Esame di Stato II Prova Istituti Tecnici Informatica – Sistemi e Reti (2026 – Sessione ordinaria)

La traccia ha lasciato molto perplessi perché la prima parte per una intera pagina sembrava essere del tutto fuori contesto, descrivendo in modo ultra dettagliato delle tecnologie di telerilevamento che gli alunni non affrontano e che poco avevano a che fare col cuore della traccia tecnica. Superato lo scoglio dell’ambiguità, la prova risulta in realtà molto generica e quindi da spazio a molti contenuti e scelte tecniche da parte dell’alunno.

Soluzione prima parte

Premesse

La sede centrale presenta già una situazione informatica migliorabile ma che ancora non tiene conto della gestione dei dati che dovranno arrivare dai cantieri. Supponiamo a scopo esemplificativo che l’azienda abbia risorse e personale per aprire pochi cantieri di grandi opere, in numero di 3 cantieri in contemporanea. Ogni cantiere potrà essere dotato di 5 tablet rugged, 2/3 fotocamere per la ripresa e documentazione di avanzamento lavori in diversi punti, 30 sensori di diversa entità di misurazione.

Schema di massima

Soluzione 1 (semplice)

Cerchiamo di individuare una soluzione macroscopica per prima istanza. La sede centrale è già cablata con un sistema di connettività. La vera problematica è la connessione dei cantieri. Qui si aprono diversi scenari. La soluzione più semplice e versatile è quella di dotare tutti dispositivi tablet, tutte le fotocamere e tutti i sensori di connettività GSM 4G/5G. La connessione con questa tecnologia permette una mobilità totale dei vari dispositivi che rimarrebbero connessi costantemente senza particolari coni d’ombra o distacchi. Il ponte GSM consente lo scambio di una mole di dati significativa, costante e, se in tecnologia 5G , anche con latenza bassa dove necessario un monitoraggio ad esempio in tempo reale della qualità dell’aria con presenza di CO/CO₂ o altri elementi chimici dannosi alla salute. Il ponte GSM non richiede di posare in cantiere altri dispositivi switch/access point/router che richiederebbero accortezze di protezione fisica in prima battuta (dove li conservo i dispositivi al riparo da intemperie o possibili urti o addirittura da furti?). La rete 4G/5G è già collegata in modo autonomo alla rete pubblica e copre oltre il 98% del territorio nazionale. L’unico inconveniente può risultare nell’attivazione di molte sim o le più recenti esim da parte dall’amministrazione centrale che potrebbero oscillare intorno alla quarantina/cinquantina per cantiere per il dimensionamento che abbiamo suggerito in premessa. Evitiamo la doppia sim con differenti operatori che garantirebbe una linea di failover troppo costosa rispetto allo scopo del dispositivo.

Soluzione 2 (ottimale)

Compromesso potrebbe essere quello di adottare un unico router 4G/5G a cantiere che poi serve il resto del cantiere con il supporto di ulteriori AP con Wi-Fi di sesta generazione e autenticazione WPA-3 enterprise, su banda 2,4GHz (la 5 GHz e la 6Ghz del WiFi 6E sarebbero inutili e con scarsa penetrabilità di ostacoli come mezzi da lavoro e muri). In questo caso sarebbe complesso capire come stendere cavi per la connessione dei singoli AP o come configurare dei repeater per estendere il segnale iniziale e avere una copertura ottimale. Possiamo solo suggerire una linea di disposizione con AP impostati su canali differenti, alternati 3/5 canali in modo da ottimizzare la copertura di AP vicini. Se gli AP sono protetti in opportune colonne da cantiere e canalizzati in punti critici con canaline che riparano da calpestio di mezzi o urti potrebbe essere una soluzione vincente, posizionando svariati AP per coprire tutto il cantiere. Considerando che ci sono 5 tablet per cantiere, potrebbe essere opportuno inserire almeno 5 AP, con cavi di collegamento lasciati “abbondanti” in modo da pore spostare gli apparati in giro per il cantiere a necessità. Gli AP si suggeriscono con capacità PoE, Power over Ethernet per ridurre i cablaggi dell’alimentazione. I cavi tra il router principale e uno switch di supporto per estendere il numero di porte saranno ethernet di cat 6 ma di quelli realizzati per esterni con guaine più rigide e spesse per resistere ad urti e intemperie. Sono cavi usati spesso anche sui palchi di musica live tra la postazione mixer e il palco. Lo switch che affianca il router dovrà quindi avere un numero congruo di porte PoE e va scelto di natura industriale con caratteristiche di robustezza a urti, polvere ed intemperie.

