Prepararsi all’Esame di Stato

La Struttura della Prova

La seconda prova di Sistemi e Reti è divisa in due parti:

→ Durata: 6 ore

→ Materiale consentito: manuali tecnici e calcolatrici scientifiche (no Internet)

→ Argomenti ricorrenti: subnetting, VLAN, VPN, sicurezza, firewall, NAT, server (DNS, DHCP, Web, Mail), topologie di rete, crittografia, autenticazione

Il Metodo in 6 Passi

📝 Riepilogo della Traccia 2024

La traccia parla di una Regione italiana che ha una rete in fibra ottica per collegare Enti locali, scuole e strutture sanitarie pubbliche. La Regione vuole estendere questa rete per collegare anche le strutture sanitarie private convenzionate (~2000) a un data-center che contiene il fascicolo sanitario elettronico dei cittadini.

Dati chiave estratti dalla traccia:

→ Rete principale: 10.0.0.0/8 (usata per Enti, scuole, strutture pubbliche)

→ Sottorete assegnata alle private: 10.100.0.0/16

→ Numero di strutture: circa 2000 (con incrementi futuri)

→ Almeno 8 indirizzi IP per struttura

→ Isolamento tra le strutture (una non deve vedere l’altra)

→ Dati sanitari sensibili → sicurezza obbligatoria

→ No accesso a Internet dalla rete regionale (solo verso il data-center)

📐 Come Affrontare il Subnetting

La rete assegnata è 10.100.0.0/16 → abbiamo 16 bit per gli host (2¹⁶ = 65.536 indirizzi).

Requisiti: ~2000 strutture, ognuna con almeno 8 indirizzi → serve una subnet per struttura.

Ragionamento: 8 indirizzi (di cui 6 utilizzabili) = serve una subnet con almeno 3 bit per gli host → /29 (2³=8 indirizzi, 6 utili). In alternativa, per maggiore flessibilità, si può usare /28 (16 indirizzi, 14 utili).

Con /28 dalla rete 10.100.0.0/16 otteniamo: 2¹⁶⁻¹² = 2⁴ × 2⁸ = 4096 sottoreti (più che sufficienti per 2000 strutture con margine di crescita).

🎯 Cosa Rispondere ai 4 Punti della Prima Parte

PRIMA PARTE

La Provincia di Brescia intende realizzare una rete WAN per collegare 25 istituti scolastici a un data-center provinciale che ospita il registro elettronico, la piattaforma e-learning e il sistema di segreteria digitale.

La rete principale assegnata è la 172.16.0.0/16. Ciascun istituto ha mediamente 3 laboratori informatici (con 25 PC ciascuno), una rete Wi-Fi per docenti (circa 40 dispositivi) e una rete per la segreteria (10 dispositivi). Le 3 tipologie di rete all’interno di ciascun istituto devono essere separate logicamente.

Il data-center provinciale ospita: un server Web (registro elettronico), un server DNS, un server DHCP centralizzato e un server per il backup.

Tutti i dati scambiati tra gli istituti e il data-center transitano su Internet attraverso connessioni VPN.

Il candidato, formulate le opportune ipotesi aggiuntive:

1. Sviluppi lo schema grafico dell’infrastruttura di rete, con il piano di indirizzamento IP per almeno 3 istituti esemplificativi e per il data-center;

2. Descriva come vengono separate logicamente le 3 reti (laboratori, Wi-Fi docenti, segreteria) all’interno di ciascun istituto, indicando gli apparati e le configurazioni necessarie;

3. Specifichi la configurazione del router di ciascun istituto per permettere l’accesso al data-center tramite VPN, indicando i servizi configurati;

4. Descriva le misure di sicurezza adottate per proteggere i dati degli studenti e del personale, con particolare attenzione al traffico di rete e all’accesso alla piattaforma e-learning.

SECONDA PARTE (scegli 2 su 4)

I. Descrivi come configurare un sistema di filtraggio dei contenuti web (content filtering) per la rete dei laboratori, impedendo l’accesso a siti non appropriati.

