Soluzione Completa — Traccia C

Azienda Manifatturiera con IoT — Torino e Bari

Come scriverla all’Esame di Stato — formato discorsivo con schema di rete

📌 Nota per lo Studente

Questa è una soluzione modello come dovresti scriverla all’esame. Non avrai Cisco Packet Tracer: dovrai esprimere tutto con testo discorsivo, schemi disegnati a mano e tabelle. I comandi CLI vanno inclusi dove richiesto, ma sempre accompagnati da una spiegazione.

All’esame, disegna lo schema di rete su un foglio a parte con righello e penna. Qui lo rappresentiamo in formato testuale, ma tu dovrai farlo come disegno grafico con linee, rettangoli per i dispositivi e etichette con gli IP.

📄 Testo della Traccia (per riferimento)

Un’azienda manifatturiera con sede a Torino e uno stabilimento produttivo a Bari necessita di una rete sicura e segmentata. Torino ospita: uffici amministrativi (80 postazioni), reparto IT (20 postazioni) e server aziendali (ERP, mail, file server). Bari ospita: 50 sensori IoT, 30 postazioni operatore e un server locale di monitoraggio.

Rete assegnata: 10.0.0.0/8. Reti IoT isolate dagli uffici. Dati dei sensori sincronizzati con il server ERP di Torino ogni 15 minuti. Sedi collegate tramite VPN site-to-site su Internet.

Punti richiesti: (1) Schema e indirizzamento, (2) Isolamento rete IoT, (3) VPN e sincronizzazione, (4) Sicurezza.

Ipotesi Aggiuntive

Prima di procedere con la progettazione, si formulano le seguenti ipotesi aggiuntive non specificate nel testo della traccia:

→ Entrambe le sedi dispongono di una connessione Internet a banda larga fornita da un ISP (Internet Service Provider), con un indirizzo IP pubblico statico assegnato a ciascuna: 93.45.100.1 per Torino e 87.12.200.1 per Bari.

→ I 50 sensori IoT nello stabilimento di Bari comunicano tramite protocollo Ethernet cablato e inviano i dati al server locale di monitoraggio.

→ Il server ERP di Torino espone un’API (interfaccia di programmazione) accessibile via protocollo HTTPS per ricevere i dati sincronizzati da Bari.

→ Ogni sede dispone di uno switch managed (gestibile) di livello 2 che supporta le VLAN, e di un router Cisco che funge da gateway, firewall e terminatore VPN.

→ L’azienda ha acquistato un blocco di indirizzi dalla rete 10.0.0.0/8 e utilizza le sottoreti 10.10.0.0/16 per Torino e 10.20.0.0/16 per Bari per garantire ampio margine di crescita futura.

Punto 1 — Schema di Rete e Piano di Indirizzamento

1.1 — Schema Grafico dell’Infrastruttura

Di seguito viene rappresentato lo schema logico della rete aziendale. All’esame questo schema va disegnato a mano su un foglio separato, con rettangoli per i dispositivi, linee per i collegamenti ed etichette per gli indirizzi IP.

