VPN: come un IP condiviso reinvia i dati all’abbonato giusto

Una VPN può far uscire più abbonati dallo stesso indirizzo IP. Le porte, una tabella di corrispondenza e i tunnel permettono di instradare ogni risposta verso il dispositivo giusto, senza che questa memoria tecnica sia automaticamente una cronologia di navigazione.

Quando due abbonati a una VPN aprono la stessa pagina, il sito può vedere le loro richieste arrivare da un unico indirizzo IP pubblico. Questo non significa che il server VPN li confonda: per instradare le risposte, associa ogni scambio a una corrispondenza temporanea e a un tunnel diretto al dispositivo interessato.

Questa distinzione chiarisce due questioni spesso confuse. Un indirizzo IP condiviso può nascondere ai siti visitati l’indirizzo pubblico di origine. Ma il funzionamento della rete richiede comunque che il server VPN conservi, almeno durante gli scambi, informazioni sufficienti per sapere dove reinviare i pacchetti. Questa memoria delle connessioni non è, di per sé, una cronologia di navigazione.

Un indirizzo visibile, più connessioni

Un indirizzo IP serve a instradare pacchetti tra reti. Nel caso classico di IPv4, più dispositivi della stessa rete domestica possono già condividere l’indirizzo pubblico assegnato al router. All’interno dell’abitazione hanno indirizzi privati; in uscita, il router sostituisce questi indirizzi con il proprio. Al ritorno, effettua la traduzione inversa.

Un server VPN può svolgere un ruolo analogo per il traffico che lo attraversa. Il dispositivo dell’abbonato invia i propri dati al server VPN attraverso un tunnel cifrato. All’interno della rete VPN, il server può identificare il client tramite il suo indirizzo interno e le informazioni associate al tunnel. Per inoltrare poi il traffico verso Internet, utilizza il proprio indirizzo IP pubblico.

Il sito remoto vede questo indirizzo pubblico, non quello pubblico della rete da cui l’abbonato si è collegato alla VPN. Se più client escono dallo stesso indirizzo VPN, quindi, questo non basta a distinguerli. Il server deve anche tenere traccia delle connessioni stesse.

La porta completa l’indirizzo

Per una connessione TCP o UDP, le intestazioni dei pacchetti includono numeri di porta oltre agli indirizzi IP. Una porta identifica un punto di comunicazione associato a uno scambio. Per raggiungere un sito web tramite HTTPS, il traffico è generalmente diretto alla porta 443 del server. Anche il browser usa una porta sul lato client, chiamata porta sorgente.

Immaginiamo, a scopo didattico, due client le cui richieste escono dallo stesso indirizzo VPN e sono dirette allo stesso server web. La VPN può assegnare ai loro scambi porte sorgente distinte sul proprio indirizzo pubblico. Il server web risponde all’indirizzo e alla porta associati a ciascuna richiesta. La VPN consulta quindi la propria tabella di corrispondenza per ritrovare l’indirizzo e la porta interni del client interessato, poi gli rinvia i dati attraverso il suo tunnel.

Questa traduzione dell’indirizzo e della porta si chiama NAPT, dall’inglese «Network Address and Port Translation». La RFC 3022 dell’Internet Engineering Task Force descrive questo meccanismo per le reti IPv4: più indirizzi interni e le relative porte possono essere associati a un unico indirizzo esterno e a porte distinte. L’associazione tiene conto del protocollo utilizzato, in particolare TCP o UDP.

La porta, dunque, non è un’etichetta permanente di un utente Internet. Serve a distinguere gli scambi in corso. Una tabella di stato conserva le corrispondenze necessarie per il traffico in uscita e in entrata; quando la connessione termina o diventa inattiva, queste informazioni possono scadere. Senza questo stato, il server non saprebbe a quale client consegnare una risposta ricevuta su un indirizzo condiviso.

Dal server VPN al tunnel giusto

La traduzione dell’indirizzo pubblico è solo una parte del percorso. Una volta tornata al server VPN, la risposta deve ancora essere trasmessa al dispositivo giusto attraverso il tunnel corrispondente. A tal fine, il server si basa sulle informazioni della rete interna e sul funzionamento del protocollo VPN.

In WireGuard, per esempio, gli indirizzi autorizzati nei tunnel sono associati alle chiavi pubbliche dei client. Ciò contribuisce alla scelta della sessione crittografica utilizzata per trasmettere i pacchetti. I dettagli variano a seconda dei protocolli e delle architetture: il principio della condivisione di un indirizzo di uscita non significa che tutte le VPN realizzino ogni passaggio esattamente allo stesso modo, né che ogni configurazione debba utilizzare la stessa traduzione degli indirizzi.

La regola utile è più generale: una risposta deve tornare attraverso il dispositivo in grado di ritrovare lo scambio a cui appartiene. La RFC 3022 sottolinea questo vincolo per il NAT tradizionale: il traffico di una sessione deve passare attraverso il router che conserva il suo stato di traduzione, oppure attraverso un dispositivo che condivida le informazioni necessarie. Se questo percorso o questo stato scompaiono, una connessione in corso può non riuscire, anche se l’indirizzo pubblico resta disponibile.

Memoria tecnica non significa registro della navigazione

Occorre distinguere due tipi di informazioni. La tabella di corrispondenza serve all’instradamento: collega temporaneamente uno scambio esterno a una connessione interna. Un registro della navigazione, nel senso comune del termine, annota l’attività di un utente, per esempio i siti visitati o gli orari delle connessioni. La necessità di mantenere lo stato delle connessioni non dimostra, da sola, che il fornitore conservi questo secondo tipo di dati.

Questa distinzione, tuttavia, non permette di trarre conclusioni sulla politica di un fornitore specifico. La durata della conservazione, i dati registrati per altri scopi e le pratiche di gestione dipendono dalla sua configurazione e dai suoi impegni, che vanno esaminati separatamente. La meccanica della rete spiega che cosa occorre monitorare per instradare il traffico; non certifica le pratiche dell’azienda.

Infine, un IP condiviso non equivale all’anonimato. Un sito può riconoscere una persona perché accede al proprio account, grazie ai cookie o ad altri elementi associati al suo browser. La VPN modifica l’indirizzo IP pubblico visibile al sito, ma non elimina questi altri mezzi di riconoscimento. Risponde quindi a una domanda specifica, quella dell’indirizzo utilizzato per accedere a Internet, senza cancellare l’identità legata agli account o alle tracce conservate nel browser.