II. Descrivi come implementare un sistema di autenticazione per la rete Wi-Fi dei docenti tramite server RADIUS.

III. L’istituto vuole rendere accessibile il proprio sito web, ospitato su un server nella rete della segreteria, anche da Internet. Descrivi la configurazione necessaria sul router.

IV. Un tecnico rileva che i PC del laboratorio 2 non riescono a raggiungere il server del registro elettronico. Descrivi i passi e gli strumenti per diagnosticare il problema.

💡 Suggerimenti per lo Svolgimento

→ Subnetting: Con 172.16.0.0/16 hai 65.534 host. Ogni istituto ha circa 25×3 + 40 + 10 = 125 host. Per la separazione logica, usa le VLAN. Assegna a ogni istituto un blocco (es: /24) e poi suddividi in VLAN interne.

→ Punto 2: La parola chiave è “separate logicamente” = VLAN. Servono switch managed (layer 2) e un router o switch layer 3 per il routing inter-VLAN.

→ Punto 3: VPN site-to-site tra ogni istituto e il data-center. Sul router: tunnel VPN IPsec, ACL per limitare il traffico.

→ Punto 4: Dati studenti = dati di minori → GDPR particolarmente stringente. Parla di: HTTPS per il registro, autenticazione forte, backup crittografati, log degli accessi.

✅ Soluzione Completa — Punto 1 (Schema e Indirizzamento)

Ipotesi aggiuntive formulate:

– Ogni istituto ha una connessione Internet a banda larga tramite ISP locale

– Il data-center è raggiungibile attraverso VPN su Internet

– Ogni istituto ha uno switch managed e un router VPN

Piano di indirizzamento:

Assegno a ciascun istituto un blocco /24 (254 host — sufficiente per ~125 dispositivi con margine).

All’interno di ogni /24, creo 3 VLAN con subnetting:

Nota sulle VLAN: La VLAN 10 (laboratori) con /25 supporta fino a 126 host (3 lab × 25 PC = 75, con margine). La VLAN 20 (Wi-Fi) con /26 supporta 62 host. La VLAN 30 (segreteria) con /27 supporta 30 host.

! Access-list: definisce il traffico interno che deve essere "nattato"
Router(config)# access-list 10 permit 172.16.1.0 0.0.0.255

! NAT Overload: traduce tutto il traffico dell'istituto usando l'IP pubblico
Router(config)# ip nat inside source list 10 interface GigabitEthernet0/0 overload

! Interfaccia verso Internet (IP pubblico assegnato dall'ISP)
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip address 80.15.22.10 255.255.255.252
Router(config-if)# ip nat outside

! Interfaccia verso la LAN (IP privato, gateway dell'istituto)
Router(config)# interface GigabitEthernet0/1
Router(config-if)# ip nat inside

! Port forwarding: chiunque contatti l'IP pubblico sulla porta 80
! viene reindirizzato al server web interno 172.16.1.200
Router(config)# ip nat inside source static tcp 172.16.1.200 80 80.15.22.10 80
Router(config)# ip nat inside source static tcp 172.16.1.200 443 80.15.22.10 443

📖 Glossario — Termini Tecnici Usati nella Soluzione

🖥️ Verifica su Cisco Packet Tracer

Costruisci in Packet Tracer un modello semplificato con: 1 router per il data-center, 2 router per 2 istituti, collegati tra loro (simulando la VPN con link diretti). Configura:

→ VLAN sugli switch degli istituti (VLAN 10, 20, 30)

→ Routing inter-VLAN sul router dell’istituto (subinterface: Gig0/1.10, Gig0/1.20, Gig0/1.30)

→ Routing statico verso il data-center

→ DHCP per le VLAN (pool diverso per ogni VLAN)

→ Verifica che un PC del laboratorio raggiunga il server web del data-center, ma NON acceda alla rete della segreteria di un altro istituto

PRIMA PARTE

Una catena alberghiera con 12 hotel distribuiti in 4 regioni italiane intende modernizzare la propria infrastruttura IT. Ogni hotel ha: una rete per la reception e gestionale (~15 dispositivi), una rete Wi-Fi per gli ospiti (fino a 100 dispositivi simultanei), e una rete per il sistema di videosorveglianza IP (20 telecamere).