╔═══════════════════════════════════════════════════════════════════════════════════════╗
║                              SEDE DI TORINO                                         ║
║                                                                                     ║
║   ┌──────────────┐     ┌──────────────┐     ┌──────────────────┐                    ║
║   │  80 PC Uffici│     │  20 PC IT    │     │  SERVER FARM     │                    ║
║   │  VLAN 10     │     │  VLAN 20     │     │  VLAN 99         │                    ║
║   │ 10.10.1.0/25 │     │10.10.1.128/27│     │ 10.10.1.160/28   │                    ║
║   └──────┬───────┘     └──────┬───────┘     │ ERP:  .161       │                    ║
║          │                    │             │ Mail: .162       │                    ║
║          │                    │             │ File: .163       │                    ║
║          │                    │             └────────┬─────────┘                    ║
║          │                    │                      │                              ║
║          ▼                    ▼                      ▼                              ║
║   ╔══════════════════════════════════════════════════════╗                           ║
║   ║         SWITCH MANAGED (Layer 2) — con VLAN         ║                           ║
║   ║  Porte VLAN 10 │ Porte VLAN 20 │ Porte VLAN 99     ║                           ║
║   ║  (access)      │ (access)      │ (access)          ║                           ║
║   ╚════════════════════════╤═════════════════════════════╝                           ║
║                            │ (trunk — porta che trasporta tutte le VLAN)             ║
║                            ▼                                                        ║
║   ╔════════════════════════════════════════════════════════════╗                     ║
║   ║               ROUTER TORINO (Cisco ISR)                   ║                     ║
║   ║                                                           ║                     ║
║   ║  Gig0/1.10: 10.10.1.1/25    (gateway VLAN Uffici)       ║                     ║
║   ║  Gig0/1.20: 10.10.1.129/27  (gateway VLAN IT)           ║                     ║
║   ║  Gig0/1.99: 10.10.1.161/28  (gateway VLAN Server)       ║                     ║
║   ║  Gig0/0:    93.45.100.1     (IP PUBBLICO — verso ISP)   ║                     ║
║   ║                                                           ║                     ║
║   ║  Servizi: NAT Overload, VPN IPsec, Firewall/ACL         ║                     ║
║   ╚══════════════════════════╤═════════════════════════════════╝                     ║
╚══════════════════════════════╬═══════════════════════════════════════════════════════╝
                               │
                               │  IP Pubblico: 93.45.100.1
                               ▼
                    ╔═════════════════════╗
                    ║     INTERNET        ║
                    ║  ☁️  (rete pubblica) ║
                    ║                     ║
                    ║  Tunnel VPN IPsec   ║
                    ║  crittografato      ║
                    ╚══════════╤══════════╝
                               │
                               │  IP Pubblico: 87.12.200.1
                               ▼
╔══════════════════════════════╬═══════════════════════════════════════════════════════╗
║   ╔══════════════════════════╧═════════════════════════════════╗                     ║
║   ║               ROUTER BARI (Cisco ISR)                     ║                     ║
║   ║                                                           ║                     ║
║   ║  Gig0/0:    87.12.200.1     (IP PUBBLICO — verso ISP)   ║                     ║
║   ║  Gig0/1.10: 10.20.1.1/26   (gateway VLAN Operatori)     ║                     ║
║   ║  Gig0/1.50: 10.20.2.1/26   (gateway VLAN IoT)           ║                     ║
║   ║  Gig0/1.99: 10.20.1.65/28  (gateway VLAN Server)        ║                     ║
║   ║                                                           ║                     ║
║   ║  Servizi: NAT Overload, VPN IPsec, Firewall/ACL         ║                     ║
║   ╚════════════════════════╤═══════════════════════════════════╝                     ║
║                            │ (trunk)                                                ║
║                            ▼                                                        ║
║   ╔══════════════════════════════════════════════════════╗                           ║
║   ║         SWITCH MANAGED (Layer 2) — con VLAN         ║                           ║
║   ║  Porte VLAN 10 │ Porte VLAN 50 │ Porte VLAN 99     ║                           ║
║   ╚══════════════════════════════════════════════════════╝                           ║
║          │                    │                      │                              ║
║          ▼                    ▼                      ▼                              ║
║   ┌──────────────┐     ┌──────────────┐     ┌──────────────────┐                    ║
║   │ 30 PC Operat.│     │ 50 Sensori   │     │  SERVER LOCALE   │                    ║
║   │  VLAN 10     │     │  IoT         │     │  VLAN 99         │                    ║
║   │10.20.1.0/26  │     │  VLAN 50     │     │ 10.20.1.64/28    │                    ║
║   └──────────────┘     │10.20.2.0/26  │     │ Monitor: .66     │                    ║
║                        └──────────────┘     └──────────────────┘                    ║
║                              SEDE DI BARI                                           ║
╚═══════════════════════════════════════════════════════════════════════════════════════╝

1.2 — Piano di Indirizzamento Completo

La rete 10.0.0.0/8 viene suddivisa in due macro-blocchi: 10.10.0.0/16 per Torino e 10.20.0.0/16 per Bari. All’interno di ciascun blocco, le reti vengono ulteriormente suddivise con il subnetting VLSM (Variable Length Subnet Masking) per adattare ogni sottorete al numero esatto di host necessari, evitando sprechi di indirizzi.

