In questa lezione analizzeremo il concetto di dominio di broadcast nelle architetture di rete locali e come questo influenzi il traffico dati. Esamineremo le problematiche comuni e le limitazioni delle infrastrutture di rete tradizionali.
Approfondiremo inoltre l'impatto dei colli di bottiglia sulle prestazioni complessive della LAN, imparando a identificare i punti critici dove il flusso di rete tende a rallentare.
Nel corso delle lezioni precedenti abbiamo analizzato il funzionamento del Livello 3 (Rete) e le differenze tra IPv4 e IPv6. Ora, per comprendere appieno l'architettura delle reti moderne e la necessità di introdurre tecnologie come le VLAN, dobbiamo scendere al Livello 2 della pila OSI (Data Link) e analizzare cosa accade fisicamente all'interno di una Local Area Network (LAN) tradizionale, spesso definita "piatta". Se progettiamo una rete inserendo centinaia di host su un unico enorme switch (o su una serie di switch collegati a cascata), andiamo inevitabilmente incontro a severi colli di bottiglia e vulnerabilità strutturali.
In questa lezione affronteremo un'analisi profondamente tecnica di cosa sia un Dominio di Broadcast, come influisca sull'hardware degli apparati di rete e dei dispositivi finali, e perché l'assenza di segmentazione rappresenti un limite insuperabile per le performance e la sicurezza.
A livello Ethernet, uno switch è un dispositivo intelligente progettato per separare i cosiddetti Domini di Collisione: grazie alla sua tabella CAM (Content Addressable Memory), lo switch impara i MAC address dei dispositivi connessi a ciascuna porta. Quando un PC invia un frame Unicast, lo switch lo inoltra esclusivamente verso la porta del destinatario, lasciando la banda intatta per le altre comunicazioni.
Tuttavia, lo switch per sua natura non filtra i frame di broadcast . Quando un dispositivo genera un frame destinato al MAC address di broadcast (ovvero FF:FF:FF:FF:FF:FF), l'hardware (ASIC) dello switch è obbligato a replicare quel frame e a inoltrarlo su tutte le porte attive, tranne quella da cui lo ha ricevuto.
L'insieme di tutti i dispositivi, switch e cavi che possono essere raggiunti da un singolo frame di broadcast costituisce un Dominio di Broadcast. In una rete IPv4 tradizionale (non segmentata), questo dominio coincide con l'intera sottorete IP. Protocolli vitali dipendono da questo meccanismo: l'ARP (Address Resolution Protocol) usa il broadcast per associare un IP a un MAC address; il DHCP usa il broadcast per richiedere un indirizzo dinamico al server.
Perché il traffico broadcast diventa un problema così grave nelle reti di grandi dimensioni? Il problema non risiede solo nella saturazione della larghezza di banda dei cavi, ma soprattutto nello spreco di cicli di clock dei processori (CPU) dei dispositivi finali.
Analizziamo la sequenza di eventi a basso livello:
1. Un PC invia una richiesta ARP in broadcast.
2. Lo switch replica il frame su tutte le porte.
3. Le Schede di Rete (NIC - Network Interface Card) di tutti i PC riceventi leggono l'header Ethernet. Trovando l'indirizzo FF:FF:FF:FF:FF:FF, la NIC hardware deve accettare il frame .
4. La NIC trasferisce il payload nella memoria RAM del PC e lancia un Hardware Interrupt (IRQ) alla CPU.
5. Il kernel del sistema operativo deve interrompere ciò che sta facendo, analizzare il pacchetto e stabilire se l'ARP request è destinata al proprio IP. Nel 99% dei casi non lo è, quindi il pacchetto viene scartato.
Se una rete contiene 500 macchine, ognuna di esse genera traffico broadcast (ARP, NetBIOS, LLMNR, mDNS). Questo significa migliaia di interrupt al secondo che bombardano indiscriminatamente i server, i computer e persino i telefoni VoIP, causando micro-rallentamenti, latenza variabile (jitter) e degrado generale delle prestazioni.
