Lezione 4 di 11

Sistemi e Reti 3

Modulo 3 — Dispositivi di Rete | Hands on Stem

Modulo 3 di 10

Dispositivi di Rete

Hub, switch, router, access point, firewall e altri: ogni dispositivo ha il suo livello OSI, il suo compito e le sue regole.

Prof. D. Bertolino Hands on Stem Sistemi e Reti

3.1 Panoramica: dispositivi e livelli OSI

Ogni dispositivo di rete opera a un livello specifico del modello OSI. Questo determina cosa può leggere (e quindi quali decisioni può prendere) quando riceve un frame. Un hub vede solo bit; uno switch legge i MAC address; un router analizza gli indirizzi IP; un firewall può ispezionare fino al contenuto applicativo.

Regola d’oro

Più un dispositivo opera a un livello alto del modello OSI, più informazioni può analizzare e più è “intelligente” — ma anche più lento e costoso. Ogni dispositivo eredita le capacità dei livelli inferiori: un router “sa fare” anche ciò che fa uno switch.

Livello OSI	Dispositivo	Cosa legge	PDU	Funzione chiave
7 — Applicazione	Firewall L7, Proxy	URL, contenuto HTTP	Dati	Filtraggio contenuti, caching
4 — Trasporto	Firewall L4	Porte TCP/UDP	Segmento	Filtraggio per servizio
3 — Rete	Router	Indirizzo IP	Pacchetto	Instradamento tra reti
2 — Data Link	Switch, Bridge, AP	MAC Address	Frame	Commutazione nella stessa rete
1 — Fisico	Hub, Repeater, Modem	Nulla (solo segnale)	Bit	Rigenerazione segnale

3.2 Hub e Repeater — Livello 1

📡 Hub (Concentratore) Livello 1 — Fisico

Come funziona

Riceve un segnale su una porta
Lo ripete su TUTTE le altre porte
Non legge il frame, non conosce i MAC
Non filtra, non decide: è “stupido”

Caratteristiche

Half-duplex (un solo verso alla volta)
Unico dominio di collisione
Unico dominio di broadcast
Banda condivisa tra tutte le porte

💡 Analogia: l’hub è come gridare in una stanza — tutti sentono tutto, anche chi non è il destinatario. Oggi è completamente obsoleto, sostituito dagli switch.

Repeater: la versione a 2 porte dell’hub

Il repeater ha solo 2 porte: riceve il segnale, lo rigenera e lo ritrasmette. Serve ad estendere la distanza massima del cavo oltre i 100 m. L’hub è essenzialmente un repeater multiporta. Entrambi operano al livello 1 e sono obsoleti.

3.3 Bridge — Livello 2

🌉 Bridge (Ponte) Livello 2 — Data Link

Come funziona

Ha 2-4 porte
Legge il MAC address sorgente e destinazione
Costruisce una tabella MAC→porta
Inoltra il frame solo se necessario

Caratteristiche

Separa i domini di collisione
Non separa i domini di broadcast
Predecessore diretto dello switch
Oggi usato come bridge wireless

💡 Il bridge è il primo dispositivo “intelligente”: a differenza dell’hub, filtra il traffico. Se il destinatario è sullo stesso segmento del mittente, il frame non viene inoltrato sull’altro segmento.

3.4 Switch — Livello 2 (e oltre)

🔀 Switch (Commutatore) Livello 2 — Data Link

Come funziona

Legge il MAC di destinazione del frame
Consulta la MAC Address Table (CAM table)
Inoltra il frame solo alla porta corretta
Se il MAC è sconosciuto: flood su tutte le porte (tranne la sorgente)

Caratteristiche

Full-duplex su ogni porta
Un dominio di collisione per porta
Banda dedicata per connessione
Switching hardware (ASIC) → velocissimo

La MAC Address Table

Lo switch impara automaticamente i MAC address: quando riceve un frame, associa il MAC sorgente alla porta da cui è arrivato. Dopo qualche secondo di traffico, la tabella è completa e lo switch inoltra in modo mirato.

Porta	MAC Address	VLAN	Tipo
`Fa0/1`	`AA:BB:CC:11:22:33`	VLAN 10	Dinamico (appreso)
`Fa0/2`	`AA:BB:CC:44:55:66`	VLAN 10	Dinamico
`Fa0/5`	`AA:BB:CC:77:88:99`	VLAN 20	Dinamico
`Fa0/24`	`00:1A:2B:3C:4D:5E`	VLAN 1	Statico (configurato)

Funzionalità avanzate dello switch

VLAN

Segmentazione logica della rete: uno switch fisico simula più switch virtuali. Il traffico tra VLAN diverse richiede un router (inter-VLAN routing).