La sede centrale a Milano ospita il server di prenotazione, il sito web pubblico, il database clienti e il server di posta. Il sito web deve essere accessibile da Internet per le prenotazioni online.

La rete principale è la 192.168.0.0/16. Le tre reti di ogni hotel devono essere completamente isolate tra loro. In particolare, la rete Wi-Fi degli ospiti non deve poter accedere né alla rete gestionale né a quella delle telecamere. I dati delle prenotazioni e i dati dei clienti sono soggetti al GDPR.

Il candidato, formulate le opportune ipotesi aggiuntive:

1. Sviluppi il piano di indirizzamento IP e lo schema di rete, dettagliando almeno 2 hotel e la sede centrale;

2. Descriva come isolare le 3 reti all’interno di ogni hotel e quali apparati sono necessari;

3. Descriva come la sede centrale rende accessibile il sito web di prenotazione da Internet, garantendo la sicurezza del database clienti;

4. Descriva le misure di sicurezza per la protezione dei dati dei clienti sia in transito che a riposo, e le strategie di backup.

SECONDA PARTE (scegli 2 su 4)

I. Descrivi come configurare una rete Wi-Fi per ospiti con captive portal (pagina di accettazione termini prima della navigazione).

II. La sede centrale deve poter monitorare da remoto le telecamere IP di ogni hotel. Descrivi l’infrastruttura necessaria.

III. Descrivi come implementare un sistema di alta disponibilità (high availability) per il server di prenotazione.

IV. Un hotel segnala che la rete Wi-Fi degli ospiti è estremamente lenta. Descrivi i passi per diagnosticare e risolvere il problema.

💡 Suggerimenti Dettagliati

Subnetting: Con 192.168.0.0/16 hai tanto spazio. Assegna a ogni hotel un blocco /22 (1022 host). La sede centrale prende 192.168.0.0/24. All’interno di ogni hotel: VLAN Gestionale /26 (62 host), VLAN Wi-Fi /25 (126 host), VLAN Telecamere /27 (30 host).

Punto 2: VLAN + ACL. La VLAN Wi-Fi ospiti deve avere ACL che permettono SOLO il traffico verso Internet (NAT) e bloccano l’accesso alle altre VLAN. Concetto chiave: guest network isolation.

Punto 3: DMZ! Il server web va messo in una zona demilitarizzata, separata sia da Internet che dalla rete interna. Il firewall permette: Internet → DMZ (porta 80/443), DMZ → Database (porta specifica), ma blocca: Internet → rete interna.

Punto 4: Crittografia TLS per il sito (HTTPS), VPN IPsec tra gli hotel e la sede, dati personali crittografati nel database (AES-256), backup incrementale giornaliero + completo settimanale su storage off-site. Retention policy per GDPR.

🖥️ Verifica su Cisco Packet Tracer

→ Costruisci: Sede centrale (router + server web + server DNS) + 1 hotel (router con 3 VLAN su switch)

→ Configura NAT Overload sull’hotel per la VLAN Wi-Fi ospiti

→ Configura ACL che blocca la VLAN Wi-Fi dall’accedere alle altre VLAN

→ Configura Port Forwarding sulla sede per il server web (porta 80/443)

PRIMA PARTE

Un’azienda manifatturiera con sede a Torino e uno stabilimento produttivo a Bari necessita di una rete sicura e segmentata. La sede di Torino ospita: gli uffici amministrativi (80 postazioni), il reparto IT (20 postazioni) e i server aziendali (ERP, mail, file server). Lo stabilimento di Bari ospita: 50 sensori IoT sulle linee produttive, 30 postazioni operatore e un server locale di monitoraggio.

La rete assegnata è la 10.0.0.0/8. Le reti dei sensori IoT devono essere completamente isolate da quelle degli uffici. I dati dei sensori vengono raccolti dal server locale di Bari e sincronizzati con il server ERP di Torino ogni 15 minuti. Le due sedi sono collegate tramite VPN site-to-site su Internet.

