Soluzione Completa — Traccia E

Comune Digitale con Servizi al Cittadino

Come scriverla all’Esame di Stato — formato discorsivo con schema di rete

📌 Nota per lo Studente

Questa è la traccia più articolata della raccolta: combina VPN site-to-site, DMZ, NAT, Port Forwarding, VLAN, Wi-Fi pubblico isolato, autenticazione SPID/CIE e normativa AgID. È il tipo di traccia che esce effettivamente all’esame.

Concetto nuovo rispetto alle tracce precedenti: la DMZ (Zona Demilitarizzata). Il Municipio ha server che devono essere raggiungibili da Internet (sito web, PagoPA). Questi server non possono stare nella rete interna (sarebbe troppo rischioso), né possono stare direttamente su Internet (sarebbero esposti). La DMZ è una “terra di mezzo” protetta dal firewall sia verso Internet che verso la rete interna.

Questa soluzione è scritta come dovresti presentarla all’esame: testo discorsivo, schema grafico, tabelle, comandi CLI commentati.

📄 Testo della Traccia (per riferimento)

Comune con 60.000 abitanti. Municipio (80 dipendenti), 3 sedi distaccate (Anagrafe, Ufficio Tecnico, Polizia Locale — 20 ciascuna), biblioteca con Wi-Fi pubblico. Municipio ospita: protocollo informatico, albo pretorio online, PEC, servizi al cittadino (prenotazioni, PagoPA). Rete: 10.50.0.0/16. Sedi collegate tramite VPN. Wi-Fi biblioteca isolato. Rispetto linee guida AgID.

Punti: (1) Schema e indirizzamento, (2) DMZ al Municipio, (3) VPN verso sedi distaccate e biblioteca, (4) Sicurezza AgID + SPID/CIE.

Ipotesi Aggiuntive

Prima della progettazione, si formulano le seguenti ipotesi:

→ Ogni sede dispone di una propria connessione Internet a banda larga con IP pubblico statico: Municipio (150.20.1.1), Anagrafe (85.40.10.1), Ufficio Tecnico (85.40.10.5), Polizia Locale (85.40.10.9), Biblioteca (85.40.10.13).

→ Le sedi distaccate e la biblioteca sono distribuite nel territorio comunale e collegate al Municipio tramite VPN IPsec site-to-site su Internet.

→ Il Municipio utilizza un firewall dedicato (es: Cisco ASA o equivalente) con 3 zone: Outside (Internet), DMZ (server pubblici), Inside (rete interna). Le sedi distaccate utilizzano router Cisco ISR con funzionalità firewall integrate.

→ La biblioteca ha due reti separate: una per il personale (5 postazioni) e una per il Wi-Fi pubblico dei cittadini, completamente isolata.

→ Il Comune utilizza un dominio registrato (es: comune.cittanova.it) con record DNS pubblici che puntano all’IP del Municipio.

Punto 1 — Schema di Rete e Piano di Indirizzamento

1.1 — Piano di Indirizzamento VLSM

La rete 10.50.0.0/16 offre 2¹⁶ – 2 = 65.534 indirizzi utilizzabili. Viene suddivisa in sottoreti con il VLSM, assegnando blocchi diversi a ciascuna sede e funzione. Per chiarezza, si utilizza il terzo ottetto per distinguere le sedi (10.50.1.x = Municipio interno, 10.50.2.x = DMZ, 10.50.10.x = Anagrafe, ecc.).

1.2 — Indirizzi IP dei Server

La distinzione è fondamentale: i server nella DMZ sono raggiungibili da Internet (tramite Port Forwarding) ma hanno accesso limitato alla rete interna. I server nella zona Inside non sono mai raggiungibili dall’esterno. Se un hacker compromette il server web nella DMZ, il firewall impedisce che possa raggiungere il server del protocollo o della PEC.

1.3 — Schema Grafico dell’Infrastruttura

                                   🌍 INTERNET
                                       │
                            IP Pubblico: 150.20.1.1
                                       │
╔══════════════════════════════════════════════════════════════════════════════════════════╗
║                                    MUNICIPIO                                            ║
║                                                                                         ║
║   ╔════════════════════════════════════════════════════════════════════╗                  ║
║   ║               FIREWALL (Cisco ASA o equivalente)                  ║                  ║
║   ║                                                                   ║                  ║
║   ║   Outside (Gig0/0): 150.20.1.1/30   → Internet                  ║                  ║
║   ║   DMZ     (Gig0/1): 10.50.2.1/28    → Server pubblici           ║                  ║
║   ║   Inside  (Gig0/2): 10.50.1.1/25    → Rete interna dipendenti   ║                  ║
║   ║                      10.50.1.129/28  → Server interni (VLAN 99)  ║                  ║
║   ║                                                                   ║                  ║
║   ║   Servizi: NAT Overload, Port Forwarding, ACL, VPN hub           ║                  ║
║   ╚═══════╤════════════╤═══════════════════╤══════════════════════════╝                  ║
║           │            │                   │                                            ║
║     ┌─────┘     ┌──────┘            ┌──────┘                                            ║
║     ▼ DMZ       ▼ Inside           ▼ Inside                                            ║
║                                                                                         ║
║  ┌────────────────┐  ┌────────────────────┐  ┌──────────────────────────┐               ║
║  │ ZONA DMZ       │  │ RETE DIPENDENTI    │  │ SERVER INTERNI           │               ║
║  │ VLAN 50        │  │ VLAN 10            │  │ VLAN 99                  │               ║
║  │ 10.50.2.0/28   │  │ 10.50.1.0/25      │  │ 10.50.1.128/28          │               ║
║  │                │  │                    │  │                          │               ║
║  │ Web:  .2       │  │ 80 PC dipendenti  │  │ Protocollo: .130         │               ║
║  │ Serv: .3       │  │ Stampanti rete    │  │ PEC:        .131         │               ║
║  │ DNS:  .4       │  │                    │  │ NAS Backup: .132         │               ║
║  └────────────────┘  └────────────────────┘  └──────────────────────────┘               ║
║                                                                                         ║
╚══════════════════════════════╤═══════════════════════════════════════════════════════════╝
                               │
                    Tunnel VPN IPsec su Internet
            ┌──────────────────┼──────────────────┬──────────────────┐
            │                  │                  │                  │
            ▼                  ▼                  ▼                  ▼
╔════════════════╗  ╔════════════════╗  ╔════════════════╗  ╔═══════════════════╗
║   ANAGRAFE     ║  ║ UFF. TECNICO   ║  ║ POLIZIA LOC.   ║  ║  BIBLIOTECA       ║
║                ║  ║                ║  ║                ║  ║                   ║
║ Router + FW    ║  ║ Router + FW    ║  ║ Router + FW    ║  ║ Router + FW       ║
║ VPN → Municip. ║  ║ VPN → Municip. ║  ║ VPN → Municip. ║  ║ VPN → Municip.    ║
║                ║  ║                ║  ║                ║  ║                   ║
║ VLAN 10:       ║  ║ VLAN 10:       ║  ║ VLAN 10:       ║  ║ VLAN 10:          ║
║ 10.50.10.0/27  ║  ║ 10.50.20.0/27  ║  ║ 10.50.30.0/27  ║  ║ 10.50.40.0/28     ║
║ 20 PC dipen.   ║  ║ 20 PC dipen.   ║  ║ 20 PC dipen.   ║  ║ 5 PC personale    ║
║                ║  ║                ║  ║                ║  ║                   ║
║                ║  ║                ║  ║                ║  ║ VLAN 20 (isolata):║
║                ║  ║                ║  ║                ║  ║ 10.50.40.128/25   ║
║                ║  ║                ║  ║                ║  ║ Wi-Fi Pubblico    ║
║                ║  ║                ║  ║                ║  ║ (captive portal)  ║
╚════════════════╝  ╚════════════════╝  ╚════════════════╝  ╚═══════════════════╝

1.4 — NAT Overload e Port Forwarding sul Firewall del Municipio

Il firewall del Municipio svolge due funzioni NAT fondamentali:

1) NAT Overload (PAT): traduce tutti gli IP privati (10.50.x.x) delle reti interne in un unico IP pubblico (150.20.1.1) per permettere ai dipendenti di navigare su Internet. Il traffico VPN, come nella Traccia C, viene escluso dal NAT tramite un’ACL dedicata.

2) Port Forwarding (Static NAT): rende raggiungibili dall’esterno i server della DMZ, mappando porte specifiche dell’IP pubblico verso i server interni.

