Containerizzazione (Docker)

I container sono unità eseguibili di software in cui il codice dell’applicazione è impacchettato insieme alle relative librerie e dipendenze. Sono confezionati in modo standardizzato in modo che il codice possa essere eseguito ovunque, che si tratti di desktop, IT tradizionale o cloud. Non viene quindi virtualizzato un intero sistema operativo o un intero ecosistema di applicativi, librerie, servizi. Soluzioni come Docker e Kubernetes dominano ormai il mercato e trovano rapido sviluppo da anni proprio per la versatilità che consentono con grande risparmio hardware/software. I container hanno prestazioni decisamente interessanti per il mondo dei microservizi, mentre incontrano spesso meno interesse nelle soluzioni monolitiche in cui è meglio soluzioni di virtualizzazioni full.

Modelli hardware

Esempi di virtualizzazione esistono e sono evidenti: basta fare un giro tra i fornitori di web hosting che vendono o il semplice spazio per il tuo sito web ma con pochi spazi di personalizzazione e di manovra, oppure ti affittano una vera e propria macchina virtuale dove puoi installare quello vuoi, il server web o servizio web a piacimento e configurarlo gestendo ogni aspetto di sicurezza, backup, manutenzione da te con la flessibilità più assoluta. Ovviamente i costi sono differenti: un web host costa 30 eur annui, un virtual host 30 eur al mese… o simili ordini di grandezza, a seconda delle necessità hw da virtualizzare. Ma a far da padroni nell’ambito della virtualizzazione sono altri colossi come Amazon AWS e Azure di Microsoft. Qui però il paradigma di virtualizzazione è leggermente diverso. Se nella fig.1 abbiamo 1 hardware verso molti utenti/ambienti virtuali, possiamo avere anche altri modelli come molti hardware verso un unico hardware virtuale risultante, in sostanza, la somma delle risorse fisiche di tutti gli altri e il mix dei due modelli con molti hw fisici verso molti ambienti virtuali.

Quest’ultimo modello ha decretato il successo e sta giocando un ruolo fondamentale nei servizi web del Cloud. Le aziende piccole possono rinunciare ad avere una propria infrastruttura di rete con tutti i costi di gestione, del personale e di manutenzione, di sicurezza, affittando a tempo o con piani personalizzati delle macchine virtuali che ospitino i software necessari all’azienda, con la garanzia a basso prezzo di avere continuità del servizio e disaster recovery senza troppo sforzo, sicurezza ed isolamento dei dati personali. Con una manciata di click, molti fornitori aumentano le performance dell’hw virtuale su richiesta delle aziende che ottengono un sistema scalabile a comando. Unico vincolo per l’azienda è avere una buona connessione a banda larga/ultralarga per accedere dai propri uffici ai datacenter in affitto, problema piuttosto ostico in Italia e che sta, di fatto, rallentando l’espansione del cloud.

L’hw virtualizzato ha molti aspetti interessanti ma uno forse è quello più alla portata degli utenti normali: i dischi online dei servizi quali DropBox o GDrive. Sfruttano modalità simili di virtualizzazione per cui in modo del tutto trasparente all’utente, risulta uno spazio di archiviazione più o meno grande, spesso anche illimitato. Un esempio in piccolo di questa virtualizzazione di spazio dati è il NAS, Networck Attached Storage, che altro non è che uno scatolotto in cui inserire più hard disk che, grazie ad un sistema di virtualizzazione, risultano all’utente che si collega via usb o rete, come un unico hd somma di tutti quelli collegati.

La virtualizzazione “in casa”

Software di virtualizzazione diffusi sono VirtualBox (gratuito), VMware vSphere, Citrix XenServer, Microsoft Hyper-V e QEmu (specifico per Android), Parallels. 

Sulle prestazioni della virtualizzazione, il lettore avrà già dei dubbi. Lo strato hypervisor è efficiente come un s.o. diretto? Una latenza è ovvio che ci sia, ma è un piccolo costo da pagare sostanzialmente trascurabile per la potenza dell’hw fisico di solito messa in campo. Non è il caso delle applicazioni aziendali, ma la macchina virtuale può essere installata anche sui nostri pc, dentro/sopra il s.o. già installato. Questo permette di avviare un sistema operativo in un altro sistema operativo, per applicazioni molto particolari. E’ chiaro che in questo caso la latenza aggiunta da s.o. ospite-> hypervisor-> s.o. residente -> hw è maggiore e potrebbe rendere l’uso poco agevole rispetto alle solite prestazioni attese.

Load Balance

Altro elemento interessante della virtualizzazione e quello della virtualizzazione di rete, dove più macchine fisiche o virtuali dialogano tra di loro per scambiare o sincronizzare dati, suddividere carichi di lavoro e connessioni di utenti ed applicativi. E’ il classico esempio di quando facciamo un a ricerca su Google o ci colleghiamo a Facebook. Non possiamo certamente immaginare che colossi di tale portata forniscano i propri servizi con un server solo, per quanto questo possa essere potente, non potrebbe gestire tutto il carico delle richieste. Ecco perché servizi di questa portata si affidano ad un nodo che “smista” le richieste in arrivo su più server che forniscono lo stesso servizio con gli stessi dati e risposte.

Questo permette di avere una suddivisione logica del carico di lavoro ma non solo, anche di avere una continuità del servizio con gli altri nodi pronti a rispondere se malauguratamente uno dovesse avere una avaria o addirittura suddividere il traffico in base a determinati parametri del richiedente (ad es. uno smartphone magari vede dei servizi diversi da un pc fisso, oppure alcuni utenti potrebbero accede a versioni di software con funzioni di test o differenti in base al proprio account). Un classico server che si occupa dello smistamento il Linux Virtual Server.

Ovviamente l’architettura richiede che i server abbiano dati consistenti tra di loro, in modo da fornire sempre la stessa risposta. Occorrono quindi delle politiche che permettono di effettuare il mirroring o totale (replica) o parziale (replica progressiva) delle informazioni come con tecnologie di RAID in locale, che in rete tra nodi distanti.

Il Content Delivery Network

Un caso particolare di Load Balance è il CDN. Il Content Delivery Network (CDN) è una rete di server distribuiti geograficamente che si occupa di distribuire contenuti digitali, come immagini, video, file statici come librerie JS o CSS e altro, in modo più efficiente e veloce agli utenti finali. Quando un utente online richiede un determinato sito web e contenuto, il CDN individua il server più vicino all’utente e da cui è possibile ottenere il contenuto richiesto in modo più rapido, riducendo così i tempi di caricamento e migliorando l’esperienza dell’utente. Inoltre, il CDN aiuta a bilanciare il carico sui server, garantendo una maggiore sicurezza e resistenza ai picchi di traffico, nonché una naturale continuità del servizio. Il sito web può essere localizzato in uno spazio geografico, mentre i CDN reperiscono dati altrove!

Modelli Cloud

Quello del Cloud è un termine molto abusato ma inevitabilmente di attualità, anche in chiave esame di stato. Esistono 3 modelli principali che come utenti e studenti dell’indirizzo informatico abbiamo usato tutti. Vediamoli in dettaglio.

L'articolo Virtualizzazione proviene da alfredocentinaro.it.

I PARTE

Due edifici aziendali, distanti qualche km, ma facenti parte della stessa struttura produttiva, impiegano due reti indipendenti strutturate come di seguito definito.

Edificio 1.

