La segmentazione della rete aziendale tramite VLAN (Virtual Local Area Network) è una delle tecniche fondamentali per progettare infrastrutture di rete sicure, scalabili e facilmente amministrabili. In un ambiente Ethernet tradizionale, i dispositivi appartenenti allo stesso dominio di broadcast condividono la distribuzione dei frame broadcast e possono trovarsi nello stesso segmento logico, anche quando svolgono funzioni differenti. L'introduzione delle VLAN consente di suddividere un'infrastruttura fisica in più reti logiche indipendenti, separando workstation, server, dispositivi IoT, sistemi di videosorveglianza, telefoni VoIP e apparati di gestione senza richiedere necessariamente cablaggi o switch dedicati per ogni gruppo. Questa separazione riduce la propagazione del traffico broadcast, migliora il controllo delle comunicazioni e permette di applicare politiche di sicurezza differenziate in base alla funzione e al livello di affidabilità dei dispositivi.

Architettura VLAN e funzionamento a livello Ethernet

Le VLAN operano al livello 2 del modello OSI e consentono di identificare logicamente i frame Ethernet attraverso un identificativo numerico, denominato VLAN ID. Nelle reti basate sullo standard IEEE 802.1Q, il tag VLAN viene inserito nell'header Ethernet e contiene informazioni che permettono agli switch compatibili di associare il frame al corretto dominio logico. L'identificativo VLAN è rappresentato da 12 bit, con valori utilizzabili normalmente compresi tra 1 e 4094, mentre gli altri valori sono riservati o utilizzati per funzioni specifiche secondo lo standard e l'implementazione del dispositivo.

Uno switch gestisce le VLAN attraverso una configurazione che associa le porte fisiche ai rispettivi segmenti logici. Le porte configurate in modalità access trasportano normalmente il traffico di una singola VLAN e vengono utilizzate per collegare endpoint come PC, stampanti e telefoni IP. Le porte trunk, invece, consentono di trasportare il traffico di più VLAN attraverso un collegamento tra switch, router, firewall o hypervisor, utilizzando il tagging IEEE 802.1Q per distinguere i diversi flussi. La VLAN nativa, quando prevista dalla configurazione trunk, identifica il traffico trasmesso senza tag su quella connessione; per ridurre gli errori di configurazione e i rischi di sicurezza, è importante impostarla coerentemente su entrambe le estremità ed evitare che il traffico non taggato venga associato a segmenti sensibili.

La separazione logica introdotta dalle VLAN non equivale automaticamente a una separazione completa a livello IP. Ogni VLAN destinata a ospitare una rete IP distinta viene normalmente associata a una subnet dedicata, con un proprio gateway predefinito. I dispositivi appartenenti a VLAN differenti non comunicano direttamente attraverso il semplice switching di livello 2: per consentire il traffico tra segmenti è necessario un dispositivo o un'interfaccia di routing di livello 3, come uno switch multilayer, un router o un firewall. È proprio in questo punto che l'architettura può applicare controlli sulle comunicazioni inter-VLAN, consentendo esclusivamente i flussi necessari.

Segmentazione della rete e riduzione della superficie d'attacco

Una progettazione VLAN efficace parte dalla classificazione degli asset e dall'analisi dei flussi di comunicazione richiesti dalle applicazioni. In una rete aziendale, mantenere tutti i dispositivi nello stesso segmento aumenta il numero di sistemi che condividono il dominio di broadcast e può facilitare la propagazione laterale di un attacco quando un endpoint viene compromesso. La segmentazione consente invece di separare le workstation degli utenti dai server applicativi, dai database, dai dispositivi di rete e dai sistemi che gestiscono dati sensibili.

Una possibile architettura prevede VLAN dedicate agli utenti, ai server, alla telefonia VoIP, alla rete guest, ai dispositivi IoT e alla gestione dell'infrastruttura. La rete guest dovrebbe essere isolata dalle risorse aziendali e autorizzata ad accedere soltanto ai servizi necessari, generalmente attraverso il firewall. La VLAN di management dovrebbe essere riservata alle interfacce amministrative di switch, access point, firewall e hypervisor, limitando l'accesso ai soli sistemi e account autorizzati. Analogamente, i dispositivi IoT e di videosorveglianza dovrebbero essere collocati in segmenti dedicati, soprattutto quando non supportano aggiornamenti regolari o meccanismi di autenticazione robusti.

