Buongiorno, tra qualche mese mi trasferisco in un villino coperto da FTTH (credo soltanto open fiber) e devo far fare qualche lavoretto all'impianto elettrico. Con l'occasione passerò alla fibra, penso di cominciare con 1Gb/s. Normale uso domestico avanzato, tre persone, un po' di home office, un po' di domotica, un paio di videocamere di sorveglianza...
Vale la pena pensare fin da subito ad un firewall? Conviene che sostituisca il router del provider o conviene metterlo in serie (davanti tipo modem? Dietro per fargli fare solo da switch+app WiFi?) ? O magari "in parallelo", lasciando sul router del provider una lan/WLAN meno sicura, tipo DMZ e poi attaccare il resto della casa al firewall...?
Basta una di quelle appliance che si trovano su Amazon intorno ai 300-350€ Celeron Quad Core/16GB/256GB?

    Se ti fai queste domande presuppongo che tu sia un utente mediamente avanzato.
    Un firewall secondo me ti serve nel momento in cui:

    • esponi diversi servizi pubblicamente e vuoi controllare la loro esposizione granularmente
    • vuoi segmentare la tua rete domestica e stabilire delle regole di comunicazione fra le varie subnet.

    Non ritengo che in un'utenza come quella descritta da te sia necessario, ma se hai passione e ti piace "giocare" con questi attrezzi... procedi pure! Anche io sto pianificando un bel pfsense per la mia connessione domestica ma sono stato subito chiaro con me stesso: è un mio passatempo, non sarebbe necessario. Se devo connettermi alla mia rete domestica lo faccio tramite VPN e non espongo pubblicamente un bel niente.

    Se ti piace "giocare" lascia stare i router del provider e comprati tu i dispositivi che gradisci di più.

    L'appliance che hai segnalato è forse sovradimensionata per fare solo da firewall. A mio avviso bastano 4, massimo 8 GB di RAM e 32 GB di hard disk. Con un'appliance del genere ci installi un hypervisor tipo proxmox e ci virtualizzi altre cose oltre al firewall.

      m-toso Un firewall secondo me ti serve nel momento in cui:

      • il tuo ISP ti delega una subnet IPv6

        IMHO, per un impianto SOHO/IOT aperto ed espandibile, partirei da un buon managed switch.
        A quello poi colleghi i vari dispositivi: ONT, ROUTER/FW, AP, PC etc.
        Poi con VLAN sullo switch segmenti la tua rete a piacimento: LAN, WAN, DMZ, IOT, GUEST etc.
        Come Router/Firewall puoi comprare un NUC da poco: 4GB RAM, 64GB SSD con una sola NIC (1gbps o 2.5gbps) va benissimo. Installi opn/pfsense, definisci tutte le varie VLAN e ti gestisce tutta la rete.

          Ciao, mi collego qui in quanto e' un dubbio venuto pure a me. Sono in attesa di Dimensione ftth 2,5gb con ipv4 pubblico statico in quanto mi serve arrivare a casa per domotica, nas.
          Il loro router non e' male ma la parte firewall potrebbe essere sufficiente per avere una certa sicurezza? Fino ad ora non me lo sono posto il problema, sto con eolo fwa 200/50 e problemi di intrusione mai avute, esposti all' esterno c'è lo stretto necessario con porte non std e pass di certo non come 12345678, ma eolo non mi dava ipv6 e quindi qualsiasi apparato raggiungibile senza apertura di ip/porta.
          Grazie

          Non sono totalmente ignorante ma sono rimasto molto indietro... Pensavo che per fare stateful inspection o Next-generation firewall (che non so neanche bene che cosa sia... 🥴) su una connessione da 1Gb/s fosse necessaria tanta potenza di calcolo e RAM (per tabelle?) e forse HD (per cache?).
          Se mi sbaglio, tanto meglio! ☺️
          Che cosa ci faccio con il managed switch? Mi è sufficiente per fare i modo che, per esempio, la videocamera di sorveglianza comunichi soltanto con i nostri 2 o 3 cellulari e nessuno cerchi di prenderne il controllo? 👽

            d1ego Che cosa ci faccio con il managed switch? Mi è sufficiente per fare i modo che, per esempio, la videocamera di sorveglianza comunichi soltanto con i nostri 2 o 3 cellulari e nessuno cerchi di prenderne il controllo?

            Uno switch managed ti permette di gestire VLAN (virtual LAN). Per esempio puoi creare:

            VLAN 1: LAN (192.168.1.x) dove metti tutti i tuoi cellulari e computers
            VLAN 2: IOT (192.168.2.x) dove colleghi le telecamere e device vari di domotica

            Con appropriate regole nel firewall poi puoi specificare che la rete LAN (i tuoi cellulari) abbia accesso pieno alla rete IOT (le tue telecamere), ma non viceveresa.

