VLAN aziendali: come si divide la rete in reparti e perché conviene farlo adesso

Cos’è una VLAN, spiegato semplice

In molte aziende la rete è una stanza sola: computer degli uffici, server, macchine di produzione, telefoni, telecamere, la stampante e il telefono dell’ospite in sala riunioni stanno tutti sulla stessa rete e si vedono fra loro. Funziona, finché non succede qualcosa.

Una VLAN è un modo di dividere quella stanza in reparti separati usando gli stessi cavi e gli stessi apparati. La sigla sta per Virtual LAN, rete locale virtuale: la rete fisica resta una, ma sopra ci sono più reti logiche che non si vedono fra loro, e per passare da una all’altra bisogna attraversare il firewall, che decide se il passaggio è permesso. Il computer dell’ufficio sta nel reparto uffici, la macchina di produzione nel reparto macchine, l’ospite nel reparto ospiti, e nessuno dei tre vede gli altri se non è previsto.

Questa guida spiega perché una rete tutta uguale è un problema, come si divide in reparti in una PMI, come si scrivono le regole fra i reparti, cosa chiede la NIS2 a chi è tenuto ad applicarla, come si fa la divisione in un’azienda che lavora e cosa la divisione non fa. Netframe progetta la segmentazione dentro la rete aziendale, insieme al firewall e al Wi-Fi, perché i reparti si disegnano una volta sola e valgono per tutta la rete.

Perché una rete tutta uguale è un problema

Tre esempi che si vedono spesso.

Un portatile dell’ufficio prende un virus da un allegato. Sulla rete tutta uguale il virus vede il server, le macchine di produzione e le telecamere, e prova a entrarci: il firewall non lo vede, perché quel traffico non esce verso internet e quindi non lo attraversa. Con la rete divisa, il virus vede solo gli altri computer dell’ufficio, e il tentativo di raggiungere il server passa dal firewall, che lo blocca e lo registra.

Una telecamera comprata online, con la password di fabbrica mai cambiata, viene usata da fuori per entrare nella rete. Sulla rete tutta uguale, da quella telecamera si arriva ovunque. Con la rete divisa, le telecamere parlano solo con il registratore, e la telecamera compromessa non porta da nessuna parte.

Un consulente si collega con il suo portatile in sala riunioni. Sulla rete tutta uguale vede le cartelle condivise del server. Con la rete divisa, il reparto ospiti esce su internet e non vede nient’altro.

C’è anche un motivo di funzionamento. Su una rete tutta uguale ogni dispositivo sente il rumore di fondo di tutti gli altri: le richieste che i computer mandano per trovare le stampanti, i server, gli altri dispositivi. Con centinaia di dispositivi quel rumore rallenta tutti, e sulle reti wireless consuma tempo radio. Dividere in reparti tiene il rumore dentro il reparto.

Quali reparti servono in una PMI

Non esiste un numero giusto di VLAN, esiste un criterio: stanno insieme i dispositivi che devono parlarsi e che hanno lo stesso livello di fiducia. In una PMI manifatturiera i reparti sono di solito questi.

Reparto	Cosa contiene	Con chi parla
Uffici	Computer e portatili delle persone	Con i server, con internet, con la telefonia; non con le macchine, non con le telecamere
Server	Server, storage, gestionale, sistemi di backup	Con gli uffici sui servizi che servono; con le macchine solo sui sistemi di raccolta dati
Produzione	Macchine, PLC, pannelli operatore, terminali di reparto	Fra loro e con i server di raccolta dati; verso internet solo per la teleassistenza, a orario
Telefonia	Telefoni IP, centralino se in sede, gateway	Con il centralino e con internet sulle porte della voce; con priorità garantita
Impianti e telecamere	Telecamere, controllo accessi, sensori, climatizzazione	Solo con il proprio registratore o server; mai con gli uffici, mai direttamente con internet
Ospiti	Dispositivi personali e di visitatori, quasi sempre solo Wi-Fi	Solo con internet
Gestione	Le interfacce di amministrazione di switch, access point, firewall, server	Solo con i computer degli amministratori

Il reparto gestione è quello che manca più spesso, ed è quello che conta di più: se il pannello di amministrazione dello switch è raggiungibile dal reparto uffici, un portatile infetto può spegnere la rete. Le interfacce di gestione degli apparati stanno in un reparto a parte, raggiungibile solo da chi amministra.

In una fabbrica il reparto produzione può a sua volta dividersi per linea o per area, secondo i criteri della progettazione delle reti industriali, dove ogni zona ha i propri confini e i passaggi fra zone sono pochi e controllati: è il tema della guida sulla progettazione delle reti industriali IT/OT, che qui non si ripete.

