Braccoz non oso neanche immaginare l'obrobrio che si debba fare per avere un doppio nat aggirabile cambiando una netmask
Scusa se non l'ho palesato, ma voleva essere un'esagerazione, non intendevo precisamente cambiare una subnet mask. Comunque a memoria qualche firewall di router che si faceva ingannare dall'IP sorgente ricordo di averlo beccato.
E era un discorso generale, sicuramente il tuo setup sarà inespugnabile per via di filtri vlan, firewall perimetrali e quant'altro, ma arrivare a dire che il NAT da solo isoli la rete LAN mi sembra un po' too much.
Per farti capire dove voglio andare a parare, un'altra cosa carina che posso fare avendo il pieno controllo del router a monte è mettermi a modificare tutto il traffico DNS o NTP.
Tu sicuramente mi dirai che il tuo firewall non fa uscire traffico NTP o DNS in chiaro o che nessun tuo dispositivo ha un client NTP vulnerabile o è soggetto a attacchi di tipo https downgrade, ma lo vedi che il tuo modello di sicurezza va ben oltre il "NAT mi protegge"?