            • d1ego ha risposto a questo messaggio
            • d1ego ha messo mi piace.

                d1ego Pensavo che per fare stateful inspection o (Next-generation firewall, che non so neanche bene che cosa sia...) su una connessione da 1Gb/s fosse necessaria tanta potenza di calcolo e RAM (per tabelle?) e forse HD (per cache?).

                Ed è così ma in genere in casa non la si fa perché prima di potenza di calcolo occorre conoscenza per sfruttarla: la sicurezza non è un prodotto, è un processo.
                Visto che citavi i cd. NGFW, prodotti (esempio) come i Fortinet Fortigate fanno quello ma con ASIC dedicati pur avendo CPU relativamente poco potenti: replicare certe prestazioni con CPU "classiche" è più arduo.

                  • [cancellato]

                  • Messaggio #9
                  • Modificato

                  d1ego Vale la pena pensare fin da subito ad un firewall?

                  (Quasi) Tutti i router in commercio oggi hanno anche un firewall integrato. Quanto sia flessibile dipende dall'interfaccia del router che permette di configurarlo. Usare un firewall separato può avere senso o meno, dipende cosa vuoi farci. Può anche bastare sostituire il router con uno più flessibile (in FTTH il modem è l'ONT).

                  m-toso Un firewall secondo me ti serve nel momento in cui:

                  No. molto riduttivo. Il firewall serve quando vuoi controllare cosa entra e cosa esce dal tuo network. Ad esempio potresti far sì che determinati dispositivi abbiano accesso solo ad HTTPS (e solo determinati IP), e non ad altro. Ad esempio nella mia rete ci sono dispositivi che hanno accesso solo a web e posta elettronica (e solo i server autorizzati), perché sono usati da utenti che non devono fare altro. SSH, RDP o qualsiasi altro protocollo non è utilizzato e non deve essere utilizzato. Se un dispositivo tentasse di fare traffico non autorizzato avrei un'alert che qualcosa non va.

                  mircolino con una sola NIC (1gbps o 2.5gbps) va

                  Ehm, no - almeno due, suvvia - o ti castri automaticamente il traffico sulla singola NIC.

                  d1ego ) su una connessione da 1Gb/s fosse necessaria tanta potenza di calcolo

                  Ci vuole più CPU che RAM, di questa ne basta relativamente poca. Poi dipende da quante regole hai attive in un dato momento. Poi se il firewall fa qualcosa di più dell'analisi del flusso TCP/IP, ma va anche a mettere il naso nei livelli superiori (es. individua e blocca certi protocolli, fa analisi del traffico web per bloccare determinati URL, keyword, ecc) allora le richieste di RAM possono aumentare.

                  d1ego Che cosa ci faccio con il managed switch?

                  Isoli appunto la rete delle telecamere (via VLAN) e poi con il firewall decidi quali dispositivi possono accedere a quella rete, e non altri.

                              [cancellato] Ehm, no - almeno due, suvvia - o ti castri automaticamente il traffico sulla singola NIC.

                              Certo, dipende sempre dall'uso che se ne fa'.
                              L'OP specificava: "FTTH da 1Gb/s, normale uso domestico avanzato, tre persone, un po' di home office, un po' di domotica, un paio di videocamere di sorveglianza...".
                              Per me una singola NIC I225 sarebbe più che sufficiente, pero' si ovvio, piu porte hai meglio e'.

                                Che voi sappiate, qualcuno dei fornitori offre un router "migliore" degli altri (es. più facilmente configurabile come fw e ap per ospiti...) oppure un buono sconto se non si prende il router fornito?

                                  mircolino
                                  Parli di appropriate regole nel firewall... Intendi nel managed switch o comunque mi serve un firewall?

                                      Il managed switch non gestisce regole, lo fa il firewall.
                                      Semplificando molto in un managed switch puoi decidere che reti assegnare a ciascuna porta.
                                      Esempio: porta 1 per il PC ci assegni la rete (VLAN) principale, porta 2 VLAN ospiti, porta 3 per l'access point gli fai passare sia la VLAN principale che la VLAN ospiti, porta 4 firewall e gli passi tutte le VLAN, porta 5 router VLAN WAN, porta 6 server domotico esposto su internet in VLAN DMZ, etc

                                      d1ego Un router/firewall ti serve comunque.

                                      In termini molto molto semplificati, i componenti base di una rete domestica sono 4: router, firewall, switch e access point. La maggioranza delle apparecchiature consumer (tipo quello che ti da il provider) li conglomera tutti in un unico device. Mentre per reti piu' avanzate in genere si usano device dedicati per ogni componente.

                                        • [cancellato]

                                        • Messaggio #15
                                        • Modificato

                                        d1ego Parli di appropriate regole nel firewall... Intendi nel managed switch o comunque mi serve un firewall?