Come si divide la rete, pezzo per pezzo

Gli switch: ogni presa appartiene a un reparto

La divisione si fa sugli switch, gli apparati a cui sono collegati tutti i cavi. A ogni porta dello switch si assegna un reparto: la presa dell’ufficio 12 è nel reparto uffici, la presa della macchina 3 è nel reparto produzione, la presa della telecamera all’ingresso è nel reparto impianti. Chi si collega a una presa finisce nel reparto di quella presa, qualunque cosa colleghi. Fra uno switch e l’altro, e fra gli switch e il firewall, passa un cavo che porta tutti i reparti insieme, tenuti distinti da un’etichetta su ogni pacchetto: è lo standard che i produttori chiamano 802.1Q, e ogni switch di livello aziendale lo gestisce.

Il firewall: chi può parlare con chi

I reparti da soli non parlano fra loro. Ogni volta che un dispositivo di un reparto deve raggiungerne uno di un altro, il traffico passa dal firewall, e il firewall applica una regola: permesso o no, su quali servizi, con quali controlli. È la parte descritta nella guida sul firewall per PMI: le regole fra i reparti si scrivono con lo stesso criterio delle regole verso internet, tutto chiuso e si apre solo quello che serve. Alcuni esempi concreti: gli uffici raggiungono il server sul gestionale e sulle cartelle condivise, non sulla gestione remota; la produzione manda i dati di produzione al server, ma il server non entra nelle macchine; le telecamere parlano con il registratore e con nessun altro; gli ospiti escono su internet e basta.

Il Wi-Fi: una rete wireless per reparto

Sul Wi-Fi ogni rete che compare nell’elenco dei dispositivi, quella che si chiama SSID, corrisponde a un reparto: la rete aziendale per i portatili delle persone, la rete dei terminali di magazzino, la rete ospiti. Ogni rete wireless porta chi si collega nel reparto giusto, con la propria sicurezza: la rete ospiti con una password semplice e nessun accesso interno, la rete aziendale con l’autenticazione degli utenti. Le regole di sicurezza del Wi-Fi sono nella guida sulla sicurezza del Wi-Fi aziendale, e la rete ospiti ha regole proprie: nessun accesso interno, solo internet.

Gli indirizzi: ogni reparto ha la sua numerazione

Ogni reparto ha un proprio intervallo di indirizzi, con il servizio che li assegna automaticamente ai dispositivi, il DHCP, configurato per reparto. Una convenzione semplice aiuta per anni: per esempio gli uffici sulla numerazione che finisce con 10, i server con 20, la produzione con 30, e così via, uguale in tutte le sedi ma con un numero diverso per sede. Due sedi con la stessa numerazione non si possono collegare in VPN senza artifici, come spiega la guida sulla VPN aziendale: la numerazione si decide una volta per tutte le sedi, anche quelle che non esistono ancora.

Cosa chiede la NIS2 a livello di rete

La NIS2 è la direttiva europea sulla sicurezza informatica, recepita in Italia con il decreto legislativo 138 del 2024, e riguarda le aziende dei settori indicati dalla norma e, in molti casi, i loro fornitori. Chi rientra nel perimetro deve adottare misure di gestione del rischio, e fra le misure che l’Agenzia per la cybersicurezza nazionale ha reso operative alcune riguardano direttamente la rete: la segmentazione, il controllo degli accessi alle risorse, la registrazione degli eventi, la protezione degli accessi amministrativi.

Tradotto in pratica, alla rete si chiede quello che questa guida descrive: reparti separati con il traffico fra reparti controllato dal firewall, un reparto di gestione raggiungibile solo dagli amministratori con la verifica in due passaggi, i registri del firewall conservati fuori dall’apparato, e la documentazione che dice quali reparti esistono e chi può parlare con chi. Non è tutta la NIS2, che copre anche organizzazione, fornitori e gestione degli incidenti; è la parte che si dimostra con un progetto di rete e con le configurazioni. Cosa la norma chiede a una PMI manifatturiera, con le scadenze, è nella guida sulla NIS2 per le PMI manifatturiere. Netframe progetta e documenta la parte di rete; la conformità nel suo insieme resta un lavoro dell’azienda con i propri consulenti.

Come si fa in un’azienda che lavora

La divisione si fa su una rete in esercizio, senza fermare l’azienda, in cinque passi.

Primo, il censimento: cosa c’è collegato, a quale presa, e con chi parla. È il passo più lungo e il più utile, perché di solito rivela dispositivi che nessuno ricordava.

Secondo, il disegno: i reparti, le regole fra reparti, la numerazione. Su carta, prima di toccare un apparato.

Terzo, i reparti nuovi accanto a quello vecchio: si creano le VLAN sugli switch e sul firewall mentre tutto continua a lavorare nella rete di sempre.

Quarto, lo spostamento un reparto alla volta: prima gli ospiti e le telecamere, che sono semplici e poco rischiosi, poi gli uffici, poi i server, e per ultima la produzione, in una finestra concordata, perché una macchina che perde il collegamento al server di raccolta dati si ferma.

Quinto, il collaudo: da ogni reparto si prova a raggiungere quello che deve essere raggiungibile e quello che non deve esserlo, e si scrive il risultato. Una segmentazione mai collaudata è un disegno, non una protezione.

