Tecnologia Domestica
La soluzione più semplice, quando il router la supporta, può essere una rete ospiti. Ma il nome “guest” non garantisce da solo un isolamento completo: il comportamento cambia da modello a modello. Alcuni router impediscono ai client della rete ospiti di vedere la rete principale, altri aggiungono anche l'isolamento tra dispositivi ospiti, altri ancora permettono eccezioni. Per questo la configurazione va letta nel manuale del router e verificata nel concreto.
Perché separare i dispositivi smart
La segmentazione di rete consiste nel dividere i dispositivi in gruppi che non possono comunicare liberamente tra loro. NIST, nel lavoro dedicato alla sicurezza dei dispositivi IoT domestici e delle piccole reti, raccomanda di segmentare dove possibile i dispositivi IoT, in particolare quelli con rischi noti, rispetto ai computer e ai dispositivi quotidiani che ricevono aggiornamenti e protezioni più regolari. Anche la documentazione federale CISA sulla sicurezza del lavoro mobile descrive la segmentazione come un modo per creare sottoreti o gruppi separati, citando esplicitamente reti diverse per ospiti, IoT, computer personali o di lavoro.
L'obiettivo non è rendere la rete “impenetrabile”, ma ridurre la superficie di comunicazione. Se una lampadina smart deve solo raggiungere il proprio servizio cloud, non ha necessariamente bisogno di poter avviare connessioni verso il PC di casa.
Rete ospiti e vera segmentazione non sono sempre la stessa cosa
Molti router domestici offrono una funzione chiamata “rete ospiti”, “Guest Wi-Fi” o simile. Può essere sufficiente per creare una separazione pratica, ma bisogna controllare almeno tre aspetti:
- Accesso alla LAN principale: la rete ospiti deve impedire, se questa è la tua intenzione, l'accesso ai dispositivi della rete principale.
- Isolamento tra client ospiti: alcuni router permettono o vietano la comunicazione anche tra dispositivi collegati alla stessa rete ospiti.
- Eccezioni o servizi locali: stampanti, hub, Chromecast, AirPlay, HomeKit e altri sistemi possono aver bisogno di comunicazioni locali o protocolli di scoperta che non attraversano automaticamente i segmenti.
Non esiste quindi un interruttore universale. Le voci di menu e le possibilità dipendono dal router, dal firmware e dal sistema smart home utilizzato.
Una configurazione prudente, senza inventare menu universali
1. Aggiorna il router prima di cambiare la rete
Prima di creare nuove reti, controlla se il router dispone di aggiornamenti firmware. NIST considera la sicurezza dei router domestici un elemento importante perché questi dispositivi gestiscono l'accesso alla rete per computer, smartphone e IoT. Se il router non riceve più aggiornamenti dal produttore, è un segnale da valutare prima di costruire su di esso una configurazione più articolata.
2. Cambia le credenziali amministrative se sono ancora predefinite
La password usata per entrare nel pannello del router non dovrebbe coincidere con la password del Wi-Fi né restare quella di fabbrica quando il prodotto consente di cambiarla. La rete può essere ben segmentata, ma un pannello amministrativo protetto male rimane un punto critico.
3. Crea un SSID separato per gli IoT, se il router lo permette
Puoi usare una rete ospiti o una funzione IoT dedicata, se disponibile. Dai alla rete un nome distinto, ma evita nomi che rivelino informazioni personali o il tipo esatto di dispositivi presenti in casa. Usa una password Wi-Fi forte e diversa da quella della rete principale.
4. Controlla il tipo di protezione Wi-Fi
Preferisci le modalità di sicurezza raccomandate dal produttore per il tuo hardware e per i dispositivi che devi collegare. Alcuni IoT meno recenti supportano solo standard o bande specifiche, spesso 2,4 GHz. Se un dispositivo non si collega, non è una buona idea abbassare alla cieca la sicurezza dell'intera rete: prima verifica documentazione e compatibilità del singolo prodotto.
5. Collega gli IoT alla rete separata uno alla volta
Procedere per gruppi piccoli rende più facile capire quale dispositivo smette di funzionare quando viene isolato. Dopo il cambio di rete, verifica almeno: controllo dall'app, aggiornamenti, notifiche, automazioni e comunicazione con eventuali hub.
6. Disabilita l'accesso alla rete principale quando non serve
Se il router offre una voce che consente agli ospiti di raggiungere la LAN o le risorse locali, lasciala disabilitata per gli IoT salvo necessità documentate. Le etichette cambiano molto da un produttore all'altro: per questo conviene usare il manuale del modello, non una guida con nomi di menu presunti.
