Firewall per PMI: come si dimensiona e si configura un FortiGate che regge davvero

Cosa fa un firewall in una PMI, spiegato semplice

Il firewall è l’apparato che sta fra la rete dell’azienda e internet. Tutto quello che entra e tutto quello che esce passa da lì, e il firewall decide cosa lasciar passare e cosa fermare.

Vent’anni fa questa decisione era semplice: si guardava da dove arrivava il traffico e verso quale servizio era diretto, e si lasciava passare o no. Oggi non basta, perché quasi tutti i pericoli arrivano dentro traffico che sembra legittimo: una mail con un allegato, un sito che sembra quello della banca, un programma che si collega a un server in un altro paese.

Per questo un firewall moderno, che i produttori chiamano firewall di nuova generazione o NGFW, non guarda solo da dove viene il traffico ma anche cosa contiene. Rispetto al firewall tradizionale, che si fermava a indirizzi e servizi, fa quattro cose in più: riconosce quale programma sta generando il traffico, per esempio distingue una videochiamata da un trasferimento di file; confronta il traffico con un elenco di attacchi conosciuti, aggiornato ogni giorno dal produttore; blocca i siti pericolosi o non adatti al lavoro; e controlla anche il traffico cifrato, che è il punto più importante e va spiegato a parte.

Questa guida spiega come si sceglie la misura giusta di un firewall FortiGate per una PMI, cosa si compra insieme all’apparato, quali impostazioni devono esserci dal primo giorno, cosa il firewall non fa e quando è ora di cambiarlo. Netframe è partner certificato Fortinet e progetta reti aziendali in cui il firewall è parte del progetto fin dall’inizio, non una scatola aggiunta alla fine.

Il traffico cifrato: perché cambia tutto

Quando apri un sito e nel browser compare il lucchetto, i dati fra il tuo computer e quel sito viaggiano cifrati, cioè trasformati in modo che nessuno lungo il percorso possa leggerli. La tecnologia che lo fa si chiama TLS, ed è la stessa che protegge la posta, i servizi cloud e le applicazioni aziendali. Oggi quasi tutto il traffico verso internet è cifrato in questo modo.

Per il firewall questo è un problema. Se il traffico è cifrato, il firewall vede solo verso quale sito va, non cosa contiene. Un allegato pericoloso scaricato da un sito con il lucchetto passa senza essere visto. Per controllarlo davvero, il firewall deve fare tre cose: aprire il traffico cifrato, verificarne il contenuto, e richiuderlo prima di consegnarlo. Questa operazione si chiama ispezione del traffico cifrato.

Aprire e richiudere ogni singola connessione è un lavoro pesante per il processore dell’apparato. È qui che nasce l’errore più comune nella scelta di un firewall: si compra un modello guardando quanto traffico riesce a gestire senza controlli, e poi, il giorno in cui si accende l’ispezione, l’apparato riesce a gestirne una frazione. Il risultato tipico è che l’ispezione viene spenta “perché rallenta”, e il firewall torna a vedere solo gli indirizzi.

Come si sceglie la misura giusta

La misura di un firewall si esprime in throughput, cioè quanti dati al secondo riesce a far passare, in gigabit al secondo. Il punto da capire è che sulla scheda tecnica di un FortiGate questo valore compare più volte, con numeri molto diversi, perché è misurato in condizioni diverse.

I tre numeri della scheda tecnica

Il primo numero, il più grande, è il throughput del firewall: misura quanto traffico passa con i soli controlli di base, senza ispezione. È come la velocità massima di un furgone vuoto in discesa. Il secondo è il throughput con protezione dalle minacce, che sulle schede Fortinet si chiama Threat Protection: misura quanto traffico passa con firewall, blocco degli attacchi, riconoscimento delle applicazioni e antivirus accesi insieme, con la registrazione attiva, su un traffico misto che imita quello di un’azienda. È il furgone a pieno carico in salita.

Sullo stesso apparato è da cinque a dieci volte più piccolo del primo, e sui modelli da scrivania anche di più. Il terzo numero è il throughput con ispezione del cifrato, SSL Inspection sulle schede, ed è a parte: il valore Threat Protection è misurato su traffico in chiaro, quindi il costo di aprire e richiudere le connessioni cifrate non è dentro quel numero. Dove la maggior parte del traffico è cifrata, e oggi lo è quasi ovunque, il numero che comanda è il più basso fra Threat Protection e SSL Inspection.

Le cinque misure da fare in azienda

La regola è semplice: il modello si sceglie sul secondo e sul terzo numero, mai sul primo. Per farlo servono cinque misure dell’azienda.

