Firewall software per piccole imprese: la configurazione che riduce i rischi senza complicare la rete

Blocca tutto in ingresso, consenti in uscita solo ciò che serve, separa gli ambienti e obbliga il traffico DNS a passare dal tuo resolver. Aggiungi una VPN con MFA e log centralizzati. Questa è la configurazione che riduce i rischi senza complicare la rete.

Che cosa serve davvero

Un firewall software su hardware x86 con due schede di rete è sufficiente per la maggior parte delle piccole imprese. CPU con AES-NI, 4-8 GB di RAM, storage SSD e due porte Gigabit. Funziona anche come macchina virtuale, se l’hypervisor è stabile e ben isolato.

I sistemi più diffusi offrono routing, NAT, VLAN, VPN, DNS filtrato e IDS/IPS. Sfruttali in modo essenziale. Niente funzioni esotiche se non portano valore misurabile.

Topologia semplice, controllo efficace

Tre reti bastano nella maggior parte dei casi: Ufficio, Ospiti, IoT/Produzione. Ogni rete è una VLAN con regole dedicate. La rete Ospiti esce solo verso Internet. La rete IoT parla con l’esterno ma non con l’Ufficio. L’Ufficio accede ai server con porte mirate.

Se ospiti servizi pubblici (siti, posta, VPN), usa una piccola DMZ separata. Il traffico dall’esterno alla DMZ è filtrato; dalla DMZ verso l’interno è ridotto al minimo.

Mantieni NAT attivo per nascondere la topologia interna. Disattiva UPnP. Ogni eccezione deve essere tracciata e data-driven.

Regole di traffico: poche ma buone

• Default deny in ingresso su WAN. Niente porte esposte, salvo VPN o servizi pubblici in DMZ.
• Default allow in uscita per Ufficio, ma con limiti: web (80/443), posta del provider, NTP, aggiornamenti software. Blocca SMTP diretto, P2P e categorie ad alto rischio.
• DNS controllato: obbliga tutte le VLAN a usare il resolver del firewall. Blocca 53/853 verso l’esterno, tranne dal resolver. Attiva filtro malware e domini appena creati.
• East-west minimo: tra VLAN niente traffico, salvo regole puntuali. Esempio: Ufficio → Server files 445/TCP; Ufficio → ERP 1433/TCP; IoT → solo cloud del fornitore via 443/TCP.
• Rate limit su servizi pubblici e GeoIP block per Paesi non pertinenti al business, se compatibile con la tua operatività.

Servizi di sicurezza integrati

Abilita IDS/IPS con profilo bilanciato. Aggiorna le firme automaticamente. Evita ispezioni TLS pervasive se non puoi gestire certificati e false positività: applica l’ispezione solo a categorie rischiose o a dispositivi senza utente.

Attiva blocco reputazionale su IP e domini noti per botnet e phishing. Pianifica aggiornamenti del sistema e del firmware fuori orario, con riavvio controllato. Esegui backup cifrati della configurazione e salvali anche fuori sede.

Accessi remoti senza buchi

Usa una VPN moderna con autenticazione a più fattori. WireGuard o IPsec/OpenVPN ben configurati sono sufficienti. Niente RDP esposto. Gli utenti entrano in VPN, poi raggiungono solo le porte necessarie. Applica principio del minimo privilegio.

Per manutenzione dei fornitori, crea profili temporanei e auditabili. Scadenza automatica delle credenziali. Questo approccio si avvicina al modello Zero trust.

Gestione, log e conformità

Centralizza i log su un server syslog o su un servizio cloud. Conservazione minima 90 giorni, meglio 180, con rotazione. Attiva alert via e-mail per eventi critici: tentativi di intrusione, cambi di configurazione, servizi in down.

Rivedi le regole ogni trimestre: elimina quelle inutilizzate, consolida i duplicati, verifica gli oggetti di rete. Documenta ogni modifica. Per i dati personali, verifica la pertinenza dei log rispetto a GDPR e definisci tempi di conservazione coerenti.

Errore comune: complicare

• Troppi port forwarding “temporanei” che restano per anni.
• UPnP lasciato attivo per comodità.
• IDS impostato su profili aggressivi senza tuning: allarmi ignorati.
• Aggiornamenti rimandati e backup di configurazione mancanti.
• Stesse password su VPN, Wi-Fi e portale amministrativo.
• Mancanza di test: il piano sembra valido finché non serve davvero.

Wi‑Fi: stesso principio, reti separate

SSID distinti per Ufficio e Ospiti, mappati su VLAN. WPA2/WPA3 Enterprise per l’Ufficio con autenticazione RADIUS o certificati. Captive portal per gli Ospiti, isolamento client-to-client attivo. Nessun accesso da Ospiti a stampanti o NAS.

Monitoraggio minimo che fa la differenza

Tre indicatori bastano per capire se la superficie di attacco cresce: numero di porte esposte, numero di regole eccezione, volume di traffico DNS bloccato. Se uno sale troppo, rivedi policy e formazione.

Checklist rapida

• Tre VLAN: Ufficio, Ospiti, IoT. Niente traffico tra VLAN per default.
• WAN: tutto bloccato in ingresso. Solo VPN o DMZ se serve.
• Uscita: solo porte essenziali. DNS forzato al resolver del firewall.
• IDS/IPS bilanciato, firme aggiornate, blocco reputazionale attivo.
• VPN con MFA. Niente RDP o gestionali esposti.
• Log centralizzati, alert su eventi critici, backup cifrati della config.
• Revisione trimestrale delle regole, test di ripristino semestrale.

Questa architettura riduce gli incidenti più comuni: ransomware via DNS, accessi remoti deboli, movimenti laterali non controllati. È comprensibile dal personale non tecnico e scalabile quando l’azienda cresce. Il firewall fa meno cose, ma le fa meglio.