Qui si potrebbe ipotizzare la seconda sim di failover doppia nel router. Con più AP, sarà necessario prevedere l’uso di canali differenti per non avere interferenze, saltando 3/5 canali tra AP vicini. In questo caso si può trovare una soluzione solo empiricamente sul cantiere.

Tablet rugged e camere nascono nativamente con la possibilità di aggiungere una sim e presentano già schede WiFi. Più difficile per i sensori. In questi casi si possono adottare soluzioni con sensori analogici che si appoggiano a schede come Arduino Opta, soluzione commerciale professionale dotata di schede ethernet e wifi e pensata per creare soluzioni PLC personalizzate ma affidabili.

Soluzione 3 (costosa)

Altra soluzione più avanzata tecnologicamente ma decisamente più costosa e meno realizzabile, potrebbe essere quella di utilizzare un sistema dati satellitare come il celebre StarLink, dotando i dispositivi di tale connettività ormai facilmente integrabile in molti sistemi tecnologici come i droni per applicazioni commerciali o militari. Altra soluzione più coraggiosa consiste nell’utilizzare la tecnologia LoRa (approfondisci qui) che ha il grande vantaggio del basso costo e risparmio energetico per i sensori, dotabili di piccole batterie per un’autonomia prolungata, ma svantaggiosa per l’invio di dati multimediali corposi come quelli delle fotocamere vista la larghezza di banda che può oscillare dal kilobit al centinaio di kilobit. La stessa distanza compatibile potrebbe essere poco versatile con 10/15 km di distanza percorribile tra sensore/ponte radio LoraWAN. Per avere una interfaccia LoRa per i sensori probabilmente ci si dovrà affidare a soluzione custom con gateway o schede ESP32 LoRa.

Sicurezza comunicazione

Che venga utilizzata la piattaforma 4G/5G, i dispositivi coinvolti devono supportare connettività VPN hardware o software. Prevedendo una VPN, ogni dispositivo avrà un IP pubblico con cui si collega alla rete 4G/5G, mentre con riferimento alla VPN verrà staccato un indirizzo di rete virtuale per tutti i dispositivi. Possiamo pensare di indirizzare tutta la rete con una rete globale 10.0.0.0/16 con le seguenti accortezze:

Ogni singolo cantiere possiamo sottoindirizzare le tre categorie con altrettante subnet per le tre categorie: tablet, fotocamere,sensori

Sulle VPN di Livello 2 o Livello 3 nella configurazione site-to-site, anche se non in presenza di switch fisici, è possibile creare delle VLAN e quindi creare una ulteriore suddivisione logica con tunnel separati ad esempio:

Tutti gli indirizzi di rete descritti posso essere assegnati in modalità DHCP per semplificare la gestione della rete, tranne ovviamente i server e i gateway dei router, necessariamente con IP statico.

I dati vengono inviati ad un server Apache su cui resta in ascolto uno script PHP/Java capace di effettuare un semplice riconoscimento del dispositivo inviante mediante un sistema di token mentre con un POST invio i dati organizzati in modo piatto. Se l’invio si dovesse fare più moderato dal punto di vista quantitativo potrebbe valere la pena inviare un JSON più strutturato come in esempio.

{
  "cantiere_id": 1,
  "timestamp": "2026-06-19T15:30:00Z",
  "dispositivo": "Tablet_01",
  "punti": [
    {"x": 124.52, "y": 89.11, "z": 12.04},
    {"x": 124.55, "y": 89.15, "z": 12.08}
  ]
}

Migliorie rete centrale

La prima criticità è la connettività WAN affidata alla tecnologie ADSL. Gloria di anni passati, oggi la banda che fornisce è antiquata e spesso non adeguata per applicazioni esigenti in termini di dati. Possiamo invece pensare di sostituirla con una connessione in fibra ottica FTTB/FTTH da 1Gbit upload/download che permetterà uno scambio dati decisamente più adeguato.

La stessa rete centrale potrebbe essere ammodernata dotando l’ufficio di pc di ultima generazione per elaborare i dati e di un opportuno cablaggio di CAT6 con relativi apparati switch managed con prestazioni Gigabit.