Cosa misurare	Come	Perché conta
1. Quanta banda arriva da internet	La somma delle linee di oggi e di quelle previste, non la velocità di una sola	Il firewall deve controllare tutto il traffico che arriva, anche nei momenti di picco
2. Quanto traffico gira dentro l’azienda	Il traffico fra uffici, server, produzione e rete ospiti	Se la rete è divisa in reparti, il firewall controlla anche questo traffico, che spesso è più di quello verso internet
3. Quanti dispositivi ci sono	Computer, telefoni, terminali di magazzino, macchine, telecamere, sensori	Ogni dispositivo apre decine di connessioni contemporanee; gli apparati piccoli raggiungono il limite di connessioni prima del limite di banda
4. Quante persone e sedi si collegano da fuori	Lavoratori da remoto e sedi distaccate, contando il picco e non la media	Il collegamento da fuori, la VPN, usa cifratura e consuma processore, come l’ispezione
5. Quante porte servono e come crescerà l’azienda	Porte di rete, velocità, alimentazione per access point e telefoni, previsione a tre anni	Un firewall si cambia ogni cinque o sette anni: si compra per l’azienda che ci sarà

La verifica sulla scheda, con un esempio

Fatte le misure, si prende la scheda tecnica del modello candidato, si leggono i valori Threat Protection e SSL Inspection, e si verifica che il più basso dei due sia almeno pari alla banda da internet più il traffico interno, con un margine del trenta per cento. Se non basta, si sale di modello. Nella gamma FortiGate per le piccole e medie imprese, dai modelli da scrivania a quelli da armadio rack, questa verifica porta quasi sempre a un modello più grande di quello scelto sul primo numero. Costa di più il giorno dell’acquisto e costa molto meno nei cinque anni successivi.

Un esempio concreto. Un capannone con cento terminali di magazzino, venti macchine collegate, un impianto di telecamere e i telefoni IP genera un numero di connessioni che un apparato da scrivania regge sulla carta ma non al cambio turno, quando cento terminali si ricollegano tutti nello stesso minuto. Il numero di connessioni contemporanee e di connessioni nuove al secondo che l’apparato regge sta sulla scheda tecnica accanto ai throughput, e va letto con la stessa attenzione.

Cosa si compra insieme all’apparato

Un FortiGate senza abbonamento ai servizi del produttore è un firewall di base con un’interfaccia elegante. Per capire perché, serve sapere come fa il firewall a riconoscere un pericolo.

Gli elenchi e l’abbonamento FortiGuard

Il firewall non capisce da solo che un file è un virus o che un sito è una truffa. Confronta quello che vede con degli elenchi: l’elenco dei virus conosciuti, l’elenco delle tecniche di attacco conosciute, l’elenco dei siti pericolosi, l’elenco dei programmi e di come si riconoscono nel traffico. Questi elenchi li compila Fortinet nei propri laboratori, aggiungendo ogni giorno le minacce nuove che compaiono nel mondo, e li manda agli apparati attraverso un abbonamento che si chiama FortiGuard. Senza abbonamento, gli elenchi restano quelli del giorno in cui l’apparato è stato attivato.

I sei servizi di aggiornamento

Sono di sei tipi, e ognuno protegge da una cosa diversa.

Servizio	Cosa contiene	Da cosa protegge
Antivirus	L’elenco dei file dannosi conosciuti, aggiornato più volte al giorno	Un allegato o un download infetto viene fermato mentre passa dal firewall
Prevenzione delle intrusioni (IPS)	L’elenco delle tecniche con cui si attaccano server, gestionali e apparati	Un tentativo di sfruttare una falla di un programma viene bloccato prima di arrivare al programma
Filtro web	La classificazione di milioni di siti per categoria e pericolosità	Un sito di phishing, o non adatto al lavoro, viene bloccato anche se la persona ci clicca sopra
Filtro DNS	La stessa classificazione applicata al momento in cui il computer chiede l’indirizzo di un sito	Blocca il collegamento prima ancora che parta, e vale anche per i programmi che non passano dal browser
Controllo delle applicazioni	Le impronte con cui si riconoscono migliaia di programmi dentro il traffico	Permette regole del tipo “la videoconferenza sì, la condivisione di file personale no”
Analisi dei file sospetti (sandbox)	Un ambiente isolato nel cloud dove i file mai visti prima vengono aperti e osservati	Ferma i virus nuovi che non sono ancora in nessun elenco

I pacchetti che raggruppano questi servizi cambiano nome e contenuto con il listino, quindi la scelta va fatta sul listino del momento. Il criterio non cambia: un’azienda con persone da remoto o servizi raggiungibili da fuori prende il pacchetto che include almeno antivirus, prevenzione delle intrusioni e filtro web, non il solo supporto sull’hardware.