Il candidato, formulate le opportune ipotesi aggiuntive:

1. Sviluppi lo schema grafico con il piano di indirizzamento per entrambe le sedi, dettagliando le subnet per ogni reparto/funzione;

2. Descriva come isolare la rete IoT dal resto della rete aziendale, motivando le scelte;

3. Descriva la configurazione della VPN site-to-site tra le due sedi e il meccanismo di sincronizzazione dei dati;

4. Descriva le misure di sicurezza adottate, con particolare attenzione alla protezione dei dispositivi IoT da attacchi esterni e alla continuità del servizio produttivo.

SECONDA PARTE (scegli 2 su 4)

I. Descrivi come implementare un sistema di monitoraggio della rete (SNMP/Syslog) per ricevere notifiche in caso di anomalie sui sensori IoT.

II. Il reparto IT deve poter accedere da remoto ai server di entrambe le sedi. Descrivi la soluzione implementata.

III. Descrivi il piano di disaster recovery in caso di guasto completo del server locale di Bari.

IV. Lo stabilimento di Bari vuole permettere agli operatori di consultare i dati di produzione via tablet. Descrivi l’infrastruttura Wi-Fi necessaria e le relative misure di sicurezza.

✅ Soluzione Completa

Ipotesi aggiuntive:

– Entrambe le sedi hanno connessione Internet a banda larga con IP pubblico statico

– I sensori IoT comunicano in Ethernet (no wireless industriale in questo scenario)

– Il server ERP di Torino ha un’API per la sincronizzazione dati

Punto 1 — Piano di Indirizzamento:

Punto 2 — Isolamento IoT:

I sensori IoT sono in una VLAN dedicata (VLAN 50) completamente isolata. Sul router/switch L3 di Bari si configurano ACL che permettono:

→ VLAN 50 (IoT) → VLAN 99 (server monitoraggio): PERMIT (i sensori inviano dati al server)

→ VLAN 50 (IoT) → qualsiasi altra rete: DENY (nessun accesso a Internet o ad altri reparti)

→ VLAN 10 (operatori) → VLAN 50 (IoT): DENY (gli operatori non possono accedere direttamente ai sensori)

Punto 3 — VPN e Sincronizzazione:

VPN site-to-site IPsec tra i router di Torino e Bari. Configurazione:

→ Fase 1 (ISAKMP): crittografia AES-256, hash SHA-256, gruppo DH 14, pre-shared key

→ Fase 2 (IPsec): transform-set con ESP-AES-256 ed ESP-SHA-HMAC

→ Il server di Bari sincronizza ogni 15 minuti con il server ERP di Torino via API REST su HTTPS attraverso il tunnel VPN

→ In caso di interruzione VPN, i dati vengono bufferizzati localmente e inviati al ripristino della connessione

Punto 4 — Sicurezza:

→ IoT: Segmentazione VLAN + ACL rigide, firmware aggiornato, credenziali non di default, disabilitazione porte/protocolli non necessari

→ Rete: Firewall perimetrale su entrambe le sedi, IDS/IPS per rilevare anomalie

→ Continuità: Server di Bari con RAID 1, UPS, backup giornaliero su NAS locale + replica su Torino via VPN

→ Accesso: Autenticazione centralizzata (Active Directory), password policy, log di tutti gli accessi

! ACL che include SOLO il traffico diretto a Internet (NON alla rete di Torino)
Router(config)# access-list 100 deny ip 10.20.0.0 0.0.255.255 10.10.0.0 0.0.255.255
Router(config)# access-list 100 permit ip 10.20.0.0 0.0.255.255 any

! NAT Overload usando l'IP pubblico dell'interfaccia WAN
Router(config)# ip nat inside source list 100 interface GigabitEthernet0/0 overload

! Interfaccia WAN (IP pubblico dall'ISP)
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip address 87.12.200.1 255.255.255.252
Router(config-if)# ip nat outside

! Sub-interfacce LAN (inside) per le VLAN
Router(config)# interface GigabitEthernet0/1.10
Router(config-subif)# encapsulation dot1Q 10
Router(config-subif)# ip address 10.20.1.1 255.255.255.192
Router(config-subif)# ip nat inside

Router(config)# interface GigabitEthernet0/1.50
Router(config-subif)# encapsulation dot1Q 50
Router(config-subif)# ip address 10.20.2.1 255.255.255.192
Router(config-subif)# ip nat inside