Se non presente, va pensata una zona DMZ completamente nuova dove ospitare i server Apache per la gestione degli applicativi di catalogazione, un server No-SQL come InfluxDB per lo storage ad alte prestazioni delle coordinate 3D e dei dati dei sensori. Ricordiamo che i database No-SQL, sono meno indicati per dati strutturati con molte tabelle e relazioni, mentre sono molto più efficienti per dati grezzi ma in grandi quantità. Un file server più semplice potrà invece ospitare foto e video delle fotocamere che si affideranno al protocollo SFTP o una applicazione HTTP/POST su misura per l’upload di file e dati. La zona DMZ si troverà internamente al router di frontiera della sede centrale in mezzo a due firewall che proteggono rispettivamente la zona DMZ da traffico illecito esterno non autorizzato, consentendo le VPN verso dispositivi sui cantieri e un secondo firewall che protegge la rete LAN aziendale dal traffico illecito sia da fuori verso dentro che viceversa. I firewall si suggerisce siano di natura hardware come i dispositivi Cisco ASA capaci di essere programmati con ACL base ed estese per scegliere in modo accurato indirizzi IP, porte e protocolli sicuri. La rete interna potrebbe essere dotata di sistemi di IDS, Intrusion Detection System, e sistemi software per mitigare sui server eventuali attacchi DDoS. Se non presenti, inseriamo switch managed di livello 3 ad alte prestazioni per consentire la configurazione delle VLAN. Dalla traccia non è chiaro quante postazioni ed uffici sono presenti, quindi limitiamo ad inciare uno switch da 24 porte gigabit ethernet che può collegare con opportuno cablaggio e canalizzazione le postazioni degli uffici.

Non prevediamo di aggiungere altri server mail, dns, o proxy come soluzione principale richiesta.

Canali remoti e stima banda

Sui canali remoti ci siamo già soffermati indicando la rete 4G/5G come soluzione vincente affiancata da una VPN site-to-site. Sulla stima di utilizzo della banda possiamo provare a fare qualche considerazione generica ma che va sperimentata empiricamente sul cantiere. Ipotizziamo che i dispositivi trasmettono i seguenti dati:

Tablet => Inviano 1 Gygabyte di punti al giorno x 5 = 5 Gigabyte a cantiere /giorno

Fotocamere = > Inviano video di 30 MegaByte x 10 volte al giorno 300 Megabyte, x3 900MegaByte di video /cantiere al giorno

Sensori => 30 sensori inviano un 300 byte ogni minuto, x60 x24 / 1024/10124 = neanche 1Megabytedi dati al giorno.

Totale atteso circa 6 Gigabyte di dati al giorno. In Megabyte 48000 Megabit che / 24ore ovvero 86400 secondi otteniamo una banda media a cantiere di 0,55 Mbit al secondo, perfettamente sostenibile dalla rete aziendale anche in virtù di apertura di nuovi cantieri anche in contemporanea oltre ai tre ipotizzati che vanno a saturare meno di due megabit al secondo. La questione può complicarsi poco di più se il trasferimento dei dati più corposi dovesse concentrarsi in orario dopo cantiere e quindi non spalmati sulle 24 ore ma sulle 16 di riposo. In questo caso si sale 48000 / 57600 =0,8 Mbit, ancora gestibili facilmente dalle tecnologie scelte. Chiaramente siamo di fronte ad una valutazione media. Sarebbe bene sperimentare l’invio di picco per analizzare in quel caso l’eventuale saturazione.

Autenticazione

L’autenticazione è una procedura piuttosto consueta per le scelte:

Gli utenti della rete interna della sede possono autenticarsi mediante un sistema di Active Directory/Samba classico basato su Kerberos. Gli apparati wireless come i tablet possono invece contare su un sistema AAA Radius che poggia la sua caratteristica su IpSec e il protocollo 802.1X se si collegano ad un AP di cantiere.

Si può pensare di obbligare tutti i dispositivi all’uso di autenticazione con più fattori e strette policy da rispettare per la scelta di password e operazioni di login/logout inopportune.

Seconda parte

I. In relazione al tema proposto nella prima parte, per quanto riguarda le finalità di archiviazione dei dati (scansioni, immagini, dati da sensori, etc.) si individuino e descrivano, illustrandone anche vantaggi e svantaggi, le differenze tra possibili soluzioni tecnologiche “on premise” e soluzioni cloud-based, da adottare ed integrare nel progetto.

Quesito molto specifico ma molti alunni hanno frainteso il senso: si parla di un confronto tra soluzione on-premise vs cloud. L’alunno è facilmente tentato dal trascrivere/commentare le tecnologie cloud anche presenti sui manuali da ingegnere ma andando così fuori tema. La domanda invece ha stupito perché uscita pressoché identica nella sessione suppletiva del 2024.

