Isolare due reti su un singolo router: VLAN, firewall e ACL spiegati
Eseguire due reti completamente separate — ciascuna con accesso a Internet ma zero visibilità nei dispositivi dell'altra — è un requisito comune per reti guest, isolamento IoT, o separazione di traffico lavoro e personale. Ecco come ottenerlo usando un singolo router o switch Layer 3.
1. Definisci subnet distinte
Assegna intervalli IP non sovrapposti:
- Rete A (es. LAN): 192.168.10.0/24 (Gateway: 192.168.10.1)
- Rete B (es. Guest/IoT): 192.168.20.0/24 (Gateway: 192.168.20.1)
Ogni subnet riceve il proprio ambito DHCP sul router.
2. Implementa VLAN (Virtual LANs)
Questo è il metodo più pulito e scalabile. Il tuo router/switch deve supportare il tagging VLAN 802.1Q.
- Crea VLAN 10 per Rete A, VLAN 20 per Rete B.
- Assegna porte fisiche dello switch alla VLAN appropriata (porte access, untagged).
- Configura le interfacce virtuali del router (SVI) come gateway per ogni VLAN (192.168.10.1 su VLAN 10, 192.168.20.1 su VLAN 20).
- Abilita Routing Inter-VLAN (switching Layer 3) così il router può passare traffico tra VLAN e verso la WAN.
3. Blocca traffico Inter-VLAN con regole Firewall / ACL
Di default, il router instraderà tra le VLAN. Devi negarlo esplicitamente.
- Firewall stateful (preferito): Crea una regola sull'interfaccia LAN_IN o VLAN: Sorgente: subnet VLAN 10, Destinazione: subnet VLAN 20, Azione: Drop. Ripeti in senso inverso. Consenti traffico di ritorno stabilito/correlato per risposte WAN.
- ACL stateless (su switch Layer 3): Applica una ACL in entrata su ogni interfaccia VLAN negando la subnet dell'altra VLAN. Esempio (stile Cisco):
ip access-list extended BLOCK_VLAN20 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 permit ip any any interface vlan 10 ip access-group BLOCK_VLAN20 in
Critico: Assicurati che le regole consentano a ogni VLAN di raggiungere l'indirizzo gateway del router stesso (per DHCP/DNS) e l'interfaccia WAN (Internet), ma non la subnet dell'altra VLAN.
4. Configurazione NAT
Entrambe le subnet condivideranno tipicamente lo stesso indirizzo IP pubblico tramite NAT (PAT). La regola NAT del router traduce semplicemente qualsiasi traffico in uscita da 192.168.10.0/24 o 192.168.20.0/24 verso l'interfaccia WAN. Non è necessario NAT specifico per VLAN a meno che non abbia più IP pubblici.
5. Isolamento wireless (se si usa lo stesso AP)
Se un singolo punto di accesso serve entrambe le reti tramite multiple SSID:
- Mappa ogni SSID alla sua VLAN (SSID "Casa" → VLAN 10, SSID "Ospiti" → VLAN 20).
- Abilita Isolamento Client (AP Isolation) sulla SSID Ospiti per impedire ai client wireless di comunicare tra loro.
Checklist di verifica
- ✅ Dispositivi in Rete A ottengono 192.168.10.x, Rete B ottengono 192.168.20.x.
- ✅ Entrambi possono pingare 8.8.8.8 e navigare sul web.
- ✅ Dispositivo in Rete A non può pingare, navigare condivisioni o accedere a servizi su Rete B (e viceversa).
- ✅ Nessuno può accedere all'indirizzo gateway dell'altro (opzionale ma consigliato).
- ✅ Interfaccia di gestione del router accessibile solo da Rete A (VLAN amministratore attendibile).
Questa architettura è scalabile: aggiungi VLAN 30 per telecamere, VLAN 40 per server, ciascuna con politiche firewall personalizzate. Il principio rimane: segmenta al Layer 2 (VLAN), instrada al Layer 3, filtra al Layer 3/4 (Firewall/ACL).