Quante volte, parlando con una scuola o una piccola azienda, sento la stessa frase: “vorremmo mettere in sicurezza la rete, ma un firewall vero costa troppo, e poi c’è la licenza annuale, e poi…”? È un pensiero legittimo: i firewall enterprise dei grandi vendor (Fortinet, Sophos, Cisco e simili) hanno prezzi e canoni che per una scuola o una PMI con budget IT risicato sono spesso fuori portata.
Il punto è che la sicurezza informatica non è un prodotto che compri, è un insieme di scelte consapevoli. Per dimostrarlo a me stesso prima ancora che ai miei clienti, ho costruito la mia infrastruttura di casa applicando esattamente gli stessi principi che userei per mettere in sicurezza la rete di una scuola o di una piccola azienda con budget quasi zero: hardware riciclato, solo software open source, e un ragionamento di sicurezza dietro ogni scelta. In questo articolo ti mostro come, anche in situazioni low budget, sia possibile garantirsi un ottimo livello di sicurezza sfruttando al meglio gli ottimi prodotti open source disponibili oggi, con un occhio di riguardo anche allo spreco di hardware ancora perfettamente funzionante che spesso resta inutilizzato in magazzino.
Il problema: “sicurezza” spesso vuol dire un budget che scuole e PMI non hanno
Nella mia esperienza di assistente di laboratorio informatico e amministratore di sistema nelle scuole e PMI, il problema non è quasi mai la volontà di fare le cose per bene. È il budget. Un firewall UTM di fascia enterprise con licenza per il filtro contenuti, VPN e antivirus di rete può costare tra i 1.000 e i 5.000€ solo di hardware, più un canone annuale che spesso supera il prezzo dell’apparato stesso. Per un istituto scolastico o una piccola realtà, è una cifra semplicemente fuori scala rispetto al budget reale a disposizione.
Il rischio è che, senza quel budget, ci si rassegni a non fare nulla: router di fabbrica, nessuna segmentazione, servizi esposti direttamente su internet “perché tanto funziona”. Ma esiste una via di mezzo, ed è quella che ho voluto testare sulla mia pelle prima di proporla.
La prova pratica: la mia infrastruttura, pensata con la stessa logica
A casa e per il mio lavoro ho un piccolo server sempre acceso che fa girare domotica (Home Assistant), servizi vari in Docker e videosorveglianza, con accesso remoto sicuro quando sono fuori. Niente di eccezionale sulla carta, se non fosse che l’ho costruito deliberatamente con la stessa filosofia che applico quando progetto la sicurezza di un cliente con budget limitato: nessun pezzo costoso, solo scelte consapevoli.
Ecco i cinque principi che ho applicato, e che sono gli stessi che porto in una scuola o in una PMI.
Principio 1: riutilizzare hardware invece di comprare nuovo
Il server che fa da base a tutto è un mini PC Dell usato, comprato su eBay per 150€: un Intel Core i5-6500T con 16 GB di RAM. Per lo storage dei dati più pesanti (video di sorveglianza, file), uso un secondo PC riciclato con OpenMediaVault come sistema operativo NAS: un SSD per il sistema e vecchi dischi magnetici in RAID per i dati.
Il punto non è risparmiare per risparmiare: è dimostrare che l’hardware nuovo e costoso non è affatto un prerequisito per una buona infrastruttura. Una scuola ha quasi sempre in un ripostiglio due o tre PC dismessi ancora perfettamente funzionanti: con un SSD economico e un sistema operativo giusto, diventano l’hardware su cui costruire segmentazione, DNS filtering e accesso remoto sicuro.
Principio 2: segmentare, invece di ammucchiare tutto insieme
Sul mini PC gira Proxmox VE, un hypervisor gratuito e open source. Sopra, invece di un unico sistema che fa tutto, ho due macchine virtuali separate: una dedicata solo alla domotica, una dedicata ai servizi generali, a loro volta suddivisi in container Docker indipendenti (uno per il reverse proxy, uno per il DNS, uno per la videosorveglianza, ecc.), gestiti con Portainer.
Questo è uno dei principi di sicurezza più trascurati proprio dove il budget è basso: se un singolo servizio viene compromesso o va in errore, resta isolato e non si porta dietro tutto il resto. In una scuola, questo significa per esempio tenere il server didattico separato dalla rete amministrativa, o il Wi-Fi ospiti separato dalla rete dei PC con dati sensibili — con hardware anche modesto, ma segmentato correttamente.
Principio 3: ridurre al minimo ciò che è esposto su internet
Dei miei servizi, uno solo è raggiungibile direttamente da internet: Home Assistant, protetto con autenticazione a più fattori (MFA). Tutto il resto — file, videosorveglianza, pannelli di gestione — non ha nessuna porta aperta verso l’esterno: è raggiungibile solo passando da una VPN cifrata.
