Porta WAN del Router Cisco: Funzione, Configurazione e Best Practice
Una porta WAN (Wide Area Network) su un router Cisco è l'interfaccia fisica che collega il router a reti esterne—più comunemente Internet, ma anche circuiti MPLS, metro Ethernet o link sito-sito.
Caratteristiche Fisiche
- Posizione: Tipicamente pannello anteriore o posteriore, chiaramente etichettato "WAN," "WAN1," "Internet," o "GE0/0"
- Connettore: RJ-45 (Gigabit Ethernet) sulla maggior parte dei modelli ISR/CSR/ASR moderni
- Varianti legacy: Seriale (DB-60/V.35), T1/E1 (RJ-48), DSL (RJ-11), gabbie SFP/SFP+ per fibra
- Indicatori: LED Link/Attività (verde/ambra) per monitoraggio stato
Funzioni Principali
- Punto di demarcazione: Confine tra apparecchiature locali cliente (CPE) e rete del provider di servizi
- Terminazione Layer 3: Assegnazione indirizzo IP (statico, client DHCP, PPPoE)
- NAT/PAT: Traduce indirizzi LAN privati in indirizzo WAN pubblico
- Peering protocolli di routing: BGP, OSPF, EIGRP con ISP o siti remoti
- Applicazione sicurezza: ACL, firewall zone-based, IPS, terminazione VPN
Elementi Essenziali di Configurazione
interface GigabitEthernet0/0 description WAN_LINK_TO_ISP ip address dhcp ! or static: ip address 203.0.113.2 255.255.255.252 ip nat outside ip virtual-reassembly in duplex auto speed auto no shutdown
Funzionalità Avanzate
| Funzionalità | Scopo |
|---|---|
| QoS (CBWFQ/LLQ) | Priorizza traffico VoIP, VPN, business-critical |
| IP SLA + Track | Failover su WAN di backup in caso di degrado primario |
| PfR / OER | Selezione percorso basata su prestazioni su più WAN |
| DMVPN / FlexVPN | VPN sito-sito dinamica su Internet pubblico |
| NetFlow / Flexible NetFlow | Analisi traffico, rilevamento anomalie, fatturazione |
| ZBFW (Zone-Based Firewall) | Ispezione stateful, controllo applicazioni |
Scenari WAN Comuni
- Singolo ISP, DHCP: Casa/piccola impresa (modem cavo/fibra)
- Singolo ISP, IP statico + BGP: Impresa con proprio ASN/spazio PI
- Dual ISP (Attivo/Standby): Failover con tracciamento IP SLA
- Dual ISP (Bilanciamento carico): PfR o routing a pari costo
- MPLS + Backup Internet: WAN privato primario, secondario VPN
- SD-WAN Edge: Controllato da controller Viptela/Meraki/Cisco SD-WAN
Checklist Hardening Sicurezza
- Disabilita CDP/LLDP su faccia WAN:
no cdp enable - Applica ACL in ingresso che blocca RFC1918, bogoni, porte di gestione
- Abilita uRPF:
ip verify unicast source reachable-via rx - Limita velocità ICMP, SSH, SNMP al piano di controllo
- Implementa CoPP (Control Plane Policing)
- Aggiornamenti regolari IOS/IOS-XE per patch CVE