Telecamere su una rete separata: come isolarle con rete ospiti, VLAN o NVR PoE

Le telecamere IP sono piccoli computer Linux che stanno accesi 24 ore su 24, ricevono aggiornamenti di rado e, in molti casi, comunicano continuamente con server cloud all’estero. Se una di queste viene compromessa, il danno non si limita alle immagini: dalla stessa rete un attaccante può raggiungere il PC con i documenti, il NAS con le foto di famiglia, la stampante, la TV.

La contromisura più efficace non è un antivirus, ma una scelta di architettura: mettere le telecamere in una rete separata, da cui non possono vedere il resto della casa. Ti mostro tre modi per farlo, dal più semplice a quello che usano gli installatori seri.

Soluzione 1: la rete ospiti del router

Quasi tutti i router domestici hanno una rete Wi-Fi ospiti, pensata per chi viene a trovarti: i dispositivi collegati lì escono su Internet ma non vedono la rete principale. Collegare le telecamere Wi-Fi alla rete ospiti è il primo passo, e richiede cinque minuti:

1. entra nel pannello del router e attiva la rete ospiti, con un nome riconoscibile (per esempio “Casa-IoT”);
2. verifica che sia attiva l’opzione di isolamento dalla rete locale (a volte si chiama “Consenti agli ospiti di accedere alla rete locale”: deve essere disattivata);
3. riconfigura le telecamere dall’app perché si colleghino alla nuova rete.

Il limite: funziona bene con le telecamere che si usano solo tramite app e cloud, come Tapo, Ezviz o Ring. Se invece hai un NVR o un PC in casa che registra le telecamere, la rete ospiti glielo impedirà, perché il suo scopo è proprio isolare. Inoltre alcuni router isolano gli ospiti anche tra loro, e due telecamere sulla rete ospiti non si vedranno a vicenda.

Soluzione 2: l’NVR con porte PoE integrate

Se stai progettando un impianto cablato, c’è una soluzione elegante a cui molti non pensano: un NVR con switch PoE integrato. Le telecamere si collegano direttamente alle porte PoE sul retro del registratore, che le alimenta e crea per loro una rete interna separata. Negli NVR Hikvision, per esempio, le telecamere collegate così ricevono indirizzi del tipo 192.168.254.x e non compaiono nella tua rete di casa. Solo l’NVR, con la sua porta di rete principale, è collegato al router.

Il risultato è che dalla rete di casa vedi le registrazioni tramite l’NVR, mentre le telecamere non hanno alcun contatto con PC e NAS. Due accortezze:

• nel menu dell’NVR disattiva il servizio cloud P2P (Hik-Connect, Dahua P2P e simili) se non ti serve l’accesso da fuori, oppure usalo consapevolmente sapendo che apre un canale verso l’esterno;
• gli aggiornamenti firmware delle telecamere andranno fatti tramite l’NVR, perché le telecamere non escono su Internet da sole.

Soluzione 3: una VLAN dedicata

È la soluzione più flessibile e quella che userei per un impianto misto, con telecamere Wi-Fi e cablate e un registratore in casa. Una VLAN è una rete virtuale: sugli stessi cavi e sugli stessi switch viaggiano reti diverse, che il router tiene separate e fa comunicare solo secondo le regole che decidi tu.

Ti servono un router che gestisca VLAN e regole firewall (per esempio OpenWrt, OPNsense, pfSense, MikroTik, UniFi o Omada) e uno switch gestito, possibilmente PoE. I passaggi tipici:

1. Crea la VLAN sul router, per esempio con ID 30 e rete 192.168.30.0/24, con il suo server DHCP.
2. Assegna le porte dello switch a cui sono collegate le telecamere alla VLAN 30, come “untagged”. Per le telecamere Wi-Fi crea una rete Wi-Fi dedicata associata alla stessa VLAN.
3. Imposta le regole firewall, ed è qui che si fa la sicurezza vera:
   • la rete di casa può raggiungere le telecamere (per guardarle o configurarle);
   • le telecamere non possono aprire connessioni verso la rete di casa;
   • le telecamere non possono uscire su Internet, tranne verso il server dell’ora (NTP) del router, se usi un NVR locale e non ti serve il cloud;
   • l’NVR, se sta nella VLAN delle telecamere, può avere un’eccezione per uscire su Internet solo se ti serve l’accesso remoto.
4. Prenota gli indirizzi delle telecamere nel DHCP, così non cambiano dopo un riavvio e l’NVR le ritrova sempre.

Come verificare che l’isolamento funzioni

Configurare non basta: va controllato. Collega un portatile alla rete o alla VLAN delle telecamere e prova a:

• fare ping verso un PC o il NAS della rete principale: non deve rispondere;
• aprire l’interfaccia web del NAS dal browser: non deve caricarsi;
• navigare su Internet, se hai bloccato l’uscita: non deve funzionare.

Poi, dal PC della rete principale, verifica di riuscire ancora a vedere le telecamere. Infine controlla, dopo un giorno, che l’orario impresso sulle immagini sia corretto: se hai bloccato Internet e dimenticato l’eccezione per l’NTP, le telecamere perderanno l’ora, e una registrazione con l’orario sbagliato vale poco come prova.

Le altre buone abitudini

La rete separata non sostituisce le basi: cambiare le password di fabbrica, disattivare UPnP sul router, non aprire porte verso le telecamere e tenere aggiornato il firmware. Ma è la misura che limita i danni quando tutto il resto non è bastato. E, per come è fatta la maggior parte delle telecamere economiche, prima o poi qualcosa non basterà.