È lo stesso principio che vale per una PMI o una scuola: ogni porta aperta su internet è una porta che qualcuno, prima o poi, proverà a forzare. Meno cose sono esposte, meno cose puoi dover difendere. Non serve un firewall da migliaia di euro per applicare questo principio: serve la disciplina di non esporre nulla che non sia strettamente necessario.
Principio 4: filtrare a livello DNS come prima barriera, gratis
Tutta la rete di casa passa da Pi-hole, abbinato a Unbound come resolver DNS ricorsivo. Pi-hole blocca a livello di rete domini pubblicitari, di tracciamento e, soprattutto, molti domini noti per malware e phishing — senza installare nulla sui singoli dispositivi, e senza appoggiarsi a un fornitore DNS esterno di cui fidarsi ciecamente (Unbound risolve i domini in autonomia, direttamente dai server root).
I grandi vendor vendono questa stessa funzione come servizio DNS di sicurezza a pagamento, spesso con canoni per numero di utenti. Con Pi-hole e Unbound, che sono entrambi gratuiti e open source, un istituto scolastico può ottenere un primo, solido livello di filtro contro i siti malevoli per l’intera rete, senza spendere nulla di ricorrente.
Perché non un proxy con Squid, come avevo fatto in passato
In passato, proprio in ambiente scolastico avevo affrontato il filtro contenuti in un altro modo: pfSense con Squid, il classico approccio da proxy filtrante. Sulla carta funziona bene, ma nella pratica e col passare degli anni, ho trovato un limite concreto legato all’autenticazione: con i PC Windows in dominio l’accesso al proxy è trasparente (single sign-on via NTLM/Kerberos), ma con Chromebook, tablet e tutti i dispositivi non a dominio l’utente si trova a dover autenticarsi manualmente ogni volta — su una rete con centinaia di dispositivi eterogenei, come capita spesso in una scuola, diventa rapidamente ingestibile.
Ho provato poi la via del un proxy trasparente, che intercetta il traffico senza bisogno di configurare nulla sui client. Il problema è che su HTTPS un proxy trasparente, senza fare SSL bump (cioè decifrare il traffico con un certificato CA installato su ogni dispositivo), riesce a vedere solo il nome del dominio nell’handshake TLS — non l’URL completo, non il contenuto della pagina. Per andare oltre servirebbe installare un certificato su ogni device, con tutti i problemi di gestione flotta di prima, più questioni di privacy non banali nel decifrare il traffico degli utenti.
Ed è proprio qui che il filtro DNS mostra il suo vantaggio pratico: ottiene comunque un filtro “a livello di dominio” — lo stesso limite a cui è vincolato un proxy trasparente su HTTPS senza MITM — ma senza autenticazione, senza certificati da distribuire, e in modo identico su Windows, Chromebook, telefoni o qualsiasi altra cosa si connetta al Wi-Fi.
Principio 5: accesso remoto cifrato, non porte aperte a caso
Per l’accesso da fuori casa uso WireGuard, configurato direttamente sul router (il mio, un Asus RT-AXE7800, lo supporta nativamente, ma la stessa funzione è disponibile su moltissimi router anche economici o su firmware alternativi come OPNsense/pfSense installati su hardware riciclato). Un dettaglio tecnico che sfrutto: il profilo VPN è configurato in split-tunnel, cioè solo il traffico verso la rete di casa passa dal tunnel cifrato, incluse le richieste DNS verso Pi-hole — la normale navigazione internet fuori casa resta diretta, senza appesantire la connessione. Un piccolo container che aggiorna un dominio dinamico (Cloudflare DDNS) tiene sempre raggiungibile l’endpoint VPN anche quando l’IP pubblico di casa cambia.
Per una scuola o una PMI questo significa poter dare al personale un accesso da remoto sicuro alle risorse interne, senza dover aprire decine di porte sul router e senza affidarsi a soluzioni cloud di terzi che spesso hanno costi per singolo utente.
Quanto costa davvero, in pratica
- Hardware: un mini PC usato (~150€) più eventuali PC dismessi già disponibili per lo storage
- Software: Proxmox, Home Assistant, Docker, Portainer, Nginx Proxy Manager, Pi-hole, Unbound, WireGuard — tutti gratuiti e open source, nessuna licenza ricorrente
- Costo ricorrente: sostanzialmente zero, a parte l’elettricità di un PC sempre acceso
Confrontalo con il canone annuale di un firewall UTM enterprise, spesso superiore da solo al costo di tutto l’hardware qui sopra. Non sto dicendo che questa configurazione sostituisca in ogni caso un firewall di livello enterprise per un’infrastruttura complessa — ma per moltissime scuole e PMI con budget limitato, è la differenza tra avere un minimo di sicurezza consapevole e non averne affatto.