STP

Spanning Tree Protocol: previene i loop di rete disattivando i percorsi ridondanti. Essenziale quando ci sono più switch interconnessi.

PoE

Power over Ethernet: alimenta dispositivi (AP, telecamere, telefoni VoIP) tramite il cavo di rete. PoE: 15W, PoE+: 30W, PoE++: 60-90W.

Port Security

Limita il numero di MAC per porta. Previene attacchi MAC flooding e dispositivi non autorizzati.

Switch Layer 3 (Multilayer)

Esistono switch che combinano il switching L2 con il routing L3. Leggono sia i MAC che gli IP e possono instradare il traffico tra VLAN senza bisogno di un router esterno. Sono usati come switch core nei backbone aziendali. Esempi: Cisco Catalyst 3650/3850, Cisco Nexus.

3.5 Hub vs Switch — La Differenza Chiave

HUB — Broadcast a tutti

Ripete il segnale su tutte le porte
Non legge i MAC address
Unico dominio di collisione
Solo half-duplex
Banda condivisa (es. 100 Mbps ÷ 8 porte)
Nessuna tabella, nessuna intelligenza

Frame da A→C inviato a TUTTI

SWITCH — Unicast mirato

Inoltra il frame solo alla porta corretta
Legge i MAC, costruisce la CAM table
Un dominio di collisione per porta
Full-duplex su ogni porta
Banda dedicata (es. 1 Gbps per porta)
Switching hardware (ASIC), microsecondi

Frame da A→C inviato SOLO a C

3.6 Router — Livello 3

🌐 Router (Instradatore) Livello 3 — Rete

Come funziona

Legge l’indirizzo IP di destinazione del pacchetto
Consulta la tabella di routing
Sceglie l’interfaccia di uscita (next hop)
Riscrive il MAC di destinazione (nuovo hop)

Caratteristiche

Interconnette reti diverse
Separa domini di collisione e broadcast
Ogni interfaccia = una rete diversa
Supporta NAT, ACL, QoS, VPN

La Tabella di Routing

Il router decide dove mandare ogni pacchetto consultando la sua tabella di routing. Ogni riga indica: la rete di destinazione, la subnet mask, il prossimo salto (next hop) e l’interfaccia di uscita.

Rete destinazione	Subnet Mask	Next Hop	Interfaccia	Tipo
`192.168.1.0`	`255.255.255.0`	Connessa	`Fa0/0`	Diretta
`192.168.2.0`	`255.255.255.0`	Connessa	`Fa0/1`	Diretta
`10.0.0.0`	`255.0.0.0`	`192.168.1.254`	`Fa0/0`	Statica
`0.0.0.0`	`0.0.0.0`	`203.0.113.1`	`S0/0`	Default route

Routing statico vs dinamico

Statico: le rotte sono configurate manualmente dall’amministratore. Semplice, prevedibile, adatto a reti piccole. Non si adatta ai guasti.
Dinamico: protocolli come RIP, OSPF, EIGRP e BGP scambiano informazioni tra router per scoprire automaticamente le rotte migliori. Si adatta ai cambiamenti di topologia. Usato in reti medie/grandi e su Internet (BGP).

3.7 Switch vs Router — Confronto

Caratteristica	Switch (L2)	Router (L3)
Livello OSI	2 — Data Link	3 — Rete
Indirizzo usato	MAC Address (48 bit)	IP Address (32/128 bit)
Tabella	MAC Address Table (CAM)	Routing Table
Dominio di broadcast	Non lo separa (1 per VLAN)	Lo separa (1 per interfaccia)
Dominio di collisione	1 per porta	1 per porta
Inoltro basato su	Frame Ethernet	Pacchetto IP
Interconnette	Host nella stessa rete	Reti diverse tra loro
Velocità decisionale	Hardware (ASIC) → µs	Software/hardware → ms-µs
Costo	€€	€€€

3.8 Access Point, Firewall, Modem e altri

📶 Access Point (AP)

Livello 2. Estende la rete cablata al wireless (Wi-Fi 802.11). Funziona come un bridge tra Ethernet e il mezzo radio. Non instrada: è una “prolunga wireless” dello switch.

