite canale sicuro (email cifrata, link protetto da password).

Passo 6 – Connessione dal client

L’utente finale deve:

1. Installare il client OpenVPN per il proprio sistema operativo (disponibile su openvpn.net o direttamente dall’App Store Google Play)
2. Importare il file .ovpn ricevuto
3. Inserire username e password quando richiesto
4. Cliccare Connect

Una volta connesso, il dispositivo è nella rete aziendale a tutti gli effetti.

Verifica e monitoraggio

Per verificare che le connessioni funzionino correttamente, vai su Status → OpenVPN nella WebGUI di pfSense. Vedrai in
tempo reale gli utenti connessi, gli IP assegnati e i dati di traffico.

Per i log dettagliati: Status → System Logs → OpenVPN.

Consigli aggiuntivi per la sicurezza

• Cambia la porta predefinita: usare una porta diversa dalla 1194 riduce i tentativi di scansione automatica
• Abilita il 2FA: pfSense supporta l’autenticazione a due fattori via TOTP (Google Authenticator) integrata nel sistema utenti
• Imposta un certificato con scadenza breve: ruota i certificati client ogni anno
• Revoca immediatamente i certificati degli utenti che lasciano l’azienda: System → Cert. Manager → Certificates → seleziona il certificato → Revoke
• Monitora i log regolarmente per individuare tentativi di accesso anomali

Conclusione

Configurare una VPN con pfSense non è particolarmente complesso, ma richiede attenzione ai dettagli – soprattutto nella gestione dei certificati e degli utenti.

Con l’hardware giusto, come un Netgate 4200 o Netgate 6100, e pfSense configurato correttamente, si ottiene una soluzione di accesso remoto sicura, affidabile e completamente sotto il controllo dell’azienda – senza dipendere da servizi cloud di terze parti.

Se hai bisogno di supporto per la configurazione o vuoi valutare l’hardware più adatto alla tua rete, il team di Eniacom è a disposizione per una consulenza tecnica.

📞 Contattaci – ti aiutiamo a scegliere e configurare la soluzione giusta.

Fonti: Documentazione ufficiale pfSense/Netgate

pfSense è un firewall open source molto diffusa in ambito IT ed in particolare nelle insfrastrutture professionali. Viene utilizzato per proteggere reti aziendali, uffici e datacenter. Permette di gestire sicurezza, VPN e traffico di rete con grande flessibilità. Grazie alle appliance dedicate Netgate, è possibile implementare pfSense con hardware ottimizzato e prestazioni elevate.

Cos’è pfSense

Firewall open source

Un firewall open source come pfSense è un software di sicurezza di rete che ha il codice sorgente disbonibile per modifiche ed è distribuito in modo libero. Ha le stesse funzioni fi un firewall ovvero quello di porsi fra l’ingresso e l’uscita dei dati di una rete per filtrare e monitorare il traffico. Il fatto che sia opensource, esalta la sua trasparenza, personalizzazione e contiene i costi di utilizzo rispetto alle soluzioni proprietarie, consentendo agli esperti di verificarne costantemente la sicurezza.

Router avanzato

Un router avanzato come pfSense (o advanced router) è un dispositivo di rete che si colloca al di sopra dei modelli standard . È progettato per gestire reti domestiche complesse, uffici (anche di medie e grandi aziende) o comunque ambienti che prevedono un largo utilizzo di dispositivi connessi in rete. Offre prestazioni superiori, maggiore sicurezza oltre l’ampia possibilità di funzionalità di gestione personalizzabili.

Gestione rete

pfSense offre un’ottima interfaccia per la gestione della rete e la gestione rete è la chiave di utilizzo di un firewall. pfSense offre un’ampia gamma funzionalità e fra queste torviamo Firewall e Routing per la gestione centralizzata di regole firewall (in/out), il NAT e routing inter-VLAN; poi una sezione dedicata alla VPN con supporto robusto per connessioni VPN sicure, incluse OpenVPN e IPsec. Non meno importante la Gestione del Traffico ovvero la capacità di traffic shaping per dare priorità alle applicazioni critiche e limitare l’uso della banda. Troviamo inoltre il supporto per il bonding delle interfacce di rete (load balancing) e il failover per garantire continuità operativa. Include ovviamente i servizi base come i servizi DNS/DHCP, portale captive per l’autenticazione, e strumenti di monitoraggio in tempo reale. Per quanto riguarda la sicurezza avanzata offre un sistema di rilevamento/prevenzione delle intrusioni (IDS/IPS) tramite pacchetti aggiuntivi.

