Come progettare una rete sicura e fare subnetting VLSM in modo pratico e veloce — con esempi reali, calcoli passo per passo e le best practice di sicurezza che ogni tecnico IT deve conoscere.
Un errore comune è pensare che il subnetting sia solo una questione tecnica di indirizzi IP. In realtà, una buona progettazione delle subnet è la prima linea di difesa di una rete aziendale.
Segmentare correttamente la rete significa che se un attaccante compromette un dispositivo nella rete degli utenti, non può automaticamente raggiungere i server, i sistemi di controllo o la rete di management. Ogni segmento diventa un compartimento stagno.
💡 Principio base: dispositivi con lo stesso livello di fiducia e le stesse esigenze di accesso vanno nella stessa subnet. Dispositivi con esigenze diverse vanno separati — e il traffico tra subnet deve passare per un firewall o un router con ACL.
Prima di calcolare le subnet, dobbiamo definire i segmenti che compongono la rete. Una rete aziendale tipica si divide così:
Ognuno di questi segmenti diventa una subnet separata. Il traffico tra i segmenti passa per il firewall, che applica policy granulari: gli utenti possono raggiungere i server, ma non la rete di management. L'IoT non può raggiungere nulla se non internet.
VLSM (Variable Length Subnet Mask) risolve il problema dello spreco di indirizzi IP del subnetting classico. Invece di assegnare subnet uguali a tutti, ogni subnet riceve esattamente gli indirizzi che le servono.
Per una subnet con N host, ti serve un blocco con almeno N+2 indirizzi (network address + broadcast). Trova la potenza di 2 più piccola che supera N+2:
| Host richiesti | Host+2 | Blocco minimo | Subnet mask | CIDR |
|---|---|---|---|---|
| 2 host | 4 | 4 indirizzi | 255.255.255.252 | /30 |
| 6 host | 8 | 8 indirizzi | 255.255.255.248 | /29 |
| 14 host | 16 | 16 indirizzi | 255.255.255.240 | /28 |
| 30 host | 32 | 32 indirizzi | 255.255.255.224 | /27 |
| 62 host | 64 | 64 indirizzi | 255.255.255.192 | /26 |
| 126 host | 128 | 128 indirizzi | 255.255.255.128 | /25 |
| 254 host | 256 | 256 indirizzi | 255.255.255.0 | /24 |
| 510 host | 512 | 512 indirizzi | 255.255.254.0 | /23 |
Progettiamo la rete di una piccola azienda con spazio di indirizzamento 192.168.10.0/24 (256 indirizzi totali). Abbiamo questi requisiti:
| Segmento | Host richiesti | Note |
|---|---|---|
| LAN Utenti | 50 | PC e laptop dipendenti |
| LAN Server | 20 | File server, DB, stampanti di rete |
| DMZ | 10 | Web server, mail server |
| LAN IoT | 10 | Telecamere, smart TV, badge reader |
| Management | 5 | Router, switch, firewall |
| Link WAN | 2 | Collegamento router-firewall |
Regola d'oro del VLSM: inizia sempre dalla subnet più grande. In questo modo eviti di "intrappolare" spazio per le subnet più grandi:
50+2=52 → blocco minimo: 64 → /26
Network: 192.168.10.0/26
Range host: 192.168.10.1 — 192.168.10.62
Broadcast: 192.168.10.63
20+2=22 → blocco minimo: 32 → /27
Inizia dopo il broadcast precedente: 192.168.10.64
Network: 192.168.10.64/27
Range host: 192.168.10.65 — 192.168.10.94
Broadcast: 192.168.10.95
10+2=12 → blocco minimo: 16 → /28
Network: 192.168.10.96/28
Range host: 192.168.10.97 — 192.168.10.110
Broadcast: 192.168.10.111
Network: 192.168.10.112/28
Range host: 192.168.10.113 — 192.168.10.126
Broadcast: 192.168.10.127
5+2=7 → blocco minimo: 8 → /29
Network: 192.168.10.128/29
Range host: 192.168.10.129 — 192.168.10.134
Broadcast: 192.168.10.135
2+2=4 → blocco minimo: 4 → /30
Network: 192.168.10.136/30
Host 1: 192.168.10.137 (router)
Host 2: 192.168.10.138 (firewall)
Broadcast: 192.168.10.139
| Segmento | Network | Mask | Host usabili | Broadcast |
|---|---|---|---|---|
| LAN Utenti | 192.168.10.0 | /26 | .1 — .62 | .63 |
| LAN Server | 192.168.10.64 | /27 | .65 — .94 | .95 |
| DMZ | 192.168.10.96 | /28 | .97 — .110 | .111 |
| LAN IoT | 192.168.10.112 | /28 | .113 — .126 | .127 |
| Management | 192.168.10.128 | /29 | .129 — .134 | .135 |
| Link WAN | 192.168.10.136 | /30 | .137 — .138 | .139 |
Totale indirizzi usati: 140 su 256. Rimangono 192.168.10.140 — 192.168.10.255 disponibili per espansioni future.
La segmentazione da sola non basta — serve controllare il traffico tra le subnet con Access Control List o regole firewall:
Su switch managed, ogni subnet deve avere la propria VLAN. Questo garantisce isolamento a livello di layer 2 — un dispositivo nella VLAN utenti non può nemmeno "vedere" i frame della VLAN server, anche se fisicamente sullo stesso switch.
Il gateway (di solito il router o il firewall) prende sempre il primo indirizzo utile della subnet. In questo modo è facile ricordarlo: gateway della LAN Utenti = 192.168.10.1, gateway LAN Server = 192.168.10.65, ecc.
Ogni rete professionale deve avere un documento aggiornato con il piano IP completo. Un errore comune è assegnare gli IP a memoria senza documentazione — porta inevitabilmente a conflitti di indirizzo e troubleshooting impossibili.
🔧 Strumento utile: usa il calcolatore VLSM gratuito su questo sito per verificare i tuoi calcoli in tempo reale — inserisci la rete e il numero di host per ogni subnet e ottieni i risultati istantaneamente.
VLSM (Variable Length Subnet Mask) permette di dividere una rete in subnet di dimensioni diverse, assegnando a ciascuna esattamente gli indirizzi IP necessari. Evita lo spreco tipico del subnetting classico dove tutte le subnet hanno la stessa dimensione.
Nel subnetting classico (FLSM) tutte le subnet hanno la stessa mask. Con VLSM ogni subnet ha la mask ottimale per i suoi host. VLSM è usato in tutte le reti moderne e richiesto da OSPF ed EIGRP.
Con segmentazione in subnet/VLAN separate per utenti, server, IoT e management — firewall e ACL tra i segmenti — DMZ per i servizi pubblici — e un piano di indirizzamento VLSM documentato.
Sempre indirizzi privati (RFC 1918): 10.0.0.0/8, 172.16.0.0/12 o 192.168.0.0/16. Gli indirizzi pubblici si usano solo sulle interfacce esposte su Internet, mai per le LAN interne.
Sì, questa è esattamente la metodologia VLSM richiesta dall'esame CCNA. Ordina le subnet dalla più grande alla più piccola, assegna partendo dall'inizio dello spazio di indirizzamento e non sovrapporre mai le subnet.