🔥 Firewall del router: cos’è e come configurarlo

🗺️ Dove si trova il firewall nella rete domestica?

Nei router domestici il firewall lavora normalmente tra l’interfaccia WAN, collegata alla rete dell’operatore, e le interfacce della rete locale. Il traffico proveniente dai computer della LAN può iniziare connessioni verso Internet, mentre le connessioni in ingresso non richieste vengono normalmente bloccate salvo regole specifiche.

🧠 Che cos’è un firewall stateful?

La maggior parte dei router moderni utilizza un firewall di tipo stateful, cioè capace di tenere traccia dello stato delle comunicazioni. Questo permette al dispositivo di distinguere il traffico di risposta appartenente a una connessione valida da una nuova connessione proveniente dall’esterno.

Immaginiamo che un computer della LAN apra un sito Web. Il client avvia una connessione verso il server su Internet e il firewall registra lo stato di quella comunicazione. Quando il server risponde, i pacchetti vengono riconosciuti come appartenenti alla sessione già aperta e possono attraversare il firewall.

↔️ Traffico in ingresso e traffico in uscita

Nei pannelli più avanzati troverai spesso riferimenti a traffico inbound e outbound. La direzione deve essere interpretata rispetto all’interfaccia o alla zona considerata e può creare confusione se ci limitiamo alle parole “entrata” e “uscita”.

🔀 Firewall e NAT non sono la stessa cosa

Nelle reti IPv4 domestiche firewall e NAT lavorano spesso nello stesso router e questo porta facilmente a confondere le due funzioni. Il NAT modifica gli indirizzi e, in determinate configurazioni, anche le porte utilizzate nelle comunicazioni IPv4; il firewall decide invece se un determinato traffico debba essere consentito oppure bloccato.

Il fatto che il NAT renda normalmente difficile iniziare una connessione verso un host interno non significa che NAT e firewall siano equivalenti. La distinzione diventa ancora più evidente con IPv6, dove ogni dispositivo può disporre di indirizzi globali pur rimanendo protetto dalle regole del firewall.

4️⃣ Firewall IPv4

Nella maggior parte delle reti domestiche IPv4 il router riceve un indirizzo sulla WAN e utilizza una rete privata sulla LAN. Il firewall controlla le comunicazioni che attraversano queste interfacce e lavora insieme agli altri componenti del router.

Di default, una configurazione domestica ragionevole consente ai dispositivi interni di iniziare connessioni verso Internet e blocca le nuove connessioni provenienti dalla WAN che non corrispondono a regole o sessioni già previste.

6️⃣ Firewall IPv6: ancora più importante comprenderlo

Con IPv6 i dispositivi possono utilizzare indirizzi globalmente instradabili senza necessitare del tradizionale NAT IPv4. Questo non significa che un computer, una TV o uno smartphone debba automaticamente essere raggiungibile liberamente da Internet.

Il firewall IPv6 può applicare una politica stateful e bloccare le nuove connessioni provenienti dall’esterno, pur permettendo il normale traffico di risposta alle connessioni iniziate dai dispositivi della rete locale.

📡 Firewall e ICMP: bloccare tutto non è sempre una buona idea

Alcuni pannelli presentano opzioni come “Respond to ping from WAN” oppure regole generiche relative a ICMP. È facile pensare che bloccare qualsiasi pacchetto ICMP renda automaticamente il router più sicuro, ma ICMP svolge anche importanti funzioni operative e diagnostiche.

In IPv6 il protocollo ICMPv6 è ancora più strettamente collegato al normale funzionamento della rete. Per questo non è opportuno applicare blocchi indiscriminati senza sapere quali tipi di messaggi vengono filtrati.

📝 Come è composta una regola firewall?

Nei router consumer molte regole vengono generate automaticamente, ma nei firewall più avanzati possiamo definire manualmente sorgente, destinazione, protocollo, porta e azione. Comprendere questi elementi è fondamentale quando iniziamo a segmentare la rete con VLAN.

🚫 Allow, Drop e Reject: che differenza c’è?

Nei firewall avanzati possiamo incontrare azioni differenti. Allow consente il traffico; Drop elimina il pacchetto senza necessariamente inviare una risposta; Reject rifiuta il traffico e può comunicare al mittente che la connessione non è consentita.

🔢 L’ordine delle regole può essere fondamentale

Nei firewall che elaborano le regole in sequenza, l’ordine può modificare completamente il risultato. Una regola molto generica collocata prima di una regola più specifica può intercettare il traffico prima che quest’ultima venga valutata.

Immaginiamo, per esempio, di creare una regola che consente tutto il traffico dalla VLAN IoT alla LAN e successivamente una regola che blocca l’accesso al NAS. Se il firewall utilizza una logica “first match”, la prima regola potrebbe rendere la seconda inutile.

🗺️ Firewall tra VLAN e reti interne

Il firewall non serve soltanto a separare Internet dalla LAN. Nei router e firewall più avanzati può controllare anche il traffico tra segmenti interni differenti, per esempio rete principale, Guest, IoT e telecamere.

