🔌 Dispositivi IoT: come isolarli e proteggere la rete

🏠 Quali dispositivi possiamo considerare IoT?

Il termine IoT comprende una categoria molto ampia e non esiste una linea tecnica che separi perfettamente un dispositivo IoT da un normale client di rete. Dal punto di vista della sicurezza, però, è utile identificare gli apparati che svolgono funzioni specifiche e che non hanno bisogno dello stesso livello di accesso di un PC o di un NAS.

🛡️ Perché separare l’IoT dalla LAN principale?

In una rete piatta tutti i dispositivi appartengono allo stesso segmento e, salvo firewall locali o altre limitazioni, possono tentare di comunicare direttamente tra loro. Questa configurazione è semplice, ma concede a una lampadina, una telecamera o una smart TV una visibilità della rete simile a quella disponibile a molti altri client.

La segmentazione riduce questa libertà. Possiamo permettere a un dispositivo IoT di raggiungere Internet e contemporaneamente impedirgli di iniziare connessioni verso computer, NAS e server amministrativi.

🔀 Tre modi per separare i dispositivi IoT

📶 1. Utilizzare una rete Guest per l’IoT

Su un router domestico semplice, la rete Guest può essere il metodo più immediato per evitare che alcuni dispositivi smart appartengano direttamente alla LAN principale. Se il router permette di bloccare l’accesso dalla Guest alla rete locale, possiamo ottenere una separazione di base senza configurare VLAN o switch managed.

Il limite è che una Guest Network viene normalmente progettata per dispositivi che devono soprattutto accedere a Internet. Alcuni apparati IoT richiedono invece comunicazioni locali con smartphone, hub o server domestici e potrebbero quindi non funzionare correttamente quando l’isolamento è troppo restrittivo.

📡 2. Creare un SSID dedicato ai dispositivi IoT

Molti router e access point permettono di creare più reti wireless. Possiamo quindi utilizzare un SSID dedicato, per esempio Casa-IoT, e collegare a questa rete lampadine, TV, telecamere e altri dispositivi smart.

Attenzione però: un SSID differente non garantisce automaticamente una separazione reale. Se entrambi gli SSID vengono bridgeati sulla stessa LAN, i dispositivi continueranno ad appartenere allo stesso segmento IP e potranno comunicare secondo le normali regole della rete.

🖥️ 3. Utilizzare una VLAN IoT

Una soluzione più completa consiste nel creare una VLAN dedicata ai dispositivi IoT e associarla a una propria subnet IP. Il router o firewall può quindi applicare regole precise tra la rete IoT, Internet e la LAN principale.

Per esempio potremmo utilizzare la VLAN 20 per l’IoT e assegnarle la subnet 192.168.20.0/24, mentre la rete principale utilizza la VLAN 10 e la subnet 192.168.10.0/24.

Gli indirizzi e gli ID VLAN sono soltanto esempi e possono essere scelti diversamente. Il concetto importante è mantenere reti logiche separate e controllarne le comunicazioni tramite firewall.

🔥 Quali regole firewall usare per la rete IoT?

La politica esatta dipende dai dispositivi utilizzati, ma un approccio comune consiste nel permettere ai dispositivi IoT di raggiungere Internet e bloccare le connessioni iniziate verso la LAN principale, aggiungendo successivamente soltanto le eccezioni realmente necessarie.

🌐 Un dispositivo IoT deve sempre accedere a Internet?

No. Alcuni dispositivi funzionano interamente in locale, mentre altri dipendono quasi completamente dai servizi cloud del produttore. La prima verifica utile consiste quindi nel capire quale modello di comunicazione utilizzi l’apparato.

📷 Telecamere IP: un caso particolare

Le telecamere meritano una particolare attenzione perché possono generare traffico continuo, dispongono spesso di interfacce di amministrazione e possono contenere informazioni molto più sensibili rispetto a una normale lampadina smart.

Quando utilizziamo un NVR locale, una possibile architettura consiste nel permettere alle telecamere di comunicare con l’NVR e bloccare l’accesso verso altre reti. Se invece utilizziamo servizi cloud, sarà necessario consentire anche le comunicazioni Internet richieste dal produttore.

🔍 Perché alcuni dispositivi smettono di essere rilevati dopo la separazione?

Molti sistemi domestici utilizzano multicast, broadcast o altri meccanismi di discovery locale per individuare automaticamente dispositivi presenti sulla stessa rete. Quando smartphone e IoT vengono separati in VLAN o subnet differenti, questi pacchetti non attraversano necessariamente il router.

È per questo che un’applicazione può smettere di rilevare una TV, uno speaker o una stampante anche se il dispositivo continua ad avere accesso a Internet. Il problema non è necessariamente il firewall in senso stretto: può trattarsi del modo in cui il servizio effettua la scoperta locale.

📺 Smart TV e dispositivi multimediali

Una smart TV ha esigenze differenti rispetto a una presa intelligente. Oltre a Internet può utilizzare DLNA, casting, AirPlay, Chromecast, app di controllo remoto e server multimediali presenti nella LAN.

Se vogliamo isolarla, dobbiamo quindi stabilire quali funzioni vogliamo mantenere. Possiamo per esempio consentire al PC o allo smartphone della rete principale di iniziare connessioni verso la TV, impedendo contemporaneamente alla TV di iniziare connessioni arbitrarie verso la LAN.

