Questo non è un pezzo sull'accesso da fuori: di VPN, Conditional Access e Zero Trust abbiamo parlato in un articolo dedicato, e del Wi-Fi in trasferta nel pezzo su come lavorare dalla casa al mare. Qui restiamo dentro la sede: i cavi, gli apparati e i dispositivi che stanno fra la scrivania e la linea del provider. È la parte dell'infrastruttura che si nota solo quando smette di funzionare, e che proprio per questo, in molte PMI, è rimasta com'era il giorno dell'installazione.
Prima di comprare banda, misura
«È lenta» non è una diagnosi. Prima di cambiare contratto servono quattro numeri, presi in due momenti diversi — alle otto del mattino con l'ufficio vuoto e alle dieci e mezza con tutti al lavoro:
L'upload, non solo il download. Le offerte si vendono sulla velocità di scaricamento, ma una videochiamata, un salvataggio verso il cloud o una copia di backup notturna consumano banda in uscita. Una linea da 1 Gbit in download e 100 Mbit in upload, condivisa da venti persone in call, satura in salita molto prima che in discesa.
La latenza e la sua variabilità. Una rete può avere banda in abbondanza e comunque far scattare le videochiamate, perché i pacchetti arrivano a singhiozzo. Se il tempo di risposta è stabile a vuoto e diventa irregolare a ufficio pieno, il problema è quasi sempre interno.
La saturazione degli apparati. Il router o il firewall hanno un limite di traffico che riescono a ispezionare, e spesso è molto più basso della linea che gli arriva. Se la CPU dell'apparato sta al 100% alle dieci del mattino, puoi comprare la fibra più veloce del mondo e non cambierà niente.
L'ora e il luogo. Rallenta per tutti o solo al piano di sopra? Tutto il giorno o solo quando parte la sincronizzazione dei file? Solo in Wi-Fi o anche via cavo? Ogni risposta esclude metà dei colpevoli.
Nove volte su dieci, alla fine delle misure, la linea del provider risulta innocente. Il collo di bottiglia è dentro l'ufficio, e costa molto meno di un contratto nuovo.
I soliti sospetti (e nessuno è la linea)
I colpevoli ricorrono con una regolarità quasi noiosa. Il primo è l'apparato consumer: il router da negozio di elettronica o quello dato in comodato dal provider, progettato per una famiglia e messo a reggere un ufficio di quindici persone con due server. Il secondo è l'access point unico, magari in fondo al corridoio, a cui si aggrappano quaranta dispositivi fra portatili, telefoni personali e tablet: il Wi-Fi è un mezzo condiviso, e ogni dispositivo in più lo rallenta per tutti. Il terzo è lo switch non gestito comprato di corsa per aggiungere quattro prese, spesso a 100 Mbit, spesso messo in cascata con altri due, spesso dietro una scrivania dove qualcuno lo spegne con il piede.
Poi ci sono i problemi che non si vedono: il cablaggio vecchio o fatto in economia, una presa a muro che negozia a velocità ridotta, un cavo schiacciato sotto una porta; e il DNS, cioè il servizio che traduce i nomi dei siti in indirizzi, che se risponde lento fa sembrare lenta tutta internet anche quando la banda è libera. Nell'articolo sul PC lento avevamo lasciato aperta l'ipotesi «non è il PC, è la rete»: ecco dove si va a guardare quando è davvero la rete.
Chi ha un locale con cassa e POS ha già visto una versione di questo discorso nella checklist anti-panico: cavo sulla cassa invece del Wi-Fi e linea di backup in 4G/5G. Valgono identiche anche in ufficio, per le postazioni fisse e per il gestionale.
Il problema vero: una rete piatta
Qui cambia il tono, perché la lentezza è fastidiosa ma la rete piatta è pericolosa. «Piatta» significa che tutto sta sullo stesso segmento: il PC dell'amministrazione, il server con il gestionale, le telecamere di videosorveglianza, la stampante multifunzione, il NAS, il termostato intelligente, la smart TV della sala riunioni e il telefono personale del collega collegato al Wi-Fi aziendale. Ogni dispositivo può parlare con tutti gli altri, e nessuno si è mai chiesto se debba.
Il motivo per cui conta è semplice: chi entra da un punto qualsiasi raggiunge tutto il resto. Una telecamera con la password di fabbrica, una stampante con un firmware del 2019, un portatile personale infettato a casa: in una rete piatta sono tutte porte d'ingresso verso il server. La segmentazione in VLAN — reti logiche separate sullo stesso cablaggio, con regole precise su chi può parlare con chi — si presenta spesso come una misura di prestazioni. È soprattutto una misura di contenimento: se qualcosa va storto in un segmento, resta lì.