Rete interna, collegata ad internet tramite un ISP (Internet Service Provider), costituita da due sottoreti distinte separate da un router, definite come:

– rete del settore commerciale, dedicata agli specifici operatori;

– rete contabile, dedicata agli specifici operatori, che dovrà farsi carico delle problematiche legate alla presenza di dati sensibili.

L’edificio 1 risulta già adeguatamente cablato in termini di rete e si dovrà eventualmente intervenire solo sugli aspetti relativi alla sicurezza.

Edificio 2.

Rete unica ad uso commerciale e contabile, definita in un unico spazio di indirizzamento e collegata ad internet tramite un ISP.

I seguenti schemi ne riassumono le caratteristiche:

***

Il candidato, formulata ogni ipotesi aggiuntiva che ritenga opportuna, predisponga quanto segue:

a. individui i punti di debolezza e le possibili soluzioni da adottare nell’edificio 1, in termini di sicurezza delle reti;

b. progetti la struttura di rete e di indirizzamento dell’edificio 2, che prevede un numero massimo di 7 host per la rete contabile e 15 host per quella commerciale;

c. descriva una soluzione tecnica per separare nell’edificio 2 la rete commerciale dalla rete contabile; gli utenti della rete commerciale non devono poter accedere alla rete contabile; entrambe le utenze devono poter accedere ad Internet aggiungendo, se necessario, anche nuovi apparati;

d. proponga una struttura di collegamento tra i settori commerciali dei due edifici, attraverso la rete Internet, che permetta agli operatori addetti alle postazioni commerciali di comunicare tra loro, con particolare attenzione alla sicurezza e riservatezza dei dati che vengono scambiati tra le due reti. 

SOLUZIONE PROPOSTA 

La prova è un classico esempio di dimensionamento, gestione della sicurezza ed ottimizzazione di una rete pre-esistente, argomento ampiamente trattato a lezione e simulato con Cisco Packet Tracer durante il percorso dell’ultimo anno di scuola di un Istituto Tecnico Tecnologico. Proviamo a semplificare la nostra trattazione partendo da schemi grafici.

Punto a) La rete costruita nella modalità esemplificata, presenta delle problematiche di riservatezza e sicurezza dei dati non indifferenti. Innanzi tutto ai bordi della rete collegata ad un ISP con il router1 non c’è nessun elemento di protezione perimetrale. Il sistemista dovrebbe immediatamente predisporre una serie di misure come firewall con packet filter e un proxy server per filtrare il traffico in ingresso o uscita, consentendo solo quello che lecito. Ad esempio consentire in uscita solo il traffico tcp/udp sulla porta 80 e 443 o i protocolli di posta elettronica SMTP, POP3, IMAP e le relative porte, avendo cura di filtrare con un proxy server siti web e allegati con parole illecite di scarso interesse aziendale, come parole che afferiscono a pornografia, giochi, scommesse, social ecc. In ingresso potrebbe essere bloccato tutto il traffico che non sia quello della posta elettronica in ingresso. Per fare questo può essere predisposto un piccolo firewall con sistema operativo linux basato su iptable o bsd basato su pf come pfSense. Il proxy web trasparente potrebbe essere implementato con Squid. Se il router in possesso all’azienda lo consente, potrebbe essere implementato allo stesso modo nativamente su di esso, ma occorrono dispositivi adeguati come quelli forniti da Cisco o Watchguard.

Il secondo problema dello schema logico è piuttosto evidente: la rete contabile, in modo non ben precisato a livello di collegamento, per avere accesso ad internet “deve passare” per la rete commerciale, i cui impiegati hanno sicuramente funzioni diverse ma entrambi hanno esigenze di riservatezza delle informazioni dei rispettivi uffici. In questo modo, invece, i dipendenti dell’uno e dell’altra, uscendo dallo stesso router1 della rete, devono gioco forza condividere risorse di rete che possono essere soggette a sniffing, spoofing e altri attacchi tipo man in the middle. In questo caso, se non è possibile suddividere la reti in modo anche fisico, occorre necessariamente predisporre un sistema di partizionamento con due VLAN, che permetta di creare delle reti isolate ma che sfruttino gli stessi apparati, avendo cura che però i dispositivi come i router e switch interni alla nuvola della rete commerciale siano compatibili con questa tecnologia 802.1Q, adottando switch di 3° livello. In figura sono segnate con le doppie linee le due VLAN identificate con 2 e 3 poiché la 1 è di default su tutte le porte dello switch 1 posto nella rete commerciale e che pilota il partizionamento effettivamente sulle bocche ethernet o gigabit ethernet sia interne della rete commerciale sia quella che proviene dal router intermedio della rete contabile. Non fa parte delle misura di sicurezza informatica, ma tale switch, fungendo da fulcro, potrebbe essere opportuno ridondarlo con un odi riserva similmente configurato.PRevedere anche su router di frontiera due opportune interfacce virtuali f 0/1.1 e f 0/1.2 per instradare correttamente il traffico verso le due VLAN.

Terzo problema è la presenza di dati sensibili nel settore contabile, probabilmente stoccati su un database o un sistema di storage tipo NAS. Il testo non è chiaro come e da chi possono essere raggiunti e consultati. Non essendoci comunicazione differente, è bene che questi siano raggiungibili solo da parte della rete contabile e che quindi ci sia un filtro attraverso il router2 sia logico sull’indirizzamento che sui pacchetti. In caso i dati debbano essere condivisi anche con l’altro ufficio, occorre ideare e progettare una zona DMZ che possa essere separata ulteriormente almeno logicamente dalle restanti sottoreti. In figura scegliamo per semplicità la prima soluzione con i dati accessibili solo all’ufficio contabile.

Punto b) Il secondo punto del testo ci chiede di progettare la struttura e l’indirizzamento della rete dell’Edificio 2. Dalla figura proposta, non c’è una reale suddivisione fisica tra i dispositivi riservati alla parte contabile e quella commerciale, ma dalla specifica si intende suddividere con un numero massimo di 7 host per la rete contabile e 15 host per quella commerciale sapendo che il gateway del router è 192.168.1.1/24 e la rete proposta come unico spazio di indirizzamento ha come rete 192.168.1.0/24. Operiamo un subnetting in modo da rispettare la specifica richiesta. Abbiamo a disposizione 8 bit dell’ottetto finale e dobbiamo considerare che per creare una sottorete e capire quanti bit possiamo rubare/bloccare dobbiamo sempre conteggiare il numero di host necessari + 1 indirizzo per la rete ed 1 per il broadcast. 

• rete commerciale: 7 host + 1 rete + 1 broadcast = 9 ip totali necessari -> occorrono 4 bit (2³ sono 8, troppo pochi mentre con 2⁴ abbiamo 16 indirizzi che avanzano anche rispetto alla richiesta, di cui 14 utilizzabili per i dispositivi)
• rete contabile: 15 host + 1 rete + 1 broadcast = 17 ip totali necessari -> occorrono 5 bit (24 sono solo 16 ip, mentre con 5 bit abbiamo 2⁵=32 ip che avanzano anche in questo caso ma soddisfano la richiesta, di cui 30 utilizzabili per i dispositivi)

Esprimendo in bit, la maschera degli host saranno

• rete commerciale 00000000.00000000.00000000.00001111
• rete contabile       00000000.00000000.00000000.00011111

Di conseguenza le nuove maschere di rete saranno

• subnet mask commerciale 11111111.11111111.11111111.11110000 ovvero 255.255.255.240 ovvero in forma compatta  /28
• subnet mask contabile        11111111.11111111.11111111.11100000 ovvero 255.255.255.224 ovvero in forma compatta  /27

Scegliamo due indirizzi di sottorete, cercando di omogeneizzare la nomenclatura tra la sottorete a 3 e quella a 4 bit e rendere gli indirizzi contigui tra le sottoreti, scegliendo due numeri usando solo i 3 bit più a sinistra della sottorete compreso quindi tra 000hhhhh e 111hhhhh

quindi scelgo per la rete commerciale 00100000 ovvero 192.168.1.32/28 e 01000000 ovvero 192.168.1.64/27 per quella contabile.