! === NAT OVERLOAD per la navigazione Internet ===

! ACL: esclude dal NAT il traffico VPN (diretto alle altre sedi)
Firewall(config)# access-list 100 deny ip 10.50.0.0 0.0.255.255 10.50.0.0 0.0.255.255
! Include nel NAT tutto il resto (traffico verso Internet)
Firewall(config)# access-list 100 permit ip 10.50.0.0 0.0.255.255 any

Firewall(config)# ip nat inside source list 100 interface GigabitEthernet0/0 overload

! === PORT FORWARDING verso i server DMZ ===

! Sito web / Albo pretorio (HTTPS porta 443)
Firewall(config)# ip nat inside source static tcp 10.50.2.2 443 150.20.1.1 443

! Servizi cittadino / PagoPA (HTTPS porta 8443)
Firewall(config)# ip nat inside source static tcp 10.50.2.3 8443 150.20.1.1 8443

! DNS pubblico (porta 53 TCP e UDP)
Firewall(config)# ip nat inside source static tcp 10.50.2.4 53 150.20.1.1 53
Firewall(config)# ip nat inside source static udp 10.50.2.4 53 150.20.1.1 53

! === Interfacce outside / inside ===
Firewall(config)# interface GigabitEthernet0/0
Firewall(config-if)# ip nat outside
Firewall(config)# interface GigabitEthernet0/1
Firewall(config-if)# ip nat inside     ! DMZ
Firewall(config)# interface GigabitEthernet0/2
Firewall(config-if)# ip nat inside     ! Rete interna

In questo modo, quando un cittadino da casa apre https://www.comune.cittanova.it, il DNS traduce il nome nell’IP pubblico 150.20.1.1. Il firewall riceve la richiesta sulla porta 443 e la inoltra al server web interno 10.50.2.2 nella DMZ. Il cittadino vede il sito, ma non ha alcun modo di raggiungere i server interni (protocollo, PEC) perché il firewall blocca qualsiasi traffico dalla DMZ alla zona Inside.

Punto 2 — Configurazione DMZ del Municipio

2.1 — Cos’è la DMZ e Perché Serve

La DMZ (Demilitarized Zone) è un segmento di rete “intermedio” che ospita i server accessibili dall’esterno (Internet), tenendoli separati dalla rete interna. L’analogia è quella di un ufficio informazioni all’ingresso di un palazzo: il pubblico può entrare nell’ufficio informazioni (DMZ), ma non può accedere liberamente agli uffici privati ai piani superiori (rete Inside).

Il firewall applica regole diverse per ogni coppia di zone. L’idea generale è: il traffico può fluire da zone più sicure a zone meno sicure liberamente, ma il contrario è fortemente limitato.

2.2 — Regole del Firewall tra le Zone

2.3 — Configurazione ACL del Firewall

! === ACL sull'interfaccia Outside (ingresso da Internet) ===
! Permetti SOLO il traffico verso i server DMZ sulle porte autorizzate
Firewall(config)# access-list 110 permit tcp any host 10.50.2.2 eq 443
Firewall(config)# access-list 110 permit tcp any host 10.50.2.3 eq 8443
Firewall(config)# access-list 110 permit udp any host 10.50.2.4 eq 53
Firewall(config)# access-list 110 permit tcp any host 10.50.2.4 eq 53
! Permetti il traffico VPN (IPsec usa i protocolli ESP e le porte UDP 500 e 4500)
Firewall(config)# access-list 110 permit esp any any
Firewall(config)# access-list 110 permit udp any any eq 500
Firewall(config)# access-list 110 permit udp any any eq 4500
! Blocca tutto il resto
Firewall(config)# access-list 110 deny ip any any

Firewall(config)# interface GigabitEthernet0/0
Firewall(config-if)# ip access-group 110 in

Questa ACL è il “portone blindato” del Comune: dall’esterno entrano solo le richieste dirette ai servizi pubblici (sito, PagoPA, DNS) e il traffico VPN per le sedi remote. Tutto il resto viene bloccato.

Punto 3 — Collegamento delle Sedi Distaccate e della Biblioteca

3.1 — VPN IPsec Site-to-Site

Le 4 sedi periferiche (Anagrafe, Ufficio Tecnico, Polizia Locale, Biblioteca) sono distribuite nel territorio comunale e collegate al Municipio tramite VPN IPsec site-to-site su Internet. La topologia è a stella (hub-and-spoke): il Municipio è l’hub centrale e ogni sede è uno spoke. Le sedi comunicano tra loro passando sempre per il Municipio.

