Serie S — manuale completo

Tutti i 28 capitoli del manuale in una pagina sola.

Stampa o salva in PDF

Come ottenere un PDF

Premi il pulsante qui sopra e, nella finestra di stampa, scegli "Salva come PDF" al posto della stampante. Menu, barra laterale e piè di pagina non vengono stampati.

Avvio rapido

1. Primo accesso all'appliance

Collegare l'apparato

Collega la scheda di rete dell'appliance, marcata LAN, a una porta libera dello switch, e alimenta l'apparato. Se lavori su un'appliance virtuale, verifica che la scheda di rete della macchina virtuale sia collegata alla rete corretta prima di avviarla.

Attendi il completamento dell'avvio prima di cercare l'appliance in rete: al primo avvio il sistema prepara i propri servizi e può impiegare qualche minuto.

Aprire l'interfaccia web

L'interfaccia di gestione risponde in HTTPS sulla porta 8443. Da un computer sulla stessa rete apri il browser all'indirizzo dell'appliance indicando la porta:

https://<indirizzo-appliance>:8443

Se in fase di installazione non è stato indicato un indirizzo diverso, l'appliance risponde all'indirizzo predefinito:

https://192.168.4.1:8443

Se non riesci a raggiungere l'indirizzo predefinito

Il computer da cui ti colleghi deve trovarsi sulla stessa rete: assegnagli temporaneamente un indirizzo della rete 192.168.4.0/24, per esempio 192.168.4.50. Al termine della configurazione di rete potrai ripristinare le impostazioni originali del computer.

Il certificato presentato è generato dall'appliance stessa, quindi il browser mostra un avviso di sicurezza: è normale su un apparato interno non ancora dotato di un certificato riconosciuto.

Autenticarsi

Dove trovare le credenziali dipende da come è stata fornita l'appliance.

Appliance con hardware. Nome utente e password sono riportati su un'etichetta fornita insieme all'apparato. Conservala: sono le credenziali del primo accesso.

Installazione da software. L'utente è quello definito durante l'installazione, con la password scelta in quel momento.

Se le credenziali sono andate perdute

Non c'è modo di recuperarle dall'interfaccia web. Contatta l'assistenza GIGASYS indicando il numero di serie dell'apparato, che trovi in fondo a ogni pagina dell'interfaccia.

2. La dashboard

È la prima pagina che compare dopo l'accesso e riassume, a colpo d'occhio, lo stato dell'apparato e della rete che protegge.

2.1 I comandi rapidi

In testa alla pagina stanno i comandi che servono più spesso:

Comando	Che cosa fa
Console SSH Attiva	Interruttore che apre o chiude l'accesso alla console via SSH dell'apparato
Diagnosi Appliance	Raccoglie lo stato dell'apparato in un rapporto, utile da allegare a una richiesta di assistenza
Firewall Armato	Porta al firewall e ne mostra lo stato — armato quando le regole sono attive
Mappa Connessioni	Mostra le connessioni in corso rappresentate sulla rete, per vedere chi sta comunicando con chi

La console SSH è un accesso completo all'apparato

L'interruttore Console SSH Attiva apre la porta di amministrazione via riga di comando. Va tenuto acceso solo quando serve davvero — tipicamente durante un intervento di assistenza — e spento il resto del tempo: una porta SSH esposta è uno dei primi bersagli di chi tenta di entrare.

2.2 Lo stato della rete

Il riquadro NETWORKING riassume il traffico e le risorse:

• Connessioni Attive — quante sessioni il firewall sta seguendo in questo momento, sul totale che può gestire;
• Numero di dispositivi connessi — quanti apparecchi risultano attivi sulla rete interna;
• lo spazio del disco /home, dove l'apparato conserva log e configurazioni;
• un grafico del traffico in tempo reale — download e upload — di un'interfaccia scelta dal menu a tendina, con i valori massimi registrati.

Le connessioni attive raccontano molto

Un numero di connessioni attive molto più alto del solito, o un traffico in upload inatteso, sono spesso il primo segnale di un problema — un dispositivo compromesso che comunica verso l'esterno, o una scansione in corso. Conoscere il valore abituale della propria rete aiuta ad accorgersi quando qualcosa se ne discosta.

3. Configurazione di rete

L'appliance va raggiunta a un indirizzo stabile, deciso da te e non assegnato dal DHCP: i sistemi che la utilizzano puntano a quell'indirizzo, e se cambia smettono di funzionare.

Aprire la gestione delle interfacce

Dal menu laterale scegli Rete → Interfaccia di Rete. La pagina elenca le schede presenti sull'appliance con l'indirizzo assegnato e l'indirizzo MAC.

I due pulsanti in alto aprono due sezioni collegate:

• Hosts: la tabella dei nomi host risolti localmente, utile quando i dispositivi con cui l'appliance dialoga non sono censiti nel DNS aziendale.
• Rotte e Failover: le rotte statiche e l'eventuale seconda via di uscita.

Assegnare l'indirizzo

Fai clic sul nome dell'interfaccia, per esempio eth0, per aprirne i parametri. Compila indirizzo IP, maschera di rete e gateway predefinito concordati con l'amministratore di rete, poi salva.

Dopo il salvataggio l'indirizzo cambia

Se stai lavorando sull'interfaccia web attraverso il vecchio indirizzo, la pagina smette di rispondere non appena confermi. Riapri il browser sul nuovo indirizzo, sulla porta 8443: per esempio https://192.168.1.10:8443.

