Traccia D – Studio medico associato con telemedicina

Studio Medico Associato con Telemedicina. Come scriverla all'Esame di Stato — formato discorsivo con schema di rete.

Nota per lo Studente

Questa soluzione è scritta come dovresti presentarla all'esame: testo discorsivo, schema grafico (da disegnare a mano), tabelle di indirizzamento e comandi CLI dove necessario, sempre accompagnati da spiegazioni.

Differenza rispetto alla Traccia C: In questo scenario i 3 ambulatori sono nella stessa città e collegati tramite link dedicati (linee in fibra punto-punto affittate dall'ISP locale). Non si usa una VPN, ma routing statico su collegamenti diretti. Questo semplifica la configurazione ma richiede comunque attenzione al subnetting dei link inter-sede.

Il punto forte di questa traccia è la telemedicina (requisiti di banda e qualità del servizio) e la protezione dei dati sanitari secondo il GDPR.

Testo della Traccia (per riferimento)

Uno studio medico associato con 3 ambulatori nella stessa città vuole una rete unificata. Ogni ambulatorio: 5 studi medici con PC, 1 reception, archiviazione digitale cartelle cliniche, videoconferenza per telemedicina. L'Ambulatorio 1 ospita il server centrale (cartelle cliniche, prenotazioni online, backup). Rete: 192.168.0.0/22. Dati sanitari soggetti a GDPR. Wi-Fi gratuito in sala d'attesa, isolato dalla rete medica.

Punti: (1) Schema e indirizzamento, (2) Separazione Wi-Fi pazienti, (3) Telemedicina, (4) Sicurezza e GDPR.

Ipotesi Aggiuntive

Prima di procedere con la progettazione, si formulano le seguenti ipotesi aggiuntive:

→ I 3 ambulatori sono collegati tra loro tramite link dedicati in fibra ottica punto-punto affittati dall'operatore locale. Questi link sono privati e non transitano su Internet, quindi non necessitano di VPN. Per il collegamento si usa il routing statico.

→ L'Ambulatorio 1 (sede principale) è l'unico ad avere una connessione Internet con IP pubblico statico (es: 80.25.10.1), necessario per il sito web di prenotazione e per la telemedicina. Gli Ambulatori 2 e 3 accedono a Internet attraverso l'Ambulatorio 1 (che funge da gateway).

→ Ogni ambulatorio ha: 5 PC negli studi medici + 1 PC reception + 1 stampante di rete = 7 dispositivi sulla rete medica, più un access point Wi-Fi per la sala d'attesa.

→ Il sistema di videoconferenza per la telemedicina utilizza un'applicazione web accessibile via browser (basata su protocollo WebRTC su HTTPS), quindi non richiede hardware dedicato.

→ I server dell'Ambulatorio 1 sono: un server web/prenotazioni, un server database cartelle cliniche, un server DNS locale e un NAS per i backup.

Punto 1 — Schema di Rete e Piano di Indirizzamento

Premessa: IP Pubblici e IP Privati in Questo Progetto

La rete 192.168.0.0/22 è composta da indirizzi IP privati: non sono raggiungibili da Internet e vengono usati esclusivamente per la comunicazione interna tra i 3 ambulatori e i server.

Solo l'Ambulatorio 1 possiede un IP pubblico (80.25.10.1) sull'interfaccia WAN del router, assegnato dall'ISP. Questo IP serve per due scopi fondamentali:

→ NAT Overload (PAT): traduce gli IP privati di tutti e 3 gli ambulatori in questo unico IP pubblico per permettere la navigazione su Internet.

→ Port Forwarding: rende raggiungibili da Internet il server web delle prenotazioni (porta 443) e la piattaforma di telemedicina (porta 8443), reindirizzando le richieste ai server interni.

1.1 — Analisi del Subnetting

La rete assegnata è 192.168.0.0/22. Questa notazione significa che i primi 22 bit sono riservati alla parte di rete, lasciando 10 bit per gli host: 2¹⁰ - 2 = 1022 indirizzi utilizzabili (da 192.168.0.1 a 192.168.3.254, con broadcast 192.168.3.255).