Se volessimo elencare gli indirizzi disponibili per la rete commerciale e contabile:

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 0000 indirizzo di rete 192.168.1.32

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 0001primo indirizzo host disponibile 192.168.1.33

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 0010

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 0011

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 0100

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 0101

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 0110

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 0111

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 1000

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 1001

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 1010

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 1011

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 1100

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 1101

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 1110 ultimo indirizzo host disponibile 192.168.46

xxxxxxxx.yyyyyyyy.zzzzzzzz.0010 1111 indirizzo broadcast 192.168.1.47

—————————————————————————-

per la rete contabile:

xxxxxxxx.yyyyyyyy.zzzzzzzz.010 00000 indirizzo di rete 192.168.1.64

xxxxxxxx.yyyyyyyy.zzzzzzzz.010 00001primo indirizzo host disponibile 192.168.1.65

…

xxxxxxxx.yyyyyyyy.zzzzzzzz.010 11110 ultimo indirizzo host disponibile 192.168.1.94

xxxxxxxx.yyyyyyyy.zzzzzzzz.010 11111 indirizzo broadcast 192.168.1.95

Punto c) Una soluzione tecnica per separare la rete commerciale e contabile potrebbe essere quella di aggiungere un router che renderebbe ancora più evidente dal punto di vista logico il subnetting operato sull’ultimo ottetto disponibile e semplice sia da implementare nella realtà che su un simulatore Cisco Packet Tracer con pochi passaggi tutti con l’uso dell’interfaccia grafica senza l’uso della shell di IOS, s.o. della Cisco.  L’alternativa più economica è quella di usare uno switch di terzo livello con supporto al protocollo 802.1Q e creare, analogamente all’edificio 1, due reti virtuali VLAN, VLAN2 e VLAN 3 per includere i dispositivi della commerciale e contabile rispettivamente e disabilitando con Access List opportune la comunicazione tra le due reti virtuali e due interfacce virtuali f0/1.1 e f0/1.2 sul router di frontiera che arrivano attraverso unico collegamento fisico dallo switch. Quest’ultima configurazione su simulatore Cisco è fattibile solo via console del router. L’accesso alla rete internet può essere consentito configurando le funzionalità di NAT tra indirizzo pubblico assegnato al router di frontiera e le interfacce interne. rispettivamente f 0/0 e 0/1

Punto d) Per collegare le due reti commerciali attraverso gli edifici, può essere predisposta una opportuna VPN di tipo secure che prevede la crittografia dei pacchetti. Solitamente è possibile configurare una VPN in modo semplice su un pc verso un server o altro pc attraverso software come Open VPN o Cisco AnyConnect. In questo caso la VPN deve essere realizzata attraverso due router 1 e 2, perimetrali ai due edifici. La configurazione di tali VPN è piuttosto ostica da console di IOS ma può essere realizzata in modo più semplice con un software fornito agli amministratori di rete e dei router denominato Cisco Configuration Professional for Catalyst raggiungibile qui. La configurazione è comunque poco interessante ed esula le competenze acquisite dagli alunni sui banchi di scuola.

II PARTE

QUESITO N. 1

Con riferimento al punto D) della prima parte della prova, indicare le caratteristiche principali del protocollo che si è inteso utilizzare.

L’argomento della domanda è un classico argomento da manuale, ampiamente trattato e studiato in classe. Approfondire i concetti di VPN Secure, Trusted, Hybrid, il protocollo IPSec. Lo studente più pigro, trova una sintesi anche sul manuale Cremonini di Informatica & TLC se utilizzabile durante lo scritto della seconda prova.

QUESITO N. 2

Proporre una struttura di collegamento tra i settori contabili dei due edifici, attraverso la rete Internet, che permetta agli operatori addetti alle postazioni contabili di comunicare tra loro, con particolare attenzione alla sicurezza e riservatezza dei dati che vengono scambiati tra le due reti, anche prevedendo l’acquisizione di ulteriori indirizzi IP statici dall’ISP.

Il quesito fa riferimento ad un collegamento non dedicato tra due edifici attraverso una rete pubblica pre-esistente. In realtà il tema è molto generico e di quotidiana esigenza per le aziende con sedi distaccate anche svariati chilometri o che hanno dipendenti che devono accedere da remoto alle risorse aziendali, come dipendenti a lavoro da casa, commerciali in viaggio e simili. L’idea è quella di predisporre un router alla frontiera dell’edificio con interfaccia ADSL e assegnazione di almeno un indirizzo pubblico, statico o dinamico, e una configurazione del router per utilizzare la tecnologia NAT/PAT che permette a più dispositivi con indirizzo privato di “uscire” dalla rete privata verso quella pubblica. A questo punto, vista la componente hardware, per scambiare informazioni in modo sicuro è necessario utilizzare una VPN, Virtual Private Network, una tecnologia funzionante al livello 4 della pila ISO/OSI che fa uso di crittografia per rendere sicuri i pacchetti. Esempi di client VPN molto diffusi sono il Cisco AnyConnect o OpenVPN, che forniscono una comoda interfaccia di configurazione a livello applicativo anche per i meno esperti. La serie di protocolli usati alla base delle creazione di una VPN prende il nome di IPSec. Notiamo come la VPN e l’uso della crittografia risolve il problema della sicurezza e riservatezza dello scambio dati su rete pubblica      

QUESITO N. 3

Descrivere le caratteristiche più importanti relative alle tecniche di crittografia a chiave simmetrica ed asimmetrica.

Il quesito è un classico esempio trattato nei manuali. Lasciamo al lettore lo sviluppo della risposta.

QUESITO N. 4

Nell’ipotesi di istituire un servizio di scambio di messaggi di testo, descrivere, eventualmente anche con un esempio utilizzando un linguaggio a scelta, un socket di comunicazione di tipo client/server adatto allo scopo e definire una possibile architettura hardware.

Il quesito potrebbe essere ostico poiché trattato solitamente nella parte finale del quarto anno in Sistemi e Reti o in quinto in Tecnologie e Progettazione di Sistemi informatici e di Telecomunicazione. L’argomento è già ampiamente descritto e spiegato in questo articolo del nostro sito con una soluzione in Python.

L'articolo Soluzione simulazione II Prova Istituti Tecnici Telecomunicazioni – Sistemi e Reti – 2016 proviene da alfredocentinaro.it.

Letteralmente “muro di fuoco“, il firewall è un dispositivo che viene posto a difesa di una rete filtrando il traffico in entrata o in uscita dalla rete stessa.

Posizione

A meno di particolari necessità, il firewall si trova al confine di una rete, ad esempio la LAN di casa, ufficio o scuola, tra il router o il modem che collega la rete verso l’esterno e il resto dei pc della rete LAN. Altra applicazione che si trova molto spesso è quella di usare un firewall per proteggere una DMZ, una zona demilitarizzata, ovvero che riceve traffico esterno o interno alla rete non controllato strettamente. E’ la classica area dove inserire server web, database ed altri servizi che devono essere raggiunti dall’esterno della nostra rete e che vengono divisi dalla restante rete amministrativa.

