Segmentazione della rete con VLAN: a cosa serve e come iniziare

In molte PMI la rete è "piatta": pc, server, stampanti, telecamere, centralino e macchinari sono tutti collegati alla stessa rete e possono comunicare liberamente tra loro. È comodo, ma significa che se un solo dispositivo viene compromesso, l'attaccante ha la strada aperta verso tutto il resto. La segmentazione della rete con VLAN serve a mettere delle porte tra le stanze.

Cos'è una VLAN, in parole semplici

Una VLAN (Virtual LAN) è una rete logica separata creata sugli stessi apparati fisici. Con switch e access point che la supportano, si possono avere più reti indipendenti sugli stessi cavi: i dispositivi di una VLAN non vedono quelli di un'altra, a meno che non lo si consenta esplicitamente.

Il passaggio tra una VLAN e l'altra avviene attraverso un router o, meglio, un firewall, dove si decide cosa può passare e cosa no. È qui che la segmentazione diventa una misura di sicurezza.

A cosa serve la segmentazione

• Contenere gli attacchi: un ransomware che colpisce un pc non raggiunge automaticamente server e backup se le regole lo impediscono.
• Proteggere i dispositivi deboli: telecamere, stampanti e macchinari spesso non ricevono aggiornamenti; isolarli riduce il rischio che diventino un punto d'ingresso.
• Separare chi non deve vedersi: ospiti, dipendenti, amministrazione, produzione.
• Migliorare le prestazioni: meno traffico superfluo su ogni segmento.
• Semplificare il controllo: è più facile capire cosa succede su una rete ordinata e intervenire in caso di problemi.

La segmentazione è anche una misura concreta per dimostrare un approccio strutturato alla sicurezza, utile in ottica GDPR (art. 32) e, per chi rientra nel perimetro, NIS2.

Come suddividere la rete: un esempio tipico

Ogni azienda è diversa, ma una suddivisione di partenza per una PMI potrebbe essere:

• Server e servizi: gestionale, file server, sistemi di backup.
• Utenti: pc e portatili dei dipendenti.
• Amministrazione: se gestisce dati particolarmente riservati.
• Stampanti e periferiche.
• Telefonia e videosorveglianza.
• Produzione / OT: macchinari e sistemi industriali, approfonditi nell'articolo sulla sicurezza delle reti industriali.
• Ospiti: solo accesso a Internet.
• Gestione: l'accesso alle interfacce di amministrazione di switch, firewall e access point.

Non serve partire con dieci segmenti: anche tre o quattro ben pensati fanno una grande differenza.

Le regole tra i segmenti contano più delle VLAN

Creare le VLAN e poi permettere tutto il traffico tra di esse non serve a nulla. Il principio da seguire è quello del minimo privilegio: ogni segmento può comunicare solo con ciò che gli serve davvero.

Esempi pratici:

• i pc degli utenti raggiungono il gestionale sulle porte necessarie, non l'intero server;
• le stampanti ricevono lavori di stampa, ma non possono avviare connessioni verso i pc;
• le telecamere parlano solo con il videoregistratore;
• i backup sono raggiungibili solo dal sistema che li gestisce.

Come iniziare: un percorso graduale

1. Inventario: elenca tutti i dispositivi collegati e chi li usa. Senza questa base, la segmentazione rischia di bloccare qualcosa di importante.
2. Verifica degli apparati: switch e access point devono supportare le VLAN e avere un firewall in grado di gestire le regole tra i segmenti.
3. Progetto: definisci i segmenti, il piano degli indirizzi e una matrice di chi può parlare con chi.
4. Migrazione per fasi: inizia dai segmenti più semplici e meno critici, come ospiti e telecamere, poi passa al resto.
5. Test e monitoraggio: verifica che tutto funzioni e tieni d'occhio i tentativi di comunicazione bloccati, che spesso rivelano dipendenze dimenticate.
6. Documentazione: aggiorna schema di rete e regole, così chi interviene in futuro sa come è fatta la rete.

Errori comuni

• Segmentare senza inventario e scoprire i problemi in produzione.
• Lasciare regole "tutto consentito" temporanee che diventano permanenti.
• Dimenticare la rete di gestione, lasciando le interfacce di amministrazione raggiungibili da tutti.
• Non documentare le scelte fatte.

Come può aiutarti Area GUI

Area GUI analizza la rete esistente, propone una segmentazione proporzionata alla tua realtà e la realizza per fasi, riducendo al minimo l'impatto sul lavoro quotidiano. Scopri il servizio reti e Wi-Fi o contattaci per una prima valutazione.