RIPASSONE SALVA 🍑

Sei ore sembrano tantissime alle 8:30 del mattino. Non lo sono. Il rischio numero uno non è "non sapere", è finire il tempo mentre stai ancora ricopiando in bella. La regola d'oro: prima ragiona, poi scrivi. Non buttarti subito sulla bella copia.

Un foglio protocollo ben impostato è metà del lavoro. Dai un ruolo fisso a ogni pagina: così non ti perdi e il commissario capisce subito che hai un metodo.

• Pagina 1 — Analisi della realtà: è il riassunto della prova. Scrivi con parole tue cosa chiede la traccia, così ti chiarisci le idee e dimostri di aver capito il problema.
• Pagina 2 — Ipotesi aggiuntive: lasciala volutamente in bianco. Mentre svolgi la prova ti verranno in mente nuove assunzioni ragionevoli (es. "ipotizzo connettività in fibra", "ipotizzo 50 host per sede"): le aggiungi qui senza stravolgere il resto.
• Pagina 3 — Schema logico: il disegno della rete come se fossi davanti a Cisco Packet Tracer. Posiziona cloud Internet, router, firewall, DMZ, switch e LAN. Questo schema ti guida in tutto il resto della prova.
• Dalla pagina 4 in poi — Sviluppo: rispondi ai quesiti in modo schematico, con elenchi puntati e spazio tra i paragrafi. Chi corregge legge meglio e tu eviti di "dimenticare" pezzi.

Se nella traccia compare una sede centrale che eroga servizi alle altre sedi e/o a Internet, la sua struttura sarà più o meno quella di una DMZ con doppio firewall. È lo schema "jolly" che puoi riproporre in quasi tutte le prove.

Leggendo lo schema dall'alto: Internet arriva al router, passa il firewall esterno, entra nella DMZ (dove vive la stanza server raggiungibile dall'esterno), poi un firewall interno protegge la LAN degli uffici. È esattamente la topologia che riproporrai sul foglio 3.

La DMZ (DeMilitarized Zone) è una rete cuscinetto tra Internet e la LAN interna. Ci metti i server che devono essere raggiungibili dall'esterno: se un attaccante li compromette, resta comunque "bloccato" nella DMZ e non arriva direttamente ai dati interni.

• Firewall esterno (external): sta tra Internet e la DMZ. Lascia passare verso la DMZ solo il traffico dei servizi pubblici (es. 80/443 verso il web server, 53 verso il DNS) e blocca tutto il resto.
• Firewall interno (internal): sta tra la DMZ e la LAN. È più severo: impedisce che, partendo dalla DMZ, si raggiunga la rete interna. La LAN può uscire, ma la DMZ non può "entrare".
• Doppio firewall = "screened subnet": per bucare la rete interna un attaccante dovrebbe superarli entrambi, idealmente di vendor diversi. Da qui il nome "doppio cuscinetto".

Entrambi i firewall filtrano il traffico con le regole ACL (Access Control List): elenchi ordinati di regole permit / deny valutate dall'alto in basso, in base a IP sorgente, IP destinazione, protocollo e porta. La prima regola che combacia decide; in fondo c'è sempre un deny implicito (tutto ciò che non è esplicitamente permesso è negato).

! Permetti dall'esterno solo HTTP/HTTPS verso il web server in DMZ
FW(config)# access-list 110 permit tcp any host 192.168.10.2 eq 80
FW(config)# access-list 110 permit tcp any host 192.168.10.2 eq 443
FW(config)# access-list 110 permit udp any host 192.168.10.3 eq 53
FW(config)# access-list 110 deny   ip any any        ! deny implicito esplicitato
FW(config)# interface g0/0
FW(config-if)# ip access-group 110 in

Regola pratica: nella DMZ ci va ciò che il mondo esterno deve raggiungere (web, DNS pubblico, mail in ingresso). Nella LAN ci va ciò che resta interno e custodisce i dati (database, file, autenticazione, DHCP). Per ogni server scrivi sempre: a cosa serve, protocollo e porta.

Usa un Access Point (AP) ogni volta che la traccia parla di dispositivi mobili, portatili, BYOD, tablet, IoT o aree senza cavo (sale riunioni, magazzini, aule, aree clienti). L'AP collega i dispositivi wireless alla LAN cablata: di solito lo attacchi a una porta dello switch e gli associ la VLAN giusta.