La gestione dei dati, specialmente se multimediali come foto e video, richiede risorse onerose in termine di spazio per il salvataggio. I video streaming che provengono dalle periferiche posate esternamente inviano flussi dati piuttosto consistenti che richiedono oltre ad una rete con banda larga anche spazio di archiviazione considerevole. L’investimento iniziale per la soluzione interna “On-Premise” sarà quindi elevato per l’acquisto di server ad alte prestazioni con processori Xeon o Opteron, schede di rete ad alte prestazioni e soprattutto numerosi dischi da configurare nella varie modalità RAID 1/5, affiancate da RAM e sistemi SaS per dischi e bit di parità per le memorie. Una singola macchina con prestazioni di questa fascia può tranquillamente raggiungere cifre sull’ordine dei 10mila/20mila euro, addirittura superare i 60.000 per server con schede video specifiche per funzioni IA. I costi di manutenzione saranno però relativamente contenuti e personale addetto alla gestione sarà di fatto l’unico costo vivo, assieme ai costi per la gestione della sicurezza fisica degli ambienti e dispositivi. Il vantaggio della soluzione in-house è la rapidità di reperimento del materiale senza aggravi sulla banda di rete e la gestione e controllo completo del materiale, anche sotto gli aspetti della privacy. La soluzione in cloud con un fornitore di computing/archiviazione terzo non ha costi iniziali per l’acquisto dei server o del personale interno, ma solo costi vivi degli abbonamenti mensili/annuali. In questo caso è l’azienda terza che garantisce standard di sicurezza, affidabilità, reperimento sostanzialmente alti ma a fronte di abbonamenti spesso molto onerosi. Svantaggio enorme sarà il non controllo dei dati e la necessità di una banda adeguata quando si vuole reperire un file: se la rete non c’è o è satura, non possiamo accedere al materiale. Sul lungo periodo i canoni possono essere poi più gravosi dell’investimento una tantum. Soluzione smart potrebbe essere quella di investire alcuni fondi per una macchina server dove catalogare una parte dei dati sul breve periodo, ad esempio 10 giorni per operazioni sulla raccolta e statistica o indagini di polizia ad esempio se si archiviano video di sorveglianza, in caso di accesso o reperimento rapido, mentre su sistemi cloud meno performanti destinare l’archiviazione sul lungo periodo qualora necessario.

II. In relazione al tema proposto nella prima parte, per quanto riguarda le operazioni di comunicazione locale e remota, si individuino e si descrivano, oltre alle modalità di autenticazione già discusse al punto 4 della prima parte, le ulteriori misure di sicurezza
informatica da adottare nella sede centrale e nei cantieri, incluse quelle idonee a garantire la continuità trasmissiva del canale tra i singoli cantieri e la sede centrale.

Poiché i dati viaggiano su reti pubbliche (Internet, 4G/5G), la crittografia e il controllo degli accessi di rete sono fondamentali. Alcuni elementi li abbiamo già discussi e li riproponiamo per completezza. In primis dobbiamo configurare una VPN Site-to-Site tra Sede-Cantiere Tutti i router/gateway dei singoli cantieri devono stabilire una connessione VPN permanente e crittografata (es. tramite protocolli sicuri come IPsec o analogo) verso la sede centrale. In questo modo, tutto il traffico cantiere-sede è protetto da intercettazioni malevole(sniffing). Per i dipendenti che si collegano in mobilità da fuori cantiere, ad esempio con tablet o altri pc l’accesso alle risorse aziendali deve avvenire tramite client VPN sicuro di tipo VPN Client-to-Site. La terza misura è la segmentazione logica della rete mediante VLAN per isolare la zona server, i singoli uffici, la singola categoria di dispositivi da cantiere. Il secondo elemento richiesto è la resilienza trasmissiva, molto complessa da ottenere in un cantiere dove è facile che mezzi e attività danneggino dispositivi e cavi. In questo caso potrebbe essere opportuno dotare i dispositivi di doppia linea di fail over, ad esempio doppia sim 4G/5G per i router da cantiere, doppia linea anche per la sede centrale tra fibra e una seconda ad esempio di tipo Wi-Max. I vari dispositivi possono essere protetti da sbalzi e interruzioni di corrente con appositi sistemi UPS e prese filtrate. Ovviamente il modo migliore per far restare su un rete è proteggerla da attacchi con firewall, intrusion detection system accompagnati da sistemi di monitoraggio e login magari basata su nuove tecniche di IA, antivirus di rete ed host based per una protezione capillare sui dispositivi.