                                        Gli switch managed di un certo livello permetto delle regole di accesso (ACL), che possono filtrare il traffico ma sono più scomode e complesse da usare rispetto alle regole di un firewall, ad esempio non accettano in automatico il traffico di ritorno tenendo traccia delle connessioni attive.

                                        Se hai impostato delle VLAN sulla rete queste non si potranno parlare tra loro a meno che non ci sia qualcosa che faccia routing fra le VLAN quando e dove necessario. Questo è uno dei motivi per i quali alle VLAN si assegnano subnet IP separate - è possibile fare routing facilmente.

                                        Gli switch con funzioni layer 3 possono fare inter-VLAN routing, ma di default fanno passare tutto il traffico. Se ci sono si possono usare le ACL di cui sopra, ma è più frequente usare un router/firewall che oltre a fare routing permette di controllare quale traffico è ammesso fra le VLAN.

                                        d1ego Che voi sappiate, qualcuno dei fornitori offre un router "migliore" degli altri (es. più facilmente configurabile come fw e ap per ospiti...) oppure un buono sconto se non si prende il router fornito?

                                        Dipende da quali router offrono in quel momento, quanto li hanno castrati a livello di firmware - e quanto facili da configurare devono essere. Ad esempio un sistema basata su VLAN è nettamente più sicuro e flessibile, ma è anche un poco più complesso da configurare. C'è chi comunque rifila il router in comodato gratuito e non fa sconti, altri se si prende il router fornito applicano costi all'incirca di 5 euro al mese per 24-48 mesi, che in totale non sono pochi. Però c'è chi anche (TIM, ad esempio) nel caso obbliga a prendere altre opzioni allo stesso prezzo.

                                            Più ci penso e più mi convinco che acquistare e gestire firewall, managed switch e access point(s) sia un overkill rispetto alle mie esigenze. Mi sto orientando verso un buon/ottimo "router" che faccia un po' di tutto (non al meglio, mi rendo conto).
                                            Mi pare che il UniFi Dream Router soddisfi le mie esigenze ma ci sono anche tanti altri prodotti di Asus, Netgear, Synology... Purtroppo tutte le recensioni che ho trovato si focalizzano sulle performance del WiFi ed a stento accennando alla parte sicurezza.
                                            Consigli? Qualcuno è migliore degli altri?

                                            mircolino ho visto che hai modificato il messaggio e così forse capisco meglio. Da quello che so/mi ricordo, se separo le VLAN sul managed switch, poi quelle VLAN dovranno rimanere fisicamente separate quindi mi serviranno, ad esempio, due o tre set di AP, uno per cellulari e portatili di casa, uno per IoT, uno per le videocamere (roba amatoriale, Wi-Fi) e poi magari anche un paio di switch, es. uno per PC e nas ed uno per la/le TV... Ed i relativi cavi dovranno andar in giro per casa separatamente... 😱
                                            No, no, costi e sbattimento (anche solo per progettare il tutto) insostenibili...
                                            Sempre se ho capito bene...

                                                d1ego VLAN sul managed switch, poi quelle VLAN dovranno rimanere fisicamente separate quindi mi serviranno, ad esempio, due o tre set di AP

                                                No no, le VLAN non devono rimanere fisicamente separate. L'AP e' connesso alla porta dello switch configurata come una VLAN Trunk (decidi tu quali e quante VLAN farci passare). Poi sull'AP ogni SSID "porta" una VLAN. Quindi non ti serve un AP per ogni VLAN.

                                                Devi pianificare la tua rete domestica e installare un AP in ogni punto dove vuoi WiFi. Poi su ciascun AP decidi tu quali e quante VLAN "farci arrivare".

                                                  Sono proprio rimasto indietro e piuttosto fermo alle basi. Già la tua risposta "di là" sui RoaS mi ha aperto un mondo... ☺️

                                                    d1ego Il concetto di VLAN non e' facile da padroneggiare, ma una volta che ci riesci puoi farci cose favolose😉

                                                      d1ego Sicuramente i nostri prodotti sono adatti al tuo uso.

                                                      Segmentazione/VLAN sono alla base di Keenetic e sono gestibili direttamente dall'interfaccia grafica, così come il Firewall.
                                                      Per qualsiasi dettagli specifico chiedi pure 🙂

                                                      ^L

                                                        • [cancellato]

                                                        • Messaggio #23

                                                        d1ego poi quelle VLAN dovranno rimanere fisicamente separate

                                                        No, l'idea delle Virtual LAN è appunto quella di avere delle reti separate sugli stessi cavi. Un link di "trunk" usa un singolo cavo sul quale passano pacchetti con i diversi tag VLAN, poi ci pensa chi li riceve ad accettarli sulla VLAN indicata o scartarli.

