Segmentazione della rete WiFi: VLAN, SSID e isolamento del traffico ospiti

Benvenuto nella serie Purple Technical Briefing. Oggi affrontiamo una delle decisioni più importanti, e spesso più fraintese, nella progettazione di reti wireless aziendali: la segmentazione delle reti WiFi. Se gestisci un hotel, un parco negozi, un centro congressi, uno stadio o qualsiasi altra struttura in cui offri sia un servizio WiFi per gli ospiti sia un servizio per le attività operative, questo episodio ti riguarda direttamente. Vedremo perché la segmentazione è un elemento non negoziabile nel 2024, in che modo le VLAN e gli SSID multipli collaborano per realizzarla e come si presenta in pratica un'implementazione ben progettata. Questa non è una lezione teorica. Al termine di questo briefing avrai a disposizione un quadro chiaro per valutare la tua rete attuale, identificare le lacune e prendere una decisione sicura sui prossimi passi da compiere. Entriamo nel vivo dell'argomento. Quindi, cos'è esattamente la segmentazione di una rete WiFi? Fondamentalmente, è la pratica di suddividere una singola infrastruttura wireless fisica in più reti isolate dal punto di vista logico. Ciascun segmento trasporta traffico differente, serve utenti o dispositivi diversi ed è regolato da policy di sicurezza distinte, il tutto funzionando sugli stessi access point e cablaggi fisici. Le due tecnologie che rendono possibile tutto questo sono le VLAN, Virtual Local Area Network, e gli SSID, Service Set Identifier. Esaminiamole una alla volta. Una VLAN è un costrutto di Layer 2 definito nello standard IEEE 802.1Q. Consente a un singolo switch o access point fisico di trasportare più domini di broadcast separati logicamente. È come avere più corsie separate che attraversano lo stesso tunnel. I veicoli, ovvero i tuoi pacchetti di dati, vengono contrassegnati con un ID VLAN quando entrano nella rete e tale tag determina quale strada percorrono e quali uscite possono utilizzare. Gli ID VLAN vanno da 1 a 4094 e, in un'implementazione aziendale ben progettata, ogni classe di traffico riceve il proprio ID. Un SSID è semplicemente il nome della rete che un dispositivo wireless vede e a cui si connette. Quando configuri più SSID su un access point, ognuno di essi viene mappato su una VLAN corrispondente. Di conseguenza, la tua rete ospiti, chiamiamola VenueGuest, si mappa sulla VLAN 10. La rete del personale si mappa sulla VLAN 20. I tuoi dispositivi IoT e di gestione dell'edificio si mappano sulla VLAN 30. E i tuoi terminali di pagamento o POS risiedono sulla VLAN 40, che prevede i controlli di accesso più severi per soddisfare i requisiti PCI-DSS. Ora, perché questo è così importante dal punto di vista della sicurezza? La risposta è il movimento laterale. In una rete piatta e non segmentata, dove ogni dispositivo condivide lo stesso dominio di trasmissione, un dispositivo compromesso può comunicare direttamente con ogni altro dispositivo su quella rete. Lo smartphone di un ospite infettato da malware può, in teoria, sondare i terminali POS, i laptop del personale e il sistema CCTV. Non si tratta di un rischio teorico. È un vettore di attacco documentato. La segmentazione della rete elimina questa superficie di attacco garantendo che il traffico proveniente da un segmento semplicemente non possa raggiungerne un altro senza passare attraverso un firewall o un router che applichi una policy esplicita. Dal punto di vista della conformità, la segmentazione è spesso obbligatoria, non opzionale. Lo standard PCI-DSS richiede che gli ambienti dei dati dei titolari di carta siano isolati da tutto l'altro traffico di rete. Il GDPR impone obblighi relativi alla minimizzazione dei dati e al controllo degli accessi che sono molto più facili da soddisfare quando l'architettura di rete impone la separazione fin dalla progettazione. Negli ambienti sanitari, le reti dei dispositivi clinici devono essere isolate dal WiFi di uso generale secondo le linee guida NHS Digital. Parliamo dell'architettura in modo un po' più dettagliato. In una tipica implementazione aziendale, avrai uno switch centrale connesso al tuo uplink Internet e al firewall. Quello switch trasporta più VLAN come traffico taggato, le cosiddette porte trunk, fino al controller LAN wireless o agli access point gestiti dal cloud. Ogni access point trasmette più SSID contemporaneamente. I moderni access point aziendali di fornitori come Cisco Meraki, Aruba, Ruckus e Ubiquiti possono gestire da otto a sedici SSID per radio, anche se la best practice è limitarsi a quattro o meno per ridurre al minimo il sovraccarico di gestione e l'inquinamento da radiofrequenza. Il controller LAN wireless gestisce la mappatura tra SSID e VLAN e applica anche l'isolamento dei client all'interno di ciascun SSID. L'isolamento dei client è un'impostazione fondamentale: impedisce ai dispositivi sullo stesso SSID di comunicare direttamente tra loro, il che è essenziale su una rete ospiti in cui non desideri che il dispositivo di un ospite comunichi con quello di un altro. L'autenticazione è l'altra dimensione chiave. Per la rete ospiti, in genere utilizzerai un SSID aperto con un Captive Portal, una pagina di autenticazione basata sul web in cui gli ospiti accedono tramite social media, e-mail o un codice voucher. È qui che una piattaforma come la soluzione Guest WiFi di Purple aggiunge un valore significativo: gestisce il Captive Portal, l'acquisizione dei dati, la gestione del consenso ai sensi del GDPR e l'analisi di marketing a valle, il tutto integrato con la tua architettura VLAN. Per la rete del personale aziendale, dovresti utilizzare WPA3-Enterprise, che utilizza l'autenticazione 802.1X con un server RADIUS, in genere integrato con Active Directory o Azure AD. Ciò significa che ogni membro del personale si autentica con le proprie credenziali aziendali e la rete può applicare policy per utente basate sul ruolo o sul dipartimento. Per i dispositivi IoT, la sfida è diversa. La maggior parte dei dispositivi IoT non supporta lo standard 802.1X, pertanto si utilizzerà WPA2-PSK o WPA3-SAE con una passphrase complessa e periodicamente modificata, combinata con regole di firewall rigorose che limitano gli accessi di tali dispositivi. Molte organizzazioni implementano anche il filtraggio degli indirizzi MAC come controllo aggiuntivo sulle VLAN dedicate all'IoT, sebbene questa debba essere considerata una misura secondaria piuttosto che un controllo di sicurezza primario. Un'ulteriore considerazione architetturale meritevole di nota riguarda la gestione della larghezza di banda. Sulla VLAN ospiti, è opportuno implementare una limitazione della velocità per singolo client, in genere compresa tra 5 e 20 megabit al secondo in downstream, a seconda della capacità totale del collegamento di uplink e del numero previsto di utenti simultanei. Ciò evita che un singolo ospite saturi l'uplink, degradando l'esperienza di tutti gli altri. Ecco ora il quadro di implementazione pratica. Suddividerei questo processo in cinque fasi. Fase uno: classificazione del traffico. Prima di toccare anche solo una singola porta dello switch, è necessario documentare ogni tipo di dispositivo e classe di traffico presente nel proprio ambiente. Dispositivi degli ospiti, dispositivi del personale, IoT, terminali di pagamento, sistemi di gestione dell'edificio, videosorveglianza CCTV. Ognuno di essi ha bisogno di una collocazione specifica. Fase due: progettazione delle VLAN. Assegnare un ID VLAN e una subnet IP a ciascuna classe di traffico. Mantenere la VLAN ospiti su una subnet completamente separata, senza alcuna rotta verso lo spazio di indirizzamento interno. Il firewall deve avere una regola esplicita di negazione totale (deny-all) tra la VLAN ospiti e tutto ciò che è interno, consentendo esclusivamente l'accesso a internet in uscita. Fase tre: mappatura degli SSID. Configurare gli SSID sul controller wireless, mappare ciascuno di essi sulla relativa VLAN, abilitare l'isolamento dei client sull'SSID ospite e impostare il metodo di autenticazione specifico per ogni segmento. Fase quattro: policy del firewall. Questo è il punto in cui la maggior