• Quando metterlo: copertura Wi-Fi per uffici/sale, ospiti su una VLAN separata, terminali mobili in magazzino, postazioni temporanee. Per aree ampie usi più AP gestiti da un WLAN Controller.
• WPA3: è il protocollo di sicurezza Wi-Fi più recente. Sostituisce la vecchia 4-way handshake con SAE (Simultaneous Authentication of Equals), che protegge dagli attacchi a dizionario sulla password e garantisce forward secrecy (se rubano una password, le sessioni passate restano cifrate).
• WPA3-Personal: password condivisa (SAE), ideale per piccole reti. WPA3-Enterprise: ogni utente ha credenziali proprie verificate dal RADIUS via 802.1X — è la scelta giusta in azienda.
• AES: è l'algoritmo di cifratura simmetrica che protegge i dati in volo (in Wi-Fi tramite la modalità CCMP). Stessa chiave per cifrare e decifrare, robusto e veloce. WPA3 usa AES; il vecchio TKIP/WEP non si usa più.

Una VPN crea un "tunnel" cifrato dentro Internet, così è come se due reti (o un utente e una rete) fossero collegati da un cavo privato. Ne esistono due tipi: scegli in base a chi deve collegarsi.

• Differenza chiave: la site-to-site unisce reti (gateway-to-gateway, sempre su); l'accesso remoto collega persone (client-to-gateway, all'occorrenza).
• A cosa servono: garantire riservatezza (cifratura), integrità (i dati non vengono alterati) e autenticazione passando su Internet pubblico senza affittare linee dedicate.

Tira fuori Arduino o Raspberry Pi quando la traccia parla di sensori, oggetti connessi, monitoraggio sul campo, veicoli, macchinari: sono i "mattoncini" dell'IoT che raccolgono dati dove un PC non ha senso.

Esempio classico — flotta di car-sharing: su ogni veicolo monti una scheda che si collega in mobilità con una SIM su rete 5G, si geolocalizza con un'antenna GPS e legge i parametri dell'auto dalla porta OBD-II (la presa diagnostica standard delle automobili) per monitorare batteria e velocità. I dati vengono inviati alla piattaforma centrale, che mostra in tempo reale posizione e stato di salute di ogni mezzo.

• Sul veicolo: Raspberry (o Arduino + modulo) → modulo GPS → modulo 5G/LTE con SIM → lettore OBD-II per batteria e velocità.
• Trasmissione: i dati viaggiano cifrati (HTTPS/MQTT su TLS) verso il server della sede centrale.
• In sede: un server raccoglie i dati, li salva nel DB e li mostra su una dashboard (mappa + allarmi batteria scarica / velocità anomala).

Il routing serve solo quando ci sono più router che devono comunicare tra loro (più sedi, più reti). Se hai un solo router o reti già direttamente connesse, non ti serve configurare rotte.

! --- Routing STATICO: raggiungo la rete 192.168.2.0/24 via 10.0.0.2 ---
R1(config)# ip route 192.168.2.0 255.255.255.0 10.0.0.2
! Rotta di default verso Internet
R1(config)# ip route 0.0.0.0 0.0.0.0 200.0.0.1

! --- Routing DINAMICO con OSPF ---
R1(config)# router ospf 1
R1(config-router)# network 10.0.0.0 0.0.0.3 area 0
R1(config-router)# network 192.168.1.0 0.0.0.255 area 0

Una VLAN (Virtual LAN) divide logicamente un unico switch fisico in più reti separate. Così metti, per esempio, "Amministrazione", "Produzione" e "Ospiti" su VLAN diverse: non si vedono tra loro anche se attaccati allo stesso switch, e per farle comunicare serve un router (router-on-a-stick o switch L3).

• Porta in modalità ACCESS: appartiene a una sola VLAN. La usi per collegare i dispositivi finali (PC, stampante, telefono IP, AP).
• Porta in modalità TRUNK: trasporta più VLAN insieme usando il tag 802.1Q. La usi tra switch e switch, o tra switch e router.

! 1) Creo le VLAN
SW(config)# vlan 10
SW(config-vlan)# name AMMINISTRAZIONE
SW(config)# vlan 20
SW(config-vlan)# name PRODUZIONE

! 2) Porta ACCESS verso un PC (VLAN 10)
SW(config)# interface fa0/1
SW(config-if)# switchport mode access
SW(config-if)# switchport access vlan 10

! 3) Porta TRUNK verso un altro switch / router (tutte le VLAN)
SW(config)# interface g0/1
SW(config-if)# switchport mode trunk
SW(config-if)# switchport trunk allowed vlan 10,20

Il subnetting FLSM (Fixed Length Subnet Mask) divide una rete in sottoreti tutte della stessa dimensione. È il metodo più semplice e quello che quasi sempre basta all'esame: scegli la subnet abbastanza grande da contenere la sede con più host, e la usi uguale per tutte.

Esempio completo: rete di partenza 192.168.1.0/24, servono 4 sottoreti uguali → maschera /26, 62 host ciascuna, salto 64.