Le due voci che al preventivo si dimenticano

La prima è la scadenza dell’abbonamento: quando scade, l’apparato continua a funzionare, ma gli elenchi di virus, attacchi e siti pericolosi non si aggiornano più e restano fermi a quel giorno. Ogni virus e ogni attacco comparso dopo passa senza essere riconosciuto, e nessun avviso lo segnala. Va segnata a calendario come una polizza. La seconda è il supporto sull’hardware, che stabilisce in quanto tempo arriva l’apparato sostitutivo se quello in uso si guasta. Per un’azienda con una sola sede e un solo firewall, quel tempo è il tempo in cui l’azienda resta senza internet.

Le impostazioni che devono esserci dal primo giorno

Un firewall si può configurare in un pomeriggio per far funzionare la navigazione, e restare così per anni. Queste sono le impostazioni che fanno la differenza fra un apparato installato e uno che protegge.

Tutto chiuso, si apre solo quello che serve

Un firewall appena acceso può essere impostato in due modi: lasciar passare tutto tranne quello che viene bloccato, oppure bloccare tutto tranne quello che viene permesso. Il primo modo è quello che si trova più spesso, perché è comodo: funziona subito e nessuno si lamenta. Il secondo è l’unico che protegge.

Nella pratica funziona così. Il firewall ha un elenco di regole che legge dall’alto in basso, e si ferma alla prima che corrisponde al traffico che sta guardando. Per il traffico in uscita, verso internet, si scrivono regole del tipo: gli uffici possono navigare, usare la posta e le applicazioni cloud dell’azienda; la produzione può raggiungere solo il server del costruttore per gli aggiornamenti; le telecamere non escono affatto. Ogni regola dice chi, verso dove, con quale programma, e ha i controlli accesi. Per il traffico in entrata, da internet, le regole esistono solo per i servizi che l’azienda mette davvero a disposizione dall’esterno, per esempio il collegamento da remoto dei dipendenti: tutto il resto non ha una regola, e quindi non passa.

In fondo all’elenco sta l’ultima regola, che blocca tutto quello che non ha trovato una corrispondenza sopra e lo scrive nel registro. È la regola più utile di tutte: quando un programma sconosciuto o un dispositivo infetto cerca di uscire, il tentativo viene fermato e resta scritto, e da lì si scopre cosa sta succedendo dentro la rete.

La rete divisa in reparti

Uffici, server, produzione, telefoni, telecamere e ospiti stanno su reti separate, che si chiamano VLAN, e il firewall è il punto dove si decide chi può parlare con chi. La produzione raggiunge i server solo sui servizi che le servono, la rete degli ospiti esce su internet e non vede nient’altro, le telecamere parlano solo con il registratore. Come si divide la rete è il tema della guida sulle VLAN aziendali, e della progettazione delle reti industriali, dove la separazione fra ufficio e macchine è la prima regola. Un chiarimento: il firewall decide cosa passa fra un reparto e l’altro, non chi ha il diritto di collegarsi a una presa di rete. Quello è un altro strumento e un altro progetto.

Ispezione del traffico cifrato: dove accenderla e dove no

Qui serve un passaggio in più, e va capito bene perché è il punto dove l’ispezione fallisce più spesso. Quando il browser apre un sito con il lucchetto, controlla che dall’altra parte ci sia davvero quel sito e non qualcuno che si è messo in mezzo a leggere. Il firewall che ispeziona il traffico cifrato è esattamente qualcuno che si mette in mezzo: apre la connessione, la controlla e la richiude usando un certificato suo, cioè un documento digitale che dice “questo traffico l’ho controllato io”. Se il computer non conosce quel certificato, il browser fa il suo dovere e mostra un avviso di sicurezza su ogni sito.

Per questo, prima di accendere l’ispezione, il certificato del firewall va installato su tutti i computer dell’azienda come certificato fidato, in modo che il browser lo riconosca e non dia l’allarme. Non si fa a mano su ogni macchina: si distribuisce dal server di dominio con una regola di gruppo, o dallo strumento con cui l’azienda gestisce i dispositivi, così arriva anche ai portatili nuovi. Solo dopo si accende l’ispezione, e si accende per la navigazione delle persone.

