In una rete "piatta" tutti i dispositivi si vedono tra loro: il portatile di lavoro, la smart TV, la telecamera economica comprata online, il telefono dell'ospite. Se uno di essi viene compromesso, può raggiungere direttamente tutti gli altri. Segmentare la rete significa dividerla in zone separate e decidere esplicitamente chi può parlare con chi. Lo strumento principale per farlo sono le VLAN.
Cos'è una VLAN
Una VLAN (Virtual LAN) è una rete logica separata che condivide gli stessi cavi e gli stessi switch con altre reti. Per il dispositivo collegato, una VLAN si comporta esattamente come una rete fisica a sé: ha il proprio intervallo di indirizzi, il proprio traffico broadcast e non vede i dispositivi delle altre VLAN.
Il passaggio da una VLAN all'altra è possibile solo attraverso un router o un firewall, che applica le regole decise da te. È proprio questo il valore della segmentazione: il traffico tra zone passa per un punto di controllo.
Come funzionano i tag
Lo standard che descrive le VLAN su Ethernet è IEEE 802.1Q. Ogni VLAN ha un numero da 1 a 4094. Quando un frame deve viaggiare su un collegamento condiviso tra più VLAN, lo switch vi aggiunge un'etichetta (tag) di 4 byte con il numero della VLAN.
Le porte di uno switch gestito possono essere configurate in due modi:
| Tipo di porta | Traffico | Collegamento tipico |
|---|---|---|
| Access (untagged) | Una sola VLAN, senza tag | PC, stampante, telecamera |
| Trunk (tagged) | Più VLAN, con tag | Collegamento tra switch, verso il router o un access point |
Su una porta trunk si può definire anche una VLAN nativa, il cui traffico viaggia senza tag. È buona norma usare come nativa una VLAN non impiegata da nessun dispositivo, per evitare che traffico non etichettato finisca nella rete sbagliata.
Wi-Fi e VLAN
Gli access point moderni possono trasmettere più reti Wi-Fi (più SSID) e associare ciascuna a una VLAN. Il collegamento tra access point e switch diventa un trunk: la rete "Casa" esce sulla VLAN 10, la rete "Ospiti" sulla VLAN 30, la rete "IoT" sulla VLAN 20. Molti router domestici offrono una rete ospiti già isolata: è una forma semplificata dello stesso principio.
Un esempio di suddivisione
| VLAN | Nome | Sottorete | Contenuto | Può raggiungere |
|---|---|---|---|---|
| 10 | Fidati | 192.168.10.0/24 | PC, telefoni personali | Internet, server, IoT (per gestirlo) |
| 20 | IoT | 192.168.20.0/24 | TV, prese smart, elettrodomestici | Solo Internet |
| 30 | Ospiti | 192.168.30.0/24 | Dispositivi dei visitatori | Solo Internet |
| 40 | Server | 192.168.40.0/24 | NAS, server domestico | Internet per aggiornamenti |
| 50 | Telecamere | 192.168.50.0/24 | Videosorveglianza | Solo il registratore, niente Internet |
Le regole sul firewall seguono la logica "nega per impostazione predefinita": la rete fidata può aprire connessioni verso le altre, ma non viceversa. Le telecamere economiche, che spesso cercano di contattare servizi esterni, restano confinate.
Il problema dei servizi di scoperta
Separando le reti, alcune funzioni smettono di funzionare: il telefono non trova più la TV per trasmettere video, il PC non vede la stampante. Questi servizi usano protocolli di scoperta come mDNS e SSDP, che funzionano solo all'interno della stessa rete.
Le soluzioni:
- abilitare sul router un ripetitore mDNS (detto anche reflector) tra le VLAN interessate, consentendo poi via firewall solo il traffico necessario;
- mettere nella stessa VLAN i dispositivi che devono collaborare strettamente;
- per le stampanti, configurarle con indirizzo IP diretto invece che per scoperta automatica.
Cosa ti serve
- Un router o firewall che supporti le VLAN, con regole tra interfacce. Molti router domestici di fascia alta e tutti i firewall dedicati lo permettono.
- Switch gestiti (o "smart") che supportino 802.1Q. Gli switch non gestiti più economici di solito non gestiscono i tag in modo affidabile.
- Access point con supporto multi-SSID e VLAN, se vuoi separare anche il Wi-Fi.
Consigli pratici
- Progetta le reti su carta prima di toccare la configurazione: numero di VLAN, sottorete, chi può raggiungere cosa.
- Lascia sempre una porta di gestione raggiungibile: se configuri male un trunk puoi perdere l'accesso allo switch.
- Separa anche l'interfaccia di gestione degli apparati di rete, rendendola accessibile solo dalla rete fidata.
- Non usare la VLAN 1 per i dispositivi: è quella predefinita su molti apparati ed è facile che finisca ovunque per errore.
- Nel mio lavoro di analisi degli incidenti, una rete segmentata fa spesso la differenza tra un singolo dispositivo compromesso e un'intera rete da bonificare.
In sintesi
- Una VLAN è una rete logica separata che condivide cavi e switch con altre.
- Il tag 802.1Q identifica la VLAN sulle porte trunk; le porte access servono un solo segmento.
- Il traffico tra VLAN passa da un router o firewall, dove si decidono le regole.
- Separa almeno dispositivi fidati, IoT, ospiti e telecamere.
- Prevedi soluzioni per i servizi di scoperta come mDNS prima di separare tutto.
