Perché il nome di un adattatore VPN può nascondere un altro protocollo
L’etichetta accanto a un adattatore descrive il software che l’ha creato, non i pacchetti sulla rete. Controllate il client, il profilo e il peer prima di scegliere una soluzione.
L’etichetta accanto a un adattatore VPN descrive il software che ha creato l’interfaccia, e questo è uno strato sopra i pacchetti che attraversano davvero la rete. Un plugin può esporre un adattatore il cui nome riflette la classificazione del plugin stesso anziché l’incapsulamento sulla rete. Leggere il client, il profilo e il peer risponde a ciò che il nome non può. Due connessioni che in un menu di impostazioni sembrano identiche possono comportarsi in modo del tutto diverso in una cattura.
Il nome viene dal fornitore, non dalla rete
Windows definisce un breve elenco di tipi di connessione per i suoi client VPN integrati, e i prodotti di terze parti installano il proprio stack accanto a essi. L’adattatore che appare nell’elenco delle reti è creato dal driver che possiede la connessione, quindi il suo nome è una prova sul driver, non una garanzia sul protocollo esterno. Per questo anche disinstallare un client può lasciare dietro di sé il nome di un adattatore.
La documentazione di Microsoft sui tipi di connessione VPN è esplicita nel dire che il tipo descrive la configurazione del client per quella connessione. Quando è coinvolto un plugin, il tipo mostrato segue ciò che il plugin registra, e l’incapsulamento reale può essere qualcosa di completamente diverso.
La stessa stratificazione compare altrove. Un adattatore virtuale su un host Linux, un dispositivo TAP o un’estensione del servizio VPN mobile sono tutte interfacce create dal software, e il nome dell’interfaccia è scelto da quel software invece di essere negoziato con il server.
Cosa possono e cosa non possono dirvi porte e indirizzi
Ogni strato lascia prove diverse. Leggetele separatamente e un’etichetta smette di essere un verdetto:
| Evidence | What it establishes | Where it misleads |
|---|---|---|
| Adapter name | Which driver bound the interface | Plugins choose their own labels |
| Profile file | Which client consumes the configuration | Abstraction layers hide the transport |
| Outer port | Which port the peer accepts | 443 carries several protocols plus HTTPS |
| Tunnel address | The inner interface's network | Says nothing about encapsulation |
TCP 443 è l’esempio più chiaro. Può trasportare SSTP, un tunnel OpenVPN TCP, una sessione SoftEther SSL-VPN o normale traffico web, e il numero di porta da solo non può distinguerli. Una regola del firewall che consente 443 non è quindi una prova di quale client sia in uso. Una cattura sull’interfaccia esterna lo risolve, e lo risolve in pochi secondi.
Leggete il formato del profilo e il peer
Il file di configurazione è un indizio più forte dell’adattatore. Un profilo OpenVPN contiene direttive come remote, proto e ca; una configurazione WireGuard contiene una sezione [Interface] con una chiave privata e sezioni [Peer] con IP consentiti; una voce della rubrica di Windows memorizza il tipo di connessione nel proprio formato. Ogni sintassi appartiene a un’implementazione.
Poi guardate la documentazione e i log del peer. Il server sa quale gestore di protocollo ha accettato la sessione, e il suo log nomina la fase completata. Questa prova batte qualsiasi etichetta desktop, perché viene registrata dove i pacchetti sono stati realmente interpretati.
Scegliete il manuale per protocollo, non per etichetta
Una direttiva OpenVPN appartiene a OpenVPN, le chiavi e gli IP consentiti di WireGuard appartengono a WireGuard, e un profilo SSTP non è né l’uno né l’altro. Incollare l’opzione di un client in un altro perché il nome di un adattatore suonava compatibile è il modo in cui si rompe una configurazione funzionante.
Una volta identificato il protocollo, scegliete il percorso di risoluzione dei problemi corrispondente: il log del client stesso, il log del server specifico del protocollo e una cattura che mostri lo scambio esterno. Da lì il guasto ha un nome invece di un’etichetta.