! I sensori IoT possono parlare SOLO con il server di monitoraggio
Router(config)# access-list 150 permit ip 10.20.2.0 0.0.0.63 10.20.1.64 0.0.0.15
! Tutto il resto è bloccato (deny implicito)

! Applica l'ACL alla sub-interfaccia della VLAN IoT in ingresso
Router(config)# interface GigabitEthernet0/1.50
Router(config-subif)# ip access-group 150 in

🖥️ Verifica su Cisco Packet Tracer

→ Costruisci le 2 sedi con router collegati (simulando la VPN con un link diretto + routing statico)

→ A Bari: switch con VLAN 10 (operatori), VLAN 50 (simula i sensori con dei PC), VLAN 99 (server)

→ Configura ACL: i “sensori” (VLAN 50) possono pingare il server (VLAN 99) ma NON i PC operatori e NON le reti di Torino

→ A Torino: verifica che il server ERP raggiunga il server di Bari attraverso il routing

PRIMA PARTE

Uno studio medico associato composto da 3 ambulatori situati in diverse zone della stessa città vuole realizzare un’infrastruttura di rete unificata. Ogni ambulatorio ha: 5 studi medici con PC (uno per studio), una postazione reception, un sistema di archiviazione digitale delle cartelle cliniche e un sistema di videoconferenza per le visite di telemedicina.

L’ambulatorio principale (Ambulatorio 1) ospita il server centrale con il database delle cartelle cliniche, il server per le prenotazioni online e il sistema di backup. I pazienti devono poter prenotare visite dal sito web e effettuare video-consulti tramite un’applicazione web dedicata.

La rete assegnata è la 192.168.0.0/22 (1022 host). I dati sanitari dei pazienti sono soggetti a normativa GDPR e rientrano tra i dati particolari (ex dati sensibili). Lo studio vuole anche offrire Wi-Fi gratuito in sala d’attesa per i pazienti, completamente isolato dalla rete medica.

Il candidato, formulate le opportune ipotesi aggiuntive:

1. Sviluppi il piano di indirizzamento e lo schema di rete per i 3 ambulatori e il server centrale;

2. Descriva come separare la rete Wi-Fi pazienti dalla rete medica e quali apparati servono;

3. Descriva l’infrastruttura per le visite in telemedicina, specificando i requisiti di banda, latenza e sicurezza;

4. Descriva le misure di sicurezza per la protezione dei dati sanitari e la conformità GDPR, compresa la gestione dei backup.

SECONDA PARTE (scegli 2 su 4)

I. Descrivi come implementare la prenotazione online, specificando l’architettura del server web, il protocollo HTTPS e la protezione del database.

II. Un medico vuole accedere alle cartelle cliniche dei propri pazienti dal proprio smartphone personale, anche quando non è in ambulatorio. Descrivi la soluzione e le misure di sicurezza.

III. Descrivi il piano di disaster recovery per il server delle cartelle cliniche.

IV. La reception dell’Ambulatorio 2 non riesce ad accedere al sistema di prenotazione. Descrivi i passi diagnostici.

💡 Suggerimenti per lo Svolgimento

Subnetting: Con 192.168.0.0/22 hai 1022 host. Dividi: Ambulatorio 1 (con server): /25 per la rete medica + /28 per i server + /26 per il Wi-Fi. Ambulatori 2 e 3: /26 ciascuno per la rete medica + /26 per il Wi-Fi. Link tra ambulatori: /30.

Telemedicina: Requisiti specifici: banda minima 2 Mbps simmetrica per video HD, latenza sotto 150ms, jitter sotto 30ms. Protocollo: WebRTC su HTTPS o applicazione dedicata. QoS sul router per prioritizzare il traffico video.

Wi-Fi pazienti: VLAN dedicata, ACL che permette solo traffico verso Internet (NAT), blocco totale verso la rete medica. Captive portal con termini e condizioni.

GDPR sanitario: Crittografia dei dati a riposo e in transito, registro dei trattamenti, DPO (Data Protection Officer), consenso informato dei pazienti, diritto all’oblio, backup cifrati con retention di 10 anni (obbligo legale per cartelle cliniche).