Sicurezza

La sicurezza di rete è l’insieme delle misure, delle tecnologie e delle politiche adottate per proteggere l’integrità, la riservatezza e l’accessibilità dei dati e delle infrastrutture informatiche. In un mondo in cui tutto è interconnesso, non si tratta solo di “mettere una password”, ma di costruire un sistema di difesa a più livelli capace di prevenire, rilevare e rispondere agli attacchi informatici.

Possiamo immaginare la sicurezza di rete come la protezione di un castello: non basta un solo muro alto; servono fossati, guardie alle porte, controlli interni e un sistema di monitoraggio costante.

I Firewall Netgate con pfSense+ sono la miglior soluzione alle configurazioni sufficienti e necessarie per la corretta configurazione minimalo o avanzata per piccoel medie o grandi aziende senza escludere le pubbliche amministrazioni.

A cosa serve un firewall pfSense

pfSense è una delle soluzioni firewall e router open source più potenti e popolari al mondo. È basato sul sistema operativo FreeBSD e trasforma un normale computer (o un hardware dedicato come gli hardware Netgate) in un dispositivo di rete di classe enterprise.

Per un piccolo ufficio (5-15 dipendenti)

In questo scenario, la priorità è la continuità del lavoro e la sicurezza dei dati sensibili (come la fatturazione).

• Continuità Operativa (Dual WAN): Se la connessione principale cade, pfSense passa automaticamente a una linea di backup (es. una saponetta 4G/5G o una linea economica), evitando che l’ufficio rimanga fermo.
• Accesso Remoto Sicuro: I dipendenti che lavorano da casa o i consulenti esterni possono collegarsi tramite OpenVPN o WireGuard. Questo permette loro di accedere ai file sul server dell’ufficio come se fossero seduti alla scrivania, ma in totale sicurezza.
• Filtro Contenuti: Utilizzo di pfBlockerNG per bloccare siti malevoli o potenzialmente pericolosi a livello DNS, riducendo il rischio di malware e ransomware.

Per una media azienda (20-100+ dipendenti)

Qui le esigenze diventano più complesse, con la necessità di gestire reparti diversi e un traffico dati più intenso.

• Segmentazione della Rete (VLAN): pfSense separa fisicamente il traffico. Ad esempio:
  • VLAN Amministrazione: Accesso totale ai server contabili.
  • VLAN Ospiti: Navigazione internet isolata da tutto il resto.
  • VLAN IoT: Per stampanti, telecamere e termostati (spesso vulnerabili), impedendo loro di comunicare con i PC aziendali.
• Prevenzione delle Intrusioni (IDS/IPS): Installazione di Suricata. Il firewall non si limita a guardare “chi” bussa alla porta, ma analizza il contenuto dei pacchetti per identificare pattern tipici degli attacchi hacker (exploit, scansioni di rete).
• Limiter e Quality of Service (QoS): Se un dipendente avvia un download pesante, pfSense può dare la priorità alle chiamate VoIP o alle videoconferenze su Zoom/Teams, evitando che l’audio “scatti”.
• Captive Portal: Una pagina di login personalizzata per i clienti che arrivano in sede e vogliono usare il Wi-Fi, magari con accettazione dei termini di servizio.

Perché scegliere pfSense rispetto a un router tradizionale?

Scegliere pfSense rispetto a un router tradizionale (quelli che ti fornisce l’operatore o i modelli consumer da negozio) è un po’ come passare da una “utilitaria con i comandi bloccati” a una macchina da corsa completamente personalizzabile.

Ecco le differenze principali spiegate punto per punto:

1. Sicurezza “Granulare” vs “Tutto o Niente”: i router tradizionali hanno un firewall molto semplice: o una porta è aperta, o è chiusa.pfSense: Ti permette di creare regole basate su qualsiasi cosa: l’ora del giorno, l’indirizzo IP di provenienza, il tipo di protocollo, o persino il dispositivo specifico. Puoi dire: “La TV può andare su Netflix, ma non può parlare con il mio PC dove tengo i documenti di lavoro”.

