Mettere in sicurezza la casa nerd: rete, DNS, MFA e backup

Chi ha una casa piena di dispositivi smart, serveroni domestici e gadget da laboratorio sa che basta una configurazione sbagliata per aprire la porta a problemi. Un setup minimo ma ben fatto può ridurre il rischio in modo drastico. L’obiettivo è costruire strati: segmentazione della reteDNS filtrantiMFA su tutti gli account critici e backup 3-2-1. Ogni passaggio è concreto, con esempi pensati per un router consumer e un NAS domestico.

Non serve hardware enterprise per portarsi a casa buone pratiche da professionisti. Con qualche regola di firewall profili SSID separati, policy di risoluzione DNS coerenti e un piano di backup ragionato, la superficie d’attacco diminuisce e gli incidenti diventano gestibili. Ecco come impostare la base solida su cui far girare tutto il resto, senza perdere comodità.

Segmentare la rete: separare main, ospiti e IoT

Il principio è semplice: dispositivi con rischi diversi non devono parlarsi liberamente. In mancanza di VLAN sul router, la maggior parte dei modelli consumer offre una rete ospiti con isolamento della LAN. Creare tre domini: “Main” per PC e smartphone, “IoT” per dispositivi smart, “Guest” per ospiti. Abilitare l’isolamento client-to-client dove possibile e negare l’accesso all’intranet da IoT/Guest. Così un dispositivo vulnerabile non tocca il NAS o il PC di lavoro. Usare WPA2/WPA3 password robuste e disattivare WPS. Assegnare sottoreti distinte per limitare broadcast e rendere chiare le regole.

Esempio su router consumer con rete ospiti isolata e regole base di firewall. Reti: Main 192.168.10.0/24, IoT 192.168.20.0/24 (guest SSID), Guest 192.168.30.0/24 (guest SSID). Consentire a IoT solo Internet e, se serve, accesso dal Main verso servizi precisi (es. HTTP sul bridge domotico). Esempio di impostazioni minime:

# DHCP scopes
Main: 192.168.10.100-199
IoT: 192.168.20.100-199 (guest/isolated)
Guest:192.168.30.100-199 (guest/isolated)

# Firewall rules (top-down)
1. Allow Main -> WAN any
2. Allow IoT -> WAN tcp/80,443; udp/53,123
3. Allow Guest -> WAN tcp/80,443; udp/53
4. Allow Main -> IoT tcp/80,443,554,1883,5683 (se necessario)
5. Block IoT -> Main any
6. Block Guest -> Main any
7. Block Guest -> IoT any

DNS filtranti e cifrati: ridurre phishing e domini malevoli

Impostare DNS filtranti come prima linea contro phishing e malvertising. Un approccio locale con Pi-hole o AdGuard Home su un mini PC o sul NAS permette controllo fine; in alternativa, servizi gestiti come NextDNS o OpenDNS offrono profili per categoria. Sul router definire i DNS di uscita e bloccare il traffico verso server DNS esterni per evitare bypass. Abilitare DoH/DoT per cifrare la risoluzione e prevenire intercettazioni su reti non fidate. Mantenere una whitelist per i domini indispensabili ai dispositivi IoT.

Esempio di forzatura DNS a livello di gateway e profilo di filtri bilanciato. In molti router: “DNS statici WAN” impostati al resolver filtrante, “DNS rebind protection” attiva, e regola che impedisce DNS verso Internet tranne il resolver scelto. Esempio:

# Router NAT rule
Redirect LAN udp/53 -> 192.168.10.2 (resolver locale)

# Firewall
Block LAN -> WAN udp/53,tcp/53 except <resolver>

# Profili filtri (AdGuard/NextDNS)
- Malware, phishing, cryptojacking: ON
- Adult, gambling: opzionale
- CNAME cloaking: ON
- SafeSearch forzato (famiglia): facoltativo

MFA ovunque: password manager, TOTP e chiavi FIDO2

Il secondo fattore non è negoziabile. Attivare MFA su email principale, password manager, account del provider cloud e pannelli di router/NAS se supportato. Preferire chiavi FIDO2 (due esemplari) e, in alternativa, TOTP su app offline. Disabilitare il fallback via SMS quando possibile. Conservare i codici di recupero stampati o in cassaforte digitale separata. Impostare un password manager con vault cifrato, password uniche e lunghe, e rotazione delle credenziali di amministrazione ogni 6-12 mesi. Verificare che l’accesso remoto al router sia disabilitato o vincolato a VPN con MFA.

Per il NAS: creare un utente amministrativo non predefinito, abilitare MFA TOTP sul login web, limitare l’accesso alla LAN Main e registrare notifiche email sugli accessi falliti. Per servizi esposti, usare reverse proxy con autenticazione a monte e certificati TLS aggiornati. Eseguire periodicamente controlli di sessione attive e rivedere dispositivi fidati nel password manager.

Backup 3-2-1: locale, offsite e versioning

La regola 3-2-1 è il paracadute: tre copie dei dati, su due supporti diversi, una offsite. Per i dati sul PC, sincronizzare su NAS con versioning; dal NAS uscire verso un bucket S3 compatibile o provider cloud, con cifratura lato client e immutabilità (object lock) per proteggersi dal ransomware. Tenere un disco USB crittografato offline con rotazione settimanale. Testare il ripristino: senza restore provato, il backup non esiste davvero. Pianificare snapshot frequenti per documenti e meno frequenti per media.

Esempio su NAS: creazione di una share “Archivio”, snapshot orarie 24h, giornaliere 30 giorni, settimanali 6 mesi; replica cifrata verso storage offsite; job separato per le foto senza deduplica aggressiva. Esempio sintetico di settaggi:

# Share
Archivio: SMB/NFS, cestino attivo, versioning ON

# Snapshot
Hourly: keep 24
Daily: keep 30
Weekly: keep 26

# Offsite (S3)
- Bucket: s3://backup-casa
- Encryption: client-side (AES-256)
- Lifecycle: Glacier > 90 giorni
- Object Lock: 14 giorni (compliance)

Checklist di hardening per partire subito

Una lista d’azione rapida aiuta a non perdersi. Ordinare i passi per impatto e semplicità, misurando gli effetti dopo ogni modifica. Ogni voce crea un ostacolo concreto a malware e attaccanti opportunistici, senza rompere la fruibilità quotidiana. Documentare le scelte, salvare esportazioni di configurazione e annotare le password di emergenza. Mantenere firmware aggiornati e rimuovere servizi non usati: meno superfici esposte, meno rischi da gestire nel tempo. Di seguito una sequenza suggerita per una casa nerd moderna, flessibile ma decisamente più sicura già al primo ciclo di lavoro.

1. Aggiornare firmware di router, switch, AP e NAS; disabilitare UPnP e WPS.
2. Creare SSID separati: Main, IoT, Guest; attivare isolamento e subnet diverse.
3. Impostare DNS filtranti e bloccare DNS diretti verso Internet.
4. Applicare regole firewall: IoT/Guest senza accesso alla LAN, solo porte necessarie.
5. Abilitare MFA su email, password manager, router/NAS; conservare codici di recupero.
6. Installare password manager, rotazione credenziali admin e auditing periodico.
7. Configurare backup 3-2-1 con snapshot locali, USB offline e replica cifrata offsite.
8. Testare il restore trimestralmente su un dataset campione.
9. Limitare l’accesso remoto: usare VPN con MFA o nessun accesso esterno.
10. Monitorare log di router/NAS e impostare alert email su eventi critici.