Rendere l’infrastruttura più sicura, stabile e manutenibile
Dopo aver analizzato configurazione, routing, sicurezza, monitoraggio e troubleshooting, è il momento di consolidare il tutto con best practice e tecniche di hardening. L’hardening degli switch riduce la superficie di attacco, previene errori operativi e migliora l’affidabilità complessiva della rete.
Questo articolo raccoglie linee guida pratiche e operative, applicabili in ambienti enterprise, PMI e reti strutturate.
Perché fare hardening sugli switch
Senza hardening, uno switch può diventare:
- un punto di accesso non controllato
- una fonte di instabilità
- un bersaglio per attacchi interni
L’obiettivo è:
- 🔐 aumentare la sicurezza
- ⚙️ migliorare la stabilità
- 🧠 semplificare la gestione
Best practice di progettazione
Segmentazione della rete
- Separare VLAN per utenti, server, guest, VoIP e management
- Usare VLAN di transito dedicate verso firewall
- Evitare VLAN 1 per traffico operativo
Gerarchia degli switch
- Core / Distribution / Access
- Root Bridge STP sugli switch centrali
- Routing sui livelli appropriati
Hardening dell’accesso allo switch
Disabilitare servizi non necessari
- Telnet ❌
- HTTP non sicuro ❌
Abilitare solo:
- SSH
- HTTPS
Controllo accessi amministrativi
- Utenti nominativi (no account condivisi)
- Password complesse
- AAA con RADIUS / TACACS+
Esempio Cisco:
aaa new-model
aaa authentication login default group radius local
Protezione delle porte fisiche
Porte inutilizzate
- Disabilitare le porte non in uso
- Assegnarle a VLAN di parcheggio
interface range Gi0/10-24
shutdown
Porte access
- Port Security
- BPDU Guard
- DHCP Snooping
Porte trunk
- Consentire solo le VLAN necessarie
- Disabilitare DTP (Cisco)
switchport nonegotiate
Hardening STP
- Usare RSTP o MSTP
- Impostare manualmente il Root Bridge
- Abilitare:
- BPDU Guard
- Root Guard
Hardening di rete e protocollo
Storm Control
Previene broadcast storm accidentali:
interface Gi0/1
storm-control broadcast level 5
DHCP Snooping + DAI
- Protezione contro rogue DHCP
- Prevenzione ARP spoofing
Logging, backup e auditing
Logging
- Centralizzare Syslog
- Monitorare eventi critici
Backup configurazioni
- Backup automatici
- Versioning
- Conservazione off-site
Aggiornamenti firmware
- Pianificare update regolari
- Verificare bug di sicurezza
- Test in ambiente di staging
Naming convention e documentazione
- Nomi coerenti per:
- switch
- interfacce
- VLAN
- Diagrammi di rete aggiornati
- Documentazione accessibile
Checklist di hardening (riassunto)
- VLAN di management dedicata
- SSH / HTTPS only
- AAA / RADIUS
- Porte inutilizzate disabilitate
- Port Security
- BPDU Guard / Root Guard
- DHCP Snooping + DAI
- Syslog e SNMP
- Backup configurazioni
- Firmware aggiornato
Errori comuni da evitare
- Configurazioni non documentate
- Accesso admin senza controllo
- Porte aperte inutilmente
- Nessun backup
Conclusione
L’hardening degli switch non è un’attività opzionale, ma una pratica fondamentale di sicurezza e affidabilità. Applicare queste best practice significa costruire una rete robusta, sicura e pronta a crescere.
Con questo articolo si completa la serie sulla gestione avanzata degli switch di rete.
Serie: Gestione avanzata degli switch di rete