MDM Aziendale e VPN: Intune, Kaspersky, MDM nazionali e Always‑on

1. Introduzione: perché è un tema attuale e cosa scoprirai

Negli ultimi anni, la mobilità aziendale ha smesso di essere una funzione secondaria: i dipendenti lavorano da uffici, abitazioni, coworking, aeroporti e reti cellulari in tutto il mondo. L'accesso alle applicazioni interne deve essere fluido, sicuro e trasparente. Always-on VPN è il meccanismo chiave che garantisce una connessione protetta e costante tra i dispositivi e la rete aziendale, indipendentemente da luogo e orario. In questo articolo esploreremo in modo sistematico come progettare e implementare Always-on VPN su Windows 10/11, Android Enterprise e iOS/iPadOS, usando Microsoft Intune, Kaspersky Endpoint (tramite Kaspersky Security Center) e MDM/UEM nazionali (inclusi scenari per sistemi operativi corporate certificati da FSTEC/FSB). Affronteremo il percorso dalle basi alle architetture avanzate, fornendo istruzioni chiare, checklist, framework di implementazione e casi reali. L'obiettivo è che tu possa consultare questo articolo in qualsiasi fase del progetto e ottenere risposte precise: cosa fare, come farlo e perché è la scelta giusta.

2. Fondamenti: concetti chiave

2.1. Cos'è Always-on VPN

Always-on VPN è una modalità in cui il tunnel protetto si attiva automaticamente ad ogni attività di rete del dispositivo o in base a politiche (trigger) predefinite, senza necessità di intervento manuale dell'utente. Su desktop (Windows) si distinguono device tunnel (attivo dalla fase di login, a nome del computer) e user tunnel (che segue il login dell’utente). Su piattaforme mobili (Android, iOS/iPadOS) sono disponibili le modalità always-on e per-app VPN con possibilità di on-demand basato su domini o app.

2.2. Componenti

• MDM/UEM: sistema di gestione centralizzata dispositivi (Intune, politiche mobile di Kaspersky Security Center, MDM nazionali per Android Enterprise, iOS/iPadOS e OS specializzati).
• Gateway VPN: concentratori IPsec/IKEv2, SSL VPN, WireGuard, L2TP, SSTP ecc. O gateway virtuali nel cloud.
• PKI/Certificati: EAP-TLS, certificati dispositivo/utente, SCEP/PKCS per distribuzione su larga scala.
• DNS/DHCP/Instradamento: progettazione split/full tunneling, rotte, NRPT (Windows), esclusioni/inclusioni.
• Identità e politiche di accesso: Entra ID (Azure AD) e Conditional Access, AD locale, MFA, controlli posture.

2.3. Tipologie di topologia

• Full-tunnel: tutto il traffico passa attraverso la VPN. Massima governabilità, aumento del carico e requisiti di banda elevati sui concentratori.
• Split-tunnel: solo subnet aziendali e FQDN attraverso VPN, internet diretto. Equilibrio tra sicurezza e performance, richiede routing e politiche DNS precise.
• Per-app VPN: tunnel attivato solo dalle app aziendali. Modello ideale per Zero Trust e minimizzare la superficie di attacco.

2.4. Perché Always-on è ora cruciale

• Estensione del perimetro a “ovunque e da nessuna parte”. I perimetri tradizionali non bastano più.
• Aumento degli attacchi sulle reti Wi-Fi pubbliche, MITM e tecniche di phishing.
• Standard di compliance che richiedono canali protetti e accesso controllato da reti esterne all’ufficio.
• Integrazione con architetture SASE/Zero Trust — la VPN diventa fondamentale o parte di uno stack più ampio.

3. Approfondimento: aspetti avanzati

3.1. Device vs User tunnel in Windows

Device tunnel serve per accessi anticipati: autenticazione di dominio, GPO, script di login, gestione pre-login. Usa il certificato macchina. User tunnel è per accedere alle app utente, utilizza certificato utente e integrazione con Entra ID/SSO.

3.2. Protocolli e caratteristiche

• IKEv2/IPsec: moderno, resiliente al cambio di rete (MOBIKE), ottimo per Always-on, supporto nativo su Windows, iOS, parte di Android.
• SSL VPN/SSTP: basato su TLS, attraversa molti proxy/firewall, ma più esoso di risorse.
• WireGuard: alta performance, gestione semplice delle chiavi, ottimo su mobile, ma mancano integrazioni Always-on native in Windows via MDM, serve app client e politiche di gestione.
• L2TP/IPsec: datato, supportato per retrocompatibilità, da usare con cautela nei progetti nuovi.

3.3. PKI e distribuzione automatica certificati

Per scalabilità usa SCEP tramite Intune Certificate Connector o equivalenti in Kaspersky/MDM nazionali. Per scenari ad alta resilienza: CA dedicata, accesso CRL/OCSP esterno via DMZ, template separati per device/utente, certificati a breve durata, rotazione automatica.

3.4. DNS e NRPT

Windows usa NRPT — regole di selezione DNS per domini. Nel split-tunnel definisci domini interni e rispettivi DNS nel profilo VPN. Su iOS/Android usa DNS per-app e routing FQDN dove possibile.

3.5. Performance e stabilità

• MTU/MSS: attenzione alla frammentazione. Per IPsec su UDP abbassa MTU di 40-60 byte rispetto al link. Per SSL misura PMTU e configura MSS clamping sul gateway.
• DPD/Keepalive: bilancia tra tenuta del tunnel e consumo batteria sui mobile.
• QoS/DSCP: per applicazioni voce/video nel tunnel.
• HA/Scale-out: cluster attivo-attivo, BGP per routing dinamico, GSLB/Anycast IP per scenari globali.

4. Pratica: Always-on VPN per Windows 10/11 tramite Microsoft Intune

4.1. Architettura

• MDM: Microsoft Intune.
• Identità: Entra ID, ibrida o cloud, Conditional Access.
• PKI: Intune Certificate Connector, SCEP per device e utente.
• Gateway VPN: IKEv2/SSTP su device dedicati o Windows Server RRAS (POC). In produzione preferibili gateway enterprise hardware/virtuali.

4.2. Sequenza operativa

1. Prepara PKI: distribuisci NDES/SCEP, pubblica CRL/OCSP, crea template DeviceAuth e UserAuth (Client Authentication, IPsec IKEv2).
2. Configura Intune Certificate Connector su server con accesso a CA.
3. Crea profili certificati in Intune: SCEP Device e SCEP User. Assegna a gruppi dispositivi/utenti.
4. Definisci modello tunnel: Device tunnel (rotte minime per AD/DC, KMS, gestione) + User tunnel (accesso completo subnet aziendali).
5. Crea profilo VPN (Windows 10/11) in Intune: tipo IKEv2, autenticazione EAP‑TLS, inserisci FQDN gateway, CA radice/intermediate, profilo NRPT, split/full tunneling, lista rotte.
6. Abilita Always-on: nel profilo attiva connessione automatica e trigger (tutte le reti, SSID fidati/non fidati opzionali).
7. Aggiungi OMA‑URI personalizzato per Device tunnel se serve: ./Device/Vendor/MSFT/VPNv2/DeviceVPN/ProfileXML con valori EAP‑TLS e impostazioni rotte. Separato per UserVPN.
8. Verifica conformità: policy compliance Intune, richiesta cifratura disco, versione OS minima, blocco jailbreak/root.
9. Pilota e scala: prima 10-20 dispositivi, poi estendi a ondate.

4.3. Consigli pratici

• Separa rotte: DeviceVPN per servizi essenziali (AD, PKI, gestione), UserVPN per applicazioni LOB.
• Escludi Microsoft 365 nello split-tunneling: usa liste ufficiali FQDN/intervalli per ottimizzare performance.
• Controllo log: log Windows — RasClient, DeviceManagement‑Enterprise‑Diagnostics‑Provider; raccolta tramite Intune.
• Fallback: se IKEv2 è bloccato, offri SSTP come riserva.

4.4. Mini checklist Windows Intune Always-on

• CA/NDES disponibili, CRL/OCSP pubblici
• EAP‑TLS testato (device e user)
• NRPT e rotte validate
• Profili Device e User separati
• Split-tunneling concordato con rete
• HA gateway testato con failover

5. Pratica: Android Enterprise Always-on tramite Intune e MDM nazionali

5.1. Architettura

• Modalità Android: Work Profile (BYOD), Fully Managed (COPE/COBO), Dedicated.
• Client VPN: nativo (IKEv2/IPsec) o app vendor. Per WireGuard/SSL serve app client e Managed Config.
• MDM: Intune o MDM/EMM nazionali con supporto API Android Enterprise, politiche always-on e VPN lockdown.