La rete va suddivisa in sottoreti per i seguenti scopi:

→ 3 reti mediche (una per ambulatorio, ~10 host ciascuna)

→ 3 reti Wi-Fi pazienti (una per ambulatorio, fino a ~30 dispositivi)

→ 1 rete server (Ambulatorio 1, ~6 dispositivi)

→ 2 link punto-punto tra gli ambulatori (2 host ciascuno)

Si utilizza il VLSM (Variable Length Subnet Masking) per assegnare a ogni sottorete la dimensione giusta, partendo dalla più grande.

1.2 — Piano di Indirizzamento Completo

1.3 — Indirizzi IP dei Server (statici)

1.4 — Schema Grafico dell'Infrastruttura

Lo schema mostra una topologia a stella con l'Ambulatorio 1 al centro, collegato agli altri due tramite link dedicati. L'Ambulatorio 1 è anche l'unico punto di uscita verso Internet. All'esame, questo va disegnato a mano con righello su foglio separato.

                                    ┌──────────────────────┐
                                    │   🌍 INTERNET        │
                                    │                      │
                                    └──────────┬───────────┘
                                               │
                                       IP Pubblico: 80.25.10.1
                                       (Gig0/0 — NAT outside)
                                               │
╔══════════════════════════════════════════════════════════════════════════════════════╗
║                           AMBULATORIO 1 (sede principale)                          ║
║                                                                                    ║
║    ╔═══════════════════════════════════════════════════════════════════╗             ║
║    ║                    ROUTER 1 (Cisco ISR)                         ║             ║
║    ║                                                                 ║             ║
║    ║  Gig0/0:    80.25.10.1/30      → Internet (NAT outside)       ║             ║
║    ║  Gig0/1.10: 192.168.0.1/27    → VLAN 10 Medica (NAT inside)  ║             ║
║    ║  Gig0/1.20: 192.168.0.33/26   → VLAN 20 Wi-Fi (NAT inside)   ║             ║
║    ║  Gig0/1.99: 192.168.0.97/28   → VLAN 99 Server (NAT inside)  ║             ║
║    ║  Se0/0/0:   192.168.3.1/30    → Link verso Amb.2              ║             ║
║    ║  Se0/0/1:   192.168.3.5/30    → Link verso Amb.3              ║             ║
║    ║                                                                 ║             ║
║    ║  Servizi: NAT Overload, Port Forwarding, DHCP, Routing Statico║             ║
║    ╚══════════════════════╤══════════════════════════════════════════╝             ║
║                           │ trunk (802.1Q)                                        ║
║    ╔══════════════════════╧═══════════════════════════════════╗                    ║
║    ║              SWITCH MANAGED (Layer 2)                     ║                    ║
║    ╚════╤══════════════╤══════════════╤═══════════════════════╝                    ║
║         │ VLAN 10      │ VLAN 20      │ VLAN 99                                   ║
║         ▼              ▼              ▼                                            ║
║    ┌─────────┐   ┌──────────┐   ┌──────────────────────────────┐                  ║
║    │ 5 PC    │   │ Access   │   │ Server Web    192.168.0.98   │                  ║
║    │ studi   │   │ Point    │   │ Server DB     192.168.0.99   │                  ║
║    │ 1 PC    │   │ Wi-Fi    │   │ Server DNS    192.168.0.100  │                  ║
║    │ recept. │   │ pazienti │   │ NAS Backup    192.168.0.101  │                  ║
║    │ 1 stamp.│   └──────────┘   └──────────────────────────────┘                  ║
║    └─────────┘                                                                     ║
╚═══════╤══════════════════════════════════════════════╤════════════════════════════╝
        │ Link dedicato fibra                          │ Link dedicato fibra
        │ 192.168.3.1 ←──→ 192.168.3.2                │ 192.168.3.5 ←──→ 192.168.3.6
        │ (Se0/0/0)          (Se0/0/0)                 │ (Se0/0/1)          (Se0/0/0)
        ▼                                              ▼
╔═══════════════════════════════════╗   ╔═══════════════════════════════════╗
║      AMBULATORIO 2                ║   ║      AMBULATORIO 3                ║
║                                   ║   ║                                   ║
║  ROUTER 2:                        ║   ║  ROUTER 3:                        ║
║  Se0/0/0:   192.168.3.2/30       ║   ║  Se0/0/0:   192.168.3.6/30       ║
║  Gig0/1.10: 192.168.1.1/27      ║   ║  Gig0/1.10: 192.168.2.1/27      ║
║  Gig0/1.20: 192.168.1.33/26     ║   ║  Gig0/1.20: 192.168.2.33/26     ║
║                                   ║   ║                                   ║
║  SWITCH + VLAN 10 + VLAN 20      ║   ║  SWITCH + VLAN 10 + VLAN 20      ║
║  │             │                  ║   ║  │             │                  ║
║  ▼             ▼                  ║   ║  ▼             ▼                  ║
║ 5 PC + 1 rec  AP Wi-Fi           ║   ║ 5 PC + 1 rec  AP Wi-Fi           ║
║ + 1 stamp.    pazienti           ║   ║ + 1 stamp.    pazienti           ║
╚═══════════════════════════════════╝   ╚═══════════════════════════════════╝