1.3 — Assegnazione IP dei Server (indirizzi statici)

1.4 — Configurazione IP delle Interfacce dei Router

Nota sulle sub-interfacce: Il router utilizza la tecnica del router-on-a-stick: un singolo cavo fisico collega il router allo switch tramite una porta trunk (che trasporta il traffico di tutte le VLAN simultaneamente grazie al protocollo IEEE 802.1Q). Sul router si creano delle interfacce virtuali (sub-interfacce come Gig0/1.10, Gig0/1.20, ecc.), ciascuna associata a una VLAN specifica. In questo modo, un solo router può fare da gateway per tutte le VLAN.

1.5 — Configurazione NAT Overload (PAT)

Per permettere ai dispositivi interni (con IP privati 10.x.x.x) di accedere a Internet, ogni router deve eseguire il NAT Overload (detto anche PAT — Port Address Translation). Questa tecnica traduce tutti gli IP privati in un unico IP pubblico, distinguendo le connessioni tramite numeri di porta diversi.

Attenzione: il traffico destinato all’altra sede (che transita nel tunnel VPN) non deve essere tradotto dal NAT, perché deve mantenere gli IP privati originali per essere correttamente instradato nel tunnel. Per questo motivo, l’access-list del NAT include una regola deny che esclude il traffico inter-sede.

Configurazione sul Router di Bari:

! ACL estesa: ESCLUDE dal NAT il traffico diretto a Torino (va nella VPN)
Router(config)# access-list 100 deny ip 10.20.0.0 0.0.255.255 10.10.0.0 0.0.255.255
! INCLUDE nel NAT tutto il resto (traffico verso Internet)
Router(config)# access-list 100 permit ip 10.20.0.0 0.0.255.255 any

! Abilita NAT Overload usando l'IP pubblico dell'interfaccia WAN
Router(config)# ip nat inside source list 100 interface GigabitEthernet0/0 overload

! Marca le interfacce: outside = verso Internet, inside = verso la LAN
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip nat outside

Router(config)# interface GigabitEthernet0/1.10
Router(config-subif)# ip nat inside
Router(config)# interface GigabitEthernet0/1.50
Router(config-subif)# ip nat inside
Router(config)# interface GigabitEthernet0/1.99
Router(config-subif)# ip nat inside

La stessa configurazione va replicata sul Router di Torino, adattando gli indirizzi (10.10.0.0 al posto di 10.20.0.0 e viceversa nell’ACL).

Punto 2 — Isolamento della Rete IoT

L’isolamento della rete IoT è una priorità critica in questo progetto. I sensori industriali sono dispositivi spesso vulnerabili (firmware raramente aggiornato, capacità di sicurezza limitate) e un’eventuale compromissione non deve propagarsi alla rete aziendale. Si adottano due livelli di protezione: segmentazione tramite VLAN e filtraggio tramite ACL.

2.1 — Segmentazione con VLAN

I 50 sensori IoT sono collegati a porte dello switch assegnate alla VLAN 50, completamente separata dalla VLAN 10 (operatori) e dalla VLAN 99 (server). A livello fisico, i sensori condividono lo stesso switch, ma a livello logico è come se fossero su reti completamente diverse: un dispositivo in VLAN 50 non può comunicare con un dispositivo in VLAN 10 senza passare dal router.

Questa separazione è gestita dallo switch managed: si configurano le porte fisiche dello switch assegnandole alla VLAN corretta. Le porte dei sensori vengono configurate in modalità access sulla VLAN 50, mentre la porta verso il router viene configurata in modalità trunk per trasportare il traffico di tutte le VLAN.

2.2 — Filtraggio con ACL (Access Control List)

Le VLAN da sole non bastano: poiché il router collega tutte le VLAN, senza regole aggiuntive un sensore potrebbe comunque raggiungere la rete degli uffici passando per il router. Per impedirlo, si configurano delle ACL (liste di controllo degli accessi) sul router, che filtrano il traffico in base all’indirizzo sorgente e destinazione.

