La domanda torna in quasi ogni conversazione che abbiamo con i responsabili IT delle aziende di medie dimensioni: “abbiamo già una VPN, perché dovremmo aggiungere un bastion?”
È una domanda legittima, e la risposta non sta in una tabella comparativa. I due strumenti risolvono problemi diversi. Confonderli porta a una situazione molto comune: un’organizzazione convinta di aver messo in sicurezza i propri accessi amministrativi, quando ha messo in sicurezza solo il trasporto.
Cosa fa una VPN
Una VPN cifra il collegamento tra una macchina remota e la rete aziendale. Risponde a una domanda precisa: come può un dipendente o un fornitore raggiungere la rete interna dall’esterno senza che il traffico viaggi in chiaro su internet?
Su questo terreno fa esattamente il suo lavoro. Il tunnel è cifrato, l’autenticazione può essere rafforzata e la macchina remota si comporta come se fosse sulla rete locale.
Ed è proprio qui che sta il limite: la macchina remota si comporta come se fosse sulla rete locale. Una volta attivo il tunnel, l’utente vede ciò che la rete espone. Non solo il server su cui deve lavorare, ma tutto il resto, entro i limiti della segmentazione in vigore, che raramente è granulare come si pensa.
Cosa fa un bastion
Un bastion host non collega nessuno a una rete. Apre una sessione verso una macchina precisa, per un protocollo preciso, e osserva ciò che vi accade.
In pratica, quando un amministratore passa da un bastion:
- si autentica prima sul bastion, con MFA;
- il bastion verifica se può raggiungere questo bersaglio, con questo protocollo, in questo momento;
- il bastion apre la sessione iniettando le credenziali da una cassaforte, senza mostrarle;
- la sessione viene registrata dall’inizio alla fine.
In nessun momento l’utente ottiene un accesso generale alla rete. E in nessun momento possiede la password dell’account privilegiato che ha appena usato.
La differenza sta in una frase
Una VPN ti dà accesso a una rete. Un bastion ti dà accesso a una macchina e tiene traccia di ciò che ci hai fatto.
Tutto il resto ne discende.
Lo scenario che chiude la questione: un intervento di terzi
Prendiamo una situazione ordinaria. Il fornitore del tuo gestionale deve intervenire sul server applicativo, un martedì pomeriggio, per correggere un bug.
Con la sola VPN, crei un account, si collega e raggiunge il server applicativo. Può potenzialmente raggiungere anche il file server, l’hypervisor e la stampante dell’ufficio contabilità. Gli invii la password di amministratore del server, che da quel momento esiste nel suo gestore di password, in un file sulla sua macchina o nella conversazione che hai usato per inviarla. A lavoro finito, devi ricordarti di disattivare l’account. E non sai che cosa sia stato fatto, se non scavando nei log del server, sempre che esistano e siano utilizzabili.
Con un bastion, concedi l’accesso a quel server, in RDP, per quel martedì. Si collega dal browser. La password di amministratore viene iniettata senza che gli venga rivelata. La sessione è registrata. Quando la finestra si chiude, si chiude anche l’accesso. Se tre settimane dopo qualcuno deve capire l’origine di un malfunzionamento, riguardi la sessione.
La differenza non è teorica. Questi due scenari separano un’organizzazione in grado di rispondere a un audit da una che risponderà “crediamo che”.
Cosa una VPN non registra
Il log di una connessione VPN ti dice che un account si è collegato alla rete, da un dato indirizzo IP, a una data ora, e si è disconnesso a un’altra.
Non ti dice quali macchine sono state raggiunte, quali comandi sono stati eseguiti, quali file sono stati aperti, né se l’account usato appartenesse davvero alla persona che doveva svolgere il lavoro.
È esattamente ciò che l’articolo 21 della direttiva NIS2 richiede sugli accessi privilegiati, e ciò che chiede la maggior parte dei questionari di cyber insurance: non la prova che il collegamento fosse cifrato, ma la prova che l’accesso era controllato e che sai che uso ne è stato fatto.
Bisogna scegliere?
No, ed è il punto più importante di questo articolo.
Un bastion non sostituisce una VPN, così come non sostituisce un firewall. Questi tre elementi rispondono a tre domande diverse: quale traffico di rete passa, come si raggiunge la rete e chi accede a quale macchina con quali diritti.
Molte organizzazioni mantengono la VPN per l’uso quotidiano dei dipendenti e spostano gli accessi amministrativi dietro un bastion. Di solito è il percorso più semplice, e non richiede di ricominciare da zero.
L’ostacolo storico non c’è più
Se il bastion è rimasto così a lungo appannaggio delle grandi aziende, non era per mancanza di pertinenza altrove. Era perché il costo d’ingresso scoraggiava: un server dedicato da mantenere, un client pesante da distribuire su ogni postazione, regole firewall da negoziare e un progetto di integrazione di diverse settimane.
Heimlane Realm parte dal presupposto opposto. Le sessioni SSH, RDP e VNC si aprono nel browser, senza software client. Nessun jump server è esposto e nessuna regola in ingresso viene creata: un agente leggero installato sulla rete apre un tunnel in uscita verso la piattaforma. Le credenziali provengono da Vault e non vengono mai mostrate. E il tutto è ospitato in Francia e in Germania.
L’esigenza non è cambiata in vent’anni. È cambiato ciò che serve per soddisfarla.
Per saperne di più: che cos’è un bastion host, a cosa serve e come installarne uno. Puoi anche richiedere una demo di Realm e aprire una sessione registrata in quindici minuti.