parte delle distribuzioni fallisce. L'architettura VLAN è solida solo quanto lo sono le regole di routing inter-VLAN sul firewall. Documentare esplicitamente ogni flusso consentito. Negare tutto il resto per impostazione predefinita. Fase cinque: monitoraggio e convalida. Implementare uno strumento di monitoraggio della rete e verificare che la segmentazione funzioni effettivamente. Eseguire test di penetrazione periodici o, come minimo, utilizzare uno strumento di scansione da un dispositivo ospite per confermare l'impossibilità di raggiungere le subnet interne. Esaminiamo ora le insidie. La più comune che riscontro è la configurazione errata delle porte trunk. Se una porta dello switch che trasporta più VLAN viene accidentalmente configurata come porta di accesso, tutto il traffico collassa su un'unica VLAN e la segmentazione scompare in modo silenzioso. Verificare sempre le configurazioni degli switch dopo qualsiasi modifica. La seconda insidia è la proliferazione degli SSID. Ogni SSID aggiuntivo trasmesso consuma tempo di trasmissione radio per i frame di beacon, anche quando non vi sono client connessi. In una struttura ad alta densità con centinaia di access point, trasmettere otto SSID per AP può degradare significativamente il throughput. Mantenere la struttura il più essenziale possibile. Il terzo errore è dimenticare la rete cablata. La segmentazione del WiFi è inutile se la vostra infrastruttura cablata non è altrettanto segmentata. Un ospite che si collega a una porta Ethernet in una sala conferenze e si ritrova sulla vostra rete aziendale ha aggirato l'intera architettura di sicurezza wireless. Lasciatemi passare in rassegna alcune domande che ricevo regolarmente dai clienti. Quanti SSID dobbiamo trasmettere? Non più di quattro per banda radio. Tre è l'ideale: guest, aziendale, IoT. Abbiamo bisogno di un access point fisico separato per gli ospiti? No. Gli AP aziendali moderni gestiscono più SSID e VLAN sullo stesso hardware. La separazione fisica non è necessaria ed è costosa. La piattaforma di Purple può funzionare con l'infrastruttura wireless esistente? Sì. Purple si integra con tutti i principali fornitori di wireless aziendali tramite RADIUS standard e tag VLAN. Non è necessario sostituire gli AP. Il WPA3 è obbligatorio per le reti ospiti? Non ancora obbligatorio, ma fortemente raccomandato. Il protocollo Simultaneous Authentication of Equals di WPA3 elimina la vulnerabilità agli attacchi a dizionario presente in WPA2-PSK. Distribuitelo dove il mix dei vostri dispositivi client lo supporta. Qual è la segmentazione minima praticabile per una piccola sede? Come minimo: una VLAN ospiti, una VLAN personale, una VLAN IoT. Significa tre VLAN, tre SSID e un firewall con regole inter-VLAN. Questa è la vostra base di partenza. Per riassumere: la segmentazione della rete WiFi tramite VLAN e SSID multipli è l'architettura fondamentale di sicurezza e conformità per qualsiasi implementazione wireless aziendale o locale. Non è opzionale se gestite traffico ospiti, dati di pagamento o dispositivi clinici. È la differenza tra una rete difendibile e una che rappresenta una passività. I punti chiave sono questi. Primo: mappate ogni tipo di dispositivo su una VLAN dedicata prima di progettare qualsiasi cosa. Secondo: le regole inter-VLAN del vostro firewall sono importanti quanto l'architettura VLAN stessa. Default-deny, explicit-permit. Terzo: mantenete basso il numero di SSID, abilitate l'isolamento dei client sulle reti ospiti e implementate la limitazione della larghezza di banda per client. Quarto: convalidate regolarmente la vostra segmentazione. Non date per scontato che funzioni solo perché l'avete configurata una volta. Se state cercando di aggiungere un livello di gestione WiFi ospiti con acquisizione dati conforme al GDPR, autenticazione tramite Captive Portal e analisi di marketing in cima alla vostra architettura segmentata, la piattaforma di Purple è progettata per inserirsi direttamente in questa architettura. Potete saperne di più su purple.ai. Grazie per l'ascolto. Alla prossima.