1.5 — Configurazione Interfacce e Routing Statico

I 3 ambulatori sono collegati in topologia a stella: l'Ambulatorio 1 è il nodo centrale, collegato direttamente agli Ambulatori 2 e 3 tramite link seriali dedicati in fibra ottica. Per instradare il traffico tra le sedi si usa il routing statico: su ogni router si indicano manualmente le rotte per raggiungere le reti remote.

Routing statico sul Router 1 (Ambulatorio 1):

! Rotte verso le reti dell'Ambulatorio 2 (via link Se0/0/0, next-hop 192.168.3.2)
Router1(config)# ip route 192.168.1.0 255.255.255.224 192.168.3.2
Router1(config)# ip route 192.168.1.32 255.255.255.192 192.168.3.2

! Rotte verso le reti dell'Ambulatorio 3 (via link Se0/0/1, next-hop 192.168.3.6)
Router1(config)# ip route 192.168.2.0 255.255.255.224 192.168.3.6
Router1(config)# ip route 192.168.2.32 255.255.255.192 192.168.3.6

! Default route verso Internet (tutto il traffico non locale va all'ISP)
Router1(config)# ip route 0.0.0.0 0.0.0.0 80.25.10.2

Routing statico sul Router 2 (Ambulatorio 2):

! Default route: TUTTO il traffico (verso altri ambulatori e verso Internet)
! passa per il Router 1, che è il gateway centrale
Router2(config)# ip route 0.0.0.0 0.0.0.0 192.168.3.1

Routing statico sul Router 3 (Ambulatorio 3):

! Stessa logica: tutto il traffico va verso il Router 1
Router3(config)# ip route 0.0.0.0 0.0.0.0 192.168.3.5

💡 Perché una default route sugli Ambulatori 2 e 3? Poiché l'unica uscita verso Internet e verso le altre sedi passa sempre dall'Ambulatorio 1, non serve specificare ogni singola rete: basta dire "tutto ciò che non è locale, mandalo al Router 1". Il Router 1 saprà poi dove instradare il traffico grazie alle sue rotte specifiche.

1.6 — Configurazione NAT Overload e Port Forwarding

Il Router 1 è l'unico punto di uscita verso Internet. Deve eseguire il NAT Overload (PAT) per tradurre tutti gli IP privati dei 3 ambulatori nell'unico IP pubblico 80.25.10.1, e il Port Forwarding per rendere accessibili dall'esterno il server web delle prenotazioni e la piattaforma di telemedicina.