Quando la separazione può rompere qualcosa
Molti ecosistemi smart home usano servizi cloud e continuano a funzionare anche su reti separate. Altri, invece, dipendono dalla scoperta locale o da una comunicazione diretta tra telefono, hub e dispositivo. È qui che una rete ospiti molto restrittiva può creare problemi.
I sintomi tipici sono:
- il dispositivo risulta online ma l'app non lo trova durante la prima configurazione;
- un altoparlante o un televisore non compare tra le destinazioni disponibili;
- un hub non riesce a raggiungere sensori o bridge che si trovano su un segmento diverso;
- le automazioni locali smettono di partire pur continuando a funzionare il controllo remoto via cloud.
In questi casi non conviene disattivare indiscriminatamente la separazione. Prima identifica quali dispositivi devono davvero comunicare tra loro. Su router più evoluti può essere possibile consentire solo determinati flussi o usare reti/VLAN differenti, ma una configurazione del genere richiede maggiore competenza e non va improvvisata seguendo esempi generici.
Rete ospiti, rete IoT dedicata o VLAN?
| Soluzione | Vantaggio principale | Limite principale |
|---|---|---|
| Rete ospiti | Semplice e disponibile su molti router domestici | Livello di isolamento variabile; può limitare servizi locali |
| Rete IoT dedicata del router | Può essere progettata per dispositivi smart | Funzioni e sicurezza dipendono dal produttore |
| VLAN / segmentazione avanzata | Controllo più preciso sui gruppi e sulle comunicazioni | Richiede apparati compatibili e configurazione più tecnica |
Per una casa normale, la rete ospiti può essere un buon punto di partenza se il router documenta chiaramente l'isolamento. Una VLAN non è automaticamente “migliore” se poi viene configurata male.
Quali dispositivi mettere nella rete separata
Non serve classificare tutto come “insicuro”. La separazione è soprattutto una scelta di architettura. In una rete IoT possono finire, quando compatibile:
- prese e lampadine smart;
- telecamere e videocitofoni connessi;
- elettrodomestici Wi-Fi;
- sensori, termostati e bridge che usano direttamente il Wi-Fi;
- televisori e dispositivi multimediali, se non necessitano di comunicazione locale con PC e telefoni.
Computer personali, NAS, smartphone con dati sensibili e dispositivi di lavoro possono invece restare sulla rete principale. Se usi un hub smart home, la posizione corretta dipende dall'architettura: alcuni hub devono parlare con più segmenti o fare da ponte. Va quindi consultata la documentazione del sistema.
Controlli utili dopo la configurazione
Una volta spostati gli IoT, prova a verificare il risultato con controlli semplici e non invasivi:
- un dispositivo IoT può ancora raggiungere Internet e il servizio che gli serve?
- dal dispositivo IoT è possibile raggiungere direttamente un computer della rete principale? Se l'obiettivo era l'isolamento, non dovrebbe esserlo;
- il telefono riesce ancora a gestire i dispositivi tramite app o hub?
- gli aggiornamenti firmware dei dispositivi continuano a essere disponibili?
- le automazioni che devono funzionare localmente sono operative?
Se non sai come eseguire test di rete, è sufficiente controllare le funzioni documentate del router e verificare i flussi necessari dall'uso reale. Non servono scansioni aggressive o strumenti da amministratore di rete per una configurazione domestica di base.
Separare non sostituisce gli aggiornamenti
La segmentazione riduce alcune possibilità di movimento laterale, ma non risolve password deboli, dispositivi non aggiornati, account cloud non protetti o router obsoleti. Mantieni aggiornati router e IoT quando il produttore pubblica firmware, elimina dispositivi che non usi più dall'app e dalla rete, e abilita l'autenticazione a più fattori sugli account quando disponibile.
NIST sottolinea anche l'importanza di sapere quali dispositivi sono presenti in rete e quali comunicazioni richiedono per svolgere la loro funzione. In casa non serve costruire un inventario professionale: può bastare un elenco con nome del dispositivo, produttore, rete a cui è collegato e data dell'ultimo controllo degli aggiornamenti.
Quando non usare la rete ospiti come scorciatoia
Se il router non documenta cosa isola, se la rete ospiti disabilita funzioni essenziali oppure se devi far comunicare in modo selettivo molti dispositivi tra segmenti diversi, è meglio non procedere per tentativi. Può essere il momento di valutare un router che supporti esplicitamente una rete IoT o una segmentazione più chiara, oppure chiedere assistenza per una configurazione avanzata.
La separazione migliore è quella comprensibile e verificabile: IoT su un gruppo distinto, dispositivi personali su un altro, solo le comunicazioni necessarie consentite. Se il tuo router permette di ottenere questo risultato con la rete ospiti, è una soluzione semplice e concreta. Se non lo permette, il limite è del router, non un motivo per inventare impostazioni che il dispositivo non offre.