🔄 Firmware e aggiornamenti restano fondamentali

La segmentazione riduce l’impatto potenziale di un problema ma non sostituisce la manutenzione del dispositivo. Un apparato IoT dovrebbe essere aggiornato quando il produttore pubblica correzioni e, se dispone di aggiornamenti automatici affidabili, può essere utile mantenerli abilitati.

Particolare attenzione meritano i dispositivi che non ricevono più aggiornamenti. Non significa necessariamente che debbano essere scollegati immediatamente, ma è sensato valutarne il ruolo nella rete e limitarne l’accesso alle risorse strettamente necessarie.

🔑 Cambiare le credenziali predefinite

Se un dispositivo dispone di una propria interfaccia Web, app amministrativa o account locale, bisogna verificare che non utilizzi credenziali predefinite condivise tra molti prodotti. Questo vale soprattutto per telecamere, NVR, access point, hub e altri dispositivi che offrono servizi direttamente sulla LAN.

• Cambia username e password predefiniti quando possibile.
• Non utilizzare la stessa password del router.
• Verifica eventuali account cloud associati al dispositivo.
• Abilita la 2FA sugli account cloud quando disponibile.
• Rimuovi vecchi utenti o condivisioni non più necessarie.

🔗 Dispositivi IoT e UPnP

Alcuni dispositivi possono utilizzare UPnP per richiedere automaticamente al router determinate mappature. Se UPnP è attivo sulla rete, è utile controllare periodicamente quali dispositivi abbiano creato regole e se quelle mappature siano realmente necessarie.

Il fatto che un dispositivo debba essere raggiungibile attraverso un’app cloud non significa automaticamente che necessiti di una porta inoltrata direttamente dalla WAN. Molti servizi moderni funzionano attraverso connessioni iniziate dal dispositivo verso il cloud.

🚫 Quando ha senso bloccare completamente Internet?

Per alcuni dispositivi che funzionano esclusivamente in locale può essere ragionevole impedire ogni comunicazione verso Internet. È una configurazione particolarmente interessante per telecamere o sistemi che devono comunicare soltanto con un NVR, un Home Assistant o un altro server interno.

Prima di applicare il blocco bisogna però verificare se il dispositivo utilizza Internet per sincronizzare l’orario, scaricare firmware, ricevere notifiche o funzionare attraverso l’app ufficiale.

🔎 Controllare il DNS dei dispositivi IoT

Una rete IoT separata può utilizzare resolver DNS distribuiti dal router oppure un servizio DNS dedicato. Nei sistemi avanzati possiamo anche impedire ai client di contattare resolver arbitrari e consentire soltanto quelli previsti dalla nostra configurazione.

Questa impostazione può essere utile per logging o filtraggio, ma bisogna ricordare che alcuni dispositivi possono utilizzare indirizzi IP diretti o meccanismi di risoluzione propri, quindi il semplice controllo del DNS non rappresenta una protezione completa.

6️⃣ Non dimenticare IPv6

Se la rete IoT utilizza IPv6, le regole di segmentazione devono essere coerenti anche per questo protocollo. Bloccare correttamente il traffico IPv4 tra due VLAN e dimenticare completamente IPv6 può produrre una politica differente da quella che avevamo intenzione di applicare.

Il principio rimane lo stesso: utilizziamo il firewall per decidere quali comunicazioni siano consentite tra IoT, LAN principale e Internet, indipendentemente dal fatto che il traffico utilizzi IPv4 o IPv6.

🧩 Quale isolamento scegliere?

⚠️ Errori comuni quando si isola l’IoT

• Creare un SSID differente senza separarlo realmente dalla LAN.
• Spostare tutti i dispositivi sulla Guest senza verificare discovery e controllo locale.
• Permettere alla VLAN IoT accesso completo alla rete principale.
• Bloccare Internet indiscriminatamente senza controllare aggiornamenti e servizi cloud.
• Dimenticare IPv6 quando vengono create le regole firewall.
• Lasciare credenziali predefinite sulle telecamere o sugli hub.
• Utilizzare la stessa password amministrativa su molti dispositivi differenti.
• Aprire porte WAN soltanto perché un’applicazione non rileva il dispositivo.
• Disattivare l’isolamento completo invece di creare un’eccezione mirata.
• Non documentare VLAN, subnet e regole firewall.

🧪 Esempio pratico: casa con NAS, smart TV e telecamere

Immaginiamo una rete nella quale la LAN principale contiene computer, smartphone e NAS, mentre smart TV, prese intelligenti e telecamere sono collegati alla rete IoT. Le telecamere registrano su un NVR locale e la smart TV deve poter essere controllata dagli smartphone della famiglia.

Possiamo bloccare le connessioni iniziate dalla VLAN IoT verso la LAN principale, consentire alla rete principale di raggiungere la TV e l’NVR e creare un’eccezione specifica che permette alle telecamere di comunicare con il registratore.

La smart TV continua ad accedere a Internet per i servizi di streaming, mentre le telecamere possono eventualmente essere private dell’accesso Internet se non utilizzano cloud o notifiche esterne.