Introduzione
Questa è una guida pratica: alla fine avrai quattro zone di rete isolate, ispezione approfondita dei pacchetti e filtraggio in uscita – tutto in circa 60 minuti e senza alcuna licenza annuale.
L’allestimento tipico di un piccolo ufficio non ha isolamento tramite VLAN, non ha ispezione dei contenuti, non ha filtraggio in uscita ed esegue servizi senza autenticazione – Ollama, ad esempio, è in ascolto sulla porta 11434 senza chiedere credenziali. Risolveremo le quattro cose in una volta.
Che cosa ti serve
Nano-N1241
Ti serviranno anche:
- ✓ Una chiavetta USB da 4 GB o più
- ✓ Monitor e tastiera (solo per l’installazione)
- ✓ Due cavi Ethernet
- ✓ Software: OPNsense (gratuito) e il plugin Zenarmor
Architettura di rete
Le quattro porte dell’N1241 diventano quattro zone. Non servono uno switch gestito né la configurazione del trunking – ogni zona ha il suo cavo.
| Porta | Interfaccia | Sottorete | Scopo |
|---|---|---|---|
| 1 | WAN | DHCP | Internet |
| 2 | LAN | 192.168.1.0/24 | Postazioni di lavoro fidate |
| 3 | AI_LAB | 192.168.20.0/24 | Server di inferenza e agenti |
| 4 | IOT | 192.168.30.0/24 | Telecamere, sensori, dispositivi smart |
Le sette fasi dell’installazione
Segui l’ordine. Ogni fase è autonoma – puoi fermarti alla fine di una qualsiasi e riprendere più tardi senza perdere lavoro.
Creare la chiavetta USB di installazione
5 min- 1.1Scarica l’immagine "amd64 vga" in formato .img.bz2 da opnsense.org/download.
- 1.2Decomprimi con 7-Zip (Windows) o bunzip2 (Linux/macOS).
- 1.3Scrivi l’immagine sulla chiavetta con Rufus (Windows) o con dd (Linux/macOS).
Installare OPNsense
15 min- 2.1Collega tastiera e monitor all’N1241 e avvia dalla chiavetta USB.
- 2.2Entra nell’installer con l’utente installer e la password opnsense.
- 2.3Scegli "Install (UFS)" e usa l’intero disco.
- 2.4Imposta la password di root, riavvia e rimuovi la chiavetta.
Configurazione web iniziale
10 min- 3.1Collega il portatile alla porta 2 (LAN) e apri https://192.168.1.1.
- 3.2Accedi con root e la password impostata.
- 3.3Segui la procedura guidata: nome host, fuso orario Europe/Rome, server DNS.
- 3.4Verifica che la WAN ottenga l’indirizzo via DHCP dal router dell’operatore.
Creare le VLAN di isolamento
15 min- 4.1Interfaces → Other Types → VLAN: crea la VLAN 20 (AI_LAB) su igc2 e la VLAN 30 (IOT) su igc3.
- 4.2Assegna gli indirizzi statici: 192.168.20.1/24 e 192.168.30.1/24.
- 4.3Attiva un server DHCP su ciascuna delle nuove interfacce.
- 4.4Verifica che un client in ogni zona riceva l’indirizzo e risolva il DNS.
Installare Zenarmor
10 min- 5.1System → Firmware → Plugins: cerca e installa os-zenarmor.
- 5.2Registrati su sunnyvalley.io e ottieni la chiave di attivazione.
- 5.3Attiva il blocco di malware, botnet e phishing.
- 5.4Avvia il motore dal pannello di Zenarmor e scegli le interfacce da ispezionare.
Scrivere le regole del firewall
10 min- 6.1AI_LAB: bloccare la destinazione 192.168.1.0/24 (la LAN fidata).
- 6.2AI_LAB: consentire l’uscita verso internet.
- 6.3IOT: bloccare la destinazione LAN e la destinazione AI_LAB.
- 6.4IOT: consentire solo DNS (porta 53) e HTTPS (porta 443) per gli aggiornamenti del firmware.
Testare
5 min- 7.1Da un client in AI_LAB, prova ad accedere al NAS della LAN – deve fallire.
- 7.2Dallo stesso client, accedi a un sito internet – deve funzionare.
- 7.3Da un client IOT, prova a raggiungere AI_LAB – deve fallire.
- 7.4Verifica nel pannello di Zenarmor che il traffico appaia classificato per applicazione.
Matrice degli accessi risultante
Dopo la fase 6, il comportamento della rete deve essere esattamente questo:
| Da \ A | LAN | AI_LAB | IOT | Internet |
|---|---|---|---|---|
| LAN | ✓ | ✓ | ✓ | ✓ |
| AI_LAB | × | ✓ | × | ✓ |
| IOT | × | × | ✓ | 53, 443 |
Opzionale: whitelist delle API di IA
Se vuoi portare l’ egress filtering al limite, crea in Firewall → Aliases un alias di tipo Host(s) con i domini delle API che autorizzi – ad esempio gli endpoint di OpenAI, Anthropic, Google, Mistral e Cohere.
Poi sostituisci la regola generica “AI_LAB consente l’uscita” con una regola che consenta solo la destinazione uguale a quell’alias, sulla porta 443. Da quel momento, un agente compromesso non può inviare nulla a un server che non sia nell’elenco – e il tentativo viene registrato.
Risoluzione dei problemi
Non riesco ad aprire 192.168.1.1
Verifica che il cavo sia nella porta 2 e che il portatile sia in DHCP. Se il problema persiste, collega un monitor all’N1241 e usa l’opzione 1 della console per riassegnare le interfacce.
La WAN non ottiene un indirizzo
Il router dell’operatore potrebbe assegnare la stessa sottorete 192.168.1.0/24. Cambia la LAN di OPNsense in 192.168.10.0/24 e riprova.
Zenarmor non si avvia
Servono almeno 8 GB di RAM con il motore attivo su più interfacce. Verifica anche che la chiave di attivazione sia stata accettata.
Client nella VLAN senza DNS
La regola IOT consente la porta 53, ma il client potrebbe usare DNS-over-HTTPS. Forza il server DNS di OPNsense nell’ambito DHCP della zona.
Conclusione
Un’ora di lavoro ti dà quattro zone isolate, rilevamento delle minacce con threat intelligence, isolamento dei carichi IA e una rete IoT che non può raggiungere nient’altro. È il livello di segmentazione che ci si aspetta da un’azienda – senza la fattura annuale.
Passi successivi consigliati: esportare il backup della configurazione, attivare l’autenticazione a due fattori sull’interfaccia web, configurare WireGuard per l’accesso remoto e controllare gli aggiornamenti del firmware una volta a settimana. Per il contesto e le minacce alla base di questa configurazione, leggi IA self-hosted e ibrida: perché serve un firewall dedicato.
Hardware per questa guida
Appliance senza ventola testati con OPNsense, pfSense e Zenarmor.