2. Aggiornamenti e Longevità: i produttori di router commerciali spesso smettono di rilasciare aggiornamenti dopo 2-3 anni, lasciandoti vulnerabile ai nuovi virus o falle di sicurezza.pfSense: Essendo software open source con una community enorme, riceve aggiornamenti di sicurezza costanti. Finché l’hardware su cui gira funziona, il tuo firewall sarà sempre moderno e protetto.

3. Nessun “Collo di Bottiglia” (Performance): i router economici hanno processori minuscoli che “soffocano” quando ci sono troppi dispositivi connessi o quando la VPN è attiva.pfSense: Gira su architettura x86 (processori Intel o AMD). Se hai una connessione a 1 Gbps o 2.5 Gbps, pfSense la gestisce senza battere ciglio, mantenendo la latenza bassissima anche con 50 persone che navigano contemporaneamente.

4. Pacchetti e Funzioni Extra (Gratis): in un router tradizionale, se vuoi una funzione che non c’è, devi comprare un nuovo router. In pfSense, basta un click per installare:
– Blocco pubblicità (pfBlockerNG): Elimini i banner pubblicitari su tutti i dispositivi della casa/ufficio (anche sulle Smart TV).
– Monitoraggio totale: Vedi grafici in tempo reale di chi sta usando quanta banda e verso quali siti sta andando il traffico.
– VPN Illimitate: Non hai limiti di licenza sul numero di tunnel VPN che puoi creare.

Quale firewall pfSense scegliere

Scegliere l’hardware giusto significa bilanciare il numero di utenti, la velocità della tua connessione internet e, soprattutto, quali servizi (pacchetti) intendi far girare.

1. Piccoli Uffici (SoHo / Home Office)
   Qui l’obiettivo è la silenziosità, il basso consumo e la stabilità per pochi utenti (fino a 10-15).

Netgate 1100: * Ideale per: Connessioni domestiche o micro-uffici con ADSL/Fibra FTTC (fino a 500-600 Mbps di firewalling base).

Limite: Fatica se attivi molti pacchetti pesanti come l’ispezione profonda dei pacchetti (IDS).

Netgate 2100:

Ideale per: Piccoli uffici che vogliono una VPN solida. Ha più RAM (4GB) e permette di installare pfBlockerNG senza rallentamenti. Gestisce bene una linea Gigabit in modalità firewall semplice.

2. Medie Aziende (20 – 70 utenti)
   In questo scenario subentra la necessità di gestire molteplici VLAN e tunnel VPN multipli contemporaneamente.

Netgate 4100:

Il “Best Buy” per uffici medi: Ha porte dedicate da 2.5 Gbps. È perfetto se hai una fibra FTTH moderna e vuoi sfruttarla tutta. Gestisce tranquillamente un mix di VPN, regole firewall avanzate e filtraggio contenuti.

Netgate 6100:

Performance Enterprise: Qui entriamo nel territorio delle alte prestazioni. Ha porte 10Gbps SFP+. È la scelta giusta se l’azienda fa backup pesanti verso il cloud o ha molti utenti che lavorano simultaneamente in VPN (fino a 1 Gbps di traffico VPN garantito).

3. Grandi Infrastrutture e Data Center (Rackmount)
   Qui non si scherza: serve potenza di calcolo bruta per analizzare il traffico di centinaia di utenti e server.

Netgate 8200 / Netgate 8300:

Caratteristiche: Processori Intel Xeon o Atom ad alto numero di core, molta RAM (8-16GB o più) e montaggio a rack 1U.

Utilizzo: Ideali per sedi centrali che devono smistare il traffico di filiali remote, o per chi deve far girare Suricata/Snort (IDS/IPS) su linee multi-gigabit senza latenza.

Conclusione

pfSense è una delle soluzioni firewall più flessibili e affidabili per proteggere reti aziendali. Grazie alle appliance Netgate è possibile implementare rapidamente un’infrastruttura sicura e scalabile, adatta sia a piccoli uffici sia ad ambienti enterprise.

Se stai valutando pfSense per la tua azienda, leggi la guida completa con confronto e casi reali