Router/Firewall: Cosa fa e cosa non può fare

Un router/firewall combina l'inoltro del traffico con il filtraggio dei pacchetti, di solito al perimetro di una rete domestica o aziendale. Aiuta a controllare quali connessioni sono consentite, ma è solo uno strato in una configurazione di difesa più ampia.

Cos'è il dispositivo

Un router/firewall è un appliance di rete o un appliance software che si colloca tra una rete e un'altra, spesso tra una LAN interna e Internet. La parte router decide dove vanno i pacchetti. La parte firewall decide se quei pacchetti debbano essere consentiti, bloccati o ispezionati più da vicino. Nei piccoli ambienti queste funzioni si trovano spesso in un unico dispositivo. Nelle reti più grandi possono essere suddivise tra dispositivi separati o servizi virtuali.

In termini pratici, questa famiglia di prodotti esiste per ridurre l'esposizione. I dispositivi sulla rete interna di solito non dovrebbero essere raggiungibili direttamente dall'esterno. Il router/firewall crea quel confine e applica regole su ciò che può attraversarlo.

Come funziona

La maggior parte dei router/firewall moderni tiene traccia delle connessioni invece di trattare ogni pacchetto in modo isolato. Questo si chiama ispezione stateful. Se un laptop avvia una sessione web, il firewall registra quel flusso e consente al traffico di ritorno di rientrare senza aprire l'intera rete. Molti prodotti supportano anche il network address translation, o NAT, che nasconde gli indirizzi IP interni dietro uno pubblico.

Le unità più avanzate possono aggiungere:

• Port forwarding per servizi in ingresso selezionati
• Filtraggio basato sulle applicazioni
• Terminazione VPN per l'accesso remoto
• Registrazione e avvisi per traffico insolito
• Segmentazione tra VLAN o zone separate

Queste funzionalità sono utili, ma ognuna aumenta la complessità della configurazione. Un dispositivo troppo permissivo diventa un confine debole; uno troppo restrittivo può bloccare il normale lavoro.

Specifiche che contano

Quando si confronta questa categoria di prodotti, i numeri importanti non sono solo la velocità. La capacità di throughput per il firewalling, le prestazioni VPN e la capacità di sessioni concorrenti spesso contano più della sola velocità delle interfacce. Un'unità che può instradare il traffico a 1 Gbps può andare molto peggio una volta attivati il filtraggio dei pacchetti, i controlli di intrusione o la crittografia.

Altri dettagli da verificare includono il numero di porte Ethernet, il supporto per VLAN, la gestione IPv6, il metodo di aggiornamento del firmware e la possibilità di esportare i log su un sistema separato. Per sedi più grandi, il supporto all'alta disponibilità e il comportamento di failover sono importanti, così un singolo dispositivo non diventa un punto singolo di guasto.

Configurazione e manutenzione

Un router/firewall funziona al meglio quando la policy è semplice e documentata. Inizia con un approccio deny by default per il traffico in ingresso, poi consenti solo i servizi realmente necessari. Limita l'accesso amministrativo alle reti di gestione attendibili e usa credenziali forti e uniche con autenticazione a più fattori, dove disponibile.

La manutenzione è importante quanto l'installazione. Mantieni aggiornato il firmware, controlla i log per connessioni negate ripetute o sessioni in uscita inattese e verifica i file di configurazione di backup. Se il dispositivo supporta gli snapshot di configurazione, prova i ripristini prima che un'interruzione ti costringa a farvi affidamento.

Errori comuni da evitare

Un errore comune è considerare il firewall come un sistema di sicurezza completo. Non lo è. Non risolve endpoint infetti, password deboli o comportamenti rischiosi degli utenti. Un altro errore è aprire regole in ingresso troppo ampie per comodità e dimenticare di restringerle in seguito. L'accumulo di regole tende a crescere nel tempo, soprattutto quando molti servizi vengono aggiunti in modo frammentario.

È anche facile ignorare il controllo del traffico in uscita. Molti ambienti pensano solo a bloccare le connessioni in ingresso, ma un traffico in uscita inatteso può rivelare configurazioni errate, shadow services o sistemi compromessi. Una buona policy firewall di solito considera entrambe le direzioni.

Dove si colloca in uno stack di difesa

Un router/firewall è il gate del traffico, non tutto il checkpoint. Funziona meglio insieme a sicurezza degli endpoint, gestione delle patch, filtraggio DNS, controlli di identità e logging proveniente da switch, server e servizi cloud. Quando una macchina si comporta in modo inatteso, i log del firewall possono aiutare a mostrare tempi, destinazioni e volume, ma raramente raccontano da soli l'intera storia.

Usato bene, questa famiglia di prodotti offre ai difensori un confine più chiaro e una superficie d'attacco più piccola. Usato male, diventa una scatola che inoltra tutto e non registra nulla di utile.