Progettare una rete aziendale non significa semplicemente collegare computer, server e stampanti a uno switch. Una rete professionale deve essere progettata considerando contemporaneamente prestazioni, sicurezza, disponibilità, scalabilità e possibilità di gestione futura. Una configurazione improvvisata può funzionare quando l'azienda è piccola, ma può diventare rapidamente difficile da amministrare quando aumentano utenti, dispositivi, server e servizi.
La progettazione dovrebbe quindi partire dall'analisi dell'infrastruttura e delle esigenze dell'azienda, definendo prima l'architettura logica e successivamente quella fisica. Indirizzamento IP, subnet, VLAN, routing, firewall, DNS, DHCP, Wi-Fi e accesso remoto devono essere pensati come componenti di un unico sistema.
Analizzare l'azienda prima di progettare la rete
Il primo passaggio consiste nel capire che cosa deve supportare la rete.
Bisogna conoscere il numero attuale di utenti e dispositivi, ma anche prevedere la crescita futura. Un'azienda con 20 computer potrebbe arrivare a 40 workstation, diversi smartphone aziendali, telefoni VoIP, access point, telecamere IP, server, NAS e dispositivi IoT.
Anche le applicazioni utilizzate influenzano direttamente la progettazione. Un'azienda che utilizza solamente servizi cloud avrà esigenze differenti rispetto a una struttura che dispone di server locali, database, sistemi ERP, videosorveglianza e applicazioni accessibili da remoto.
È quindi necessario individuare quali servizi devono essere disponibili internamente, quali devono essere raggiungibili da Internet e quali dispositivi devono poter comunicare tra loro.
Progettare l'indirizzamento IP
Uno degli aspetti più importanti è la definizione dello schema di indirizzamento IP.
In una rete privata è possibile utilizzare intervalli come 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16.
Invece di utilizzare una singola rete come:
192.168.1.0/24
per tutti i dispositivi, una rete aziendale può essere suddivisa in più subnet.
Ad esempio:
192.168.10.0/24 ? PC192.168.20.0/24 ? Server192.168.30.0/24 ? VoIP192.168.40.0/24 ? Wi-Fi ospiti192.168.50.0/24 ? Videosorveglianza
Questa suddivisione permette di organizzare logicamente i dispositivi e costituisce la base per la successiva configurazione delle VLAN e delle regole firewall.
Subnetting e dimensionamento
La scelta della subnet non dovrebbe essere casuale.
Una rete /24 dispone di 256 indirizzi complessivi, dei quali una parte viene utilizzata per network address, broadcast e dispositivi. Se l'azienda necessita solamente di pochi dispositivi, potrebbe essere possibile utilizzare subnet più piccole.
Al contrario, una rete con centinaia di dispositivi potrebbe richiedere un dimensionamento differente.
Il subnetting permette quindi di distribuire gli indirizzi IP in maniera più ordinata e di limitare il dominio di broadcast.
La progettazione deve inoltre lasciare spazio alla crescita, evitando di trovarsi costretti a modificare l'intero schema IP dopo pochi anni.
VLAN e segmentazione
Una rete aziendale moderna dovrebbe considerare attentamente la segmentazione tramite VLAN.
Una VLAN permette di creare reti logiche separate utilizzando la stessa infrastruttura fisica.
Ad esempio, PC, server, telefoni VoIP e dispositivi ospiti possono utilizzare lo stesso switch fisico ma appartenere a VLAN differenti.
La comunicazione tra VLAN viene normalmente gestita attraverso routing e firewall.
Questo permette di applicare regole come:
VLAN PC?Server applicativo ? CONSENTITOVLAN Guest?Server aziendale ? BLOCCATO
La segmentazione riduce la possibilità che un dispositivo compromesso possa comunicare liberamente con tutti gli altri sistemi.
Switch: access e trunk
Quando vengono utilizzate le VLAN, è importante comprendere la differenza tra porte access e trunk.
Una porta access appartiene normalmente a una singola VLAN e viene utilizzata per collegare dispositivi finali come PC, stampanti o telefoni.
Una porta trunk può invece trasportare il traffico di più VLAN ed è generalmente utilizzata nei collegamenti tra switch, firewall e altri apparati di rete.
Una configurazione errata dei trunk può provocare problemi di connettività o, nei casi più gravi, una separazione delle VLAN non correttamente applicata.
Routing tra le reti
Una volta create più subnet, bisogna decidere chi deve gestire il routing.
In alcune architetture il routing tra VLAN viene effettuato direttamente da uno switch Layer 3, mentre in altre viene gestito dal firewall.
La scelta dipende dalle dimensioni della rete e dal livello di controllo necessario.