Una divisione ragionevole per una PMI ne prevede poche: le postazioni di lavoro, i server, le stampanti e i dispositivi dell'edificio (telecamere, controllo accessi, domotica), la rete ospiti e i dispositivi personali, con quest'ultima che vede internet e basta. Non serve un progetto da grande azienda: serve un firewall vero al posto del router del provider, capace di fare da vigile fra i segmenti. Per questo, nelle sedi che seguiamo, lavoriamo con apparati WatchGuard, che fanno da firewall perimetrale e al tempo stesso da punto di controllo del traffico interno.
Il router del provider non è un firewall
È un equivoco molto diffuso: «abbiamo il firewall, è dentro il router». Il router del provider ha un filtro di base, pensato per non lasciare entrare traffico non richiesto in una casa. Non ispeziona il contenuto, non separa i segmenti interni, non produce registri leggibili, e soprattutto accumula negli anni le porte aperte verso internet che qualcuno ha chiesto e nessuno ha mai chiuso: quella per vedere le telecamere dal telefono, quella per il tecnico del gestionale, quella per il centralino.
In cima alla lista delle porte da cercare c'è il desktop remoto (RDP) esposto direttamente su internet: è ancora oggi una delle vie d'accesso preferite da chi attacca le piccole aziende, perché basta indovinare o comprare una password per trovarsi seduti davanti al server. Se per lavorare da fuori serve un accesso, si passa dagli strumenti descritti nell'articolo su VPN e Zero Trust, non da una porta aperta.
Cosa c'è attaccato alla tua rete?
Provate a rispondere senza guardare: quanti dispositivi sono collegati in questo momento alla rete dell'ufficio? Quando facciamo l'inventario per la prima volta, il numero reale è quasi sempre il doppio di quello stimato. E fra i dispositivi censiti ne compaiono sempre due o tre che nessuno sa cosa siano: un vecchio NAS acceso in uno sgabuzzino, un ripetitore Wi-Fi comprato da un dipendente, una scatoletta lasciata da un fornitore anni fa. Ognuno è un punto d'ingresso che nessuno aggiorna e nessuno controlla.
E qui torna un tema già affrontato: gli apparati di rete hanno un firmware che va aggiornato come qualsiasi altro sistema, e il firewall esposto su internet sta in cima alla coda. L'ordine e il metodo li abbiamo spiegati nel pezzo sugli aggiornamenti rimandati tutta l'estate; qui basta ricordare che uno switch o un access point con il software di cinque anni fa non è «un apparato che funziona», è un apparato che nessuno ha guardato.
Senza schema, ogni guasto è un'indagine
L'ultima gamba è la più banale e la più trascurata. In quante aziende esiste un disegno della rete? Uno schema su una pagina, che dica dove arriva la linea, dove sta il firewall, quanti switch ci sono e dove, quali segmenti esistono e cosa ci sta dentro, quali prese a muro portano a quale porta. Senza quel foglio, ogni guasto diventa un'indagine: il tecnico arriva, apre l'armadio e passa la prima ora a capire cosa sta guardando. Con quel foglio, la stessa ora serve a risolvere il problema.
Insieme allo schema servono le credenziali degli apparati — firewall, switch, access point, router del provider — custodite nel password manager aziendale e non su un post-it attaccato all'armadio rack, né nella testa del tecnico che ha installato tutto e poi ha cambiato lavoro. E serve un referente con nome e cognome: una persona, interna o esterna, a cui si chiede prima di attaccare qualcosa di nuovo alla rete. È lo stesso principio della pagina unica con i nomi accanto che avevamo proposto nell'audit di rientro: ciò che non ha un responsabile, prima o poi, non ha nessuno.
In sintesi
Quando la rete dell'ufficio rallenta a settembre, il primo istinto è comprare banda; il gesto giusto è misurare upload, latenza, carico degli apparati e orari, perché il collo di bottiglia è quasi sempre dentro l'ufficio — il router consumer, l'access point unico, lo switch non gestito, il cablaggio, il DNS. Ma la lentezza è il sintomo minore. Il problema serio è la rete piatta, in cui telecamere, stampanti, dispositivi personali e gestionale si vedono tutti: va segmentata, protetta da un firewall vero e ripulita dalle porte aperte verso internet. E va scritta: schema su una pagina, credenziali nel password manager, un nome accanto.
C'è un motivo per chiudere settembre con questo tema. Martedì prossimo, aprendo il mese europeo della sicurezza informatica, racconteremo come si svolge davvero un attacco ransomware: come entra, quanto resta in silenzio e cosa si porta via prima di cifrare. E vedremo che la rete piatta è il suo miglior alleato: è quella che trasforma un portatile infetto in un'azienda ferma.
Vuoi sapere com'è fatta davvero la rete del tuo ufficio? Contattaci: misuriamo dove rallenta, facciamo l'inventario di tutto ciò che è collegato, chiudiamo le porte esposte, progettiamo la segmentazione e ti lasciamo lo schema su una pagina con le credenziali al loro posto.
Articoli collegati: VPN, Zero Trust o Conditional Access · Gli aggiornamenti che hai rimandato tutta l'estate · POS bloccato: la checklist anti-panico