Nethesis
NethSecurity: VLAN e zone per separare la rete aziendale
VLAN, zone e regole consentono di separare PC, server, telefoni e dispositivi meno affidabili. Ecco come progettare la segmentazione senza confondere isolamento e sicurezza assoluta.
Una rete unica è semplice, ma condivide ogni problema
In molti piccoli uffici computer, server, telefoni IP, stampanti e telecamere utilizzano la stessa rete. È una configurazione facile da avviare, ma rende meno chiari i confini: dispositivi con esigenze e livelli di fiducia diversi si trovano nello stesso spazio logico. NethSecurity permette di separare le reti fisicamente, usando interfacce differenti, oppure logicamente attraverso VLAN. La documentazione richiede che ogni rete gestita abbia indirizzi differenti e ricorda che l’identificativo VLAN configurato sul firewall deve corrispondere a quello impostato sullo switch. La segmentazione parte quindi da un progetto coerente, non da una singola regola.
VLAN e zone svolgono compiti diversi
Una VLAN crea un segmento logico distinto sulla stessa infrastruttura di commutazione. La zona del firewall, invece, rappresenta un confine di fiducia e determina le politiche applicate all’interfaccia. NethSecurity include le zone LAN e WAN e consente di crearne altre; la documentazione mette a disposizione anche modelli per scenari come rete ospiti e DMZ. Associare una VLAN a una zona con un nome comprensibile, per esempio Uffici, Server o VoIP, rende più leggibile il progetto. Il nome non protegge da solo: sono le politiche e le regole tra le zone a stabilire quali comunicazioni sono consentite.
Un esempio pratico per una piccola azienda
Immaginiamo una sede con dieci PC, un server gestionale, telefoni IP e alcune telecamere. Si possono predisporre reti separate per postazioni, server, VoIP e videosorveglianza, ciascuna con una propria sottorete e un proprio identificativo VLAN. Lo switch trasporta i tag sulle porte concordate, mentre le porte destinate ai dispositivi finali vengono configurate secondo il ruolo previsto. Sul firewall si autorizza, per esempio, la rete Uffici a raggiungere soltanto i servizi necessari sul server; le telecamere non devono poter iniziare connessioni verso i PC; i telefoni accedono ai servizi indispensabili alla fonia. È un modello esemplificativo, da adattare alle applicazioni reali.
Le regole devono partire dai flussi necessari
NethSecurity distingue le regole di inoltro, dedicate al traffico tra zone, da quelle dirette al firewall e da quelle originate dal firewall. Per ogni regola si possono indicare zona sorgente, zona di destinazione, indirizzi e servizi. L’ordine è importante: la prima regola corrispondente determina il trattamento del pacchetto. Prima di configurare conviene quindi elencare i flussi richiesti: chi deve parlare con chi, su quale servizio e per quale motivo. Una regola ampia come “tutto verso tutto” rende inutile gran parte della separazione; una regola troppo stretta può invece interrompere aggiornamenti, risoluzione dei nomi, stampa o funzioni applicative.
I limiti da considerare prima dell’intervento
Le VLAN non cifrano il traffico e non sostituiscono aggiornamenti, protezione degli endpoint, password robuste o backup. La separazione funziona solo se switch, access point e firewall gestiscono correttamente tag, porte e sottoreti. Inoltre, il traffico tra dispositivi appartenenti allo stesso segmento può rimanere nello switch senza attraversare il firewall: per controllarlo possono servire ulteriori funzioni di isolamento. Un errore su una porta trunk o sull’identificativo VLAN può rendere irraggiungibile un intero reparto. Per questo la modifica dovrebbe essere pianificata con accesso locale agli apparati e con una configurazione precedente disponibile per il ripristino.
Introdurre la segmentazione senza fermare il lavoro
Un approccio prudente comincia dall’inventario di dispositivi, indirizzi, dipendenze e porte dello switch. Si prepara poi una rete alla volta, iniziando da un gruppo non critico, e si verificano connettività, DNS, DHCP, stampa e applicazioni prima di proseguire. Le regole vanno nominate in modo descrittivo e accompagnate da una breve motivazione. Dopo la migrazione è utile controllare i registri per individuare traffico bloccato che corrisponde a un’esigenza reale, evitando di aprire indiscriminatamente le comunicazioni. Il risultato atteso non è una rete più complicata, ma confini comprensibili, interventi più mirati e minore propagazione degli incidenti.
Fonti e riferimenti
Fonti consultate il 15/10/2026.