Se il traffico tra VLAN deve essere sottoposto a policy di sicurezza molto precise, avere il firewall come punto di controllo può essere particolarmente utile.
In una rete più complessa è possibile invece utilizzare uno switch Layer 3 per il routing interno e il firewall per il controllo del traffico verso Internet e tra segmenti particolarmente sensibili.
Firewall come punto centrale della sicurezza
Il firewall aziendale dovrebbe rappresentare uno degli elementi centrali della progettazione.
Non deve limitarsi a bloccare il traffico proveniente da Internet, ma può essere utilizzato per controllare le comunicazioni tra segmenti della rete.
Un esempio è impedire che la rete degli utenti possa raggiungere direttamente il database.
Il PC dell'utente potrebbe comunicare con il server applicativo sulla porta necessaria, mentre il database potrebbe accettare connessioni solamente dal server applicativo.
In questo modo un eventuale compromesso di una workstation non permette automaticamente di raggiungere tutti i sistemi interni.
DNS e DHCP
DNS e DHCP sono due servizi fondamentali per il funzionamento quotidiano della rete.
Il DHCP assegna automaticamente parametri come indirizzo IP, subnet mask, gateway e server DNS ai dispositivi.
Il DNS permette invece di associare nomi a indirizzi IP.
In una rete aziendale è preferibile evitare una gestione completamente manuale degli indirizzi, utilizzando DHCP per i dispositivi che non richiedono IP statici e prenotazioni DHCP o configurazioni statiche per sistemi che devono mantenere un indirizzo preciso.
Server, firewall, switch, NAS e dispositivi di rete dovrebbero essere facilmente identificabili e documentati.
Progettare la rete Wi-Fi
Il Wi-Fi aziendale deve essere considerato parte integrante dell'infrastruttura di rete e non semplicemente come un dispositivo aggiuntivo.
Il numero e la posizione degli access point devono essere valutati considerando dimensione degli ambienti, materiali delle pareti, numero di utenti e livello di interferenza radio.
Anche la configurazione logica deve essere progettata correttamente.
Una possibile struttura può prevedere una rete Wi-Fi interna per i dipendenti e una rete separata per gli ospiti.
La rete guest dovrebbe essere isolata dalle risorse aziendali e consentire solamente l'accesso a Internet.
PoE e dispositivi di rete
Quando vengono utilizzati access point, telefoni VoIP, telecamere IP o altri dispositivi compatibili, può essere conveniente utilizzare PoE, Power over Ethernet.
Lo switch fornisce contemporaneamente connettività e alimentazione attraverso il cavo Ethernet.
Prima di scegliere lo switch è però necessario verificare il PoE budget, cioè la quantità totale di potenza che l'apparato è in grado di fornire.
Uno switch PoE con un budget insufficiente potrebbe non riuscire ad alimentare contemporaneamente tutti i dispositivi collegati.
Cablaggio strutturato
Una buona progettazione logica deve essere accompagnata da un'infrastruttura fisica adeguata.
Il cablaggio strutturato dovrebbe essere realizzato utilizzando componenti compatibili con le velocità richieste e organizzato in modo da rendere semplice la manutenzione.
È importante documentare le terminazioni, numerare le prese di rete e mantenere una corrispondenza tra porta fisica, patch panel e configurazione dello switch.
Un cavo non identificato può sembrare un dettaglio, ma durante un intervento tecnico può trasformarsi in un problema significativo.
Ridondanza e continuità operativa
Una rete aziendale dovrebbe considerare anche cosa succede quando un componente si guasta.
Se l'unico switch dell'azienda smette di funzionare, tutti i dispositivi collegati potrebbero diventare irraggiungibili.
In infrastrutture più importanti è quindi possibile introdurre ridondanza su switch, firewall, alimentazione e collegamenti Internet.
Anche una seconda connessione Internet può essere utile per mantenere la connettività in caso di guasto dell'operatore principale.
La ridondanza deve però essere progettata correttamente: aggiungere un secondo dispositivo senza definire meccanismi di failover non garantisce automaticamente la continuità del servizio.
VPN e accesso remoto
Se i dipendenti devono lavorare da remoto, la progettazione della rete deve includere anche la VPN aziendale.
Il gateway VPN dovrebbe essere integrato con firewall e sistemi di autenticazione e, quando possibile, protetto attraverso MFA.
È inoltre importante decidere quali risorse possono essere raggiunte dagli utenti remoti.
Un dipendente che deve utilizzare il gestionale non dovrebbe necessariamente poter accedere a ogni server dell'infrastruttura.
La VPN deve quindi essere collegata alla segmentazione e alle policy firewall.
Server e servizi interni
La posizione dei server all'interno della rete deve essere definita con attenzione.