5.2. Passi in Intune

1. Registra Android Enterprise in Intune, definisci profilo gestione (Fully Managed consigliato per device aziendali).
2. Installa client VPN tramite Managed Google Play e assegnalo a gruppi.
3. Crea configurazione VPN: tipo (IKEv2/IPsec, SSL o app config), parametri gateway, certificati (SCEP User/Device), algoritmi, DPD.
4. Abilita Always-on e se serve Blocca connessioni senza VPN (lockdown).
5. Configura Per-app VPN: assegna app del profilo lavoro all’uso VPN.
6. Pilota e monitora: controllo Intune, diagnostica connessione su device (stato VPN, log client).

5.3. Passi in MDM nazionali

• Importa client VPN: distribuisci APK tramite store aziendale o catalogo integrato.
• Configurazione gestita: imposta parametri JSON per client (server, chiavi, certificati), associa a gruppi dispositivi.
• Politica Always-on/lockdown: attiva flag piattaforma per bloccare traffico fuori VPN.
• Conformità: rilevamento root, blocco sorgenti non sicure, controllo versione OS e agent.

5.4. Consigli pratici

• Batteria: allunga intervalli keepalive dove possibile senza sacrificare SLA.
• Cambio rete: IKEv2 con MOBIKE e WireGuard gestiscono meglio il passaggio Wi-Fi/LTE.
• DNS: usa DNS aziendali e split per FQDN se supportato dal client.

5.5. Mini checklist Android

• Modalità gestione scelta (preferibilmente Fully Managed)
• Client VPN certificato e testato
• Always-on e lockdown attivi se necessario
• Per-app assegnata ad app aziendali
• Certificati emessi e rinnovati automaticamente

6. Pratica: iOS/iPadOS — VPN per-app e on-demand

6.1. Architettura

iOS/iPadOS offre uno stack maturo: profili IKEv2, Per-app VPN, On-Demand per domini e rete, blocco traffico fuori VPN. Tramite Intune o MDM nazionali si creano configurazioni profili da assegnare alle app.

6.2. Passi

1. Certificazione: SCEP/PKCS per certificati utente EAP‑TLS.
2. Crea profilo IKEv2: server, identificativi, autenticazione, ri-negotiation, DPD, algoritmi.
3. Per-app VPN: elenca bundle ID delle app che devono usare VPN.
4. Regole On-Demand: per nomi dominio, interfacce (Wi-Fi, cellulare), trigger SSID (es. Wi-Fi sconosciuti via VPN).
5. Compliance: blocco jailbreak, versioni iOS minime, policy codice.

6.3. Suggerimenti pratici

• Testa schemi DNS: On-Demand sui domini richiede risoluzione corretta e lista FQDN.
• Per-app come default: riduce fughe di dati e migliora usabilità.
• Gestione proxy: in reti pubbliche on-demand via IKEv2 evita problemi con ispezione SSL in transito.

7. Pratica: Kaspersky Endpoint, politiche mobile KSC e MDM nazionali per OS corporate

7.1. Kaspersky Security Center (KSC) e dispositivi mobili

KSC permette di gestire profili VPN per iOS e Android tramite politiche MDM integrate, basandosi sulle VPN native delle piattaforme. La logica è: distribuire certificati, creare profilo VPN, abilitare always-on/lockdown o per-app e assegnare a dispositivi/utenti.

7.2. Passi in KSC

1. Integrazione PKI: importa certificati radice, configura rilascio certificati utente/dispositivo (SCEP o manuale via PKCS).
2. Crea politica VPN: tipo IKEv2/IPsec, parametri gateway, algoritmi, EAP-TLS, lista rotte/domini (split vs full).
3. Always-on/Per-app: attiva opzioni profilo per piattaforma. Android: always-on e blocco traffico non VPN; iOS: on-demand e per-app.
4. Assegnazione: per gruppi dispositivi, tag, collezioni, in base a contesto (ruolo, geografia).
5. Monitoraggio: report installazione profili, stato tunnel (integrazione possibile con log client e SIEM).