Regole implementate:

Configurazione ACL sul Router di Bari:

! ACL 150: applicata alla VLAN IoT — definisce cosa i sensori POSSONO fare
! PERMIT: sensori (10.20.2.0/26) → server monitoraggio (10.20.1.64/28)
Router(config)# access-list 150 permit ip 10.20.2.0 0.0.0.63 10.20.1.64 0.0.0.15

! DENY IMPLICITO: tutto ciò che non è esplicitamente permesso viene bloccato
! (Cisco aggiunge automaticamente "deny any any" alla fine di ogni ACL)

! Applica l'ACL in INGRESSO sulla sub-interfaccia della VLAN IoT
Router(config)# interface GigabitEthernet0/1.50
Router(config-subif)# ip access-group 150 in

In questo modo, l’unico traffico che può uscire dalla rete IoT è quello diretto al server di monitoraggio (10.20.1.66). Qualsiasi tentativo dei sensori di raggiungere Internet, la rete degli operatori o le reti di Torino viene bloccato automaticamente. Questo approccio si chiama “whitelist”: si permette solo ciò che è esplicitamente autorizzato e si blocca tutto il resto.

Punto 3 — VPN Site-to-Site e Sincronizzazione Dati

3.1 — VPN IPsec Site-to-Site

Per collegare le due sedi in modo sicuro attraverso Internet, si configura una VPN (Virtual Private Network) site-to-site con protocollo IPsec. Una VPN crea un “tunnel” crittografato tra i due router: i dati che transitano su Internet sono cifrati e illeggibili per chiunque li intercetti.

La VPN IPsec funziona in due fasi:

Fase 1 (IKE/ISAKMP): I due router si autenticano reciprocamente usando una pre-shared key (password condivisa) e negoziano i parametri di sicurezza. Si stabilisce un canale sicuro per la gestione della VPN.

Fase 2 (IPsec): Si negoziano i parametri per la cifratura effettiva dei dati. I pacchetti vengono cifrati con AES-256 (Advanced Encryption Standard a 256 bit) e autenticati con SHA-256 per garantire che non siano stati modificati in transito.

Configurazione VPN sul Router di Torino (comandi principali):

! === FASE 1: Policy ISAKMP (autenticazione tra i router) ===
Router(config)# crypto isakmp policy 10
Router(config-isakmp)# encryption aes 256
Router(config-isakmp)# hash sha256
Router(config-isakmp)# authentication pre-share
Router(config-isakmp)# group 14
Router(config-isakmp)# exit

! Pre-shared key condivisa con il router di Bari
Router(config)# crypto isakmp key ChiaveSegreta123! address 87.12.200.1

! === FASE 2: Transform set (come cifrare i dati) ===
Router(config)# crypto ipsec transform-set MYSET esp-aes 256 esp-sha256-hmac

! === ACL: definisce quale traffico deve entrare nel tunnel VPN ===
Router(config)# access-list 110 permit ip 10.10.0.0 0.0.255.255 10.20.0.0 0.0.255.255

! === Crypto map: unisce tutto e lo applica all'interfaccia WAN ===
Router(config)# crypto map VPN-MAP 10 ipsec-isakmp
Router(config-crypto-map)# set peer 87.12.200.1
Router(config-crypto-map)# set transform-set MYSET
Router(config-crypto-map)# match address 110
Router(config-crypto-map)# exit

Router(config)# interface GigabitEthernet0/0
Router(config-if)# crypto map VPN-MAP

La configurazione speculare va applicata sul Router di Bari, invertendo gli indirizzi (peer = 93.45.100.1, ACL con sorgente 10.20.0.0 e destinazione 10.10.0.0).

3.2 — Meccanismo di Sincronizzazione Dati

Il server di monitoraggio di Bari (10.20.1.66) raccoglie continuamente i dati dai 50 sensori IoT. Ogni 15 minuti, un processo automatico (schedulato tramite cron job o un’applicazione dedicata) invia i dati al server ERP di Torino (10.10.1.162).