🔍 Cosa significa SPI Firewall?

In molti router domestici troviamo una semplice opzione chiamata SPI Firewall, Stateful Packet Inspection. Il nome indica che il firewall tiene conto dello stato delle comunicazioni invece di valutare ogni pacchetto come se fosse completamente indipendente dagli altri.

In una normale rete domestica non c’è generalmente motivo di disabilitare questa protezione soltanto per risolvere problemi con un gioco, una console o un’applicazione. Se un servizio necessita di connettività particolare è preferibile identificare la causa reale.

🛡️ Protezione DoS del router

Alcuni router includono funzioni indicate come DoS Protection, Flood Protection, SYN Flood Protection o nomi simili. Questi sistemi cercano di rilevare comportamenti anomali o quantità eccessive di determinati tipi di traffico.

Non devono però essere confusi con il normale firewall stateful. La protezione dalle connessioni non autorizzate e i meccanismi contro determinate forme di flood sono funzioni correlate ma differenti.

📋 I log del firewall

Se il router permette di registrare gli eventi firewall, i log possono essere molto utili durante una diagnosi. Permettono di capire quale regola abbia bloccato una comunicazione, quale indirizzo abbia generato il traffico e quale porta fosse coinvolta.

È però normale che un router collegato a Internet riceva continuamente traffico indesiderato, scansioni automatiche o pacchetti diretti al proprio indirizzo pubblico. La presenza di questi eventi nei log non significa automaticamente che qualcuno abbia compromesso la rete.

🚪 Cosa succede quando apriamo una porta?

Una regola di port forwarding modifica il normale comportamento della rete permettendo a determinato traffico proveniente dalla WAN di essere inoltrato verso un dispositivo interno. In questo caso non stiamo “spegnendo il firewall”, ma creando un’eccezione controllata.

Proprio per questo ogni porta aperta dovrebbe corrispondere a un servizio realmente necessario, conosciuto e mantenuto aggiornato. Nella Guida 09 vedremo nel dettaglio come configurare correttamente il port forwarding.

⚠️ Firewall e DMZ domestica

La funzione chiamata DMZ nei router consumer viene spesso utilizzata per inoltrare verso un singolo host una grande parte del traffico in ingresso che non corrisponde ad altre regole. È quindi una configurazione molto più ampia rispetto a un port forwarding mirato.

Inserire un PC o una console in DMZ semplicemente perché un’applicazione segnala “NAT stretto” non dovrebbe essere la prima soluzione. La Guida 11 sarà dedicata proprio al funzionamento e ai rischi della DMZ.

⚙️ Come controllare il firewall del router

I router domestici possono presentare interfacce molto differenti, ma possiamo seguire una procedura generale per verificare che le principali funzioni siano configurate in modo coerente.

⛔ Quando non bisogna disattivare il firewall

Disabilitare completamente il firewall è una delle prove che vengono talvolta suggerite quando un gioco, una console, un server o un’applicazione non funziona. Può aiutare temporaneamente a capire se una regola è coinvolta nel problema, ma non dovrebbe diventare la soluzione permanente.

Se disattivando il firewall un’applicazione inizia a funzionare, la domanda corretta diventa quale traffico viene bloccato e quale regola specifica dobbiamo modificare?, non “posso lasciare il firewall spento?”.

🧩 Interpretare rapidamente la configurazione firewall

⚠️ Errori comuni nella configurazione del firewall

• Disabilitare il firewall per risolvere permanentemente un problema con un’applicazione.
• Confondere firewall e NAT come se fossero la stessa funzione.
• Creare regole “Allow Any to Any” senza comprenderne l’effetto.
• Ignorare l’ordine delle regole nei firewall avanzati.
• Aprire numerose porte invece di individuare quelle realmente necessarie.
• Lasciare vecchie regole di port forwarding attive dopo aver rimosso il dispositivo.
• Controllare IPv4 ma dimenticare completamente IPv6.
• Bloccare indiscriminatamente tutto ICMP senza comprenderne l’utilità.
• Permettere alla rete Guest o IoT di raggiungere liberamente tutte le reti interne.
• Interpretare ogni pacchetto bloccato nei log come un attacco riuscito.

🧪 Esempio pratico: LAN, Guest e IoT

Immaginiamo una rete domestica divisa in tre segmenti. La LAN principale contiene PC, smartphone e NAS; la rete Guest viene utilizzata dagli ospiti; la rete IoT contiene smart TV, telecamere e dispositivi domotici.

Il firewall permette a tutte e tre le reti di raggiungere Internet, ma applica politiche differenti per le comunicazioni interne. La rete Guest non può iniziare connessioni verso LAN e IoT, mentre la rete IoT non può iniziare connessioni arbitrarie verso i computer della LAN.

La LAN principale può invece raggiungere determinati dispositivi IoT, per esempio una telecamera o una smart TV, attraverso le eccezioni necessarie. In questo modo non stiamo bloccando indiscriminatamente tutto il traffico: stiamo decidendo chi può iniziare una comunicazione verso chi.