Il controllo degli accessi in rete è un meccanismo di sicurezza che permette all’azienda di decidere chi può accedere a determinate risorse, dati o aree della rete e con quali permessi. Non riguarda solo i firewall o le password, ma ogni singolo punto fisico dove un cavo può essere collegato.
Immagina la tua rete aziendale come un palazzo. Non uno qualunque, ma uno pieno di uffici riservati, archivi digitali e porte che si aprono solo a chi ha le credenziali giuste. Ora immagina che questo palazzo, ogni giorno, lasci entrare chiunque da una porta laterale, senza chiedere nemmeno un documento. Basta collegarsi a una presa a muro e sei dentro: nessun controllo, nessuna domanda.
È esattamente quello che accade in molte aziende: basta collegare un cavo di rete a una porta attiva per accedere all’infrastruttura. Ma cosa succede se quel dispositivo è compromesso o appartiene a un ospite non autorizzato? Il rischio non è solo teorico: è una vulnerabilità reale e concreta.
La buona notizia è che esiste un modo per chiudere quella porta laterale. Si chiama autenticazione 802.1X e funziona come un tornello digitale all’ingresso del tuo edificio informatico. Solo chi ha un badge valido passa. E tutto questo è possibile grazie a tecnologie che molte aziende hanno già in casa, ma non sfruttano appieno.
La rete aziendale
senza tornelli
Nella metafora del palazzo, lo switch di rete è il portiere. Ma di default è troppo gentile: non controlla chi entra, non fa domande. Qualsiasi dispositivo che si collega riceve un indirizzo IP e può iniziare a parlare con gli altri sistemi. In pratica, ogni presa di rete è un ingresso non sorvegliato.
Questo significa che un laptop personale, magari infetto, può fare una scansione dell’intera rete interna. Può cercare vulnerabilità, provare credenziali, sondare le superfici di attacco. Anche se i server sono protetti da password, un malware può trovare vie traverse, magari attraverso servizi esposti senza protezione.
Autenticazione 802.1X e controllo accessi in rete: il badge all’ingresso
E qui entra in gioco l’autenticazione 802.1X, lo standard che permette di autenticare utenti e dispositivi prima ancora che ottengano accesso alla rete. Funziona proprio come un sistema di badge: se non sei riconosciuto, non entri. E se entri, accedi solo all’area che ti è stata assegnata.
Il sistema è composto da tre elementi principali, ciascuno con un ruolo specifico nel controllo accessi.
Il dispositivo client, ad esempio un laptop con Windows 11, che si presenta all’ingresso con il proprio certificato digitale è il badge.
Lo switch di rete agisce da tornello: riceve la richiesta e blocca l’accesso finché non arriva un via libera.
Alla reception del palazzo digitale c’è il sistema centrale su piattaforma Microsoft, composto da tre figure fondamentali:
- Il Domain Controller, che riconosce chi è autorizzato: conosce tutti i dipendenti e i dispositivi registrati.
- La Certification Authority, che ha emesso il badge digitale e ne verifica l’autenticità.
- Il Network Policy Server (NPS), che decide se far entrare l’ospite e, se sì, in quale area può accedere: uffici, magazzino, area ospiti, ecc.
Il tornello (lo switch di rete) non prende decisioni da solo: chiede alla reception se la persona è autorizzata.
Se tutto è in regola, apre la porta e il dispositivo viene instradato nella VLAN corretta. Altrimenti, lo devia in una rete isolata o con accesso limitato.
Come si struttura un controllo accessi in rete efficace
Un’infrastruttura NPS ben configurata offre diversi livelli di protezione, tutti integrabili con tecnologie esistenti.
La prima è la segmentazione: puoi decidere che i dipendenti finiscano nella rete interna, mentre gli ospiti vengano indirizzati a una VLAN guest con accesso limitato. Nessuno può accedere oltre la soglia prevista.
Poi c’è la gestione centralizzata: le policy di accesso vengono definite in un’unica console, evitando errori o configurazioni incoerenti sui singoli dispositivi. Puoi usare protocolli sicuri, come EAP-TLS, per garantire l’autenticazione cifrata.
Grazie all’integrazione con Active Directory, non è necessario creare account paralleli: si sfruttano le identità già presenti. E si possono differenziare i comportamenti in base al gruppo di appartenenza. Ad esempio, i dispositivi IT possono avere più libertà rispetto a quelli degli ospiti o degli utenti temporanei.
Ogni accesso viene tracciato. È possibile visualizzare i log con il Visualizzatore eventi di Windows Server o inoltrarli a un SIEM per controlli più avanzati. Questo permette non solo di prevenire accessi non autorizzati, ma anche di indagare a posteriori su attività sospette.
Infine, il sistema è compatibile con infrastrutture esistenti. Gli switch HPE Aruba, ma anche altri come Cisco o HP ProCurve, supportano lo standard 802.1X. Non serve cambiare tutto: basta configurare correttamente ciò che si ha.
Un esempio pratico:
Aruba e Microsoft
In uno scenario concreto, configuriamo gli switch Aruba della serie 6000 per l’autenticazione 802.1X, e li colleghiamo al sistema NPS di Microsoft. Il risultato è una rete che riconosce chi si collega e adatta il proprio comportamento di conseguenza.
I dispositivi aziendali certificati accedono alla VLAN interna mentre quelli sconosciuti vengono reindirizzati alla VLAN guest o bloccati. Tutto avviene in automatico, senza bisogno di interventi manuali e ogni accesso viene registrato.
Perché questa soluzione è adatta anche alle PMI
Il modello non è pensato solo per le grandi aziende. Anche le PMI possono trarne vantaggio. Basta avere:
- una rete cablata con switch compatibili,
- un server Windows con ruoli AD, CA e NPS,
- un po’ di supporto per la configurazione iniziale.
I benefici sono immediati: più controllo, meno rischi, tracciabilità degli accessi. E tutto senza dover cambiare infrastruttura.
Il nostro ruolo:
dal tornello alla reception
Lavoriamo su tutti i livelli di questa architettura. Dalla porta di accesso fisico (gli switch), alla gestione delle identità (Microsoft), fino alla configurazione dei dispositivi client (Windows 11). Ogni componente ha un ruolo nel costruire un accesso sicuro e intelligente alla rete aziendale.
Lavoriamo su tutti i livelli di questa architettura. Dalla porta di accesso fisico (gli switch), alla gestione delle identità (Microsoft), fino alla configurazione dei dispositivi client (Windows 11). Ogni componente ha un ruolo nel costruire un accesso sicuro e intelligente alla rete aziendale.
Conclusione
Non lasciare che la tua rete sia un palazzo senza controllo, dove chiunque può entrare senza che nessuno chieda chi è, cosa fa o dove sta andando.
Ogni porta di rete è un ingresso: puoi scegliere se lasciarla incustodita o presidiarla con un tornello collegato a una reception che conosce ogni identità. Con l’autenticazione 802.1X, NPS e l’infrastruttura giusta, puoi sapere sempre chi sta entrando, da dove, e con quali permessi.
Vuoi capire se la tua rete è davvero protetta? Parlane con noi: il primo passo per mettere ordine è sapere chi ha in mano il badge.