Separare televisori, stampanti e dispositivi smart dalla rete dei computer è una buona pratica. Il giorno dopo, però, arriva la domanda inevitabile: perché il telefono non trova più la TV? Il problema non è la separazione in sé, ma il modo in cui questi dispositivi si scoprono a vicenda. Capirlo permette di mantenere la segmentazione senza rinunciare alle comodità.
Perché la separazione rompe la scoperta
Casting, AirPlay, stampanti di rete e casse multiroom usano protocolli di scoperta basati su multicast: il telefono chiede a tutta la rete «chi sa riprodurre video?» e la TV risponde. I principali sono mDNS (con il suffisso .local) e SSDP, usato da UPnP e DLNA.
I pacchetti multicast di questo tipo restano confinati nella rete locale in cui nascono. Quando telefono e TV si trovano in due reti diverse, la domanda non arriva mai dall'altra parte. Il collegamento vero e proprio, una volta scoperto l'indirizzo, è invece normale traffico unicast, che un router può instradare senza problemi se le regole lo permettono.
Il problema quindi si divide in due parti:
- far arrivare la scoperta da una rete all'altra;
- permettere la connessione successiva, e solo quella.
Il ripetitore mDNS
Un ripetitore mDNS, chiamato anche reflector o proxy, ascolta gli annunci su una rete e li ripete sull'altra. Molti router evoluti e i firmware alternativi lo includono; su Linux il demone Avahi ha un'opzione dedicata:
[reflector]
enable-reflector=yes
Accorgimenti importanti:
- limita il ripetitore alle interfacce necessarie, per esempio rete principale e rete multimedia, senza includere la rete ospiti;
- alcuni prodotti offrono filtri per tipo di servizio: puoi ripetere solo stampanti e casting, non tutto;
- per SSDP e DLNA serve un componente diverso, perché si tratta di un protocollo distinto da mDNS.
Regole firewall mirate
Ripetere gli annunci non basta: dopo la scoperta, il telefono deve potersi collegare alla TV. Qui entra in gioco il principio più importante della segmentazione: la rete fidata può avviare connessioni verso quella meno fidata, non il contrario.
Una struttura tipica di regole:
| Da | Verso | Azione |
|---|---|---|
| Rete principale | Rete multimedia/IoT | Consentito |
| Rete multimedia/IoT | Rete principale, connessioni di ritorno | Consentito |
| Rete multimedia/IoT | Rete principale, nuove connessioni | Bloccato |
| Rete multimedia/IoT | Internet | Consentito o limitato |
| Rete ospiti | Reti interne | Bloccato |
Le "connessioni di ritorno" sono quelle che il firewall riconosce come risposta a una richiesta partita dalla rete principale. Nei firewall si chiamano spesso connessioni "established" e "related". Così la TV può rispondere al telefono, ma non può iniziare a esplorare i computer.
Casi particolari
Alcuni protocolli complicano il quadro. Certi sistemi di casting fanno partire dalla TV connessioni aggiuntive verso il telefono, su porte non prevedibili. Se il casting si avvia ma lo streaming si interrompe, potrebbe servire una regola che permette alla TV di contattare specificamente il telefono, per indirizzo, invece di aprire tutta la rete principale.
Per le stampanti la situazione è più semplice: stampa IPP e protocolli simili lavorano su poche porte note, e basta consentire il traffico dalla rete principale verso l'indirizzo della stampante.
Una via di mezzo pratica
Non sempre vale la pena separare tutto. Nel mio lavoro propongo spesso una divisione in tre reti:
- principale: computer, telefoni e NAS di famiglia;
- multimedia: TV, casse e stampante, con ripetitore mDNS verso la principale;
- dispositivi smart: prese, lampadine e sensori, senza ripetitore e con accesso a Internet limitato ai servizi necessari.
In questo modo i dispositivi con cui si interagisce tutti i giorni restano comodi, e quelli che non serve scoprire restano chiusi.
Diagnosi passo per passo
Quando qualcosa non funziona, procedi in ordine:
- dalla rete principale prova a raggiungere la TV per indirizzo IP: se non risponde, il problema è nelle regole firewall;
- se l'IP risponde ma la TV non compare tra i dispositivi, il problema è la scoperta: controlla il ripetitore;
- se compare ma lo streaming si blocca, cerca connessioni avviate dalla TV nel registro del firewall.
In sintesi
- Casting e stampa si basano su protocolli di scoperta multicast confinati nella rete locale.
- Un ripetitore mDNS porta gli annunci da una rete all'altra, solo dove serve.
- La rete fidata avvia connessioni verso quella meno fidata, non il contrario.
- Consenti le connessioni di ritorno e blocca quelle nuove dalla rete IoT.
- Diagnostica separando scoperta, connessione e streaming.