Standard: 802.11n (Wi-Fi 4), 802.11ac (Wi-Fi 5), 802.11ax (Wi-Fi 6/6E)

📠 Modem

Livello 1-2. MOdulatore-DEModulatore: converte segnali digitali ↔ analogici per la connessione WAN. Tipi: ADSL, VDSL, fibra (ONT), cavo (DOCSIS), cellulare (4G/5G).

Il “modem-router” domestico combina modem + router + switch + AP in un unico box.

🛡️ Firewall

Livello 3-7. Filtra il traffico in base a regole (ACL). Tre tipi principali:

Packet filter (L3-4): filtra per IP e porta
Stateful (L3-4): traccia le connessioni
Application (L7): ispeziona il contenuto (DPI)

🚪 Gateway / Proxy

Livello 7. Il gateway traduce tra protocolli diversi (es. VoIP gateway). Il proxy funge da intermediario tra client e server, migliorando sicurezza, caching e controllo degli accessi.

Esempio: un proxy HTTP cachea le pagine web, riducendo il traffico WAN.

3.9 Domini di Collisione e di Broadcast

Questi due concetti sono fondamentali all’esame. Molte domande della seconda prova chiedono di contare quanti domini di collisione e di broadcast ci sono in una rete data.

Dominio di Collisione

Segmento di rete dove due frame trasmessi contemporaneamente collidono. Con l’hub: tutte le porte condividono un unico dominio. Con lo switch: ogni porta è un dominio separato.

Dominio di Broadcast

Segmento dove un frame broadcast (FF:FF:FF:FF:FF:FF) viene ricevuto da tutti. Lo switch non lo separa (tranne con le VLAN). Solo il router separa i domini di broadcast.

Dispositivo	Separa collisione?	Separa broadcast?
Hub / Repeater	✗ No — unico dominio	✗ No
Bridge	✓ Sì — 1 per porta	✗ No
Switch (L2)	✓ Sì — 1 per porta	✗ No (1 per VLAN)
Router (L3)	✓ Sì — 1 per porta	✓ Sì — 1 per interfaccia

Come contare i domini (metodo per l’esame)

Domini di collisione: conta tutte le porte attive degli switch + tutte le interfacce attive dei router. Con gli hub, tutte le porte connesse contano come UN solo dominio.
Domini di broadcast: conta le interfacce del router (ogni interfaccia = una rete = un dominio di broadcast). Le VLAN contano come reti separate.

Esempio pratico

Consideriamo una rete con: 1 router con 3 interfacce attive, 2 switch (uno da 24 porte con 10 PC collegati, l’altro da 8 porte con 5 PC collegati), un hub da 4 porte con 3 PC collegati, collegato a una porta dello switch 2.

Soluzione

Domini di collisione:
Switch 1: 10 (uno per ogni PC collegato) + 1 (porta verso router) = 11
Switch 2: 5 (porte PC) + 1 (porta verso hub, che è un unico dominio per hub+3 PC) + 1 (porta verso router) = 7
Router: le porte router sono già contate negli switch. Totale: 11 + 7 = 18 domini di collisione.

Domini di broadcast: 3 interfacce router = 3 domini di broadcast.

3.10 Riepilogo del Modulo

L1 — Fisico

Hub, Repeater: ripetono il segnale. Obsoleti. Un dominio di collisione e broadcast.

L2 — Data Link

Switch, Bridge, AP: leggono i MAC, commutano i frame. Separano collisione, non broadcast (tranne VLAN).

L3 — Rete

Router: legge gli IP, instrada i pacchetti. Separa collisione E broadcast. Interconnette reti.

L4-7

Firewall, Proxy, Gateway: analizzano porte, contenuto, applicazioni. Sicurezza e controllo avanzato.