Modalità di trasferimento:

→ Il server di Bari effettua una chiamata API REST su protocollo HTTPS (porta 443) verso il server ERP di Torino.

→ I dati vengono inviati in formato JSON, compressi per ridurre la banda occupata.

→ Il traffico transita all’interno del tunnel VPN IPsec, garantendo un doppio livello di crittografia (HTTPS + VPN).

→ Il server ERP risponde con un codice di conferma (HTTP 200 OK). Se la risposta non arriva entro 30 secondi, il tentativo viene ripetuto.

→ In caso di interruzione prolungata della VPN, i dati vengono bufferizzati localmente sul server di Bari e inviati in blocco al ripristino della connessione (meccanismo di store and forward).

Punto 4 — Misure di Sicurezza

4.1 — Protezione dei Dispositivi IoT

→ Segmentazione VLAN + ACL (già descritta al Punto 2): i sensori possono comunicare solo con il server di monitoraggio.

→ Cambio credenziali di default: tutti i sensori vengono configurati con password complesse, diverse da quelle impostate in fabbrica.

→ Aggiornamento firmware: pianificazione di aggiornamenti periodici del firmware dei sensori, possibilmente durante le fermate programmate della produzione.

→ Disabilitazione servizi non necessari: sui sensori si disabilitano protocolli non usati (es: Telnet, HTTP management) per ridurre la superficie di attacco.

4.2 — Protezione della Rete

→ Firewall perimetrale: il router di ciascuna sede funge anche da firewall. Le ACL estese controllano il traffico in ingresso e in uscita, bloccando tutto ciò che non è autorizzato.

→ VPN IPsec con crittografia AES-256 per tutto il traffico inter-sede, come descritto al Punto 3.

→ IDS/IPS (Intrusion Detection/Prevention System): si consiglia di installare un sistema che analizzi il traffico di rete in tempo reale e segnali (IDS) o blocchi automaticamente (IPS) eventuali attività sospette.

→ Porte switch non utilizzate: tutte le porte fisiche degli switch che non sono collegate a dispositivi vengono disabilitate (shutdown) per impedire la connessione di dispositivi non autorizzati.

4.3 — Continuità del Servizio Produttivo

→ Server con RAID 1 (mirroring): i dischi del server di Bari sono configurati in RAID 1, cioè i dati vengono scritti contemporaneamente su due dischi. Se un disco si guasta, l’altro contiene una copia identica e il servizio non si interrompe.

→ UPS (Uninterruptible Power Supply): gruppi di continuità su tutti i dispositivi critici (server, switch, router) per proteggerli da interruzioni di corrente.

→ Backup: backup incrementale giornaliero (si salvano solo i file modificati) + backup completo settimanale. I backup di Bari vengono replicati a Torino tramite la VPN durante le ore notturne (02:00-05:00) per non appesantire la rete durante la produzione.

→ Ridondanza della connessione Internet: per garantire che la VPN resti attiva, si consiglia una connessione di backup (es: 4G/5G) che si attiva automaticamente in caso di guasto della linea principale (failover).

4.4 — Controllo degli Accessi

→ Autenticazione centralizzata: sistema Active Directory (o LDAP) a Torino per gestire gli account utente di entrambe le sedi. Username e password unici per ogni dipendente.

→ Password policy: password minimo 12 caratteri, con maiuscole, minuscole, numeri e simboli. Cambio obbligatorio ogni 90 giorni. Blocco account dopo 5 tentativi errati.

→ Principio del minimo privilegio: ogni utente accede solo alle risorse necessarie per il proprio lavoro. Gli operatori di Bari non hanno accesso ai dati amministrativi di Torino e viceversa.

→ Logging e audit: tutti gli accessi ai server vengono registrati in log centralizzati con data, ora, utente e azione eseguita. I log vengono conservati per almeno 6 mesi e analizzati periodicamente per individuare accessi anomali.

📖 Glossario dei Termini Tecnici

Di seguito i termini tecnici utilizzati in questa soluzione, con una breve spiegazione e un link per approfondire:

💡 Consigli Finali per l’Esame