Perché i grandi domini di broadcast danneggiano prestazioni e sicurezza della rete
Un dominio di broadcast è un segmento di livello 2 dove ogni dispositivo riceve ogni frame di broadcast (ARP, DHCP, NetBIOS, ecc.). Mantenerlo piccolo è una best practice nella progettazione di rete.
Problemi di prestazioni
- Tempeste di broadcast: Un singolo loop o una scheda di rete malfunzionante può inondare il segmento, consumando tutta la larghezza di banda e la CPU su ogni host.
- Sovrapposizione dominio di collisione (Hub legacy): Su supporto condiviso, le collisioni forzano un backoff esponenziale, uccidendo il throughput.
- Sovraccarico di interruttura: Ogni broadcast interrompe la NIC/CPU di ogni host per elaborare frame non destinati a lui.
- Inondazione ARP/NDP: Grandi subnet = tabelle ARP massicce, ricerche più lente, tempeste di ARP gratuito.
Rischi per la sicurezza
- Sniffing/Spoofing: Un host compromesso può avvelenare ARP sull'intera VLAN, MITM tutto il traffico.
- Spostamento laterale: Il malware si diffonde tramite scoperta broadcast (SMB, mDNS, LLMNR).
- Perdita di dati: Trasmissioni sensibili (opzioni DHCP, annunci di servizio) raggiungono endpoint non autorizzati.
Mal di testa gestionali
- Risoluzione problemi si estende su centinaia di porte.
- Applicazione delle politiche (ACL, QoS) è grossolana a livello 2.
- La convergenza dello spanning-tree rallenta con il diametro.
Soluzione: Segmenta con livello 3
- Usa router o switch di livello 3 per suddividere la rete in più subnet/VLAN /24 (o più piccole).
- I broadcast si fermano al router; solo il traffico unicast/multicast instradato attraversa.
- Applica ACL, firewall e QoS per segmento.
- Progettazione tipica: VLAN di accesso ≤ 250 host; Core/Distribution instradato.
Alternative moderne
- VXLAN/EVPN: Estendi il livello 2 su tessuto di livello 3 con flooding controllato.
- PVLAN (Private VLAN): Isola le porte all'interno della stessa VLAN.
- Micro-segmentazione: Firewall basati su host (Cilium, Calico) in Kubernetes/cloud.
Regola pratica: Se non puoi giustificare un /23, non crearlo.