Firewall e NAT: parte I

La sicurezza nel VoIP è una delle questioni di maggior attualità: le insidie che si celano dietro all’utilizzo di questa tecnologia sono tante. Questo non significa che il VoIP non possa essere utilizzato “in sicurezza”, ma è necessario adottare una serie di accorgimenti mirati.

Tra questi, l’utilizzo di un Firewall e la separazioni tra rete locale e rete pubblica sono tra gli “ingredienti” principali per una comunicazione su IP sicura.
D’altra parte chi accede ai servizi VoIP tramite ad esempio collegamento ADSL con un router, probabilmente sperimenta già in casa l’utilizzo di questi componenti.
I router nella quasi totalità dei casi implementano anche un Firewall e sicuramente determinano una sepazione tra rete locale e rete pubblica, ovvero utilizzano meccanismi di NATting.
La presenza di Firewall e NAT, di solito collocati alla periferia di una rete, comporta alcuni problemi nella comunicazione della voce su IP.

Il compito di un Firewall è quello di proteggere la rete da accessi non autorizzati. Un Firewall può permettere l’accesso ad una certa tipologia di traffico o bloccarla, basando la sua decisione su una serie di parametri:

• la sorgente della comuncazione
• la destinazione della comunicazione
• la tipologia stessa

Il problema principale legato al VoIP riguarda le chiamate in ingresso alla rete privata: potenzialmente la sorgente del traffico può essere qualsiasi, per cui diventa impossibile determinare una regola discriminatoria basata su questo criterio.

Il NAT è la tecnica utilizzata per la traduzione degli indirizzi IP e dei porti di comunicazione di una rete privata in indirizzi e porti pubblici. La corrispondenza tra pubblico e privato è mantenuta in una tabella aggiornata dinamicamente.
Il problema che si può presentare per il VoIP in questo caso è che l’endpoint remoto conosce solo il numero di porto e l’indirizzo IP pubblico su cui avviene lo streaming della componente media: se non sono tradotti opportunamente nei corrispondenti privati, la voce non si sente.
Ovviamente esistono delle soluzioni che consentono di superare questi problemi: la questione è quanto queste impattano sulla sicurezza della rete.
Questo però, sarà l’argomento di un prossimo post.