Archivio » 2002 » dicembre » venerdì 6 »

Come installare una piccola (e sicura) rete locale

Scritto da Pietro Vassalli

Se si osserva la diffusione della tecnologia informatica e telematica che ha caratterizzato gli ultimi anni, si può notare come la presenza dei personal computer nella gran parte delle case non sia più limitata a un singolo calcolatore: è in costante aumento il numero dei possessori di più di un Pc.

I casi più comuni sono rappresentati da abitazioni in cui al desktop fisso si affianca il notebook del libero professionista, o da famiglie che utilizzano una macchina dedicata al divertimento e alla navigazione su Internet in concomitanza con un’unità per il lavoro da casa.

Situazioni analoghe sono quelle del piccolo ufficio dotato di una rete informatica, di dimensioni maggiori a quelle domestiche ma con problematiche analoghe per quanto riguarda lo scambio dei dati e la condivisione di stampanti o accesso a Internet.

L’introduzione di connessioni a banda larga come Adsl può costituire un ulteriore incentivo alla costituzione di reti locali interagenti in modo continuo con la Wan (Wide Area Network): se in passato i profili tariffari e la banda disponibile dissuadevano la maggior parte degli utenti privati dall’utilizzo di Internet per funzionalità evolute, la possibilità di accedere con costi fissi e buona velocità alla Rete offre a tutti l’opportunità di configurare un proprio server o operare in un ambiente always on-line.

Installare un piccolo network locale e configurarlo per l’accesso a Internet non è mai stato così allettante; le soluzioni possibili sono molte e vanno scelte sulla base delle necessità. Premettendo che ogni Pc che si vuole mettere in rete deve essere dotato di una scheda Ethernet per i collegamenti (da effettuarsi tramite cavi Rj-45, meglio se di categorie elevate per un eventuale aumento della velocità a Gigabit, quando i costi saranno più contenuti) e di un software che fornisca i protocolli di comunicazione (tipicamente Tcp/Ip, incluso in tutti i sistemi operativi più diffusi), è necessario distinguere due possibili casi: se i calcolatori da connettersi sono due, è sufficiente disporre di un unico cavo (di tipo cross, ovvero caratterizzato da una particolare schema di contatti). Se il numero di macchine è superiore, diventa indispensabile l’utilizzo di dispositivi che costituiscono a tutti gli effetti i “nodi” della Lan e dotati quindi di più porte Ethernet. L’offerta del mercato in questo senso propone due categorie di prodotti: hub e switch. I primi sono essenzialmente dei replicatori di segnale: qualsiasi tipo di dato in ingresso su una delle porte viene inoltrato su tutte le altre uscite. In questo modo l’unità chiamata in causa dalla comunicazione riceverà i dati contenenti il proprio identificativo e potrà rispondere. La semplice replicazione dei dati conferisce agli hub una notevole semplicità (con conseguente abbattimento del costo) ma rischia di saturare ben presto la rete con una quantità di informazione superiore a quella strettamente necessaria. Se si desidera ricorrere a una maggiore sofisticazione, si deve optare per gli switch (letteralmente, commutatori). Questi sono dotati di funzionalità intelligenti che consentono di “imparare” il corretto percorso di instradamento dei pacchetti e di inviare di conseguenza i dati solo sulle porte opportune. In tal modo gli switch generano meno segnali superflui, diminuendo la latenza del traffico all’interno del dispositivo. Ovviamente non si nota la differenza nell’ambito di piccole Lan, ma se si pensa di aumentarne le dimensioni, è il caso di optare per degli switch.

Una volta effettuata questa scelta, bisogna decidere se e come condividere la connessione. Una prima soluzione è dotare ciascuna macchina di un proprio modem, ma questa configurazione è onerosa, soprattutto nel caso in cui gli accessi debbano essere contemporanei, visto che per ciascun collegamento si deve prevedere teoricamente anche una linea telefonica.

In alternativa è possibile dedicare una macchina alla gestione e condivisione dell’accesso all’esterno. In questo caso si deve disporre di un software di routing che instradi i dati dalla rete esterna a quella locale e viceversa. I sistemi operativi Microsoft a partire da Windows 98 forniscono la funzione di condivisione della connessione ma, se si è utenti più esperti, ci si può affidare ad una macchina il cui sistema operativo sia Linux, i cui servizi di rete sono liberamente disponibili in licenza open source.