Server applicativi, database, file server, sistemi di backup e servizi di gestione possono avere requisiti differenti.
Una possibile architettura può prevedere una rete server separata dalla rete delle workstation.
Il database, ad esempio, potrebbe non essere direttamente raggiungibile dagli utenti, ma solamente dal server applicativo.
Questo tipo di separazione riduce la superficie di attacco e permette di applicare regole molto più precise.
NAS e sistemi di backup
Anche il backup aziendale deve essere considerato nella progettazione della rete.
Un NAS utilizzato per i backup non dovrebbe necessariamente essere accessibile senza restrizioni da tutte le workstation.
In caso di ransomware, infatti, un attaccante che riesce a compromettere un PC potrebbe tentare di raggiungere anche le risorse di backup.
È quindi importante separare logicamente i sistemi di backup, limitare le autorizzazioni e valutare strategie che proteggano le copie anche in caso di compromissione della rete principale.
Monitoraggio della rete
Una rete progettata correttamente deve essere anche monitorabile.
È necessario poter controllare disponibilità degli apparati, utilizzo della banda, stato delle interfacce, errori, temperatura, CPU, memoria e altri parametri.
Un sistema di monitoraggio può segnalare, ad esempio, che uno switch sta registrando un numero anomalo di errori su una porta o che un collegamento sta raggiungendo la propria capacità.
Monitorare la rete permette di intervenire prima che un problema diventi un'interruzione del servizio.
Logging e sicurezza
Firewall, switch, server e sistemi di autenticazione possono produrre una quantità significativa di log.
Centralizzare queste informazioni consente di ricostruire più facilmente gli eventi e individuare comportamenti anomali.
Un tentativo di accesso fallito sul firewall, seguito da un'autenticazione riuscita sulla VPN e successivamente da connessioni verso un server interno, può diventare molto più significativo quando gli eventi vengono analizzati insieme.
La rete dovrebbe quindi essere progettata considerando anche il logging e la sicurezza informatica.
IPv6 e progettazione futura
Anche se molte infrastrutture aziendali utilizzano ancora principalmente IPv4, una progettazione moderna dovrebbe almeno considerare IPv6.
IPv6 introduce un sistema di indirizzamento molto più ampio e presenta caratteristiche differenti rispetto a IPv4.
Non significa necessariamente che un'azienda debba implementarlo immediatamente, ma è importante verificare che firewall, switch, sistemi operativi e applicazioni siano compatibili con un'eventuale evoluzione futura.
Progettare una rete pensando solamente alle esigenze del momento può creare problemi quando l'infrastruttura deve essere aggiornata.
Documentare la rete
Una rete professionale deve essere documentata.
La documentazione dovrebbe comprendere almeno schema fisico, schema logico, indirizzamento IP, VLAN, apparati, collegamenti, regole firewall principali e servizi critici.
È inoltre utile mantenere una tabella degli indirizzi IP assegnati e delle relative apparecchiature.
Quando un tecnico deve intervenire su un problema, una documentazione aggiornata può ridurre drasticamente i tempi necessari per identificare la causa.
Una rete aziendale deve poter crescere
La progettazione non dovrebbe concentrarsi solamente sulla situazione attuale.
Se l'azienda dispone oggi di 30 utenti ma prevede di arrivare a 60, la rete deve essere dimensionata tenendo conto della crescita.
Lo stesso vale per switch, porte Ethernet, indirizzamento IP, access point, banda Internet, firewall e capacità dei server.
Una rete scalabile permette di aggiungere dispositivi senza dover modificare completamente l'architettura esistente.
Progettare una rete significa progettare un'infrastruttura
Una rete aziendale professionale nasce dall'integrazione di diversi componenti: indirizzamento IP, subnet, VLAN, switch, routing, firewall, DNS, DHCP, Wi-Fi, VPN, server e sistemi di monitoraggio.
Non esiste una configurazione identica valida per tutte le aziende. La soluzione corretta dipende dal numero di utenti, dalle applicazioni, dalla struttura degli uffici, dai servizi utilizzati e dal livello di sicurezza richiesto.
In ALLIT la progettazione di una rete aziendale parte proprio dall'analisi dell'infrastruttura e delle esigenze operative, con l'obiettivo di costruire una rete sicura, performante, organizzata e facilmente gestibile. La configurazione degli apparati viene quindi inserita in un'architettura più ampia, nella quale ogni componente ha un ruolo preciso.
Una rete ben progettata non è semplicemente una rete che funziona: è una rete nella quale è possibile sapere chi comunica con chi, attraverso quali dispositivi, con quali autorizzazioni e cosa succede quando qualcosa non funziona.