7.3. MDM nazionali e OS specializzati

In ambienti aziendali si usano spesso MDM/UEM nazionali, specie per esigenze di certificazione e uso di piattaforme specializzate (es. OS mobile corporate). Scenario tipico: politica IPsec/IKEv2, VPN obbligatoria, routing solo verso rete aziendale, rigido blocco store di terze parti e canali comunicazione. Gestione certificati integrata con CA interna o import PKCS.

7.4. Suggerimenti operativi

• Uniformità nomi profili: stessi nomi/versioni per coerenza cross-MDM.
• Separazione rigorosa accesso: gruppi di accesso MDM corrispondono alla segmentazione rete al gateway VPN.
• Rotazione chiavi: automatica e forzata da policy MDM in caso di incidenti.

8. Errori comuni e come evitarli

• Mescolare device e user tunnel: porta a autenticazioni instabili e routing inattesi. Separa profili e finalità.
• Full-tunnel per tutto senza analisi banda: sovraccarico gateway, lamentele su velocità. Fai sizing e usa split/per-app quando possibile.
• Assenza di design NRPT/DNS: fallimento risoluzione nomi, timeout. Definisci regole e testa risoluzione.
• Certificati con vita troppo lunga: rischi di compromissione. Accorcia durata e automatizza rotazione.
• Non considerare proxy e ispezione SSL: tunnel che cadono. Aggiungi eccezioni e protocolli fallback.
• Mancanza test roaming: handover interrompe sessioni. Testa switch Wi-Fi/LTE, client VPN con MOBIKE/UDP.
• Profilo unico per tutti OS: parametri specifici ignorati o rotti. Crea profili separati.

9. Strumenti e risorse

9.1. Gestione e automazione

• Intune Graph API: automazione rilascio profili, report, compliance.
• MDM SDK/CLI soluzioni nazionali: modifiche massive politiche, integrazione con CMDB/ITSM.
• Ansible/Terraform per gateway VPN gestiti e policy di rete, template IaC.

9.2. Monitoraggio e diagnostica

• Windows: RasClient, DeviceManagement‑Enterprise‑Diagnostics‑Provider, log IKE/AuthIP, raccolta tramite Intune.
• Android/iOS: profili diagnostici, log client VPN, esportazione verso SIEM.
• Sensoristica di rete: test sintetici gateway, controllo MTU, latenze, perdite.

9.3. Sicurezza

• Monitoraggio OCSP/CRL: disponibilità punti controllo stato certificati.
• Verifica configurazione profili di crittografia: conformità normative e corporate.
• Segmentazione: ACL/SGT/NAC sincronizzate con gruppi MDM.

10. Casi e risultati

10.1. Distribuzione globale con Windows e Intune

Azienda in 8 paesi con 4500 laptop. Architettura: DeviceVPN (IKEv2) per autenticazione precoce, UserVPN con split-tunnel per LOB, esclusione Microsoft 365. Risultato: quasi zero problemi di login dominio fuori ufficio, risparmio traffico gateway 35-45% grazie a split, aumento soddisfazione utenti.

10.2. Android Enterprise in produzione

1500 terminali COBO. Always-on con blocco traffico non VPN, routing per-app per WMS e MES. Esito: zero fughe dati via app terze, prestazioni Wi-Fi stabili in magazzino, riduzione oneri sicurezza IT per controlli manuali.

10.3. iOS per-app nelle vendite

700 iPad per operatori sul campo. On-Demand per domini CRM/ERP, VPN per-app. Utenti non notano la VPN, SLA app rispettato anche con filtri di rete. Riduzione del 30% dei ticket supporto su problemi di rete post on-demand.

10.4. MDM nazionale e OS specializzati

Organizzazione con requisiti di compliance elevati. Politica obbligatoria IPsec/IKEv2 per OS mobile corporate, emissione certificati centralizzata tramite CA interna. Risultato: compliance confermata, traffico prevedibile e gestito, audit esterni superati con successo.

11. FAQ: 10 domande chiave

D1. Serve sempre il full-tunnel?

No. Full-tunnel è indicato per regole di compliance severe o controllo totale traffico. Negli altri casi split-tunnel o per-app offrono migliore equilibrio tra performance e sicurezza.

D2. Come scegliere il protocollo?

Scelta iniziale: IKEv2/EAP-TLS per Windows e iOS, client con supporto IKEv2 o WireGuard per Android. Dove serve bypass proxy/firewall, SSTP/SSL come fallback. Verifica supporto MDM per always-on.