Nel caso di DMZ dove sono presenti diversi server e servizi che devono avere accesso dall’esterno in modo più semplificato, la configurazione firewall potrebbe e dovrebbe essere più complessa. Un firewall dovrebbe proteggere la DMZ in modo flessibili e poco “pesante” dal traffico esterno, magari per evitare o contenere attacchi informatici noti come i DDoS, mentre un secondo firewall con regole più robuste e stringenti che difende la rete LAN dal traffico non idoneo.

Tipi di firewall

Come possiamo catalogarli? Innanzi tutto in base alla tecnologia i firewall possono essere hardware o software. Più una terza categoria che spesso non è annoverata in modo esplicito su libri e manuali: i firewall ibridi.

Firewall hardware

I firewall hardware sono dispositivi che nascono in modo dedicato alla funzione di filtro, ed essendo fisici, non risentono di attacchi, bug software, filtrano tutto il traffico al 100% con prestazioni elevate. Possono costare parecchio a seconda delle caratteristiche. Assomigliano ai classici switch ma ovviamente con funzionalità completamente differenti e dei sistemi operativi dedicati come il CiscoOS. Marche di firewall molto diffuse e sono sicuramente Cisco, WatchGuard, con prezzi che possono oscillare tra i 300 e 3000 euro (anche oltre!) a seconda delle performance richieste. Sono decisamente consigliati per applicazioni e reti professionali di medie e grandi dimensioni. In alcuni casi poi firewall hardware possono essere già incorporati nei router, vedi dispositivi Cisco serie 1800. Sfruttano una configurazione mediante ACL, Access List per permettere e negare determinati ip o tipologie di protocolli con l’uso di maschere host.

Firewall software

I firewall software hanno decisamente meno pretese, ma non nascono per essere disposti perimetralmente, quanto più integrati su un dispositivo come il pc di casa od ufficio (host based). I firewall software sono esempi classici che conosciamo quotidianamente col nome di antivirus anche se non è proprio esatto, meglio se parliamo di Windows Firewall, il software incluso in tutte le recenti versioni di Windows. Essendo software hanno lo svantaggio di essere passibili di bug, prestazioni non esaltanti e incapacità oggettiva a filtrare accuratamente tutto il traffico oltre che una configurabilità spesso molto limitata ma semplice e alal portata di tutti, costi pressoché nulli, e col vantaggio di coprire un ampio spettro di traffico.

Firewall ibridi

Esiste un terzo tipo di firewall che preferisco citare a parte, contrariamente a molti volumi, che sono quelli ibridi hw/sw: i vantaggi di un firewall software ma che gira nello spazio kernel riservato dal sistema operativo (lo spazio kernel è una porzioni di memoria particolarmente perché non accessibile a programmi o utenti). Sono i classici esempi di firewall dei sistemi operativi Linux, molto noti e con una grande diffusione sul mercato professionale con due nomi su tutti: Iptable e Pf. Sono meno semplici, magari, da configurare ma hanno vantaggi innegabili. Sono sempre intesi come filtri perimetrali. Spesso nascono all’interno di distribuzioni Linux o BSD ideate su misura per scopi di firewalling o router come pfSense (o la sua versione opensource OpnSense) o OpenWrt, già preinstallate su dispositivi simili a switch ma dei veri mini pc componibili con processori Atom o Celeron serie J1800/2900 o N5000 dalle prestazioni e consumi energetici ridotti, hard disk ssd e ram ddr comunque di ultima generazione, con case industriali (in foto) o da rack. Il vantaggio di avere un firewall su disto Linux sta nel fatto che il firewall gira nello spazio di memoria ram del kernel (kernel space), ovvero inacessibile a software utente o maleintenzionti ma gestita unicamente dal sistema operativo. Se il firewall girasse in spazio utente (user space), come un normale programma, sarebbe facilmente disattivabile o attaccabile da hacker.

Queste soluzioni sono decisamente economiche, ma garantiscono prestazioni elevate e scalabili e soprattutto facilmente configurabili/modificabili anche da utenti non espertissimi.

Tipi di filtraggio

Come funziona un firewall? Anche sul funzionamento possiamo individuare delle classificazioni. Nei corsi di Sistemi e Reti, e su queste pagine, abbiamo spesso parlato di pila ISO/OSI o di pila TCP/IP. Beh, un firewall può agire a diversi livelli della pila, eccezion fatta per il livello 1, quello fisico (per quello basta staccare il cavo…).

Filtraggio MAC

A livello 2 della pila TCP/IP, un firewall filtra gli indirizzi MAC. Come il lettore sa o ricorda, le schede di rete, sia le più conosciute  802.3 ethernet o le 802.11 wireless, sono contraddistinte da una impronta fisica, un codice, un indirizzo stampato sul firmware della scheda, ovvero l’indirizzo MAC, che possiamo quindi immaginare come il seriale di telaio di un’auto, un identificativo unico del tipo e0:d5:5e:0a:12:cd con 6 cifre esadecimali come quelle della mia scheda di rete dove le prime tre coppie identificano il produttore della scheda a livello globale. L’idea è quella di creare all’interno del firewall una blacklist o whitelist di MAC address ammissibili e quindi possono transitare. Il codice MAC ricordo è stampato in ogni pacchetto o trama di livello 2 nella relativa intestazione dove ci sono il MAC della scheda che invia e di quella destinataria. Non è una misura di sicurezza forte: il MAC può sempre essere dissimulato con tecniche semplici ma certamente non è facilissimo sapere a priori quali sono abilitati quindi comunque dissuade l’utente meno esperto. E’ una tecnica molto usate negli alberghi o aree wifi gratuite dove, oltre a fornivi una SSID per la rete, vi richiedono il MAC da abilitare e/o rintracciare per motivi di sicurezza. E’ molto semplice come tecnica da implementare e la potete trovare anche tra le opzioni di sicurezza del vostro modem casalingo. E’ utilizzata nei captive portal, i classici software di login delle reti aperte/pubbliche. Se vi registrate al servizio, il mac address del vostro dispositivo viene abilitato e consente quindi la navigazione nella rete.

Filtraggio IP

Sempre nella logica simile del filtraggio MAC, salendo al livello 3, i firewall trovano la loro applicazione nativa  principale: filtrare traffico da e verso determinati indirizzi IP. Vengono detti “packet filter”, proprio perchè vanno a filtrare i pacchetti, leggendo semplicemente l’intestazione del pacchetto IP e decidendo mediante delle policy impostate dal sistemista di rete se accettare o rifiutare un determinato traffico. Esempi di firewall con queste funzionalità sono i famosi ed diffusi IPTable e PF già citati.

Filtraggio Trasporto

Perché limitarsi a filtrare i pacchetti IP quando con poche e semplici regole possiamo anche bloccare la tipologia di pacchetto? Qui il lettore magari è più disorientato ma al livello 4 detto esistono diversi servizio classificati come TCP, UDP, ICMP (il ping), FTP e i meno conosciuti SMB, AEP, ATP ed altri. A questo tipo di filtro, è possibile aggiungere ulteriormente un filtro anche sulla porta del servizio, come la porta 80 per le pagine web, la 443 per https, 21 per lo ftp ecc. Ne viene fuori che ogni catena di regole può andare a filtrare il traffico in modo molto selettivo consentendo pochi e adeguati servizi da e verso un ufficio, una scuola, una zona dmz con server pubblici. Sotto un esempio di una lista di regole IPTable che gestisce il traffico in ingresso INPUT, uscita OUTPUT, sulla porta 22, 80 e 111 su tre interfacce di rete ethernet.