Si esclude invece, con una regola esplicita, dove aprire il traffico crea problemi o non è opportuno: siti di banche e di sanità, servizi che rifiutano qualsiasi intermediario per progetto, e i sistemi delle macchine che accettano solo il proprio certificato. Accendere l’ispezione su tutto senza prima installare il certificato riempie ogni browser di avvisi, e l’ispezione finisce spenta dopo una settimana.

I controlli attivi su ogni regola

Ogni regola che lascia uscire del traffico deve avere i controlli accesi: blocco degli attacchi, riconoscimento dei programmi, filtro dei siti, antivirus. Regole scritte senza controlli sono la cosa che si trova più spesso in una verifica, perché “così va più veloce”. Sui servizi esposti verso l’esterno si aggiunge il blocco per paese, che elimina in un colpo solo la maggior parte dei tentativi automatici.

L’accesso all’apparato

Il pannello di gestione del firewall non deve essere raggiungibile da internet; si entra solo da indirizzi conosciuti; ogni amministratore ha un proprio account, non uno condiviso, e usa la verifica in due passaggi; il sistema operativo dell’apparato si tiene sulla versione stabile consigliata dal produttore, con un calendario per gli aggiornamenti e la lettura degli avvisi di sicurezza che Fortinet pubblica. Un firewall con la gestione aperta su internet e il sistema di tre anni fa è un bersaglio, non una difesa.

Il registro degli eventi conservato fuori dall’apparato

Il firewall registra tutto quello che passa e tutto quello che blocca. Questi registri vanno copiati su un sistema separato, in cloud o in sede: se restano solo sull’apparato, spariscono quando la memoria si riempie o quando l’apparato si guasta, e non servono a ricostruire nulla. Anche senza un servizio che li legge ogni giorno, conservarli è il minimo per capire cosa è successo dopo un incidente e per rispondere a chi lo chiede.

Il firewall e il resto della rete

Un FortiGate può governare direttamente gli switch e gli access point dello stesso produttore, portando le regole fino alla singola porta e alla singola radio. Con switch e access point di altri produttori funziona lo stesso, purché la divisione in reparti sia disegnata una volta sola e scritta in modo coerente sui due lati. Nelle reti che Netframe progetta convivono spesso firewall Fortinet e switch Cisco o Huawei, ed è normale.

Due casi meritano attenzione. La telefonia: il firewall ha funzioni pensate per aiutare il traffico voce che in pratica lo disturbano, e la configurazione sicura di un SBC spiega perché vanno spente e le regole per la voce scritte a mano. E la teleassistenza sulle macchine: ogni accesso del costruttore da remoto passa dal firewall ed è una regola in entrata con un orario, un’origine conosciuta e una traccia nel registro.

Cosa il firewall non fa

Non protegge i computer dall’interno: se un portatile prende un virus da una chiavetta, il firewall non lo vede, perché quel traffico non lo attraversa. Chi ha il diritto di collegarsi alla rete lo decide un altro strumento. Da solo il firewall non sorveglia: registra, e qualcuno deve leggere i registri. Una rete tutta uguale resta scoperta: se ogni dispositivo sta sulla stessa rete, il firewall vede solo quello che va verso internet, e il traffico fra un computer infetto e il server gli passa accanto. La rete wireless ha regole proprie, spiegate nella guida sulla sicurezza del Wi-Fi aziendale. E non è “la sicurezza informatica” dell’azienda: è una parte importante di un insieme che un security assessment guarda per intero.

Quando è ora di cambiarlo

Tre segnali. Il primo viene dal produttore: per ogni modello pubblica in anticipo la data in cui smette di venderlo e quella, anni dopo, in cui smette di supportarlo e di aggiornarlo. Un apparato che non riceve più aggiornamenti non chiude più le falle di sicurezza che vengono scoperte. Il secondo segnale è il carico: se il processore lavora oltre il settanta per cento nelle ore normali, o le connessioni sono al limite nei picchi, l’apparato è già piccolo. Il terzo è il progetto: una nuova sede, una rete divisa in più reparti, l’ispezione del cifrato che prima non c’era, cambiano la misura che serve, e l’apparato di cinque anni fa non era stato scelto per questo.

Gli errori che si trovano più spesso

Il modello scelto sul numero grande della scheda tecnica, e l’ispezione spenta per non rallentare. Le regole in uscita senza controlli. La rete tutta uguale, con il firewall che vede solo internet. L’abbonamento scaduto da mesi, con l’apparato che sembra funzionare. Il pannello di gestione raggiungibile da internet con una sola password. Il sistema mai aggiornato “perché funziona”. I registri conservati solo sull’apparato. L’accesso del costruttore delle macchine lasciato aperto per sempre verso tutta la rete. L’ispezione accesa senza installare il certificato sui computer, e poi spenta. Il firewall incluso nel router dell’operatore usato come unica protezione.

