Progettazione, Hardening e Messa in Sicurezza di una Rete LAN

Introduzione al Capolavoro

Questo progetto documenta il processo sistemistico di riconfigurazione di un apparato di rete consumer (Router TP-Link TL-WR842ND) per trasformarlo in un nodo sicuro all'interno di un'infrastruttura di laboratorio scolastico/aziendale.

L'obiettivo primario è stato passare dalla teoria studiata in classe all'applicazione pratica, implementando protocolli di sicurezza operanti su diversi strati del Modello OSI (in particolare Livello 2, Livello 3 e Livello 7) per garantire l'isolamento del traffico, la mitigazione delle vulnerabilità hardware e il filtraggio selettivo dei contenuti web.

La prima fase operativa ha riguardato l'accesso all'interfaccia di amministrazione dell'apparato tramite l'IP di fabbrica (192.168.0.1). Per inserire il router nella rete del laboratorio senza causare collisioni con il gateway principale, ho modificato l'indirizzamento logico.

Ho assegnato al dispositivo l'IP Statico 192.168.0.254. Questa scelta progettuale posiziona l'apparato di gestione all'estremo superiore della Subnet Mask (/24), riservando i primi indirizzi ai server e il blocco centrale ai client dinamici.

Spostandomi nella sezione DHCP Settings del firmware, ho modificato lo stato del servizio su Disable. Questa è un'operazione fondamentale quando si configura un Access Point secondario in cascata a un router principale (collegamento LAN-to-LAN).

La sicurezza perimetrale della WLAN inizia dall'abbattimento della superficie di attacco. Dopo aver configurato l'algoritmo di crittografia simmetrica WPA2-PSK [AES], ho analizzato e disattivato il protocollo WPS (Wi-Fi Protected Setup).

Per implementare una rigorosa politica di controllo degli accessi fisici (Livello 2 - Data Link), ho attivato il Wireless MAC Filtering.

Selezionando l'opzione Allow, ho creato una White List aziendale. In questa lista vengono registrati esclusivamente i MAC Address delle schede di rete autorizzate. Anche se un intruso scoprisse la password WPA2-AES, la connessione verrebbe immediatamente scartata dall'Access Point in quanto l'indirizzo fisico non è presente nell'inventario autorizzato.

La gestione avanzata del traffico in uscita è stata realizzata tramite le ACL (Access Control List). Nella sezione Access Control > Rule, ho spuntato la voce Enable Internet Access Control.

Come regola fondamentale, ho impostato la Default Filter Policy su Allow. Questa impostazione determina una logica operativa di tipo Blacklist: il router permette il passaggio di tutto il traffico dati ordinario, intervenendo con il blocco (Drop) esclusivamente sui pacchetti che corrispondono alle regole restrittive (Deny) che andremo a definire.

Ogni regola ACL necessita di un "Soggetto" a cui essere applicata. Nel sottomenu Host, ho definito chi subirà il blocco.

Per garantire una protezione estesa a tutto l'ambiente di laboratorio (evitando di dover inserire a mano ogni singolo dispositivo mobile o PC), ho impostato un range di indirizzi IP: da 192.168.0.2 a 192.168.0.254. Nominando questo host "Tutta_La_Rete", ho creato una Group Policy che agisce sull'intera subnet.

Nel sottomenu Target ho censito le destinazioni da vietare (es. siti di scommesse o domini specifici come apple.com). Il router offre due modalità operative, che agiscono su livelli diversi del Modello OSI:

1. Domain Name: Opera al Livello 7 (Applicazione). Il router intercetta le richieste DNS verso il nome del dominio digitato dall'utente.
2. IP Address: Opera al Livello 3 (Rete). Il firewall legge l'IP di destinazione presente nell'header del pacchetto e lo scarta a prescindere dal protocollo.

Ho implementato entrambe le tipologie per analizzarne l'efficacia durante la fase di test.

Tornando nel menu principale delle regole (Rule), ho completato il processo assemblando l'ACL. Ho creato una regola denominata SitiBloccati, associando l'Host globale (Tutta_La_Rete) al Target censito (es. apple).

Impostando l'azione su Deny e lo stato su Enabled, il sistema di Packet Filtering del firewall è entrato ufficialmente in funzione, garantendo la messa in sicurezza dell'ambiente di lavoro.

L'ultima fase del Capolavoro ha richiesto spiccate capacità di Troubleshooting. Eseguendo i test pratici di navigazione, i siti vietati risultavano inizialmente ancora accessibili. Ho identificato e risolto due problematiche tecniche:

Inoltre, i sistemi operativi client mantengono una memoria temporanea (Cache) delle risoluzioni dei nomi a dominio. Per validare i test, è stato necessario utilizzare il prompt dei comandi per forzare i client a interrogare nuovamente la rete: