Cosa fa un router compatibile con VLAN e quando può essere utile

Un router compatibile con VLAN può separare una rete fisica in più reti logiche, contribuendo a limitare la diffusione di un problema e a gestire più facilmente le regole di accesso.

Cos'è il prodotto

Un router compatibile con VLAN è un router in grado di comprendere e instradare il traffico per più LAN virtuali, o VLAN. Una VLAN è un modo per dividere una rete fisica in segmenti logici separati. I dispositivi in VLAN diverse si comportano come se fossero su reti differenti, anche se condividono gli stessi switch, cavi o infrastruttura wireless.

In pratica, questo consente di tenere separati dispositivi con diversi livelli di fiducia. Ad esempio, potresti collocare laptop aziendali, Wi-Fi degli ospiti, stampanti e dispositivi IoT in VLAN separate. Il router decide quindi se questi segmenti possono comunicare tra loro e su quali porte o protocolli.

Come funzionano le VLAN

La maggior parte dei router compatibili con VLAN utilizza lo standard di tagging IEEE 802.1Q. Il traffico che attraversa un collegamento trunk trasporta un piccolo tag VLAN che identifica a quale segmento appartiene. Le porte che si connettono a un singolo dispositivo usano spesso una modalità untagged o access, mentre i collegamenti tra router, switch e alcuni access point usano la modalità trunk taggata.

Il router può assegnare a ogni VLAN la propria subnet IP, scope DHCP, opzioni DNS e policy firewall. Ciò significa che una subnet delle telecamere può ricevere regole diverse da una subnet dei laptop. Il punto importante è che le VLAN non bloccano automaticamente il traffico; a svolgere questo compito sono il router e le regole del firewall.

Specifiche importanti

Quando si confronta questa famiglia di prodotti, alcuni dettagli tecnici contano più delle etichette di marketing:

• Supporto VLAN: cerca il vero supporto 802.1Q, non solo un semplice interruttore per la rete guest.
• Controlli firewall: serve un controllo basato su regole tra VLAN, non solo un semplice accesso a Internet.
• Throughput di routing: il traffico inter-VLAN può utilizzare la CPU del router, quindi il throughput può diminuire sotto carico.
• Opzioni DHCP e DNS: pool di indirizzi separati e risoluzione dei nomi rendono le reti segmentate più facili da gestire.
• Numero di porte e funzionalità Wi-Fi: se hai più switch o access point, il supporto alle porte trunk diventa importante.

Per gli ambienti più grandi, contano anche le funzionalità di gestione: backup della configurazione, registrazione dei log, prenotazioni DHCP statiche e possibilità di creare e etichettare chiaramente molte VLAN.

Schema di configurazione tipico

Un progetto comune consiste nel creare una VLAN per i dispositivi affidabili, una per gli ospiti e una per i dispositivi non gestiti o a rischio più elevato, come telecamere, smart plug o sensori. A ciascuna VLAN viene assegnata la propria subnet, ad esempio 192.168.10.0/24 e 192.168.20.0/24. Il router applica quindi regole che consentono solo il traffico realmente necessario.

Le configurazioni corrette di solito seguono una regola semplice: consentire per impostazione predefinita l'accesso a Internet in uscita, consentire l'accesso inter-VLAN solo quando necessario e mantenere le interfacce di gestione su una VLAN amministrativa limitata. Se è coinvolto un access point wireless, dovrebbe poter mappare gli SSID alle VLAN corrette senza riportare la rete a un unico segmento.

Limiti ed errori da evitare

Le VLAN sono utili, ma non sono magiche. Se un dispositivo viene compromesso e le regole del router sono troppo permissive, l'attaccante potrebbe comunque raggiungere altri sistemi. Un router compatibile con VLAN è solo uno dei livelli del progetto. La sicurezza degli endpoint, l'applicazione delle patch e l'inventario dei dispositivi restano importanti.

Errori comuni includono tag VLAN non corrispondenti tra router e switch, mettere l'accesso di gestione su ogni VLAN, assumere che il Wi-Fi guest equivalga all'isolamento e dimenticare di testare i servizi di stampa, discovery o streaming dopo la segmentazione. Un altro problema frequente è lasciare vecchie regole attive, creando percorsi imprevisti tra le reti.

Per la manutenzione continua, documenta gli ID VLAN, le subnet e i flussi consentiti. Esegui un backup della configurazione dopo le modifiche. Esamina i log alla ricerca di connessioni bloccate ripetute, perché spesso rivelano dispositivi configurati in modo errato o traffico che dovrebbe essere consentito esplicitamente.