sistemi-e-reti firewall DMZ ACL VPN NIS2 sicurezza seconda-prova 10 giu 2026

Progettazione di Reti Locali — Parte 3: Sicurezza e Normative

Guida di riferimento per la seconda prova di Sistemi e Reti — terza parte. Copre la sicurezza perimetrale, il controllo degli accessi e i vincoli normativi europei.

9. Sicurezza della Rete

Firewall e DMZ

Il Firewall è il componente fondamentale per la difesa perimetrale: filtra il traffico in ingresso e in uscita in base a regole definite dall’amministratore. Può operare a diversi livelli:

Tipo	Livello OSI	Caratteristiche
Packet Filter	L3	Analizza intestazione IP e TCP/UDP (indirizzi e porte). Veloce ma non analizza il payload.
Stateful Inspection	L4	Tiene traccia delle sessioni attive: permette automaticamente il traffico di ritorno di connessioni già autorizzate.
Application Layer Gateway / NGFW	L7	Ispeziona il contenuto applicativo (HTTP, DNS, TLS). I Next Generation Firewall integrano IDS/IPS, antivirus e controllo applicazioni.

La DMZ (DeMilitarized Zone) è una rete intermedia, separata sia da Internet che dalla LAN interna, dove si collocano i server accessibili pubblicamente (web server, mail server, server VPN). In questo modo, se un server in DMZ viene compromesso, l’attaccante non ha accesso diretto alla rete interna.

Architetturalmente si realizza con:

Due firewall (più sicuro): uno tra Internet e DMZ, uno tra DMZ e LAN.
Un unico firewall a tre interfacce (WAN, LAN, DMZ): soluzione più economica e comune nelle PMI.

Access Control List (ACL)

Le ACL sono liste di regole configurate sui router e sugli switch Layer 3 per filtrare il traffico basandosi su indirizzi IP sorgente/destinazione e numeri di porta.

Tipo	Numerazione Cisco	Filtro	Posizionamento
Standard	1–99	Solo IP sorgente	Il più vicino possibile alla destinazione
Estesa	100–199	IP sorgente, IP destinazione, protocollo, porta	Il più vicino possibile alla sorgente

Ogni ACL termina implicitamente con un deny any any: tutto ciò che non è esplicitamente permesso viene bloccato.

Consiglio per l’esame: Esempio di regola ACL estesa:
permit tcp 192.168.10.0/26 any eq 443
Permette il traffico HTTPS generato dalla VLAN Amministrazione verso qualsiasi destinazione. Giustifica sempre il posizionamento dell’ACL (in/out, su quale interfaccia).

VPN — Accesso Remoto Sicuro

Una VPN (Virtual Private Network) crea un tunnel cifrato su una rete pubblica (Internet), permettendo l’accesso sicuro alle risorse aziendali da remoto.

Tecnologia	Tipo	Caratteristiche
IPsec	Site-to-Site	Connette due sedi aziendali in modo trasparente agli utenti. Il tunnel è sempre attivo e i pacchetti vengono cifrati tra i due router/firewall.
SSL/TLS VPN	Client-to-Site	Permette ai singoli utenti remoti (es. smart working) di connettersi tramite un client VPN. Utilizza la porta TCP 443, spesso non bloccata dai firewall pubblici.
WireGuard	Client-to-Site	Protocollo moderno, leggero e molto performante, alternativa emergente a IPsec.

10. Normative sulla Sicurezza IT

Un progetto di rete deve essere conforme alle attuali normative europee. In sede d’esame, citarle dimostra maturità progettuale.

Tutela la privacy e i dati personali. Le implicazioni progettuali principali sono:

Approccio Privacy by Design: la protezione dei dati deve essere integrata fin dalla fase di progettazione, non aggiunta in seguito.
Uso obbligatorio di crittografia (es. AES, TLS) per i dati sensibili in transito e a riposo.
Segmentazione delle reti tramite VLAN per isolare i dati personali dal traffico generico.
Procedure rigorose in caso di Data Breach: notifica entro 72 ore al Garante per la Protezione dei Dati Personali.

Direttiva NIS 2 — UE 2022/2555

Si applica alle infrastrutture critiche e ai soggetti essenziali (sanità, trasporti, energia, Pubblica Amministrazione). Impone:

Business Continuity: garantire la continuità operativa anche in presenza di incidenti.
Disaster Recovery: piani documentati per il ripristino dei sistemi dopo un’interruzione grave.
Sicurezza della Supply Chain: verificare che fornitori e partner rispettino standard di sicurezza adeguati.
Segnalazione rapida degli incidenti al CSIRT nazionale.

Mappa Tecnica → Normativa

Soluzione Tecnica	Normativa supportata
Segmentazione VLAN per dati sensibili	GDPR (Privacy by Design)
Cifratura TLS sul traffico di rete	GDPR, NIS 2
VPN IPsec per accesso remoto	GDPR, NIS 2
Failover ISP + Disaster Recovery plan	NIS 2 (Business Continuity)
Firewall + IDS/IPS	NIS 2 (gestione del rischio)

Consiglio per l’esame: Se la traccia riguarda una PA, una scuola o una struttura sanitaria, cita sempre la NIS 2 e il GDPR come vincoli normativi del progetto. Menzionare che la segmentazione tramite VLAN e la cifratura del traffico (TLS, VPN IPsec) sono strumenti tecnici che concorrono alla conformità normativa dimostra maturità progettuale.