Configurazione NAT Overload sul Router 1:

! Access-list: identifica TUTTE le reti interne dei 3 ambulatori
Router1(config)# access-list 1 permit 192.168.0.0 0.0.3.255

! NAT Overload: traduce tutti gli IP privati usando l'IP pubblico della Gig0/0
Router1(config)# ip nat inside source list 1 interface GigabitEthernet0/0 overload

! Interfaccia verso Internet — outside (IP pubblico)
Router1(config)# interface GigabitEthernet0/0
Router1(config-if)# ip address 80.25.10.1 255.255.255.252
Router1(config-if)# ip nat outside
Router1(config-if)# exit

! Tutte le interfacce interne — inside
Router1(config)# interface GigabitEthernet0/1.10
Router1(config-subif)# ip nat inside
Router1(config)# interface GigabitEthernet0/1.20
Router1(config-subif)# ip nat inside
Router1(config)# interface GigabitEthernet0/1.99
Router1(config-subif)# ip nat inside
! Anche le interfacce seriali vanno marcate inside
Router1(config)# interface Serial0/0/0
Router1(config-if)# ip nat inside
Router1(config)# interface Serial0/0/1
Router1(config-if)# ip nat inside

📌 Nota sulla wildcard 0.0.3.255: La rete 192.168.0.0/22 copre gli indirizzi da 192.168.0.0 a 192.168.3.255. La wildcard mask corrispondente a /22 è 0.0.3.255 (si calcola: 255.255.255.255 - 255.255.252.0 = 0.0.3.255). Con un'unica access-list copriamo tutte le sottoreti dei 3 ambulatori.

Port Forwarding per i servizi accessibili da Internet:

! Prenotazioni online (HTTPS, porta 443) → Server Web interno
Router1(config)# ip nat inside source static tcp 192.168.0.98 443 80.25.10.1 443

! Piattaforma telemedicina (HTTPS su porta 8443) → stesso Server Web
Router1(config)# ip nat inside source static tcp 192.168.0.98 8443 80.25.10.1 8443

Con questa configurazione, quando un paziente da casa digita nel browser https://80.25.10.1 (o il nome di dominio associato, es: https://prenotazioni.studiomedico.it), la richiesta arriva sull'IP pubblico del router, che la reindirizza al server web interno 192.168.0.98. Lo stesso avviene per la telemedicina sulla porta 8443. Tutte le altre porte restano chiuse: dall'esterno non si può raggiungere nient'altro.

Punto 2 — Separazione della Rete Wi-Fi Pazienti

La rete Wi-Fi per i pazienti in sala d'attesa deve essere completamente isolata dalla rete medica. Un paziente connesso al Wi-Fi non deve poter vedere, raggiungere o anche solo individuare i PC dei medici, i server o qualsiasi dispositivo della rete sanitaria. Questo è un requisito sia di sicurezza che di conformità GDPR.

2.1 — Apparati Necessari

In ogni ambulatorio servono:

→ Uno switch managed (gestibile) che supporti le VLAN (es: Cisco Catalyst 2960 o equivalente)

→ Un access point Wi-Fi collegato a una porta dello switch configurata sulla VLAN 20 (Wi-Fi pazienti)

→ Un router che faccia da gateway per tutte le VLAN e applichi le regole di filtraggio ACL

2.2 — Configurazione VLAN sullo Switch

Su ogni switch si creano due VLAN: la VLAN 10 per la rete medica e la VLAN 20 per il Wi-Fi pazienti. Le porte fisiche dello switch vengono assegnate alla VLAN corretta in modalità access (ogni porta appartiene a una sola VLAN). La porta verso il router è in modalità trunk.