# Consenti ssh sulla scheda di rete eth0
iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 22 -j ACCEPT

# Consenti icmp(ping) ovunque
iptables -A INPUT -p icmp --icmp-type any -j ACCEPT
iptables -A FORWARD -p icmp --icmp-type any -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type any -j ACCEPT

# Consenti http dalla rete interna verso l'esterno
iptables -A FORWARD -i eth1 -o eth2 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -i eth2 -o eth1 -p tcp --sport 80 -j ACCEPT

# Consenti ssh dalla rete interna verso l'esterno
iptables -A FORWARD -i eth1 -o eth2 -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -i eth2 -o eth1 -p tcp --sport 22 -j ACCEPT

# Consenti http dalal rete esterna verso l'interno(DMZ?)
# iptables -A FORWARD -i eth2 -o eth1 -p tcp --dport 80 -j ACCEPT
# iptables -A FORWARD -i eth1 -o eth2 -p tcp --sport 80 -j ACCEPT

# Consenti traffico rpcinfo su eth0 dall'esterno verso l'interno
# iptables -A INPUT -i eth2 -p tcp --dport 111 -j ACCEPT
# iptables -A OUTPUT -o eth2 -p tcp --sport 111 -j ACCEPT

Filtraggio applicativo

Il filtraggio dei pacchetti TCP/IP è istantaneo. Il firewall deve solo leggere le intestazioni dei pacchetti per effettuare le sue decisioni. Le prestazioni di questo filtro sono piuttosto elevate e non inficiano di molto la velocità della rete e del suo traffico. Si tratta infatti di fare un mapping di cifre binarie corrispondenti agli indirizzi e le porzioni di intestazione con numeri di porta e servizi. Diverso il discorso se saliamo al livello 5, quello applicativo con i dati veri e propri. La necessità nasce dal bloccare categorie di siti di cui a priori non è possibile conoscere o elencare tutti gli IP.

Mettiamo caso che a scuola o in ufficio voglia bloccare tutti i siti che hanno a che fare con scommesse, gioco d’azzardo o pornografia che non sono di interesse scolastico o aziendale. Come posso elencare tutti i siti web sul tema? Impossibile o comunque molto difficile. Il firewall deve spacchettare i pacchetti nella loro parte dati, leggere il contenuto parola per parola e verificare tramite una lista nera fornita se sono consentite o no, bloccando eventualmente quindi la visione dell’intera pagina e scartando a priori per intero i pacchetti in transito. Il lettore comprende da se che l’operazione non è semplice come quelle di livello 3, ma richiede più tempo e più risorse di calcolo a prescindere, generando degli overhead alla rete. Il carico di lavoro rischia di appesantire il firewall centrale responsabile, che a questo punto deve avere risorse hardware più spinte.

Un esempio dei filtraggio applicativo, seppur più semplice, è quello dei nostri antivirus casalinghi. In base a liste di definizioni aggiornabili, ricercano nei software o pagine che scarichiamo elementi corrispondenti. I firewall di questo tipo vengono detti host based perché si trovano sui nodi della rete e non al perimetro.

Un esempio di firewall applicativo è l’open source Squid, ovviamente un software e non un hardware. Spesso i firewall vengono detti anche server o nodi proxy, che in realtà sono dispositivi che nascono con altre funzionalità ma che spesso ospitano anche questo servizio di filtraggio del traffico.

L'articolo Firewall e sicurezza perimetrale proviene da alfredocentinaro.it.

Il sistema che andiamo ad analizzare è quella di un treno a bordo del quale sono coinvolti due attori principali: il controllore e il passeggero. Il controllore ha fondamentalmente la funzione di controllare/registrare ed annotare alcuni dati riguardanti i biglietti mentre il passeggero può guardare in streaming dei contenuti multimediali.

Come in tutte le tracce dobbiamo individuare alcune condizioni iniziali in cui vogliamo sviluppare la nostra soluzione.

Innanzi tutto il treno è un veicolo in movimento ad alta velocità; il percorso che compie, ci dice il testo, è spesso eterogeneo per quanto riguarda la conformazione del territorio che rende difficili determinate tipologie di intercomunicazione. Questo già ci mette nelle condizioni di non poter utilizzare alcun tipo di connessione cablata tra treno ed altra infrastruttura a terra. La stessa conformazione del territorio ci quasi obbliga a scegliere delle connessioni wireless ma da scegliere con attenzione. Non ci risulta che la rete ferroviaria abbia una sua struttura proprietaria di connessione wireless lungo i binari/tragitto anche perché implicherebbe un numero consistente di ponti radio lungo tutta la rete ferroviaria con costi di installazione e gestione decisamente proibitivi. Occorre utilizzare soluzioni che semplifichino il sistema e, ovviamente, la nostra trattazione sfruttando infrastrutture esistenti a cui integrare le nostre specifiche. 

Innanzi tutto vediamo come fornire la connessione wireless all’interno delle cabine. Ricordiamo che il wireless nasce come sistema di comunicazione per reti locali, le cosiddette LAN. Spesso, in gergo comune, wireless è associata al possibilità di navigare su internet ma è solo un servizio aggiuntivo allo scopo iniziale della tecnologia in questione. Il lettore provi ad immaginare una rete senza fili nella propria casa ma non connessa ad internet: tutti i dispositivi connessi potrebbero comunque interagire tra di loro, ad esempio con un videogioco in LAN-party, molto diffusi tra i nostri alunni.

La rete WiFI

Dimensionare una rete wireless richiede poche semplici regole. Ogni cabina dovrebbe essere dotata di uno un access point da posizionare possibilmente al centro sul soffitto del vagone. L’access-point è collegato con un cavo Ethernet ad uno switch o hub posto all’inizio della cabina, possibilmente con tecnologia PoE o PoE+, Power Over Ethernet, che oltre a trasportare il segnale, trasporta una alimentazione per il dispositivo collegato che varia tra i 15 watt circa e i 30 watt per la versione plus. Occorre un cavo quindi per collegare l’AP alla cabina precedente ed uno proveniente dallo switch che propaga il segnale Ethernet fino alla successiva cabina e il suo switch/hub. Quest’ultimo collegamento deve essere realizzato con un cavo cross visto che stiamo collegando apparati dello stesso tipo/livello. Alcuni AP, hanno una doppia interfaccia che permetterebbe in caso il collegamento a cascata ingresso/uscita. In questo secondo caso, occorre comunque inserire uno switch o repeater nel vagone successivo poiché la potenza del segnale PoE non è tale da alimentare in cascata più apparati. Si da per scontato che tra un vagone e l’altro si possa opportunamente stendere un cavo Ethernet assieme a quelli che trasportano l’alimentazione della cabina stessa. Si esclude invece categoricamente che gli AP siano collegati tra di loro con un ponte radio a mezzo di range-extender o repeater wireless poiché soluzione poco efficiente e di cui non si avverte la necessità. I dispositivi AP devono garantire connettività 802.11n e 802.11ac per le connessioni nella banda dei 2,4 e 5,4 Ghz. Gli switch sono collegati in cascata con il router principale del treno, che potrebbe essere collocato nel vagone locomotiva o, meglio, nel vagone centrale solitamente adibito a ristorante.  Questa soluzione centrale rende anche più efficiente il cablaggio e la distanza più omogenea degli apparati, considerando che ci sarebbe una porta del router che gestisce la coda ed una che gestisce la parte verso la testa. Il router deve avere, oltre che l’interfaccia Ethernet, anche una WAN 4G per permettere alla rete LAN di “uscire” su internet. Ovviamente l’interfaccia WAN ha IP pubblico configurato con NAT verso la rete interna gestita invece con IP privati. Per migliorare le prestazioni tutte le interfacce Ethernet sia del router che degli switch precedentemente descritti si consiglia l’uso di interfacce Gigabit Ethernet con cavi con CAT 6 o 7, in modo da avere una larghezza di banda fino a 10Gps. In ogni cabina, i vari AP, potrebbero essere configurati per avere un range di metri massimo di copertura tarato sulla dimensione cabina stessa o, per semplicità, ogni AP potrebbe essere impostato su un canale differente tenendo premura che tra ogni cabina si salti almeno un canale per non creare interferenze. (Es. cabina uno su canale uno, cabina successiva su canale tre, la successiva su canale cinque, la successiva ancora magari sul recuperiamo il canale due e così via)