🖥️ Verifica su Cisco Packet Tracer

→ Costruisci i 3 ambulatori (3 router collegati tra loro con link /30 + routing statico)

→ Ambulatorio 1: switch con VLAN medica + VLAN Wi-Fi + VLAN server (con server web e DNS)

→ Configura DHCP diverso per ogni VLAN, DNS locale che risolve “prenotazioni.studio.local”

→ NAT per la VLAN Wi-Fi pazienti + ACL di isolamento

→ Verifica: un PC medico raggiunge il server, un PC nella VLAN Wi-Fi naviga ma NON raggiunge il server

PRIMA PARTE

Un Comune di medie dimensioni (60.000 abitanti) vuole digitalizzare i propri servizi. La struttura comprende: il Municipio (sede principale con 80 dipendenti), 3 sedi distaccate (Anagrafe, Ufficio Tecnico, Polizia Locale — 20 dipendenti ciascuna), e una biblioteca comunale con Wi-Fi pubblico.

Il Municipio ospita: server per il protocollo informatico, server per l’albo pretorio online, server posta elettronica certificata (PEC), e un server per i servizi al cittadino (prenotazione appuntamenti, pagamenti online tramite PagoPA). Il sito istituzionale e i servizi online devono essere accessibili via Internet.

La rete assegnata è la 10.50.0.0/16. Le sedi sono collegate tramite VPN. La biblioteca deve avere la rete Wi-Fi pubblica completamente isolata dalla rete comunale. Il sistema deve rispettare le linee guida AgID per la sicurezza informatica della PA.

Il candidato, formulate le opportune ipotesi aggiuntive:

1. Sviluppi il piano di indirizzamento e lo schema di rete per tutte le sedi;

2. Descriva la configurazione del Municipio come sede principale: DMZ per i servizi pubblici, rete interna, accesso ai server;

3. Descriva come collegare le sedi distaccate e la biblioteca, con le relative configurazioni di sicurezza;

4. Descriva le misure di sicurezza conformi alle linee guida AgID, con focus su autenticazione (SPID/CIE), protezione del sito e gestione dei log.

SECONDA PARTE (scegli 2 su 4)

I. Descrivi come implementare l’autenticazione SPID/CIE per i servizi online del Comune.

II. Descrivi l’infrastruttura per il Wi-Fi pubblico della biblioteca con captive portal e content filtering.

III. Il Comune deve garantire la continuità dei servizi online. Descrivi le strategie di alta disponibilità e disaster recovery.

IV. Un dipendente dell’Anagrafe segnala impossibilità di accedere al server del protocollo. Descrivi la procedura di troubleshooting.

💡 Suggerimenti Rapidi

Subnetting: Municipio /24 (con VLAN interna e DMZ), sedi distaccate /26 ciascuna, biblioteca /27 (rete interna) + /25 (Wi-Fi pubblico), link VPN /30.

DMZ: Concetto fondamentale per questa traccia. I server pubblici (sito, PagoPA) vanno nella DMZ, separati dalla rete interna da un firewall con regole precise.

SPID/CIE: Il Comune non gestisce direttamente l’autenticazione SPID — reindirizza gli utenti all’Identity Provider (es: Poste, InfoCert). L’integrazione avviene via protocollo SAML 2.0 o OpenID Connect.

Esercitazione: Prova a svolgere questa traccia completa da solo, con timer di 6 ore. Poi implementala su Packet Tracer per verificare la tua soluzione!

Settimana 1: Ripassa subnetting, VLAN, routing statico e NAT. Risolvi la Traccia D (la più accessibile).

Settimana 2: Ripassa VPN, ACL, sicurezza, DMZ. Risolvi la Traccia A e implementala su Packet Tracer.

Settimana 3: Affronta le Tracce B e C (più avanzate). Allenati a gestire il tempo: simula le 6 ore.

Settimana 4: Svolgi la Traccia E come simulazione completa, senza guardare i suggerimenti. Poi confronta con i criteri visti in questa lezione.

Ricorda: all’esame non devi essere perfetto, devi essere completo e coerente. Un piano di indirizzamento senza errori, uno schema chiaro e risposte ben motivate valgono più di mille tecnicismi. Il metodo fa la differenza. In bocca al lupo! 🍀