Esiste uno scenario ancora più devastante del normale traffico di fondo: la Broadcast Storm (Tempesta di Broadcast), innescata tipicamente da un loop fisico nella topologia di rete (ad esempio, uno studente che collega erroneamente un cavo tra due prese a muro della stessa aula, chiudendo un anello tra due switch).
Assenza del TTL nel frame Ethernet: A differenza del pacchetto IP (Livello 3), che possiede il campo Time to Live (TTL) per morire dopo un certo numero di salti, l'header Ethernet (Livello 2) non possiede alcun meccanismo di scadenza. Un frame Ethernet può esistere per sempre.Se esiste un loop fisico e il protocollo di salvaguardia STP (Spanning Tree Protocol) fallisce o è disabilitato, ecco cosa succede a livello tecnico:
Oltre alle prestazioni, un dominio di broadcast esteso rappresenta una gravissima debolezza di sicurezza strutturale. Essendo il broadcast udibile da chiunque, l'intera rete agisce su un piano di fiducia reciproca.
Se il reparto Contabilità e il laboratorio degli studenti condividono lo stesso dominio di broadcast, uno studente malintenzionato può eseguire un attacco di ARP Spoofing (o ARP Poisoning). In questo scenario, l'attaccante invia pacchetti ARP Reply non richiesti (Gratuitous ARP) dichiarando a tutta la rete: "Ehi, il MAC address del Default Gateway è diventato il mio MAC address".
I PC delle vittime aggiornano in buona fede la loro tabella ARP [tooltip]La cache ARP è una porzione di memoria in cui il sistema operativo mappa temporaneamente gli indirizzi IP ai rispettivi indirizzi MAC per velocizzare le comunicazioni locali, ma è intrinsecamente vulnerabile a manipolazioni.[/tooltip] e iniziano a inviare tutto il loro traffico (password, email, file) al computer dello studente, che agirà da Man-in-the-Middle (MitM) prima di inoltrare i dati al vero router. In un dominio unico, isolare questo tipo di attacchi è tecnicamente impossibile senza l'uso di filtri avanzati come la Dynamic ARP Inspection (DAI) sugli switch.
La soluzione ingegneristica a tutti questi problemi non è acquistare switch con CPU più potenti o cavi più veloci. La soluzione architetturale è la Segmentazione: spezzare l'enorme dominio di broadcast in tanti piccoli domini separati. Tradizionalmente questo si otteneva mettendo dei Router fisici tra i vari reparti (il router, agendo a Livello 3, blocca nativamente il traffico broadcast di Livello 2). Tuttavia, acquistare decine di router per ogni laboratorio scolastico o ufficio aziendale sarebbe follemente costoso e poco flessibile.
Abbiamo decostruito le dinamiche del Livello 2, dimostrando come i frame Ethernet di broadcast, se non confinati, degradino le CPU degli host, espongano la rete al rischio catastrofico dei Layer 2 Loops e aprano praterie per attacchi di intercettazione come l'ARP Spoofing. Abbiamo anche evidenziato come le contromisure hardware (memoria CAM limitata) possano collassare sotto stress.
Tutto questo ci porta al cuore della moderna progettazione di rete. Prima di passare alla prossima lezione sulle VLAN, fai questo esercizio mentale: analizza uno switch da 48 porte su cui sono collegati i PC della Segreteria, l'aula docenti e i laboratori degli studenti. Come potresti, da amministratore di rete, far credere a questi computer di essere collegati a switch fisicamente separati e a router separati, spezzando i loro domini di broadcast, pur mantenendo tutti i cavi attaccati a quell'unico switch da 48 porte da mille euro?
Contatti Supportaci Chi siamo Cookies
La possibilità di poter ascoltare l'audio è offerto da ResponsiveVoice-NonCommercial
licensed under
Questo sito è un'idea di Francesco
Statistics