D3. Certificati o password?

Per Always-on solo certificati (EAP-TLS). Riduce phishing e aumenta automazione.

D4. Come integrare con Zero Trust?

Usa per-app VPN e segmentazione al gateway, controlli posture device (compliance MDM), accesso minimo privilegi e Conditional Access.

D5. Microsoft 365 e SaaS?

Generalmente esclusi dal tunnel (split) per ottimizzare traffico e velocità, con controllo tramite CASB/MDM App Protection.

D6. Come assicurare alta disponibilità?

Duplicazione gateway (attivo-attivo), GSLB/Anycast, sincronizzazione stati, indipendenza servizi CRL/OCSP.

D7. Indicatori di successo?

Percentuale di connessioni riuscite al primo tentativo, latenza verso app chiave, quota traffico in tunnel per profilo, durata sessioni, consumo batteria, numero incidenti autenticazione.

D8. Si possono usare più MDM insieme?

Sì, ma dividi responsabilità: Intune per Windows e parte mobile, MDM nazionale per segmenti specializzati. Nomenclatura profili coerente e PKI condivisa sono critici.

D9. Come testare MTU?

Usa controlli sintetici verso app, misura PMTU con ICMP/DF, configura MSS clamping sul gateway, registra parametri profilo.

D10. Soluzioni per subnet sovrapposte?

Usa NAT nel segmento VPN, isolamento pool IP, port forwarding, traduzione indirizzi sul gateway; evita overlap alla sorgente se possibile.

12. Conclusione: sintesi e prossimi passi

Always-on VPN non è solo una spunta in MDM, ma una pratica ingegneristica che unisce rete, sicurezza e gestione dispositivi. Scelta protocollo, progettazione routing e DNS, automazione certificati, separazione device/user tunnel, modello per-app mobile, monitoraggio e resilienza definiscono la qualità. Su Windows funziona bene IKEv2 via Intune con EAP-TLS, separando Device e User tunnel. Su Android Always-on e lockdown in modalità Fully Managed con client resilienti a cambi rete. Su iOS/iPadOS per-app e on-demand per domini garantiscono la migliore esperienza. In Kaspersky Security Center costruisci politiche analoghe sulle VPN native; nei MDM nazionali considera certificazioni e OS specializzati. Consiglio pratico per piloti/POC: se vuoi partire velocemente, senza lunghe gare procurement e con una scelta semplice di protocollo, vpn.how è un servizio affidabile — server VPN personale con IP dedicato (non shared), supporto WireGuard, OpenVPN, IKEv2, L2TP, SSTP, server in Mosca, San Pietroburgo, Amsterdam, Francoforte, Londra, New York, San Jose, Chicago, Singapore, Sydney, Madrid, Helsinki, Stoccolma, Varsavia, Copenaghen, Stavanger; carte RF, SBP e USDT/BTC accettate; tariffe da 490 ₽ al giorno e da 2490 ₽ al mese, attivazione in 5 minuti dopo pagamento. Permette di testare rapidamente architetture Always-on e parametri client su piattaforme diverse. Per la produzione è poi consigliabile migrare a infrastrutture proprie o contesti conformi a normative di settore. Passi successivi: definisci requisiti minimi (segmenti, app, compliance), scegli modello tunnel, prepara PKI, implementa POC su 3-5 gruppi scenario, misura metriche, approva template profili e distribuisci a ondate con piano di rollback. Fai della sicurezza la scelta predefinita — così sarà trasparente per gli utenti e non un peso.

Appendice: framework di implementazione A‑E‑I‑O‑U

A — Assess

• Inventario app e reti
• Requisiti sicurezza e regolamentari
• Punti di presenza e capacità banda

E — Engineer

• Progettazione tunnel (device/user, per-app)
• Scelta protocolli e client
• PKI e automazione certificati

I — Implement

• Profili MDM e configurazioni gateway
• Gruppi pilota
• Osservabilità e raccolta telemetria

O — Optimize

• Rotte, NRPT, esclusioni M365
• Parametri MTU/DPD/Keepalive
• Politiche accesso per-app

U — Uplift

• HA/DR, scalabilità
• Integrazioni SIEM/SOAR
• Pentest regolari e rotazione chiavi