La gestione dello streaming

Lo streaming è un flusso di dati audio/video continuo che richiede ingenti risorse di rete per permettere ad un client di usufruire di un contenuto come un film. Se questo flusso è richiesto da numerosi utenti, ci rendiamo conto che ci troviamo di fronte ad una mole di dati enorme che deve essere spostata. La rete WiFi interna è sicuramente un ottimo stratagemma per permettere all’utenza di collegarsi al sistema centrale ma non è conveniente permettere agli utenti di usufruire della connessione esterna WAN per accedere ai film. L’interfaccia di rete esterna al treno che possiamo configurare sul router di frontiera posto nella cabina principale, che la scegliamo 4G o HiperLan o WiMax, rappresenta comunque un collo di bottiglia enorme, a maggior ragione che il segnale del ponte radio potrebbe essere fortemente influenzato negativamente dalla conformazione del territorio percorso dal treno, gallerie soprattutto.  Ecco perché la soluzione più conveniente è quella di bloccare flussi streaming anomali sulla rete Lan con un firewall o con un proxy semantico che blocchi determinati siti di streaming noti (legali e non, ad esempio youtube, video sono legali ma ridurrebbero fortemente la banda) o con un firewall opportunamente settato impostare una banda massima per ogni utente collergato così da garantire una QoS, quality of service adeguata per ciascun utente. Ricordiamo che la QoS è una caratteristica fondamentale per un buon servizio a utenti multipli e si può trovare anche sui router/modem di casa nostra con una comoda interfaccia grafica di configurazione del modem stesso.  Bloccati i flussi di traffico, l’idea di base è quella di avere invece un catalogo di film direttamente sul treno da esporre ai passeggeri. Questo ovviamente ha un costo per il sistema di immagazzinamento ma darebbe un servizio di qualità ai passeggeri, tutti i passeggeri. Questo non toglie che un viaggiatore possa sempre usare la propria rete 4G per navigare fuori dalla rete wifi e accedere ad altri cataloghi.

La validazione del biglietto

Si è già accennato qualcosa nei paragrafi precedenti. La validazione del biglietto può essere fatta utilizzando un barcode 2d stampato sul biglietto stesso che contiene informazioni utili al riconoscimento del treno, orario, posto prenotato o che contiene semplicemente un id che, inquadrato con una fotocamera opportuna, permette di reperire tali informazioni direttamente con un URL da un server database centrale della compagnia di treni. Il controllore ha praticamente il solo compito di scannerizzare tale immagine e verificare che siano coerenti con quelle del treno in corsa su una app opportunamente realizzata per l’operazione. Occorre, ovviamente, una infrastruttura di rete a terra che è quindi possibile raggiungere attraverso la connessione lan wifi e l’interfaccia wan 4G. L’infrastruttura a terra non necessita di considerazioni particolari. Sarà sicuramente una area DMZ protetta opportunamente da un firewall che consente una connessione VPN tra il palmare del controllore e i server che contengono le informazioni dei treni e dei biglietti. La zona DMZ potrà essere collegata tramite un router con interfaccia WAN speculare a quella usata dal treno, sfruttando una infrastruttura di rete messa a disposizione dalle compagnie telefoniche esistenti. La sicurezza e riservatezza è assicurata dalla configurazione/uso di una VPN (ad esempio con sistemi Cisco, Citrix o Open VPN).

Dispositivi e loro caratteristiche

Abbiamo già discusso sulle prestazioni della rete WiFi, ma non ancora del tablet del controllore. Qui le scelte sono pressoché infinite. Tablet in commercio di fascia media si aggirano su prezzi al dettaglio accessibili tra 200/300 euro fino ad arrivare a 800 euro. Le caratteristiche che potranno interessare nel nostro contesto sono sicuramente:

• Schermi luminosi, con buoni angoli di visione e diagonale di 10 pollici
• Hardware: CPU con tecnologia ARM, come i Cortex o simili di altre case come NvIdia, Intel e RAM di almeno 3 GigaByte. Valutare la predisposizione all’uso di un pennino touch per operazioni di firma o appunti veloci.
• Autonomia: batterie abbastanza capienti da assicurare autonomie per i lunghi viaggi o sistemi di risparmio energetico particolarmente efficienti
• Connettività: qui abbiamo parlato di una rete Wi-Fi interna al treno, ma si consiglia di avere anche un modulo 4G, nel caso di avaria della rete locale o il controllore si trovi su un treno ancora non aggiornato.
• Fotocamera: necessaria al controllore per fare la scansione dei barcode 2D dei biglietti, non servono prestazioni particolari
• Software applicativi: i software possono essere delle tipologie più disparate ma devono mantenere un buon bilanciamento fra semplicità, fluidità e numero di funzioni
• Memoria interna: consigliata 16GByte o 32GB
• Sistema Operativo: Android 8
• Software specifici: occorrerà sviluppare una app che si integri col sistema progettato, non si fanno particolari considerazioni se non consigliare di svilupparle con tecnologie all’avanguardia e che permettono una compatibilità con dispositivi e s.o. differenti, vedi il prossimo Android 10 detto Fuchsia. In questo caso quindi si possono realizzare con il framework Flutter e il suo linguaggio Dart o React Native.

Per quanto riguarda il server contenente la raccolta di film, caratteristiche standard di interesse potrebbero essere, più che un hardware prestante, uno storage capiente per consentire di archiviare più titoli possibile.

• CPU: 2x Intel Xeon E5 con 6 Cores
• RAM 32 GB DDR4 con bit di parità per prevenire errori
• 8 Hard Disk da 3Tera Byte l’uno, in tecnologia non necessariamente SSD ma con piatto rotante/meccanico per contenere i costi. Invece 2 SSD per il sistema operativo in RAID5 per maggiori performance. L’array di HD per lo storage non è conveniente metterli in backup locale con il RAID1, avremmo la metà della capienza totale o un numero di HD davvero consistente. Il backup può essere fatto in un sistema cloud con cui ripristinare in locale eventuali anomalie/malfunzionamenti o una sostituzione degli hd danneggiati con un sistema di rimozione a caldo Hot Swap per la sostituzione in stazione a treno fermo. 
• Due schede di rete 10 GBit (una ridondante di backup)
• Software: in questo caso non possiamo ricorrere ad un semplice server Apache con PHP7 e MySQL con InnoDB per le sole operazioni da eseguire. O meglio il sito web a cui il passeggero si collega, sarà sicuramente fornito attraverso questo servizio, mentre la parte di streaming non può essere affidata al server Apache poiché scarsamente ottimizzato per questo genere di operazioni di Video on demand  (VOD). In questo caso è bene ricorrere a software server appositi come il RED5, software open source sviluppato da/per Google ed utilizzato per lo streaming su Facebook e Amazon o altre soluzioni ad esempio con Nginx e i suoi moduli dedicati (si, è un server molto polivalente sia per eseguire i classici PHP ma anche Python e audio/video streaming). Il tutto sempre su un sistema operativo Linux, come Mint, CentOS, Red Hat o Debian, specifiche distribuzioni per server di produzione.