La situazione sopra descritta poco si addice a chi non ha intenzione di avere un Pc dedicato alla connessione remota: in questi casi si può optare per l’acquisto di un router di accesso, cioè di un dispositivo in grado di collegare l’intera Lan alla rete esterna. Una volta configurati correttamente gli indirizzi Ip dei Pc, magari automaticamente assegnati con il Dhcp (Dynamic Host Configuration Protocol) del router, esso sarà il gateway, cioè il cancello attraverso il quale uscire verso Internet. Nel caso si abbia un abbonamento Adsl, queste soluzioni possono essere utilizzate solo se il contratto con il provider prevede la possibilità di distribuire l’accesso su più Pc.

Un fattore determinante è senza dubbio la sicurezza, sia attiva che passiva, durante la navigazione. In questo ambito sono inclusi il mantenimento dell’investimento sulle risorse umane, impedendo la divagazione su siti assolutamente non inerenti il lavoro, e la prevenzione di accessi non autorizzati dall’esterno. Quest’ultimo problema è decisamente accentuato nel caso di connessioni permanenti come Adsl, in quanto la rete locale è esposta per lungo tempo con lo stesso indirizzo, spesso statico, direttamente su Internet.

Per rafforzare le difese della propria Lan si può pertanto pensare all’utilizzo di un firewall, ovvero di uno strumento che filtri il traffico tra mondo esterno e network locale. A seconda del tipo di firewall si ottengono risultati differenti: con un personal firewall, si impedisce il solo accesso dall’esterno; un firewall evoluto fornisce sicurezza completa per entrambi i problemi proposti, ma il prezzo da pagare è in genere decisamente alto, a meno di non rivolgersi a sistemi operativi open source (la cui configurazione è un’operazione spesso tutt’altro che semplice).

Ovviamente i firewall possono essere installati su computer dedicati a tale scopo, magari gli stessi che effettuano la connessione alla rete esterna, o risiedere come appliance su un router o su una blackbox con sistema operativo proprietario.

Il filtraggio del traffico può avvenire in diversi modi: si può ad esempio operare una discriminazione dei Pc collegati in rete attraverso delle Acl (Access Control List) che concedono o revocano privilegi osservando gli indirizzi fisici (Mac address) dei richiedenti. È poi possibile agire sullo stack Tcp/Ip e sulle porte di comunicazione che esso implementa: una porta è infatti il tramite che utilizzano i vari protocolli di livello applicativo per effettuare una comunicazione. Le porte cosiddette well known vanno dalla 0 fino alla 1024 e sono specifiche per determinate operazioni (ad esempio la 80 è dedicata al traffico Http). Un firewall può aprire determinate porte per consentire la comunicazione a programmi che necessitano il dialogo diretto tra l’interno e l’esterno. Infine uno strumento di sicurezza per chi non ha esigenze forti è senza dubbio il Nat (Network Address Translator): tale protocollo consente di mostrarsi sulla rete con un unico indirizzo Ip, nascondendo cosa si trova all’interno della Lan.

Molti dei router provati in questa comparativa comprendono all’interno del loro sistema operativo un firewall, necessario per la protezione della Lan. Spesso però risulta necessario consentire il raggiungimento dall’esterno di un Pc, magari perché ad esso sono assegnate le funzioni di server web o Ftp. Ecco perché i firewall spesso forniscono la possibilità di istituire una zona, in cui si definiscono delle regole meno stringenti che il per il resto della rete Lan, chiamata Dmz (DeMilitarized Zone).

Un utile strumento software per una prima verifica dello stato della sicurezza della propria Lan è l’utility GFI LANguard Network Security Scanner (reperibile gratuitamente sul sito www.gfi.com), che effettua una scansione degli indirizzi Ip della Lan e individua potenziali falle del sistema.

Esistono infine strumenti decisamente utili per chi vuole mantenere il proprio sito web ma non possiede un indirizzo Ip statico. Alcuni siti come www.dnstogo.com al seguito dell’installazione di un piccolo software sono in grado di associare dinamicamente una Url all’Ip assegnato di volta in volta dal provider al momento della connessione.

Ovviamente il consiglio è di rendere più sicuro possibile l’accesso alla macchina su cui risiede il server web, aggiornando tutto il software all’ultima versione disponibile e chiudendo tutte le porte non strettamente necessarie allo scopo. Il tutto continuando a vigilare su tale calcolatore.