Ogni sede ha il proprio IP pubblico e il proprio router, su cui è configurato un tunnel VPN verso il firewall del Municipio. Il traffico tra le sedi viaggia crittografato con AES-256: anche se un malintenzionato intercettasse i pacchetti su Internet, non potrebbe leggerne il contenuto.

I parametri della VPN sono identici a quelli della Traccia C (Fase 1: ISAKMP con AES-256, SHA-256, DH group 14, pre-shared key; Fase 2: transform-set ESP-AES-256, ESP-SHA-HMAC).

Configurazione VPN sul Router dell’Anagrafe (esempio):

! Fase 1: policy ISAKMP
Router(config)# crypto isakmp policy 10
Router(config-isakmp)# encryption aes 256
Router(config-isakmp)# hash sha256
Router(config-isakmp)# authentication pre-share
Router(config-isakmp)# group 14

! Pre-shared key verso il Municipio
Router(config)# crypto isakmp key ComuneVPN2024! address 150.20.1.1

! Fase 2: transform set
Router(config)# crypto ipsec transform-set VPN-SET esp-aes 256 esp-sha256-hmac

! ACL: traffico dall'Anagrafe (10.50.10.0/27) verso tutte le reti comunali
Router(config)# access-list 110 permit ip 10.50.10.0 0.0.0.31 10.50.0.0 0.0.255.255

! Crypto map
Router(config)# crypto map VPN-COMUNE 10 ipsec-isakmp
Router(config-crypto-map)# set peer 150.20.1.1
Router(config-crypto-map)# set transform-set VPN-SET
Router(config-crypto-map)# match address 110

Router(config)# interface GigabitEthernet0/0
Router(config-if)# crypto map VPN-COMUNE

La stessa configurazione viene replicata (con gli IP adeguati) sugli altri 3 router periferici. Sul firewall del Municipio si configurano 4 tunnel VPN, uno per ogni sede, con le rispettive pre-shared key diverse per ogni sede.

3.2 — NAT sulle Sedi Remote

Anche le sedi periferiche necessitano del NAT Overload per navigare su Internet. Come nella Traccia C, il traffico destinato alla VPN (verso le reti 10.50.x.x) non deve essere nattato:

! ACL: escludi dal NAT il traffico VPN, includi il resto
Router(config)# access-list 100 deny ip 10.50.10.0 0.0.0.31 10.50.0.0 0.0.255.255
Router(config)# access-list 100 permit ip 10.50.10.0 0.0.0.31 any

Router(config)# ip nat inside source list 100 interface GigabitEthernet0/0 overload

3.3 — Isolamento Wi-Fi Pubblico della Biblioteca

La biblioteca ha una particolarità: deve offrire Wi-Fi gratuito ai cittadini, ma questa rete deve essere completamente isolata dalla rete comunale. Un cittadino connesso al Wi-Fi della biblioteca non deve poter raggiungere i PC del personale, i server del Municipio o quelli delle altre sedi.

La soluzione è identica a quella della Traccia D per il Wi-Fi dei pazienti: VLAN 20 dedicata al Wi-Fi pubblico, con un’ACL che blocca l’accesso a tutte le reti interne comunali e permette solo la navigazione Internet:

! Blocca l'accesso dalla VLAN Wi-Fi a tutte le reti comunali
Router(config)# access-list 120 deny ip any 10.50.0.0 0.0.255.255
! Permetti la navigazione Internet
Router(config)# access-list 120 permit ip any any

Router(config)# interface GigabitEthernet0/1.20
Router(config-subif)# ip access-group 120 in

Inoltre, la rete Wi-Fi pubblica prevede un captive portal: quando un cittadino si connette, prima di navigare viene visualizzata una pagina web che richiede l’accettazione dei termini e condizioni d’uso del servizio. Questo è un requisito legale secondo le normative italiane sull’accesso Wi-Fi pubblico.

Importante: il traffico del Wi-Fi pubblico della biblioteca esce su Internet direttamente dall’IP pubblico del router della biblioteca (tramite NAT locale), senza transitare nella VPN verso il Municipio. In questo modo il traffico dei cittadini non grava sulla VPN e resta separato dal traffico comunale.

Punto 4 — Sicurezza e Conformità Linee Guida AgID

Le linee guida AgID (Agenzia per l’Italia Digitale) definiscono i requisiti minimi di sicurezza per le infrastrutture ICT della Pubblica Amministrazione. Il Comune, in quanto PA, deve conformarsi a queste linee guida che coprono: gestione degli accessi, protezione dei dati, continuità operativa, gestione degli incidenti e monitoraggio.