Soluzione ottimale per lo streaming sarebbe avere più server che funzionano con load balance, suddividendo le richieste multiple degli utenti. In questo caso, come ordine di grandezza di utenti, non si vede necessario un sistema così complesso.

La zona DMZ a terra conterrà opportuni server per gestire il database e l’interfaccia di comunicazione con l’app del controllore. Tali server possono avere una classica configurazione con s.o. linux con MySQL con InnoDB e una configurazione classica con hard disk SSD almeno uno in Raid 1 e duo o più in Raid 5 per garantire il backup dei dati e le prestazioni di risposta verso più controllori/app. Anche in questo caso, andremo ad avere processori multipli Xeon con ram con bit di parità e interfacce di rete gigabit ridondate. (descrizione completa la trovate anche nella simulazione precedente)

Sicurezza

Sulla sicurezza dobbiamo tener conto dei software che sono stati realizzati per il login e quindi la possibilità a seguire di usufruire dei contenuti. Il sito su cui permetteremo il login con il barcode del biglietto e username e password deve ovviamente essere a prova di SQL Injection. Il fatto stesso che abbiamo username/password e barcode sul biglietto ci mette in una condizioni di login con “qualcosa che so” e “qualcosa che ho” (in questo assegnato dalla compagnia dei treni previo acquisto del biglietto). Il sistema deve essere a prova DDoS con sistemi di monitoraggio degli attacchi e delle intrusioni. Il sistema di login wifi può contare su tecnologie 802.1X con autenticazione EAP e server Radius (da porre magari assieme al server dei contenuti nella prima cabina o cabina ristorante). Si è già detto del firewall per filtrare il traffico su porte e servizi non consentiti e di un eventuale proxy per filtrare siti di streaming noti che potrebbero rallentare il traffico interno della rete Lan.

(da Wikipedia, Autenticazione 802.1X)

II PARTE

II. In relazione al tema proposto nella prima parte, si consideri che EasyTrainper motivi di sicurezza è tenuta a mantenere un registro dei siti visitati dai viaggiatori attraverso la connettività WiFi a loro riservata. Si discutano le possibili soluzioni, anche tenendo conto degli aspetti legati alla privacy.

Il quesito è un classico argomento che possiamo trattare a lezione sul salvataggio delle informazioni degli utenti e le relative normative della privacy. Elementi già trattati anche in questo sito sono quelli del login debole e login forte con password utente non salvata in chiaro ma con opportuna funzione di hash. Ovviamente l’aspetto più interessante è quello della trattazione di tutta la questione concernente il GDPR che potete trovare qui. Il candidato può eventualmente azzardare a citare la blockchain. La blockchain è una struttura dati condivisa in rete e immutabile e non modificabile, un po’ quindi come il registro che vogliamo tenere dei visitatori. È definita come un registro digitale le cui voci sono raggruppate in “pagine”, concatenate in ordine cronologico, e la cui integrità è garantita dalla crittografia e dal l’intero sistema distribuito che la sorregge.

IV. In una azienda dotata di diversi uffici, alcuni dipendenti collegano impropriamente via cavo i laptop personali ai “punti di rete” della Lan aziendale, allo scopo di attivare, negli stessi laptop, hot spot wifi “open” (senza protezioni) con cui fornire connessione per altri dispositivi, o proprio di eventuali ospiti non autorizzati. Il candidato tratti le conseguenze negative che una simile pratica può comportare per l’azienda e proponga soluzioni tecniche ed organizzative che potrebbero essere adottate per prevenire tali abusi.

Anche questo quesito non deve spaventare l’alunno poiché abbondantemente trattato nei programmi scolastici. Sono solito raccontare agli alunni che circa il 80 % dei problemi di sicurezza di una rete aziendale dipendono dal personale interno, sulla loro scarsa formazione in materia di sicurezza, dall’uso delle risorse hardware e software dell’azienda in modo improprio con palesi errori. Quello descritto nel testo del quesito ne è un valido esempio. Solo il 20% circa proviene da minacce esterne o attacchi hacker attivi! I pc aziendali sono solitamente protetti da una serie di policy, di regole ben definite e attuate dal responsabile/sistemista della rete. Regole che vanno da una base molto semplice quale l’aggiornamento costante dei software per proteggersi da bug, uso di antivirus e aggiornamento delle loro definizioni, il monitoraggio costante della rete e del traffico dagli ip configurati staticamente e non. Permettere ad un dispositivo non controllato e non ben protetto, di inserirsi dentro la rete, rappresenta un vero e proprio cavallo di Troia. E’ facile che un dispositivo infetto da virus e worm riesca a propagare tali infezioni all’interno della rete aziendale autospacciandosi per software aziendale sicuro proprio perché proveniente dall’interno e non dall’esterno, aggirando quello che è il firewall di confine della rete. Qui c’è tutta una carrellata di elementi che si possono descrivere che vanno a minare la sicurezza interna:  dai keylogger agli spyware che carpiscono informazioni sensibili per lo spionaggio industriale (progetti, dati, risultati dell’azienda che vengono intercettati e rivenduti magari agli avversari), come il blocco con semplici DOS del sistema produttivo, virus che danneggiano hardware e software bloccando a loro volta il sistema produttivo e costringendo i responsabili della sicurezza al ripristino di situazioni dati consistenti precedenti l’infezione. La prima contromisura è sicuramente la prevenzione: formare il personale a seguire comportamenti corretti è fondamentale per evitare le pratiche descritte nel quesito. Anche azioni semplici come aprire email solo se ritenute affidabili, cliccare file allegati solo se controprovati ad esempio sono regole banali, spesso sottovalutato dal personale dell’azienda, come navigare in siti pericolosi di scarso interesse aziendale. Tecnicamente non è facile contrastare il danno fatto nel quesito, poiché tutto il traffico illecito del dispositivo connesso verrebbe “ripulito” dal pc che fa da tramite. Un buon sistemista di rete potrebbe sicuramente monitorare il traffico anomalo con sniffer di rete (ad es. un utente medio della rete in genere consuma una tot di kbyte di banda mentre quello che fa da hotspot consuma due o tre volte il traffico medio) e preimpostare un proxy semantico che permetta di scartare a priori tutti i siti di scarso interesse aziendale (banale eppure ci sono statistiche piuttosto imbarazzanti sull’uso di siti pornografici dai posti di lavoro), sistemi torrent o download, siti potenzialmente nocivi che andrebbe a guardare un utente qualsiasi che non lavora dentro la nostra azienda di riferimento.

L'articolo Soluzione simulazione II Prova Istituti Tecnici Informatica – Parte Sistemi e Reti (2 aprile 2019) proviene da alfredocentinaro.it.

Soluzione per il dimensionamento:

Bloccando 25 bit della maschera ovvero i primi 3 ottetti e un bit dell’ultimo ottetto.

Me ne riservo 2 per configurare 4 sottoreti anche se ne uso solo 3 (ricorda con un bit max 2 reti, due bit max 4 reti, tre bit max 8 sottoreti ecc)

che avranno le seguenti combinazioni di bit:

193.16.12.0 00 00000 -> 193.16.12.0

193.16.12.0 01 00000 -> 193.16.12.32 

193.16.12.0 10 00000 -> 193.16.12.64

193.16.12.0 11 00000 -> 193.16.12.96

Le reti avranno il primo/ultimo host con gli ultimi 5 bit:

00001

11110

Quindi per ogni rete abbiamo:

I rete   -> 193.16.12.1   e 193.16.12.30

II rete  -> 193.16.12.33 e 193.16.12.62

III rete -> 193.16.12.65 e 193.16.12.94

IV rete-> 193.16.12.97 e 193.16.12.126

occhio: la maschera per le sottoreti sarà /27 cioè i 25 bit iniziali +  i due bit rubati ovvero in formato decimale 255.255.255.224

L'articolo Esercizio Indirizzamento Rete con DMZ, WiFi (complessa) proviene da alfredocentinaro.it.

• Indicare a quali classe (classe A, classe B, classe C) appartengono i seguenti indirizzi IP:

 128.12.34.245 -> Basta convertire il primo ottetto da decimale a binario: 128₁₀ = 10000000₂ Gli indirizzi di Classe A iniziano con 0NNNNNNN, quelli di classe B 10NNNNNN, classe C con 11NNNNNN. Il nostro inizia con 10000000 quindi è di Classe B

221.2.168.12 -> Convertendo il primo ottetto 221₁₀ = 11011101₂ Gli indirizzi di classe C hanno prefisso 11NNNNNN, quindi possiamo attribuirlo a tale classe

12.127.32.255 -> Convertendo il primo ottetto 12₁₀ = 1100₂ In realtà, non è un numero ad 8 bit, ovvero 8 cifre. Va completato mettendo tutti zeri nella parte sinistra, quella che si dice “meno significativa”: 12₁₀ = 00001100₂ ovvero un indirizzo 0NNNNNNN di Classe A

• Date le seguenti maschere in formato di ottetti XXX.XXX.XXX.XXX, indicare il loro valore in forma compatta \BB

255.255.255.255 -> E’ il più semplice ma decisamente un tranello irrealizzabile perché avremmo solo porzione di rete senza host! Sarebbe 255.255.255.255 = /32

255.255.255.0 -> Basta contare quanti bit sono impegnati dalla maschera. In questo caso i primi tre ottetti completi per un totale 8+8+8bit =24. 255.255.255.0 = /24

255.255.0.0 -> Ancora un esempio semplice. I primi due ottetti sono la dedicati alla rete. 255.255.0 = /16

255.255.255.128 -> Un filino più complesso. Traduciamo 128 da decimale a binario 128₁₀ = 10000000₂ quindi la maschera di rete sarebbe 11111111.11111111.11111111.10000000 ovvero 25 bit e quindi 255.255.255.128 = \25

• Dato l’indirizzo con maschera 146.43.67.140/26, indicare a quale rete appartiene tale IP

L’esercizio è semplice basta convertire tutti i numeri in binario.La maschera ha 26 bit a 1 ovvero 11111111.11111111.11111111.11000000

Ancora più semplice, per l’indirizzo IP i primi tre ottetti sono all’interno della maschera, quindi non sono influenti quando sovrapponiamo la maschera, traduciamo solo l’ultimo ottetto e scriviamo in forma ibrida

146.43.67.  10001100

Se poniamo uno sotto l’altro indirizzo e maschera, procediamo a fare la AND tra le cifre

146            .43             .67               .10001100

11111111.11111111.11111111.11000000

__________________________________

146           .43               .67               .10000000  -> ovvero la rete è 146.43.67.128

• Dato l’indirizzo 201.110.12.0/24, occorre suddividerlo per creare le seguenti sottoreti con un certo numero di host:
  • Laboratorio A con 50 host
  • Laboratorio B con 20 host
  • Laboratorio C con 10 host
  • Laboratorio D con 15 host

Mostrare, la nuova subnet mask scelta,  le sottoreti ottenibili e il primo ed ultimo host di ogni sottorete

Nell’esercizio, è fornito un indirizzo di classe C, con maschera a 24 bit ovvero in binario 11111111.11111111.11111111.00000000 -> NNNNNNNN.NNNNNNNN.NNNNNNNN.hhhhhhhh

Occorre suddividerlo in 4 sottoreti, quindi tocca rubare una parte dei bit più a sinistra dell’ultimo ottetto, per creare delle sottoreti. In questo caso servono 4 sottoreti ovvero in binario 4₁₀=11₂ Quindi ci basta assegnare indirizzi con la seguente sottomaschera a 24+2 bit=26

In questo modo degli 8 bit dell’ultimo ottetto, 2 li usiamo per le sottoreti e i restanti 6 per gli host ovvero ottenendo 2² reti con 2⁶ -2 host, ovvero ancora 4 reti con 64-2=62 host per sottorete. Nei laboratori il numero massimo di host richiesti è 50 che è inferiore a 62, quindi la scelta è applicabile.

Qual è la nuova subnet mask?

NNNNNNNN.NNNNNNNN.NNNNNNNN.SShhhhhh ovvero le reti apparterranno a 201.110.12.0/26

ovvero in binario 11111111.11111111.11111111.11000000

ovvero in decimale basta sommare le posizioni con bit a 1, i primi ottetti è semplice ed intuiti 2⁰+2¹+2²+2³+2⁴+2⁵+2⁶+2⁷ = 255

mentre nell’ultimo ottetto abbiamo i bit 2⁷+2⁶ =  128+64 = 192

La nuova maschera subnet è /26 in forma compatta oppure in decimale 255.255.255.192

Quali sono le sottoreti?

Le sottoreti possibili le otteniamo variando i bit scelti per la subnet. Se il lettore consente la forma ibrida comoda mista con la parte di rete che non varia perché assegnata lasciata in decimale:

201.110.12. 00  000000 -> Prima sottorete  201.110.12.0 /26

201.110.12. 01  000000 -> Seconda sottorete  201.110.12.64 /26

201.110.12. 10  000000-> Terza sottorete  201.110.12.128/26

201.110.12. 11  000000-> Quarta sottorete 201.110.12.192/26

Quali sono il primo e l’ultimo host disponibile nella singola sottorete?

Per rispondere al quesito prendiamo le singole reti ad esempio la prima 201.110.12. 00  000000  ma questa volta variamo non i primi due bit ma gli ultimi 6.

Gli host infatti saranno tutte le combinazioni che vanno da 201.110.12. 00  000000 a 201.110.12. 00 111111 ESTREMI ESCLUSI (i famosi 2⁶-2 ovvero il meno 2)

Quindi il primo è 201.110.12. 00 000001 ovvero tradotto in decimale 201.110.12.1

Mentre l’ultimo della prima sottorete 201.110.12.  00 111110 ovvero tradotto in decimale 201.110.12.

Ricapitolando il primo ed ultimo IP assegnabili della rete 201.110.12.0 /26 sono   201.110.12. 0.1 – 201.110.12. 62

Analogo ragionamento per la seconda sottorete. Gli host saranno 201.110.12. 01 000001 e 201.110.12. 01 11111110

Convertendo in decimale i singoli ottetti: 201.110.12.64.0 /26 ->  201.110.12.65 e 1201.110.12.126

La terza rete Gli host saranno 201.110.12. 10 000001 e 201.110.12. 10 111110 ovvero 201.110.12.128.0/26 -> 201.110.12.129 e 201.110.12.190/26

L’ultima sottorete 201.110.12. 11 000001 e 201.110.12. 11 111110 ovvero 201.110.12.192/26 -> 201.110.12.193 e 201.110.12.254

L'articolo Esercizi di indirizzamento (svolti) proviene da alfredocentinaro.it.