Separare ospiti e domotica dalla rete Wi-Fi principale
Collegare una telecamera economica o una lampadina smart alla stessa rete Wi-Fi del computer di lavoro spalanca le porte a rischi invisibili. Se quel dispositivo viene violato a causa di un firmware mai aggiornato, chiunque può scansionare la rete locale per curiosare tra le cartelle condivise o attaccare i dati archiviati.
I sensori della casa intelligente e i telefoni degli amici che chiedono la password non dovrebbero mai condividere lo stesso spazio con i computer dove gestiamo conti bancari o documenti privati. Bastano pochi interventi nelle impostazioni del modem per alzare un muro invalicabile tra gli apparecchi affidabili e quelli che devono solo navigare.
LEGGI ANCHE -> Come configurare il router wireless per una rete Wi-Fi sicura a casa
Attivare la rete ospiti per tagliare fuori gli apparecchi secondari
La rete ospiti crea un secondo punto di accesso senza fili isolato dal resto della casa. Il router assegna ai dispositivi collegati una classe di indirizzi differente e blocca il passaggio dei dati verso la rete principale, consentendo esclusivamente l'uscita verso i siti internet esterni.
La procedura richiede di accedere alle impostazioni del modem o del router inserendo l'indirizzo IP del gateway nel browser, solitamente 192.168.1.1 o 192.168.1.254. Una volta dentro, basta cercare la scheda wireless per abilitare la funzione, seguendo i passaggi per creare una rete ospite sul router Wi-Fi.
Per blindare questo secondo segnale occorre assegnare un nome di rete differente, scegliere una password robusta e impostare come standard di protezione WPA3-Personal oppure WPA2-AES. La precauzione fondamentale consiste nel disattivare la casella che consente agli ospiti di raggiungere la rete locale: nei modelli FRITZ!Box questa opzione isola i due ambienti in automatico, mentre sui modem distribuiti dagli operatori telefonici va controllata manualmente.
Un errore frequente riguarda il protocollo IPv6: molti router bloccano il traffico tra le reti su IPv4 ma lasciano attive le assegnazioni automatiche su IPv6, permettendo ai dispositivi isolati di dialogare comunque con i computer di casa. Per scongiurare questa falla occorre disattivare l'inoltro IPv6 sulla rete ospiti o accertarsi che il firewall del modem applichi il blocco su entrambi i protocolli.
Come funziona l'isolamento AP senza creare nuove reti
Molti apparati integrano la funzione Isolamento AP, indicata nei dispositivi in lingua inglese con il nome di Client Isolation o Station Isolation. Questa impostazione lavora a livello delle comunicazioni radio interne senza generare nuovi nomi di rete.
A differenza della rete ospiti, tutti gli utenti continuano a digitare la stessa password e a collegarsi al segnale abituale. Il punto di accesso wireless blocca però il traffico diretto tra le singole antenne: ciascuno smartphone o computer può dialogare unicamente con il router verso internet, rimanendo del tutto invisibile agli altri dispositivi connessi.
Questa regolazione si dimostra adatta soprattutto negli uffici con molte postazioni, nelle sale d'attesa o nei locali pubblici. Se un portatile collegato da un cliente ospita un software malevolo capace di replicarsi attraverso la rete locale, l'isolamento impedisce all'infezione di propagarsi verso i computer del personale presenti nella stessa stanza.
Come gestire stampanti e Chromecast senza rompere la sicurezza
Alzare una barriera difensiva rigida genera un impatto immediato sulle funzioni di condivisione a cui siamo abituati tutti i giorni. Quando colleghiamo uno smartphone alla rete isolata, il dispositivo perde all'istante la capacità di individuare la stampante senza fili o di trasmettere musica verso uno smart speaker.
I sistemi di trasmissione come Google Cast o Apple AirPlay sfruttano infatti il protocollo di scoperta automatica mDNS, che trasmette annunci continui all'interno dello stesso segmento di rete. Se la rete è isolata, questi pacchetti di annuncio vengono scartati dal firewall per motivi di sicurezza.
Nei router più moderni dotati di firmware avanzati o sistemi mesh si può superare questo limite attivando la funzione mDNS Reflector o proxy mDNS. Questo modulo permette al telefono presente sulla rete sicura di vedere il Chromecast isolato sulla rete ospiti, consentendo l'invio dello streaming ma bloccando qualsiasi richiesta non autorizzata partita dalla chiavetta verso il computer.
Dove questa funzione non è presente, conviene fare una distinzione netta tra le funzioni: prese smart, lampadine connesse e robot aspirapolvere possono lavorare in totale isolamento perché comunicano unicamente con i server cloud del produttore. Al contrario, televisori, ricevitori multimediali e stampanti devono rimanere agganciati alla rete principale per ricevere i comandi dai telefoni di famiglia.
La trappola del collegamento di due router in cascata
Chi riceve in dotazione un modem operatore molto blindato, privo delle impostazioni per gestire reti separate o l'isolamento dei client, può raggiungere lo stesso risultato aggiungendo un secondo router economico da collegare via cavo.
La procedura prevede di procurarsi un cavo Ethernet ad elevata velocità, inserirlo in una presa LAN del modem principale e farlo entrare nella porta WAN del secondo apparecchio. A questo punto possiamo collegare al modem un router nuovo senza cambiare rete oppure collegare due router wireless per distribuire due segnali radio del tutto indipendenti.
Attenzione però alla direzione del traffico, dove molti commettono uno sbaglio fatale: collegare le telecamere al secondo router credendo di averle isolate è un errore. Il firewall del secondo router blocca gli accessi provenienti dall'esterno verso la sua rete locale, ma consente a chi sta collegato a esso di raggiungere gli indirizzi del modem a monte. Chi vuole proteggere i propri documenti deve collegare i computer personali al secondo router, lasciando gli accessori domotici e gli ospiti sul modem di serie.
La suddivisione avanzata con le VLAN per dividere ogni stanza
Negli impianti che ospitano decine di componenti tra videocamere di sorveglianza e sensori domotici, il metodo più ordinato prevede la creazione di VLAN (Virtual Local Area Network) tramite apparati di rete gestibili.
Questa tecnologia permette di suddividere un unico router fisico in più corsie digitali indipendenti, identificate da un numero progressivo. Possiamo destinare la rete principale ai computer di casa, la seconda linea agli ospiti e creare una terza rete virtuale riservata esclusivamente agli accessori domotici.
Il vantaggio di questo sistema risiede nella possibilità di creare regole firewall a senso unico: impostando una regola che accetta solo le connessioni correlate o stabilite, il computer di casa potrà accedere ai parametri della telecamera, ma quest'ultima non potrà mai avviare una connessione verso il computer o inviare flussi verso server sconosciuti.
Diario di bordo di Navigaweb
Quando ho montato la prima telecamera economica, l'ho isolata collegandola a un secondo router in cascata, convinto di aver chiuso ogni porta. Analizzando i registri dei pacchetti ho scoperto la sorpresa: il secondo router bloccava gli ingressi ma lasciava uscire le connessioni verso la mia rete principale. Ho dovuto invertire subito lo schema, spostando i computer di lavoro a valle del secondo router e lasciando la domotica sul modem di serie. Il mio suggerimento è di verificare sempre la direzione: il firewall in cascata protegge solo chi sta dietro, mai chi si trova a monte.