Domande frequenti sul firewall per PMI

Quale firewall serve a una PMI?

Un firewall di nuova generazione scelto sul throughput con i controlli accesi, i valori che sulle schede Fortinet si chiamano Threat Protection e, per il traffico cifrato, SSL Inspection, non sul throughput di base; con un abbonamento ai servizi di sicurezza che includa blocco degli attacchi, filtro dei siti e antivirus; con porte e capacità di connessioni adeguate a tre anni di crescita. Nella gamma FortiGate per le PMI il modello si sceglie dopo aver misurato banda, traffico interno, numero di dispositivi e persone da remoto, e quasi sempre è un modello più grande di quello scelto a occhio.

Basta il firewall del router dell’operatore?

No. Il router dell’operatore fa i controlli di base sugli indirizzi; non riconosce i programmi, non ha l’elenco degli attacchi conosciuti, non apre il traffico cifrato, non divide la rete interna in reparti e non conserva i registri fuori da sé. Va bene per una casa, non per un’azienda con dati, macchine e persone che si collegano da fuori.

Il firewall rallenta la rete?

Solo se è stato scelto della misura sbagliata. Aprire il traffico cifrato e fare i controlli costa lavoro al processore, e la scheda tecnica lo dichiara nei valori Threat Protection e SSL Inspection. Un apparato scelto sul più basso di quei due valori, con il margine giusto, controlla tutto senza che nessuno se ne accorga. Un apparato scelto sul valore di base rallenta appena si accendono i controlli, e di solito finisce con i controlli spenti.

Il firewall protegge anche dentro l’azienda?

Solo se la rete è divisa in reparti e il firewall sta in mezzo. Se tutti i dispositivi stanno sulla stessa rete, il traffico fra un computer infetto e il server non passa dal firewall e non viene visto. Dividere la rete è un lavoro di progetto, e il firewall è il punto dove quel progetto viene fatto rispettare.

Ogni quanto va aggiornato e sostituito?

Il sistema dell’apparato si aggiorna seguendo le versioni stabili consigliate dal produttore e gli avvisi di sicurezza, con un calendario e non quando capita. L’apparato si sostituisce quando il produttore smette di aggiornarlo, quando il carico è stabilmente alto o quando il progetto della rete cambia. In una PMI il ciclo tipico è di cinque o sette anni.

Netframe installa e gestisce firewall Fortinet?

Sì. Netframe è partner certificato Fortinet e progetta, installa e configura firewall FortiGate dentro il progetto della rete aziendale: la misura scelta sul traffico reale, la rete divisa in reparti, le regole con i controlli accesi, l’accesso all’apparato protetto e i registri conservati fuori, con gli aggiornamenti e le verifiche periodiche nel contratto di assistenza. Non è un servizio di sorveglianza continua giorno e notte, che Netframe non eroga. Sede a Modena, interventi in tutta l’Emilia-Romagna, da Piacenza a Rimini.

Fonti

• Fortinet, FortiOS Administration Guide, sezioni Firewall policy, Security profiles, SSL/SSH inspection, System administration
• Fortinet, FortiGate datasheets della gamma per piccole e medie imprese, valori di throughput firewall, IPS, NGFW, Threat Protection, SSL Inspection, sessioni contemporanee e nuove sessioni al secondo
• Fortinet, FortiGate Product Matrix e nota tecnica sull’Enterprise Traffic Mix: definizione delle condizioni di misura di IPS (firewall e prevenzione delle intrusioni), NGFW (più controllo delle applicazioni), Threat Protection (più protezione dal malware, con registrazione attiva) e SSL Inspection throughput
• Fortinet, FortiOS Hardening Guide: accesso amministrativo, verifica in due passaggi, servizi da disabilitare sulle interfacce esposte
• Fortinet, Product Life Cycle, date di end of order, end of support ed end of life per modello
• Fortinet PSIRT Advisories, avvisi di sicurezza per FortiOS
• Fortinet, FortiGuard Security Services, composizione dei pacchetti di abbonamento (da verificare sul listino del momento)

Fonti verificate l’11 settembre 2026.

Netframe è un system integrator indipendente, non affiliata ai produttori citati salvo dove indicato: è partner certificato Fortinet, Cisco, Huawei, AudioCodes, Patton, 3CX e Ascom. I nomi dei prodotti appartengono ai rispettivi proprietari.