Reti e sicurezza perimetrale

Colleghiamo sedi, stabilimenti e datacenter con WireGuard, EoIP e OpenVPN; configuriamo bridge con VLAN, MTU e clamp dell’MSS, policy routing su più linee e ridondanza dei router con VRRP. Quando una rete va estesa a livello 2 fino a un datacenter, lo facciamo sapendo dove stanno le insidie: frammentazione, NAT che scarta le risposte, indirizzi ammessi nei tunnel.

Configuriamo VPN IPsec (IKEv1 e IKEv2, basate su policy o su route) fra apparati di marche diverse e verso i cloud pubblici, concentratori WireGuard e OpenVPN, accesso remoto con autenticazione centralizzata. Progettiamo anche il passaggio al sito di disaster recovery, con il suo collaudo nei due versi.

Analizziamo e mettiamo a punto firewall Palo Alto, FortiGate e Check Point e i filtri di MikroTik e Linux: zone, regole, NAT, profili di prevenzione delle intrusioni. Per i Palo Alto abbiamo strumenti nostri che, attraverso le API, dicono quale regola colpisce un flusso, quali regole consentono un certo traffico e che cosa è pubblicato su Internet.

Segmentiamo le reti per ridurre i danni possibili: Wi-Fi ospiti su una VLAN propria con i client isolati fra loro, server datati pubblicati solo verso poche sorgenti (e la restrizione provata da un indirizzo non ammesso), telecamere su una rete a parte.

Progettiamo la rete di una sede (firewall, switch, Wi-Fi, VPN), la prepariamo accanto a quella esistente e facciamo il passaggio in una finestra concordata, con runbook e ritorno indietro pronto. Alla fine uno script controlla l’impianto punto per punto.

Leggiamo e correggiamo dorsali HPE e Aruba, Dell, Cisco e MikroTik: aggregazioni LACP, MLAG nelle sue varianti (VSF, distributed trunking, VLT), STP, RSTP e MSTP, VLAN per tratta. Gli anelli intermittenti, quelli che compaiono e spariscono, li cerchiamo con misure ripetute e strumenti scritti apposta.

Teniamo un inventario unico degli apparati di rete e lo interroghiamo con strumenti nostri (SSH, API di RouterOS, API REST di FortiOS, API XML di PAN-OS): versioni, esposizione, regole di gestione applicate con ripristino automatico a bordo, ricerca di indicatori di compromissione, backup completi prima e dopo ogni modifica.

Ricostruiamo l’architettura reale di una rete Wi-Fi (chi fa da gateway, chi dà gli indirizzi, dove va l’autenticazione), correggiamo roaming e parametri radio e analizziamo i client che si comportano male partendo dai dati del controller, non dalle impressioni.

Mettiamo in servizio reti temporanee e le seguiamo per tutta la durata dell’evento: gateway ridondati, più linee Internet, VLAN per area con limiti di banda, Wi-Fi ad alta densità con un piano dei canali che rispetta i vincoli italiani, apparati preparati al banco e gestiti da remoto.

Pubblichiamo applicazioni dietro reverse proxy esponendo il minimo, gestiamo certificati e DNS, limitiamo l’ingresso alle porte necessarie. Il principio è non sembrare niente: nessuna versione nelle intestazioni, errori generici, chiusura silenziosa verso chi non conosce il nome del sito.

Separiamo le cause con prove che escludono, contatori e log degli apparati. Se la raccolta dei flussi non c’è, la impiantiamo.