m4nifest0-tech

Cerca nel sito

Networking e segmentazione delle reti

Rete, VLAN e firewall

Rete segmentata in VLAN con firewall come punto di instradamento tra i segmenti e politica di accesso restrittiva.
AttivoAggiornata il

Obiettivo

Isolare gestione, server, client, dispositivi domotici e ospiti, limitando i flussi tra segmenti a quelli strettamente necessari e documentati.

Architettura

Un firewall perimetrale collega la rete a Internet e, tramite un trunk 802.1Q, a uno switch gestito e a un access point. Cinque segmenti separati ospitano gestione, server, client, dispositivi domotici e ospiti. L'instradamento tra i segmenti passa dal firewall, con politica predefinita restrittiva e flussi consentiti documentati.

Rete segmentata con VLANInternet raggiunge un firewall perimetrale, collegato con un trunk 802.1Q a uno switch gestito e, tramite lo switch, a un access point. Dallo switch partono i segmenti di gestione, server e client; l'access point serve i segmenti domotica e ospiti. Il traffico tra segmenti diversi passa dal firewall, che applica una politica restrittiva.PerimetroCore di reteSegmenti VLANInternetFirewalldefault denySwitch gestitoporte access e trunkAccess pointuna rete Wi-Fi per VLANVLAN gestionesolo amministrazioneVLAN servercarichi di lavoroVLAN clientpostazioni e portatiliVLAN domoticadispositivi smartVLAN ospitisolo accesso a InternetWANtrunk 802.1Qtrunk
  • Internet è collegato a Firewall (WAN)
  • Firewall è collegato a Switch gestito (trunk 802.1Q)
  • Switch gestito è collegato a Access point (trunk)
  • Switch gestito è collegato a VLAN gestione
  • Switch gestito è collegato a VLAN server
  • Switch gestito è collegato a VLAN client
  • Access point è collegato a VLAN domotica, collegamento logico
  • Access point è collegato a VLAN ospiti, collegamento logico
Rete segmentata con VLAN. Internet raggiunge un firewall perimetrale, collegato con un trunk 802.1Q a uno switch gestito e, tramite lo switch, a un access point. Dallo switch partono i segmenti di gestione, server e client; l'access point serve i segmenti domotica e ospiti. Il traffico tra segmenti diversi passa dal firewall, che applica una politica restrittiva.Linea continua: collegamento diretto. Linea tratteggiata: collegamento logico o secondario.

Dettagli

Principi di progetto

  • Segmentazione: gestione, server, client, dispositivi domotici e ospiti stanno in VLAN separate, così un dispositivo compromesso non vede gli altri segmenti.
  • Un solo punto di controllo: il traffico tra segmenti passa dal firewall, dove può essere filtrato e registrato.
  • Politica restrittiva: ciò che non è esplicitamente consentito è bloccato; le eccezioni sono poche, motivate e documentate.
  • Gestione isolata: le interfacce amministrative sono raggiungibili solo dal segmento dedicato.
  • Ospiti e domotica: isolati dalla rete di lavoro e dai server, con accesso limitato a quanto serve.
  • Servizi di base per segmento: DHCP e DNS dedicati, con documentazione aggiornata dei flussi.

Il ragionamento di base è illustrato in Segmentare la rete con le VLAN: schema di riferimento per un homelab.

Gestione delle modifiche

Ogni modifica a VLAN o regole segue lo stesso ciclo: richiesta, modifica, verifica dei flussi consentiti e vietati, salvataggio della configurazione e aggiornamento della documentazione.

Configurazione attuale

Il firewall è un'appliance Nethesis Security Box S20 con NethSecurity. Lo switch gestito è un HP 1910-24G (JE006A), 24 porte 10/100/1000 più 4 SFP.

Cosa non viene pubblicato

Per scelta, questa scheda non riporta identificativi di VLAN, intervalli di indirizzi, marca o modello dell'access point, né regole del firewall: una descrizione dettagliata agevolerebbe un attaccante. Il diagramma usa solo nomi generici.