La segmentazione della rete è uno dei pilastri della defense-in-depth: dividere l’infrastruttura in zone logiche più piccole limita la propagazione di un attacco e riduce la superficie d’attacco. Per applicarla correttamente occorre padroneggiare l’indirizzamento IP, i confini tra reti pubbliche e private e le tecnologie che li realizzano.

Indirizzi pubblici e privati

Gli indirizzi pubblici sono univoci a livello globale e instradabili su Internet. Gli indirizzi privati, definiti in RFC 1918, sono riservati alle reti interne e non vengono instradati su Internet.

Classe Range privato Prefisso CIDR
A 10.0.0.0 – 10.255.255.255 /8
B 172.16.0.0 – 172.31.255.255 /12
C 192.168.0.0 – 192.168.255.255 /16

La notazione CIDR (es. 192.168.10.0/24) indica quanti bit costituiscono la porzione di rete: un /24 offre 254 host utilizzabili, un /26 solo 62. Sottoreti più piccole e mirate consentono di applicare ACL e policy granulari a ciascun segmento.

NAT e PAT: il confine tra dentro e fuori

Il NAT (Network Address Translation) traduce gli indirizzi privati interni in indirizzi pubblici quando il traffico esce verso Internet. Il PAT (Port Address Translation), o NAT overload, è la variante più diffusa: molti host interni condividono un unico indirizzo pubblico distinguendo i flussi tramite numeri di porta sorgente diversi.

Il NAT nasce per risolvere l’esaurimento degli indirizzi IPv4, non per proteggere. Un effetto collaterale è che l’indirizzamento interno resta offuscato dall’esterno, ma questo è security through obscurity: chi ha già un piede nella rete o sfrutta connessioni originate dall’interno non è ostacolato dal NAT. La decisione su quale traffico può attraversare il confine spetta al firewall e alle sue policy stateful, non al NAT.

VLAN e segmentazione a livello 2/3

Una VLAN separa logicamente domini di broadcast diversi sullo stesso switch fisico. Host in VLAN differenti non comunicano direttamente: il traffico deve passare per un dispositivo di routing (inter-VLAN routing), punto ideale dove interporre ACL o un firewall per ispezionare e filtrare.

Tipicamente si mappa una VLAN a una sottorete IP: ad esempio VLAN 10 → 10.1.10.0/24 (utenti), VLAN 20 → 10.1.20.0/24 (server), VLAN 99 → gestione. Separare la rete di management dal traffico utente è una best practice fondamentale.

interface vlan 10
 ip address 10.1.10.1 255.255.255.0

La segmentazione confina un incidente: se un endpoint utente viene compromesso, l’attaccante non raggiunge automaticamente i server, perché il lateral movement deve attraversare un punto di controllo.

La DMZ

La DMZ (Demilitarized Zone) è un segmento intermedio che ospita i servizi esposti a Internet (web server, mail relay, reverse proxy). Sta tra due livelli di filtraggio: il firewall permette al traffico esterno di raggiungere solo la DMZ, mentre l’accesso dalla DMZ verso la LAN interna è fortemente ristretto o negato. Così, se un server pubblico viene violato, l’attaccante resta confinato nella DMZ e non ha un percorso diretto verso le risorse critiche interne.

Segmentazione vs microsegmentazione

La segmentazione tradizionale opera per zone ampie (VLAN, sottoreti). La microsegmentazione spinge il concetto fino al singolo workload o host: le policy controllano il traffico east-west tra macchine anche all’interno dello stesso segmento, spesso applicate a livello di host o hypervisor secondo un modello zero-trust (“mai fidarsi per default”). Il risultato è una superficie d’attacco drasticamente ridotta: ogni movimento laterale richiede un permesso esplicito.

Trappole tipiche d’esame

  • Scenario: una domanda afferma che il NAT/PAT “protegge” la rete interna o “sostituisce il firewall” → Risposta giusta: falso. Il NAT offusca solo l’indirizzamento interno; serve comunque un firewall per il controllo degli accessi.
  • Scenario: serve isolare i server dagli endpoint utente sullo stesso switch fisico → Risposta giusta: creare VLAN separate (con sottoreti distinte) e filtrare l’inter-VLAN routing con ACL/firewall, non basarsi sul NAT.
  • Scenario: un web server pubblico deve essere raggiungibile da Internet senza esporre la LAN → Risposta giusta: collocarlo in DMZ, con accesso verso l’interno negato/ristretto.
  • Scenario: si vuole limitare il lateral movement tra due VM nello stesso segmento → Risposta giusta: microsegmentazione con policy zero-trust sul traffico east-west, non una nuova VLAN.
  • Scenario: dato 172.16.5.0/24, si chiede se è pubblico o privato → Risposta giusta: privato (rientra nel range RFC 1918 172.16.0.0/12), quindi non instradabile su Internet e da tradurre via NAT.