Cosa significa per una scuola o una PMI
Lo stesso approccio, scalato, si traduce in scelte molto concrete quando lo applico come sistemista presso un cliente:
- Router/firewall con VPN nativa (o hardware riciclato con OPNsense/pfSense) invece di accessi remoti improvvisati
- DNS filtering centralizzato per tutta la rete didattica o aziendale, un primo scudo gratuito contro phishing e malware
- Server virtualizzato (anche su hardware non recentissimo) per segmentare i servizi interni invece di un unico PC che fa tutto
- Accesso remoto per il personale solo tramite VPN cifrata, mai con porte aperte dirette verso i servizi interni
- Autenticazione a più fattori su tutto ciò che resta comunque esposto verso l’esterno
Domande frequenti
Non in ogni scenario: un firewall enterprise resta la scelta giusta per infrastrutture complesse o con requisiti normativi specifici. Ma per la maggior parte delle scuole e PMI, applicare correttamente segmentazione, riduzione della superficie esposta, DNS filtering e VPN cifrata copre la stragrande maggioranza dei rischi reali, a un costo vicino allo zero.
Sì, a patto di scegliere con criterio cosa riciclare (CPU e RAM sufficienti per il carico previsto, dischi in buono stato) e di applicare comunque segmentazione e patching regolare. Il risparmio va investito nella configurazione corretta, non nell’assenza di manutenzione.
È la parte più importante, e spesso quella che manca in un’implementazione fai-da-te: aggiornamenti regolari, backup verificati e monitoraggio degli accessi. È esattamente il servizio che offro come consulente: non solo l’implementazione iniziale, ma la manutenzione continuativa.
Sì, anzi è pensato proprio per questo: una volta impostata correttamente, l’infrastruttura richiede manutenzione minima e può essere gestita da remoto da un consulente esterno, senza bisogno di una figura IT dedicata a tempo pieno in sede.
Quanto descritto può essere replicato anche in una soluzione cloud anche a basso costo. Per i servizi e container Docker descritti è più che sufficiente una VPS da pochi euro al mese.
Si, il primo intervento e scelta dell’hardware deve essere effettuato on-site, successivamente sia la configurazione che la manutenzione può essere effettuata in gran parte da remoto, riducendo notevolmente i costi di manutenzione e assistenza.
Nessun problema, il server DNS Microsoft rimane per risolvere tutti gli indirizzi interni e per far funzionare Active Directory, basta aggiungere l’IP del server Pi-Hole tra i server di inoltro.
Si, affidandosi a servizi di terze parti esistono soluzioni a pagamento e gratuite. Tra queste ultime un buon servizio è quello offerto da OpenDns che permette di filtrare contenuti in base alle categorie scelte. L’implementazione su una rete anche di grandi dimensioni è molto semplice e veloce: ci si registra, si registra il proprio IP pubblico (se statico) o si scarica e si installa un software che aggiorna il proprio ip in caso di IP dinamico e si da in modo di far utilizzare a tutti i client quei server DNS (tramite DHCP o inserendoli come server di inoltro nel proprio DNS aziendale).
Utilizzando un proprio server DNS ricorsivo con Unbound, le query di navigazione di tutti i dispositivi della rete non vengono più inviate a Google, Cloudflare o al proprio operatore telefonico.
Unbound interagisce direttamente e in autonomia con i Root Server e i server autoritativi di Internet per risolvere i nomi di dominio. In questo modo, le informazioni sulle tue abitudini di navigazione rimangono private all’interno della tua rete locale, evitando qualsiasi profilazione da parte di resolver esterni.
Pi-hole+Unbound impediscono al tuo operatore di registrare la cronologia delle tue richieste DNS. Tuttavia, l’operatore può comunque vedere l’indirizzo IP di destinazione e il nome del sito a cui ti colleghi (tramite l’intestazione SNI del traffico HTTPS).
In sintesi: Pi-hole + Unbound impedisce la profilazione dei dati da parte dei grandi provider DNS (come Google o Cloudflare) e rende più difficile il tracciamento da parte dell’ISP, ma non sostituisce una VPN se l’obiettivo è il totale anonimato della rete.
La primissima volta che visiti un sito nuovo, Unbound impiega pochi millisecondi in più per trovare l’IP. Tuttavia, per le visite successive le risposte sono istantanee (0 ms di latenza) grazie alla memoria locale.
In più, dato che Pi-hole blocca pubblicità e tracker prima del caricamento, le pagine web pesano meno e si aprono molto più rapidamente.