III. Il candidato ipotizzi di essere l’amministratore della rete didattica di un istituto ad indirizzo informatico. Dall’analisi dei log dei sistemi e da osservazioni dirette effettuate dai docenti, è stato riscontrato che diversi studenti, in modo non autorizzato, fanno sviluppare da piattaforme di Intelligenza Artificiale il codice dei programmi delle tracce proposte dai docenti per le attività in laboratorio. Il candidato illustri e dettagli con esemplificazioni le possibili misure e tecniche da attuare per impedire l’accesso a tali piattaforme. Proponga inoltre eventuali modalità per schedulare tale blocco (ed il successivo sblocco) in specifici momenti dell’orario scolastico e/o
da specifici laboratori.

L’utilizzo di chatbot e strumenti di IA per il cheating scolastico sono una vera piaga ma le tecniche per mitigare questo genere di uso malevolo esistono. Innanzi tutto è possibile utilizzare firewall di livello applicativo che vanno ad intercettare i domini come openai, gemini, copilot, anthropic ecc o capaci di filtrare con una blacklist parole specifiche come IA, chatbot, LLM. Chiaaramente possiamo valutare il blocco solo per una specifica VLAN o sottorete, magari dei laboratori mentre pc delle aule o segreteria rimangono esenti. La maggior parte dei firewall soprattutto quelli ibridi software/hardware come pfSense e OpenSense hanno sistemi di scheduling temporizzato con calendario/orario. Il problema di questa schedulazione fissa è che è statica, difficilmente sarà possibile bypassare le regole impostate qualora necessario. Occorrerebbe una sorta di portale interno scolastico autorizzato dove il docente che ha bisogno di strumenti IA, abbia la possibilità di “spegnere” momentaneamente le impostazioni. Alcuni firewall consentono di inviare richieste API per questo tipo di esigenze.

IV. In relazione al protocollo SSH, il candidato immagini di impartire il comando ssh -p 25500 administrator@200.1.1.1
Sapendo che sul dispositivo con indirizzo 200.1.1.1 è configurata una regola che reindirizza il traffico, in ingresso sulla porta 25500, ad un altro dispositivo con indirizzo 172.16.1.100, il candidato esponga gli effetti del comando impartito e le finalità del suo utilizzo

Questo quesito ha destato non poco turbamento perché davvero molto specifico per le attività di laboratorio che in genere si conducono a scuola. Rispondiamo per completezza ma rassicuriamo i lettori che questa domanda sia davvero complessa da rispondere senza un background più completo anche con esperienza personale sull’argomento.

Il comando fornito cerca di collegarsi via interfaccia ssh all’host con ip pubblico 200.1.1.1, porta 25500 e utente con username administrator. Solitamente se tale collegamento è accettato dall’host perché è attivo il socket individuato ed è presente l’utente viene chiesta la password di login per finalizzare la procedura. Se però non conosciamo quale sia l’host specifico ma soltanto l’indirizzo del router di frontiera, allora la connessione non avviene realmente sull’host 200.1.1.1 ma probabilmente occorre un reindirizzamento verso una macchina autorizzata e conforme alla procedura. Questo è possibile farlo utilizzando tecniche di NAT dove possiamo impostare il redirect intercettando la specifica porta e rimandando all’indirizzo 172.16.1.100 che è invece privato, magari sulla porta 22 ufficiale del servizio. A questo punto l’autenticazione non avviene sul dispositivo di frontiera ma quello finale dove si presuppone le chiavi siano presenti e funzionanti per il login. Il redirect ssh mostrerà un messaggio di allerta dopo il login per l’operazione avvenuta. I redirect NAT sono sostanzialmente fruibili. Diverso sarebbe stato un redirect http di tipo 300: non avrebbe lasciato scampo alla fase di autenticazione che sarebbe fallita. Il vantaggio di questo meccanismo permette di offuscare, almeno indirettamente, la rete interna dell’ip e porta ad un attaccante, permette di risparmiare indirizzi pubblici per macchine specifiche e mantiene le caratteristiche di riservatezza del servizio remoto ssh.

Ultima modifica 8 Luglio 2026

Articoli simili:

Soluzione Simulazione II Prova Istituti Tecnici Informatica – Parte Sistemi e Reti (28 febbraio 2019) Soluzione simulazione II Prova Istituti Tecnici Informatica – Parte Sistemi e Reti (2 aprile 2019) Soluzione simulazione II Prova Istituti Tecnici Telecomunicazioni – Sistemi e Reti – 2016 Soluzione Esame di Stato II Prova Istituti Tecnici Informatica – Parte Sistemi e Reti (20 settembre 2019 – Sessione straordinaria)