Problemi affrontati
- Una rete piatta permetteva a un singolo client compromesso di raggiungere server e interfacce di gestione.
- Dispositivi domotici e ospiti condividevano la stessa rete dei dispositivi di lavoro, senza alcun isolamento.
- Le regole del firewall si erano accumulate nel tempo senza una politica esplicita e risultavano difficili da verificare.
- Assegnazione degli indirizzi e risoluzione dei nomi erano gestite in modo disomogeneo da un segmento all'altro.
Soluzione implementata
La rete è suddivisa in cinque segmenti VLAN (gestione, server, client, domotica e ospiti) distribuiti con trunk 802.1Q da uno switch gestito. Il firewall è l'unico punto di instradamento tra i segmenti e applica una politica predefinita restrittiva: sono permessi solo i flussi documentati. DHCP e DNS sono configurati per segmento, con prenotazioni statiche per i dispositivi infrastrutturali. Le interfacce di gestione sono raggiungibili soltanto dal segmento dedicato. Piano degli indirizzi e matrice dei flussi sono documentati e versionati.
Risultati
- Un dispositivo compromesso in un segmento non ha visibilità diretta sugli altri segmenti.
- Ospiti e dispositivi domotici sono isolati dalla rete di lavoro e dai server.
- I flussi consentiti tra segmenti sono leggibili in una matrice e verificabili a ogni modifica.
- Le interfacce di gestione di switch, firewall e hypervisor non sono raggiungibili dai segmenti client.
Descrizione tecnica
Una rete piatta, in cui ogni dispositivo vede tutti gli altri, trasforma un singolo client compromesso in un problema per l'intera infrastruttura. Questo caso di studio mostra come separare i segmenti in modo ordinato, controllando i flussi in un unico punto.
Architettura
Il firewall perimetrale collega la rete a Internet e, tramite un trunk 802.1Q, a uno switch gestito e a un access point. Da qui partono cinque segmenti: gestione, server, client, domotica e ospiti. Le porte dello switch sono in modalità access per i dispositivi finali e in modalità trunk verso firewall, access point e hypervisor; le porte inutilizzate restano disattivate. Sul Wi-Fi ogni rete (SSID) è associata a una VLAN.
L'instradamento tra segmenti avviene solo sul firewall: ogni flusso tra VLAN diverse attraversa un punto in cui può essere filtrato e registrato.
Componenti e scelte
- Politica predefinita restrittiva: ciò che non è esplicitamente consentito è bloccato. Le eccezioni sono poche, motivate e riportate in una matrice dei flussi.
- Gestione isolata: le interfacce amministrative di switch, firewall e hypervisor si raggiungono solo dal segmento di gestione.
- Ospiti e domotica: gli ospiti hanno soltanto l'accesso a Internet; i dispositivi domotici non avviano connessioni verso gli altri segmenti.
- DHCP e DNS per segmento, con prenotazioni statiche per l'infrastruttura. I servizi di scoperta come mDNS, che non attraversano le VLAN, sono inoltrati solo dove serve.
Su Proxmox VE il bridge con supporto alle VLAN permette di assegnare il segmento direttamente alla scheda di rete di ogni macchina virtuale:
auto vmbr0
iface vmbr0 inet static
address 192.0.2.10/24
gateway 192.0.2.1
bridge-ports eno1
bridge-stp off
bridge-fd 0
bridge-vlan-aware yes
bridge-vids 2-4094Importante
Prima di modificare porte o VLAN di gestione conviene predisporre un accesso di emergenza, come una console o una porta fuori banda: un errore di tagging può interrompere l'accesso a switch e firewall.
Verifiche e collaudo
Dopo ogni modifica si verifica la matrice dei flussi: da ciascun segmento si controlla che i collegamenti consentiti funzionino e che quelli vietati risultino bloccati, confrontando i risultati con i log del firewall. Si controllano anche il rilascio degli indirizzi DHCP, la risoluzione DNS per segmento e la coerenza dei tag ai due lati di ogni trunk. Le configurazioni di switch e firewall vengono salvate dopo ogni cambiamento.
Possibili evoluzioni
Tra gli sviluppi possibili: accesso remoto tramite VPN, limitato ai soli segmenti necessari, come descritto in WireGuard: accesso remoto e VPN site-to-site senza complicazioni; autenticazione 802.1X sulle porte; raccolta centralizzata dei log del firewall. Per approfondire si veda l'articolo Segmentare la rete con le VLAN: schema di riferimento per un homelab.