Cosa la segmentazione non fa

Non decide chi può collegarsi a una presa: chi infila il cavo nella presa dell’ufficio finisce nel reparto uffici, chiunque sia. Il controllo di chi ha il diritto di collegarsi è un altro strumento e un altro progetto, che Netframe non offre. Non protegge dentro il reparto: un portatile infetto vede gli altri portatili del suo reparto. Non sostituisce gli aggiornamenti e la protezione sui singoli dispositivi. E non è fatta una volta per sempre: ogni dispositivo nuovo, ogni macchina nuova, ogni fornitore nuovo va messo nel reparto giusto, e chi gestisce la rete deve saperlo.

Gli errori che si trovano più spesso

Sono quelli che si trovano più spesso guardando una rete già divisa.

• Le VLAN create sugli switch ma senza regole sul firewall: i reparti si vedono tutti, come prima.
• Le interfacce di gestione degli apparati lasciate nel reparto uffici.
• Le telecamere nel reparto uffici “perché il registratore era lì”.
• La rete ospiti che vede le stampanti, perché qualcuno voleva stampare dalla sala riunioni.
• La produzione e gli uffici insieme, perché “il gestionale deve vedere le macchine”: si apre il solo servizio che serve, non tutto.
• La stessa numerazione in due sedi, scoperta il giorno in cui si fa la VPN.
• Il censimento saltato, con dispositivi che restano nel reparto sbagliato per anni.
• La regola “tutto permesso fra i reparti” messa per far funzionare qualcosa in fretta e mai tolta.
• Nessun documento che dica quali reparti esistono: alla prima modifica si ricomincia da capo.
• La segmentazione fatta e mai collaudata.

Domande frequenti sulle VLAN aziendali

Cos’è una VLAN, in una frase?

È un reparto della rete: un gruppo di dispositivi che si vedono fra loro e non vedono gli altri reparti, sugli stessi cavi e sugli stessi apparati, con il firewall che decide cosa può passare da un reparto all’altro.

Quante VLAN servono in una PMI?

Non c’è un numero giusto. Il criterio è mettere insieme i dispositivi che devono parlarsi e che hanno lo stesso livello di fiducia. In una PMI manifatturiera sono di solito sette reparti: uffici, server, produzione, telefonia, impianti e telecamere, ospiti, gestione. In fabbrica la produzione può dividersi ancora per linea o per area.

Le VLAN rallentano la rete?

No, al contrario. Tengono il rumore di fondo di ogni reparto dentro il reparto, e con centinaia di dispositivi la rete lavora meglio. Il traffico fra reparti passa dal firewall, che va scelto della misura giusta anche per questo traffico interno, come spiega la guida sul firewall per PMI.

Serve cambiare gli switch?

Solo se sono di tipo domestico. Ogni switch di livello aziendale gestisce le VLAN. Se gli switch attuali sono vecchi o senza gestione, la segmentazione è l’occasione per sostituirli, e la scelta si fa insieme al progetto del Wi-Fi e della telefonia, che dagli switch prendono anche l’alimentazione.

La segmentazione basta per la NIS2?

No, ma è una delle misure che la norma chiede a livello di rete, insieme al controllo degli accessi, alla protezione degli accessi amministrativi e alla registrazione degli eventi. È la parte che si dimostra con un progetto e con le configurazioni. Il resto della NIS2 riguarda l’organizzazione, i fornitori e la gestione degli incidenti.

Netframe progetta la segmentazione della rete?

Sì. Netframe progetta e realizza la divisione in reparti dentro il progetto della rete aziendale, a Modena e in tutta la regione: censimento, disegno dei reparti e delle regole, configurazione di switch, firewall e Wi-Fi, spostamento un reparto alla volta senza fermare l’azienda, collaudo e documentazione. Sede a Modena, interventi in tutta l’Emilia-Romagna, da Piacenza a Rimini.

Fonti

• IEEE 802.1Q, standard per le VLAN e l’etichettatura dei pacchetti, citato in forma descrittiva
• IEC 62443, zone e condotti per la segmentazione delle reti industriali, citata in forma descrittiva
• Decreto legislativo 4 settembre 2024, n. 138, recepimento della direttiva NIS2, misure di gestione dei rischi per la sicurezza informatica
• Agenzia per la cybersicurezza nazionale, determinazione n. 379907/2025, specifiche di base per i soggetti NIS applicabili dal 15 gennaio 2026, che aggiorna e sostituisce la determinazione n. 164179/2025
• Cisco e Huawei, guide di configurazione delle VLAN e delle porte di accesso e trunk sugli switch di livello aziendale

Fonti verificate il 5 settembre 2026.

Netframe è un system integrator indipendente, non affiliata ai produttori citati salvo dove indicato: è partner certificato Fortinet, Cisco, Huawei, AudioCodes, Patton, 3CX e Ascom. I nomi dei prodotti appartengono ai rispettivi proprietari.