                                                        d1ego quindi mi serviranno, ad esempio, due o tre set di AP, uno per cellulari e portatili di casa, uno per IoT, uno per le videocamere

                                                        No, però devi a quel punto usare AP che abbiano il supporto per le VLAN. Questo permettono di creare SSID multipli, ognuno assegnato ad una VLAN diversa. Chi si collega ad uno specifico SSID automaticamente si trova sulla VLAN associata. Ad esempio sui miei AP ho 6 SSID associati ad altrettante VLAN - e ogni AP è collegato con un singolo cavo al suo switch.

                                                        d1ego e poi magari anche un paio di switch

                                                        Idem per gli switch, ci vogliono degli switch (smart)managed layer 2 che siano in grado di gestire le VLAN. Allo stesso switch puoi connettere dispostivi assegnati a VLAN diverse, ci pensa lo switch (opportunamente configurato) a smistare il traffico come necessario, evitando che dispositivi su VLAN diverse si vedano.

                                                        Questi dispositivi costano un po' di più di quelli senza supporto VLAN (gli switch smart managed L2 sono ormai piuttosto economici comunque), permettono una sicurezza di gran lunga maggiore. Ad esempio da quando c'è lo smarworking i dispositivi aziendali sono su una rete dedicata che non è visibile dal resto dei dispositivi di casa (e viceversa).

                                                        Poi se vuoi che alcune VLAN comunichino con altre - anche con regole specifiche che indichino chi e come - hai bisogno di un router/firewall sempre capace di gestire le VLAN con le opportune regole di routing e firewall.

                                                                Grazie! Ci sto capendo qualcosa... 🍻
                                                                Se non capisco male, un vantaggio di Ubiquiti sarebbe quello di creare il tutto su quello che loro chiamano gateway ed il deployment avviene automaticamente su tutti i dispositivi. Svantaggi? Costo, lock in...?

                                                                  • [cancellato]

                                                                  • Messaggio #25

                                                                  d1ego un vantaggio di Ubiquiti sarebbe quello di creare il tutto su quello che loro chiamano gateway ed il deployment avviene automaticamente su tutti i dispositivi.

                                                                  Sì, sono quei sistemi di gestione centralizzata che permettono di controllare tutti i dispositivi da un'unica applicazione, un altro esempio è Omada di TP-Link. Lo svantaggio principale è il lock-in, devi acquistare dispositivi compatibili con quel sistema. IMHO per chi deve gestire decine o centinaia di dispositivi è una manna dal cielo, per chi deve gestirne una manciata è comodo ma non indispensabile.

                                                                    In effetti nel mio sarebbero due o tre switch e due o tre access point... Uno tende a farsi prendere la mano ma ci sono tanti modi per spendere soldi...

                                                                      • [cancellato]

                                                                      • Messaggio #27

                                                                      d1ego

                                                                      Il numero di switch dipende da quante porte ti servono, e dalla difficoltà di far passare i cavi. Potendo far passare agevolmente i cavi si può anche usare un singolo switch con le porte necessarie. altrimenti tocca usarne più di uno (io ad esempio sono nel secondo caso)

                                                                      C'è poi da tenere conto che gli switch da 5/8/10 e a volte 16 porte li trovi fanless, specialmente quelli senza PoE. Altrimenti hanno le ventole e possono fare un po' di rumore.

                                                                      Il numero di AP invece dipende dal volume da coprire, e dagli ostacoli che il segnale incontra.

                                                                        • [cancellato]

                                                                        • Messaggio #29

                                                                        DarkJedi

                                                                        Sì, esistono anche a 2.5G e oltre - quelli che conosco io però sono modelli non proprio economici (DrayTek 1000B e 3910) - ci sono sicuramente di altre marche, ma come detto sopra le hai una macchina pfSense con porte a 2.5G non hai bisogno di un ulteriore router, se vuoi controllare i costi.

                                                                            • [cancellato]

                                                                            • Messaggio #31

                                                                            DarkJedi

                                                                            Mi spiace, solo 2.5G non ho modelli da consigliarti, anche perché a quel punto preferisco modelli multigig (cioè 1/2-5/5/10G), a parte il prezzo personalmente non ritengo vantaggioso a questo punto fare una rete LAN a 2.5 invece di 10G.

                                                                                [cancellato] scusa la mia ignoranza, ma rete lan da 10G intendi quella interna che non c'entra nulla con internet, giusto??

                                                                                    • [cancellato]

                                                                                    • Messaggio #33

                                                                                    DarkJedi

                                                                                    Sì, parlando di switch intendo la rete interna (LAN), ovviamente.

                                                                                        Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈
                                                                                        P.I. IT16712091004 - info@fibraclick.it

                                                                                        ♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile