La sicurezza di rete non si costruisce su un singolo controllo, ma su strati che filtrano, cifrano e autenticano il traffico. In questa unità colleghiamo le tecnologie di accesso sicuro — ACL, firewall, VPN e NAC — al contesto SoHo, dove spesso l’unico presidio è il Wi-Fi.

Filtri sul traffico: ACL e firewall

Le ACL (Access Control List) su IOS sono liste ordinate di regole permit/deny valutate top-down, con un deny any implicito in coda. Distinguiamo:

  • Standard ACL (1-99): filtrano solo l’IP sorgente. Si posizionano vicino alla destinazione per non bloccare traffico legittimo troppo presto.
  • Extended ACL (100-199): filtrano su sorgente, destinazione, protocollo e porta (L3/L4). Si posizionano vicino alla sorgente, scartando subito il traffico indesiderato.

Le ACL sono stateless: valutano ogni pacchetto in isolamento. Un firewall stateful (es. Cisco Secure Firewall/Firepower o la stateful inspection su IOS) mantiene invece una tabella di stato delle connessioni: consente automaticamente il traffico di ritorno di una sessione già stabilita, senza una regola inversa esplicita. Questa è la differenza chiave da ricordare.

VPN: cifrare il transito

Una VPN crea un tunnel cifrato su rete non fidata. Due modelli:

Tipo Scenario Tecnologia tipica
Site-to-site Collega due sedi in modo permanente IPsec (gateway-to-gateway)
Remote-access Utente singolo che si collega da remoto TLS/SSL (client software o browser) o IPsec

IPsec opera a livello 3 e usa due protocolli: ESP (Encapsulating Security Payload), che fornisce confidenzialità + integrità + autenticazione, e AH (Authentication Header), che offre integrità/autenticazione ma non cifratura. Lo scambio delle chiavi avviene con IKE (IKEv1/IKEv2). Per l’esame: se serve riservatezza, la risposta è ESP, non AH.

Le VPN remote-access basate su TLS sfruttano la porta 443, quindi attraversano facilmente firewall e NAT — vantaggio pratico rispetto a IPsec che può richiedere NAT-Traversal.

NAC: 802.1X e Cisco ISE

Il Network Access Control decide chi può accedere alla rete prima di assegnare connettività. Lo standard 802.1X definisce tre ruoli:

  • Supplicant: il dispositivo/client che richiede accesso.
  • Authenticator: lo switch o l’access point, che fa da intermediario e tiene la porta chiusa.
  • Authentication Server: tipicamente Cisco ISE, che valida le credenziali via RADIUS.

Il trasporto delle credenziali usa EAP (incapsulato in EAPOL tra supplicant e authenticator, poi in RADIUS verso il server). Finché l’autenticazione non ha successo, la porta lascia passare solo EAPOL. Cisco ISE aggiunge profiling, posture assessment e assegnazione dinamica di VLAN o dACL in base all’identità.

Wi-Fi SoHo: WPA2, WPA3 e SSID

Nelle reti SoHo la sicurezza wireless è la prima linea:

  • WPA2-Personal: usa AES-CCMP con una PSK (pre-shared key). Ancora diffuso, ma vulnerabile ad attacchi offline sull’handshake se la passphrase è debole.
  • WPA3-Personal: introduce SAE (Simultaneous Authentication of Equals), che sostituisce il 4-way handshake vulnerabile e offre forward secrecy, resistendo agli attacchi a dizionario offline.

Buone pratiche sull’SSID: cambiare le credenziali admin di default, usare una passphrase lunga e casuale, e sapere che nascondere l’SSID (disabilitare il broadcast) è security by obscurity — non è cifratura e viene facilmente rilevato da uno sniffer.

Il MAC address filtering permette solo agli indirizzi MAC in whitelist di associarsi. Sembra un controllo di accesso, ma i MAC viaggiano in chiaro nei frame di gestione: un attaccante li cattura e fa spoofing del proprio MAC. Il MAC filtering è quindi un ostacolo minimo, non un sostituto della cifratura WPA2/WPA3.

Trappole tipiche d’esame

  • Scenario: serve confidenzialità in un tunnel IPsec → risposta: usare ESP; AH autentica ma non cifra.
  • Scenario: un access point SoHo usa solo MAC filtering → risposta: è aggirabile con MAC spoofing perché i MAC sono in chiaro; abilitare WPA2/WPA3 per la vera protezione.
  • Scenario: standard ACL da posizionare → risposta: vicino alla destinazione; l’extended ACL va vicino alla sorgente.
  • Scenario: distinguere ACL stateless da firewall → risposta: il firewall stateful consente il traffico di ritorno tramite la tabella di stato, l’ACL no.
  • Scenario: remote-access VPN che deve attraversare firewall restrittivi → risposta: TLS/SSL su porta 443, non IPsec grezzo.
  • Scenario: ruolo dello switch in 802.1X → risposta: è l’authenticator; ISE è l’authentication server (RADIUS), il client è il supplicant.