La segmentazione riduce la superficie d'attacco, ma non deve essere considerata una misura sufficiente da sola. Un utente che riesce a ottenere accesso a una porta assegnata a una VLAN sensibile potrebbe sfruttare eventuali configurazioni errate o vulnerabilità presenti nel segmento. Per questo motivo, il controllo degli accessi alla rete, l'autenticazione dei dispositivi, il monitoraggio del traffico e le policy firewall devono integrare la separazione logica, secondo un approccio di difesa multilivello.

Routing inter-VLAN e applicazione delle policy di sicurezza

Quando due VLAN devono scambiare dati, il traffico viene instradato attraverso un gateway di livello 3. In un'infrastruttura con switch multilayer, le interfacce virtuali di livello 3, spesso denominate SVI (Switched Virtual Interface), possono fungere da gateway per le rispettive subnet. In alternativa, il routing può essere affidato a un router o a un firewall collegato agli switch tramite trunk 802.1Q.

La scelta architetturale influenza direttamente il livello di controllo disponibile. Il routing inter-VLAN eseguito da uno switch multilayer offre generalmente prestazioni elevate, ma deve essere accompagnato da ACL o da controlli equivalenti se è necessario limitare le comunicazioni tra segmenti. Un firewall consente invece di definire regole basate su indirizzi IP, protocolli, porte e, nei sistemi più evoluti, identità applicative e informazioni contestuali. Per esempio, le workstation possono essere autorizzate a raggiungere un'applicazione web nella VLAN server tramite HTTPS, mentre l'accesso diretto alla subnet dei database può essere negato. Il server applicativo può essere autorizzato a collegarsi al database esclusivamente sulla porta richiesta dal servizio, impedendo agli endpoint utente di raggiungere direttamente il livello dati.

Il principio da applicare è quello del minimo privilegio: ogni comunicazione tra segmenti deve essere consentita soltanto quando esiste una necessità operativa documentata. Una policy che permette indiscriminatamente tutto il traffico inter-VLAN annulla gran parte dei benefici di sicurezza della segmentazione, perché un dispositivo compromesso potrebbe continuare a raggiungere numerose risorse interne. Le regole devono quindi essere specifiche, verificabili e accompagnate da logging adeguato, evitando eccezioni permanenti introdotte per risolvere temporaneamente problemi applicativi.

VLAN, DHCP e servizi di rete

La configurazione delle VLAN deve essere coordinata con i servizi di indirizzamento e risoluzione dei nomi. In genere, ogni VLAN associata a una subnet distinta richiede un ambito DHCP dedicato, con indirizzi, gateway, DNS e altri parametri coerenti con la rete logica di appartenenza. Quando il server DHCP si trova in una VLAN diversa da quella dei client, il traffico broadcast iniziale non attraversa automaticamente il router. È quindi necessario configurare un DHCP relay, spesso implementato tramite una funzione denominata DHCP helper, affinché le richieste vengano inoltrate al server corretto.

Una configurazione errata può causare l'assegnazione di indirizzi appartenenti alla subnet sbagliata, l'assenza del gateway o la perdita della connettività verso i servizi aziendali. È importante verificare anche le policy firewall tra le VLAN dei client e i servizi DNS, DHCP, NTP e autenticazione, consentendo i protocolli necessari senza aprire accessi non richiesti. Nei contesti con più sedi o segmenti distribuiti, la coerenza del piano IP e della configurazione dei relay contribuisce a ridurre conflitti, errori di instradamento e tempi di diagnosi.

Sicurezza delle porte switch e prevenzione delle configurazioni errate

La sicurezza di una rete VLAN dipende anche dalla configurazione delle porte di accesso e dei collegamenti trunk. Le porte inutilizzate dovrebbero essere disabilitate o assegnate a una VLAN isolata non utilizzata per il traffico ordinario. Sulle porte access è opportuno evitare la negoziazione automatica del trunk quando non necessaria, impostando esplicitamente la modalità prevista. Sui trunk, invece, è preferibile consentire soltanto le VLAN effettivamente necessarie, riducendo il numero di segmenti trasportati tra apparati.