! Creazione VLAN
Switch(config)# vlan 10
Switch(config-vlan)# name RETE-MEDICA
Switch(config)# vlan 20
Switch(config-vlan)# name WIFI-PAZIENTI

! Porte 1-10: PC medici, reception, stampante → VLAN 10
Switch(config)# interface range FastEthernet0/1-10
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 10

! Porta 11: Access Point Wi-Fi pazienti → VLAN 20
Switch(config)# interface FastEthernet0/11
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 20

! Porta 24: verso il Router → Trunk (trasporta tutte le VLAN)
Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# switchport mode trunk

2.3 — ACL di Isolamento sul Router

Le VLAN da sole separano il traffico a livello 2 (switch), ma il router potrebbe comunque instradare pacchetti dalla VLAN 20 alla VLAN 10. Per impedirlo, si configura un'ACL sulla sub-interfaccia della VLAN 20:

! Blocca accesso dalla Wi-Fi a tutte le reti interne
Router1(config)# access-list 120 deny ip any 192.168.0.0 0.0.3.255
! Permetti tutto il resto (navigazione Internet)
Router1(config)# access-list 120 permit ip any any

! Applica l'ACL in ingresso sulla VLAN 20 di ogni ambulatorio
Router1(config)# interface GigabitEthernet0/1.20
Router1(config-subif)# ip access-group 120 in

La stessa ACL va applicata anche sulle sub-interfacce VLAN 20 dei Router 2 e 3. In questo modo, un paziente connesso al Wi-Fi può navigare su Internet (il traffico passa dal NAT ed esce dall'IP pubblico), ma qualsiasi tentativo di raggiungere un PC medico o un server viene bloccato dall'ACL.

Punto 3 — Infrastruttura per la Telemedicina

3.1 — Architettura del Servizio

Le visite in telemedicina avvengono tramite videoconferenza tra il medico (dall'ambulatorio) e il paziente (da casa propria). L'applicazione è web-based (accessibile dal browser) e si basa sul protocollo WebRTC (Web Real-Time Communication), che permette comunicazioni audio/video in tempo reale direttamente nel browser senza installare software aggiuntivo.

L'applicazione di telemedicina è ospitata sullo stesso server web dell'Ambulatorio 1 (192.168.0.98), sulla porta 8443 (HTTPS). Il paziente vi accede da Internet tramite il Port Forwarding configurato al Punto 1.

Flusso tipico: Il paziente apre il browser → digita l'indirizzo del servizio (es: https://telemedicina.studiomedico.it:8443) → il Port Forwarding sul router traduce la richiesta al server interno → si stabilisce la videochiamata WebRTC tra il browser del paziente e il PC del medico, con il server come intermediario per la segnalazione.

3.2 — Requisiti di Banda e Qualità

Una videochiamata di qualità richiede specifici parametri di rete. Si consiglia per ogni ambulatorio una connessione Internet di almeno 50 Mbps in download e 20 Mbps in upload per gestire più videochiamate simultanee:

3.3 — QoS (Quality of Service)

Per garantire che le videochiamate di telemedicina non vengano penalizzate dalla navigazione Internet di altri utenti (es: pazienti sul Wi-Fi), si configura la QoS (Quality of Service) sul router. La QoS permette di dare priorità al traffico voce/video rispetto al traffico web ordinario.

I pacchetti della telemedicina (porta 8443, protocollo HTTPS) vengono classificati come traffico ad alta priorità e inviati prima degli altri.

Questo garantisce che, anche con banda satura, la videochiamata medico-paziente resti fluida.

3.4 — Sicurezza della Telemedicina

→ Crittografia end-to-end: WebRTC cifra nativamente le comunicazioni con DTLS/SRTP. I dati audio e video viaggiano crittografati dall'inizio alla fine.

→ HTTPS obbligatorio: l'accesso alla piattaforma avviene esclusivamente su porta 443/8443 con certificato SSL/TLS valido. Nessun traffico HTTP non crittografato.

→ Autenticazione: il paziente accede con credenziali personali (email + password) o tramite SPID. Il medico accede con account aziendale + autenticazione a due fattori (password + codice SMS/app).

→ Registrazione sessioni: ogni teleconsulto viene registrato (previo consenso del paziente) e archiviato nella cartella clinica digitale sul server database.

