Il problema della rete piatta
La maggior parte delle reti domestiche — e purtroppo ancora molte reti aziendali di piccole dimensioni — è strutturata come una rete piatta (flat network): tutti i dispositivi connessi, dal PC aziendale alla telecamera IP, dallo smartphone al termostato smart, condividono lo stesso segmento di rete e possono comunicare liberamente tra loro.
Questo approccio è comodo da configurare, ma rappresenta un rischio di sicurezza enorme. Se un attaccante o un malware riesce a compromettere qualsiasi dispositivo su quella rete — anche il più innocuo, come una lampadina smart — ha potenzialmente accesso libero a tutto il resto: NAS, server, PC con dati sensibili, stampanti, telecamere.
Cos’è la segmentazione di rete?
Segmentare la rete significa dividere l’infrastruttura in zone logicamente separate, in modo che i dispositivi di un segmento non possano comunicare liberamente con quelli di un altro, a meno che non sia esplicitamente consentito da regole di firewall.
Lo strumento principale per farlo è la VLAN (Virtual Local Area Network), definita dallo standard IEEE 802.1Q. Una VLAN permette di creare reti logicamente distinte sopra la stessa infrastruttura fisica: stesso switch, stesso cablaggio, ma traffico separato e isolato. Ogni VLAN ha il proprio intervallo di indirizzi IP e le comunicazioni tra VLAN diverse passano obbligatoriamente attraverso un router o firewall, dove possono essere filtrate e monitorate.
La minaccia concreta dei dispositivi IoT e delle telecamere IP
I dispositivi IoT (Internet of Things) — telecamere di sorveglianza, smart TV, access point secondari, termostati, serrature smart, sensori ambientali — sono il punto più critico di qualsiasi rete moderna.
Il problema è strutturale:
- Firmware raramente aggiornato. Molti produttori smettono di rilasciare aggiornamenti di sicurezza dopo pochi anni. Alcune telecamere IP economiche non hanno mai ricevuto una patch significativa.
- Credenziali di default. Una percentuale allarmante di dispositivi IoT viene messa in rete con username e password di fabbrica (admin/admin, admin/12345), facilmente reperibili online per ogni modello.
- Superficie d’attacco ampia. Molti di questi device eseguono versioni obsolete di Linux embedded, con servizi esposti inutilmente (Telnet, FTP, server web non cifrati).
- Comunicazioni non cifrate. Diverse telecamere IP di fascia bassa trasmettono il flusso video in chiaro sulla rete locale, senza alcuna autenticazione per visualizzarlo.
La botnet Mirai, che nel 2016 mise in ginocchio provider DNS come Dyn causando blackout a Twitter, Reddit, Netflix e molti altri servizi, fu costruita quasi interamente compromettendo telecamere IP e router domestici con credenziali di default. Non erano server mal configurati: erano dispositivi esattamente come quelli che si trovano in milioni di abitazioni e piccole imprese.
Come strutturare la segmentazione: un modello pratico
In ambito domestico
Una configurazione ragionevole per una rete domestica prevede almeno tre segmenti separati:
VLAN 1 — Rete principale (fidata) PC, laptop, NAS, dispositivi personali. Accesso completo a Internet, nessun accesso agli altri segmenti se non esplicitamente necessario.
VLAN 2 — Rete IoT e telecamere Tutti i dispositivi smart: telecamere, termostati, lampadine, TV. Accesso a Internet solo dove strettamente necessario (e meglio ancora filtrato per dominio), zero possibilità di raggiungere la VLAN principale. Le telecamere di sorveglianza interne, idealmente, non dovrebbero avere accesso a Internet affatto: la registrazione può avvenire su NVR locale, anch’esso isolato.
VLAN 3 — Rete ospiti Connessione separata per visitatori, con accesso solo a Internet e nessuna visibilità sulla rete interna.
In ambito aziendale
In azienda la segmentazione deve essere più granulare e strutturata attorno al concetto di zona di fiducia (trust zone):
- Rete utenti (workstation, laptop)
- Rete server (file server, database, applicativi interni)
- Rete DMZ (servizi esposti verso Internet: web server, mail gateway)
- Rete sicurezza fisica (telecamere IP, sistemi di controllo accessi, NVR)
- Rete IoT / OT (dispositivi operativi, stampanti, sistema di climatizzazione smart)
- Rete management (accesso agli apparati di rete: switch, router, firewall)
- Rete ospiti / WiFi pubblico
Le telecamere IP aziendali meritano attenzione particolare: spesso gestiscono dati sensibili (immagini di ambienti riservati, registrazioni di dipendenti) e vengono collegate alla stessa rete dei PC. Devono invece stare in un segmento dedicato, raggiungibile in visualizzazione solo da postazioni autorizzate, con il traffico verso Internet bloccato o strettamente filtrato.
Strumenti e tecnologie
Switch managed: indispensabili per configurare VLAN. I modelli consumer non gestiti (unmanaged) non supportano 802.1Q. Esistono oggi switch managed di buona qualità a prezzi accessibili anche per uso domestico (Netgear, TP-Link, MikroTik).
Router/firewall con supporto VLAN: pfSense, OPNsense (soluzioni open source su hardware dedicato), o router prosumer come quelli Ubiquiti/UniFi, MikroTik RouterOS. Alcuni router domestici con firmware DD-WRT o OpenWrt supportano VLAN in modo abbastanza completo.
Regole inter-VLAN sul firewall: la separazione non basta da sola — occorre definire esplicitamente cosa può passare tra i segmenti. La politica di default dovrebbe essere deny all, con whitelist puntuali per i flussi necessari (es. la workstation del responsabile sicurezza può accedere alle telecamere, gli altri no).
DNS interno e filtraggio: un resolver DNS interno (Pi-hole, AdGuard Home, Unbound) permette di bloccare a livello di dominio le comunicazioni degli IoT verso server di telemetria o cloud non necessari, riducendo ulteriormente la superficie esposta.
Perché molti non lo fanno — e perché dovrebbero
La segmentazione viene spesso percepita come una complessità riservata alle grandi aziende. In realtà, gli strumenti sono oggi accessibili, la configurazione iniziale richiede alcune ore, e i benefici in termini di sicurezza sono immediati e concreti.
Un dispositivo IoT compromesso su una rete piatta è una testa di ponte. Su una rete segmentata, è un problema confinato — grave, ma circoscritto. La differenza tra un incidente di sicurezza gestibile e una violazione totale della rete passa spesso proprio da questa scelta architetturale, semplice nella logica ma determinante nel risultato.
La regola fondamentale rimane: ogni dispositivo di cui non ti fidi completamente — o che non puoi aggiornare e controllare nel tempo — non deve mai condividere il segmento di rete con i tuoi dati più preziosi.
