Lo Spanning Tree Protocol (STP) impedisce la formazione di loop nelle LAN progettate con percorsi fisici ridondanti. Senza STP, i loop causano broadcast storm che possono bloccare la rete. STP garantisce un solo percorso attivo alla volta tra due dispositivi, mantenendo i collegamenti ridondanti in standby come alternative in caso di guasto (fault tolerance).
L’algoritmo STP richiede un tempo affinché la topologia logica converga: tipicamente 30–50 secondi.
Un solo switch eletto come root per l’intera LAN.
Su ogni switch non-root: la porta con il percorso più breve verso il Root Bridge.
Su ogni segmento: la porta “più vicina” alla root che inoltra. Le altre vengono bloccate.
| Stato | Significato (in sintesi) | Cosa fa la porta |
|---|---|---|
| Blocking (BLK) | Previene loop (porte non designate) | Riceve solo BPDU, scarta frame, non apprende MAC |
| Listening | Costruzione topologia “attiva” | Ascolta e partecipa a STP, non inoltra dati |
| Learning | Popola tabella di bridging | Apprende MAC, ma non inoltra traffico dati |
| Forwarding (FWD) | Porta operativa | Inoltra e riceve dati, apprende MAC |
| Disabled | Disabilitata da amministratore | Nessuna attività |
Le VLAN (Virtual LAN) sono gruppi di dispositivi che si comportano come se fossero nello stesso dominio di broadcast, indipendentemente dalla posizione fisica. Segmentano una LAN switched in domini di broadcast più piccoli, migliorando prestazioni e sicurezza.
Per far comunicare host in VLAN diverse è necessario un router o uno switch Layer-3.
Un trunk è un collegamento punto-punto (spesso la porta più veloce) che trasporta traffico di VLAN diverse (fino a 4096).
IEEE 802.1Q definisce l’inserimento di un campo di 4 byte nel frame Ethernet per gestire il tag VLAN.
| Campo | Descrizione |
|---|---|
| TPID | Tag Protocol ID |
| User Priority | 3 bit per la priorità (QoS) |
| CFI / DEI | Canonical Format Indicator (oggi DEI) |
| VLAN ID | 12 bit: identificativo VLAN |
VTP è un protocollo proprietario Cisco che consente la propagazione automatica delle configurazioni VLAN tra switch.
Dove si effettuano le modifiche (origine delle VLAN).
Riceve e applica i cambiamenti propagati.
Inoltra gli aggiornamenti senza applicarli.
Il firewall è una linea di difesa tra la LAN aziendale e la WAN (Internet): filtra i pacchetti in entrata e in uscita secondo regole prestabilite (policy).
Filtra a livelli bassi (Network/Transport) usando IP, porte e protocolli.
Opera a livello Application: molta protezione, ma meno velocità.
Controlla lo stato delle connessioni e consente solo traffico parte di sessioni legittime.
Le ACL sono elenchi di istruzioni applicate sui router per filtrare traffico in entrata e in uscita.
Un Proxy Server è un programma che si interpone tra client e server, fungendo da tramite. Nella maggior parte dei casi opera a livello Application.
Il NAT è una tecnica attuata dal router che sostituisce l’indirizzo IP (sorgente o destinazione) nell’header IP. È usata per consentire a una LAN con indirizzi privati di accedere a Internet usando indirizzi pubblici, mascherando gli host interni (anche per ragioni di sicurezza/praticità).
Traduce un IP privato in un IP pubblico prestabilito.
Usa un pool di IP pubblici assegnati dinamicamente alle uscite.
Un singolo IP pubblico gestisce molte connessioni traducendo anche le porte.
Il PAT è un’evoluzione del NAT: permette di usare un singolo indirizzo pubblico per gestire oltre 64.000 connessioni private contemporaneamente, traducendo anche il numero di porta.
IPv6 nasce per risolvere la scarsità di indirizzi (quindi NAT non è necessario per “risparmio IP”), ma esistono tecniche come NAT-PT per la comunicazione tra reti IPv6 e reti IPv4.
La DMZ è una “terza zona” separata sia dalla LAN aziendale sia dalla WAN. Il traffico in entrambe le direzioni è fortemente limitato e controllato. Serve per ospitare servizi accessibili dall’esterno (es. web/mail server) senza compromettere la sicurezza interna.
Una singola appliance firewall separa WAN e DMZ: tutto il traffico in ingresso/uscita dalla DMZ passa dal firewall.
Due firewall: external (WAN↔DMZ) e internal (DMZ↔LAN). È considerata una configurazione più sicura.