🧪 Verifica di Autovalutazione

01 Un frame arriva a uno switch: come decide su quale porta inoltrarlo?

02 Perché l’hub è obsoleto? Cosa lo ha sostituito?

03 Quanti domini di collisione genera uno switch a 24 porte con 20 dispositivi collegati?

04 Qual è l’unico dispositivo che separa i domini di broadcast?

05 Cosa succede quando uno switch riceve un frame con MAC destinazione sconosciuto?

06 Spiega la differenza tra routing statico e dinamico.

07 Un access point opera a livello 2: cosa significa in pratica?

08 Cos’è uno switch Layer 3? In cosa si differenzia da un router?

09 Una rete ha 2 router (con 3 interfacce attive ciascuno) e 3 switch. Quanti domini di broadcast?

10 Qual è la differenza tra un firewall packet filter e un firewall application?

Soluzioni

Domanda 01 — Come lo switch decide la porta

Lo switch legge il MAC address di destinazione nel frame e lo cerca nella sua MAC Address Table (CAM table). Se trova una corrispondenza, inoltra il frame solo su quella porta. Se non lo trova, fa flooding: invia il frame su tutte le porte tranne quella da cui è arrivato.

Domanda 02 — Perché l’hub è obsoleto

L’hub ripete tutto su tutte le porte (no intelligenza), crea un unico dominio di collisione, funziona solo in half-duplex e condivide la banda tra tutti. Lo switch lo ha sostituito: commuta i frame in modo mirato, offre full-duplex, banda dedicata per porta e costa pochissimo di più.

Domanda 03 — Domini di collisione di uno switch 24 porte

20 domini di collisione — uno per ogni dispositivo collegato (= ogni porta attiva dello switch). Le 4 porte non utilizzate non contano.

Domanda 04 — Chi separa i domini di broadcast

Il router. Ogni interfaccia del router è una rete separata e quindi un dominio di broadcast separato. Lo switch non separa i broadcast (li inoltra a tutte le porte della stessa VLAN). Le VLAN sono l’unico modo per separare broadcast su uno switch, ma serve comunque un router per comunicare tra VLAN diverse.

Domanda 05 — MAC sconosciuto

Lo switch fa flooding (inondazione): invia il frame su tutte le porte tranne quella da cui è arrivato. Quando il destinatario risponde, lo switch apprende il suo MAC e la porta corrispondente, aggiornando la CAM table. I frame successivi verso quel MAC saranno inoltrati in modo mirato.

Domanda 06 — Routing statico vs dinamico

Statico: rotte inserite manualmente dall’amministratore. Prevedibile, sicuro, adatto a reti piccole o link singoli. Non si adatta automaticamente ai guasti. Dinamico: protocolli (RIP, OSPF, EIGRP, BGP) scambiano informazioni tra router per scoprire le rotte migliori. Si adatta ai cambiamenti. Più complesso ma essenziale per reti grandi e Internet.

Domanda 07 — AP a livello 2

L’access point legge i MAC address (livello 2) e funziona come un bridge tra il mezzo radio (Wi-Fi) e la rete cablata (Ethernet). Non assegna IP (lo fa il DHCP server), non instrada (lo fa il router). È una “prolunga wireless” dello switch: estende la rete esistente senza creare una rete separata.

Domanda 08 — Switch L3

Uno switch Layer 3 combina le funzioni di switching L2 (MAC, VLAN) con il routing L3 (IP, instradamento tra VLAN). Si differenzia da un router per la velocità: lo switch L3 fa routing in hardware (ASIC), il router tradizionale usa CPU. Lo switch L3 è ottimo come core switch per inter-VLAN routing; il router resta necessario per funzioni avanzate (NAT, VPN, WAN).

Domanda 09 — Domini di broadcast

I router hanno un totale di 3 + 3 = 6 interfacce attive, ma alcune sono collegate tra loro (link router-router). Se i due router sono collegati tra loro con un link diretto, quel link è un dominio di broadcast a sé. In generale: ogni segmento di rete tra interfacce router è un dominio di broadcast. Se i 2 router hanno 3 interfacce ciascuno e una è usata per il link tra loro, ci sono 2 + 2 + 1 = 5 domini di broadcast (2 LAN per router + 1 link inter-router). Senza conoscere la topologia esatta, la risposta tipica all’esame è: conta le reti IP distinte.

Domanda 10 — Firewall packet filter vs application

Packet filter (L3-4): esamina solo gli header IP e TCP/UDP — filtra per indirizzo IP sorgente/destinazione e porta. Veloce ma non vede il contenuto. Application firewall (L7): ispeziona il payload applicativo con Deep Packet Inspection (DPI). Può bloccare specifiche URL, rilevare malware, filtrare contenuti. Molto più potente ma più lento e costoso. Il firewall stateful è una via di mezzo: traccia lo stato delle connessioni TCP.