In breve: Spieghiamo come la suddivisione della rete in VLAN aumenti sicurezza e ordine nell'infrastruttura IT.
In molte piccole e medie imprese tutti i dispositivi — i computer dei dipendenti, le stampanti, le telecamere IP, i telefoni e talvolta persino la rete ospiti — operano in un'unica rete condivisa. È comodo all'inizio, ma con la crescita dell'azienda diventa fonte di problemi di sicurezza e prestazioni. Spieghiamo cos'è una VLAN e come la segmentazione mette ordine nell'infrastruttura di rete.
Cos'è una VLAN
La VLAN (Virtual Local Area Network) è un metodo per suddividere logicamente un'unica rete fisica in più reti virtuali indipendenti tra loro. I dispositivi che si trovano su VLAN diverse non si vedono direttamente, anche se collegati allo stesso switch — la comunicazione tra loro deve passare attraverso un router o un firewall, dove può essere controllata e filtrata. Tecnicamente questo si realizza taggando i frame di rete secondo lo standard 802.1Q, che permette a un unico cavo (il cosiddetto trunk) di trasportare contemporaneamente il traffico di più VLAN.
Gli usi più comuni in azienda
- Rete ospiti — visitatori e collaboratori esterni accedono a internet senza poter raggiungere le risorse interne dell'azienda, come server o stampanti di rete.
- Telefonia VoIP — separare il traffico voce dai dati riduce il rischio di congestione della rete e facilita la priorità delle chiamate vocali.
- Telecamere IP e sistemi di sicurezza — l'isolamento dalla rete d'ufficio limita il rischio che un dispositivo IoT poco protetto diventi una porta d'accesso al resto dell'infrastruttura.
- Server e risorse critiche — l'accesso al reparto contabilità o alla server room può essere limitato esclusivamente a determinate VLAN, indipendentemente dalla posizione fisica della postazione.
Cosa serve per l'implementazione
La segmentazione VLAN richiede switch gestibili che supportino lo standard 802.1Q e un router o firewall capace di instradare il traffico tra le reti virtuali (il cosiddetto inter-VLAN routing). Nella rete wireless servono inoltre access point che supportino più SSID, ciascuno assegnabile a una VLAN diversa — così un unico apparecchio fisico gestisce contemporaneamente la rete aziendale e quella ospiti, mantenendo il traffico completamente separato.
Regola pratica: più tipologie di dispositivi ci sono in rete — computer, telefoni, telecamere, stampanti, sistemi AV — maggiore è il vantaggio della segmentazione VLAN; in una rete d'ufficio piccola e omogenea la sua assenza pesa meno.
Riepilogo
Le VLAN non sono un accessorio riservato alle grandi aziende: sono uno strumento fondamentale che, a fronte di un costo contenuto, aumenta in modo significativo il livello di sicurezza e di ordine della rete aziendale. È preferibile pianificare la segmentazione fin dalla progettazione della rete, anche se è comunque possibile introdurla su un'infrastruttura già operativa: basta pianificare con attenzione la sequenza delle modifiche per non interrompere il lavoro dell'azienda.
Leggi anche: Cisco