Funzionalità come DHCP Snooping, Dynamic ARP Inspection e IP Source Guard, quando supportate dagli switch, possono contribuire a contrastare server DHCP non autorizzati, manipolazioni ARP e utilizzi impropri degli indirizzi IP. Le protezioni contro gli attacchi di livello 2 devono essere configurate in modo coerente con la topologia, perché un'impostazione errata può bloccare anche il traffico legittimo. In ambienti che richiedono un controllo più rigoroso degli endpoint, l'autenticazione IEEE 802.1X consente di verificare l'identità del dispositivo o dell'utente prima di autorizzare l'accesso alla rete e, in architetture compatibili, di assegnare dinamicamente una VLAN o una policy appropriata.

È inoltre necessario prestare attenzione alla VLAN hopping, una classe di attacchi che sfrutta configurazioni deboli dello switching per tentare di raggiungere segmenti differenti da quello assegnato. La disabilitazione della negoziazione trunk sulle porte access, la scelta di una VLAN nativa non utilizzata per gli endpoint, la limitazione delle VLAN ammesse sui trunk e l'aggiornamento del firmware degli apparati sono misure utili per ridurre il rischio. La loro efficacia dipende comunque dalla corretta implementazione e non sostituisce i controlli di accesso e le regole di filtraggio tra subnet.

VLAN nelle infrastrutture virtualizzate e Wi-Fi aziendali

Nelle infrastrutture virtualizzate, le VLAN vengono spesso utilizzate per separare il traffico delle macchine virtuali, delle reti di management, dello storage e delle funzioni di migrazione. Gli switch virtuali e gli hypervisor devono applicare una configurazione coerente con quella degli switch fisici, in modo da evitare che una VLAN sia consentita sul server ma bloccata lungo il percorso di rete. In presenza di cluster, è fondamentale verificare che le VLAN richieste siano disponibili su tutti i nodi e sui collegamenti ridondati, perché un'interruzione della connettività può compromettere la migrazione delle macchine virtuali, l'accesso allo storage o il funzionamento dei servizi distribuiti.

Anche le reti Wi-Fi aziendali possono utilizzare le VLAN per separare il traffico in base all'SSID, al profilo di autenticazione o all'identità dell'utente. Una rete wireless dedicata agli ospiti dovrebbe essere isolata dalle risorse interne, mentre i dispositivi aziendali autenticati possono ricevere un accesso differenziato in base alle policy definite. Negli ambienti con autenticazione centralizzata e assegnazione dinamica delle VLAN, la configurazione di access point, controller, switch e server RADIUS deve essere coordinata per evitare disallineamenti tra l'autenticazione e la rete effettivamente assegnata al client.

Monitoraggio e manutenzione della segmentazione VLAN

Una rete segmentata deve essere monitorata nel tempo, perché l'aggiunta di nuovi dispositivi, la modifica delle subnet e l'evoluzione delle applicazioni possono introdurre dipendenze non previste. La raccolta dei log degli switch e dei firewall, l'analisi dei flussi di rete e il monitoraggio delle interfacce consentono di individuare traffico anomalo, errori di configurazione e tentativi di comunicazione non autorizzati. Strumenti basati su SNMP, syslog, NetFlow o IPFIX possono contribuire a ricostruire il comportamento della rete e a verificare se le policy applicate corrispondono ai flussi realmente necessari.

La documentazione deve riportare VLAN ID, subnet, gateway, intervalli DHCP, porte access, trunk, regole inter-VLAN e dipendenze applicative. È consigliabile mantenere configurazioni versionate, eseguire backup periodici degli apparati e verificare le modifiche attraverso procedure controllate. Gli audit periodici permettono di individuare VLAN obsolete, regole troppo permissive, porte non utilizzate e segmenti che hanno acquisito nel tempo funzioni diverse da quelle originariamente previste.

La segmentazione VLAN è quindi un elemento strutturale della sicurezza di rete, ma il suo valore dipende dalla progettazione complessiva dell'infrastruttura. Una corretta separazione dei domini di broadcast, un piano IP coerente, il routing inter-VLAN controllato, le ACL, le policy firewall e il monitoraggio continuo consentono di limitare le comunicazioni non necessarie e contenere più efficacemente gli incidenti. ALLIT può supportare le aziende nella progettazione e nella revisione delle reti LAN, nella configurazione degli apparati e nella definizione delle policy di segmentazione, contribuendo a realizzare infrastrutture più sicure, gestibili e adatte all'evoluzione dei servizi aziendali.