4.1 — Autenticazione SPID e CIE

Per accedere ai servizi online del Comune (prenotazioni, certificati, pagamenti PagoPA), i cittadini si autenticano tramite SPID (Sistema Pubblico di Identità Digitale) o CIE (Carta d’Identità Elettronica). Il Comune non gestisce direttamente le credenziali dei cittadini: l’autenticazione è delegata a un Identity Provider (IdP) esterno autorizzato (es: Poste Italiane, InfoCert, Aruba).

Come funziona il flusso:

1. Il cittadino clicca “Accedi con SPID” sul sito del Comune

2. Viene reindirizzato al sito dell’Identity Provider scelto (es: poste.it)

3. Inserisce le proprie credenziali SPID sull’Identity Provider

4. L’IdP verifica le credenziali e restituisce al server del Comune un token di autenticazione (tramite protocollo SAML 2.0 o OpenID Connect)

5. Il server del Comune accetta il token e concede l’accesso ai servizi

Per i servizi che trattano dati sensibili si utilizza SPID di livello 2 (username + password + OTP via app) o la CIE con PIN. Il server dei servizi al cittadino (10.50.2.3) nella DMZ integra il modulo SPID tramite il protocollo SAML 2.0 e le librerie fornite da AgID.

4.2 — Protezione del Sito Web

→ HTTPS obbligatorio con certificato SSL/TLS di classe OV (Organization Validated) o EV (Extended Validation), emesso da una CA riconosciuta. HTTP viene reindirizzato automaticamente su HTTPS.

→ WAF (Web Application Firewall): filtra le richieste HTTP malevole prima che raggiungano il server web. Protegge da attacchi comuni: SQL injection, Cross-Site Scripting (XSS), directory traversal.

→ Aggiornamenti regolari: il server web e il CMS vengono aggiornati tempestivamente per correggere le vulnerabilità note.

→ Penetration test periodici: almeno una volta l’anno, un soggetto esterno effettua test di sicurezza per individuare vulnerabilità.

4.3 — Gestione dei Log

Le linee guida AgID richiedono la raccolta e conservazione dei log di sicurezza. Si implementa un sistema di log centralizzato (basato su protocollo Syslog) sul server interno del Municipio:

→ Log di accesso: ogni autenticazione ai sistemi (riuscita o fallita) viene registrata con data, ora, utente, IP sorgente e sistema acceduto.

→ Log del firewall: tutte le connessioni bloccate e ammesse vengono registrate per analisi post-incidente.

→ Log del server web: ogni accesso al sito viene registrato (utile per identificare tentativi di attacco).

→ Conservazione: i log vengono conservati per almeno 6 mesi (requisito AgID) su storage dedicato, protetti da modifiche tramite firma digitale o hash.

→ Monitoraggio: un sistema SIEM (Security Information and Event Management) analizza i log in tempo reale e genera allarmi in caso di anomalie (es: 100 tentativi di login falliti dallo stesso IP).

4.4 — Sicurezza della Rete

→ Segmentazione VLAN: ogni sede ha la propria VLAN. La biblioteca ha la VLAN Wi-Fi isolata. Questo limita la propagazione di eventuali attacchi.

→ VPN IPsec AES-256: tutto il traffico inter-sede è crittografato (come descritto al Punto 3).

→ Antivirus e antimalware: installato su tutti i PC e i server, con aggiornamento automatico delle definizioni.

→ Porte switch non utilizzate disabilitate: per impedire la connessione di dispositivi non autorizzati.

→ Policy password dipendenti: minimo 12 caratteri, complessità obbligatoria, scadenza 90 giorni, blocco dopo 5 tentativi errati. Autenticazione centralizzata tramite Active Directory o LDAP.

4.5 — Backup e Disaster Recovery

Il piano di Disaster Recovery prevede che, in caso di guasto completo del data center del Municipio, i servizi online (sito, PagoPA) vengano attivati entro 4 ore (RTO = Recovery Time Objective) sul sito di DR, con una perdita massima di 1 ora di dati (RPO = Recovery Point Objective). Il sito di DR utilizza un cloud qualificato da AgID per la PA.

📖 Glossario dei Termini Tecnici

💡 Consigli Finali per Questa Traccia