Punto 4 — Sicurezza e Conformità GDPR

I dati sanitari dei pazienti rientrano nella categoria dei dati particolari (ex dati sensibili) secondo l'art. 9 del GDPR (Regolamento UE 2016/679). Il loro trattamento richiede misure di protezione rafforzate. Inoltre, la normativa italiana prevede che le cartelle cliniche siano conservate per almeno 10 anni.

4.1 — Protezione dei Dati in Transito

→ HTTPS (TLS 1.3) per tutte le comunicazioni tra browser e server: prenotazioni, telemedicina, accesso alle cartelle. Il certificato SSL va acquistato da una CA (Certificate Authority) riconosciuta.

→ Link dedicati in fibra tra gli ambulatori: il traffico inter-sede non transita su Internet ma su collegamenti privati, riducendo il rischio di intercettazione.

→ Wi-Fi WPA3 Enterprise per la rete medica (con autenticazione tramite credenziali individuali). La rete Wi-Fi pazienti usa WPA2 con captive portal.

4.2 — Protezione dei Dati a Riposo (archiviazione)

→ Crittografia del database: i dati delle cartelle cliniche sono crittografati con AES-256 sul server database (192.168.0.99). Anche se qualcuno rubasse fisicamente il disco, i dati sarebbero illeggibili senza la chiave.

→ Server con RAID 1: i dischi del server database sono in configurazione RAID 1 (mirroring): i dati sono scritti su due dischi identici. Se uno si guasta, l'altro garantisce la continuità del servizio.

→ Accesso al database: solo il server web può connettersi al database (tramite ACL e credenziali di accesso specifiche). Nessun PC può accedere direttamente al database.

4.3 — Strategia di Backup

I backup sono crittografati con AES-256 prima di essere trasferiti. La copia off-site (su cloud o su supporto fisico conservato in un luogo diverso dall'ambulatorio) protegge da eventi catastrofici come incendi o allagamenti. La retention di 10 anni rispetta l'obbligo legale per le cartelle cliniche.

4.4 — Conformità GDPR

→ Registro dei trattamenti: lo studio mantiene un documento che elenca tutti i trattamenti di dati personali effettuati (art. 30 GDPR).

→ DPO (Data Protection Officer): in quanto trattatore di dati sanitari su larga scala, lo studio nomina un responsabile per la protezione dei dati.

→ Consenso informato: i pazienti firmano un consenso per il trattamento dei dati sanitari e per la telemedicina (inclusa eventuale registrazione).

→ Diritto all'oblio: il sistema prevede procedure per la cancellazione dei dati su richiesta del paziente, nel rispetto dei tempi legali di conservazione.

→ Log degli accessi: ogni accesso a una cartella clinica viene registrato con data, ora, utente e azione (lettura/modifica). I log sono conservati per 6 mesi.

→ Principio del minimo privilegio: ogni medico accede solo alle cartelle dei propri pazienti. La reception può prenotare ma non leggere le cartelle cliniche.

Glossario dei Termini Tecnici

Consigli Finali per Questa Traccia

→ Non serve la VPN qui: gli ambulatori sono nella stessa città e collegati con link dedicati privati. A differenza della Traccia C, non si attraversa Internet tra le sedi, quindi non serve crittografare con IPsec. Il routing statico è sufficiente.

→ Il punto forte è la telemedicina: spiega bene i requisiti di banda, latenza, jitter. La commissione vuole vedere che sai cosa serve per una videochiamata di qualità.

→ GDPR = punti facili se sei specifico: non dire "si rispetta la privacy". Cita l'art. 9 (dati particolari), il DPO, il registro dei trattamenti, il consenso informato, la retention di 10 anni. Ogni dettaglio specifico vale punti.

→ Controlla le subnet: verifica che nessuna si sovrapponga. In questa soluzione: .0.0/27 finisce a .0.31, .0.32/26 finisce a .0.95, .0.96/28 finisce a .0.111 — nessuna sovrapposizione.

→ Il port forwarding è il ponte tra pubblico e privato: spiegalo chiaramente nel disegno. Mostra l'IP pubblico sull'interfaccia WAN e l'IP privato del server, con una freccia che indica il reindirizzamento.