DNS e nome host

Sempre da Rete → Interfaccia di Rete, il pulsante Hosts apre la gestione del nome host dell'appliance e delle risoluzioni locali. Imposta un nome host significativo: comparirà nelle notifiche inviate dall'apparato.

Indica poi i server DNS che l'appliance deve interrogare. Servono per risolvere i nomi dei sistemi con cui dialoga e per raggiungere lo smart host della posta.

3.4 Le schede di un firewall Serie S

Un'appliance Serie S ha almeno due schede di rete, perché il suo compito è stare fra due mondi: la rete interna da proteggere e Internet. I ruoli delle prime due schede sono fissi:

• eth0 è sempre la LAN — la rete interna, e l'interfaccia da cui si raggiunge la gestione dell'apparato;
• eth1 è sempre la prima WAN — il collegamento a Internet.

Le schede successive (eth2, eth3…) si dedicano a compiti aggiuntivi: una seconda linea Internet, oppure una DMZ, la zona separata dove stanno i server che devono essere raggiungibili da fuori senza per questo esporre la LAN.

Non toccare la LAN da cui sei collegato senza una via di ritorno

eth0 è l'interfaccia da cui, quasi sempre, stai amministrando l'apparato. Cambiarne indirizzo o maschera senza un secondo modo per rientrare — una VPN, l'accesso da un'altra interfaccia — significa rischiare di perdere il collegamento a metà della modifica. Su un firewall in servizio, prima di intervenire sulla LAN assicurati una via di ritorno.

3.5 VLAN, bridge e indirizzi aggiuntivi

Oltre alle schede fisiche, la pagina permette di definire interfacce logiche costruite sopra di esse:

• VLAN — più reti separate sulla stessa scheda fisica, ciascuna con il proprio indirizzo e una descrizione (Management, Ospiti, VoIP, DMZ…). È il modo per dividere la rete interna in segmenti isolati senza moltiplicare cavi e apparati.
• Bridge — l'operazione opposta: unisce più schede in un unico segmento, come se fossero un solo cavo, quando serve che apparati su porte diverse si vedano sulla stessa rete.
• IP virtuale — un secondo indirizzo sulla stessa interfaccia (per esempio eth0:11), utile quando l'apparato deve rispondere a più indirizzi sulla stessa rete.

Le VLAN separano senza sdoppiare l'hardware

Le reti degli ospiti, dei telefoni VoIP o dei server in DMZ non dovrebbero vedere la LAN degli uffici. Le VLAN ottengono questa separazione su una sola scheda fisica: ciascuna è una rete a sé, e il firewall decide che cosa può passare dall'una all'altra.

3.6 Più linee Internet (multiWAN)

Con almeno tre schede — la LAN e due o più WAN — l'apparato gestisce più collegamenti a Internet insieme. Due strumenti, raggiungibili dai pulsanti in cima alla pagina, governano come il traffico li usa:

• Rotte e Failover — stabilisce quale linea usare e come comportarsi se una cade, spostando il traffico sull'altra;
• Multi gateway — distribuisce il traffico fra le linee, per sommarne la banda o dedicarne una a certi usi.

Continuità e capacità sono due obiettivi diversi

Una seconda WAN serve a due scopi distinti: la continuità, perché se una linea cade il traffico passa sull'altra senza fermare il lavoro; e la capacità, perché finché funzionano entrambe si ripartisce il traffico fra le due. Rotte e Failover punta al primo scopo, Multi gateway al secondo.

4. Data e ora

Aprire la configurazione dell'orologio

Fai clic sull'orario mostrato in alto a sinistra nell'interfaccia, oppure vai direttamente a /adm/common/clock_setup/.

La pagina è divisa in due riquadri indipendenti, ciascuno con il proprio pulsante Salva.

Impostare il time server

Il riquadro inferiore è quello che conviene usare. Indica un Time Server raggiungibile dall'appliance e seleziona il Time Zone corretto: per l'Italia Europe/Rome, che gestisce da solo il passaggio a ora legale e solare.

Puoi usare un server NTP pubblico oppure, se la rete non ha accesso a Internet, un server interno. Premi Salva in fondo al riquadro.

Impostazione manuale

Il riquadro superiore permette di scrivere data e ora a mano. Serve solo quando nessun time server è raggiungibile: senza sincronizzazione automatica l'orologio deriva nel tempo e va corretto periodicamente.

Su un firewall l'orologio conta più che altrove

L'ora corretta non è una formalità: i log del firewall e della navigazione servono a ricostruire cosa è successo e quando, e un orologio sbagliato rende quelle registrazioni inutilizzabili. Anche le VPN e i certificati si appoggiano all'ora per stabilire cosa è valido: se l'orologio è fuori posto, connessioni legittime possono venire rifiutate.

5. Notifiche via posta elettronica

Perché gli avvisi dell'apparato — un aggiornamento disponibile, un problema rilevato, un report periodico — arrivino a chi li deve leggere, l'apparato deve saper spedire la posta. Si configura uno smart host, cioè il server di posta in uscita attraverso cui inoltrare i messaggi.

L'appliance non è un server di posta: si appoggia a un server esistente, detto smart host, a cui consegna i messaggi.

Compilare i campi

Campo	Cosa indicare
Smarthost	Nome o indirizzo del server di posta che inoltra i messaggi
Porta	La porta SMTP del server: tipicamente 25 in rete locale, 587 con autenticazione
Autenticazione	Senza Autenticazione se il server accetta l'appliance in base all'indirizzo IP, altrimenti il metodo richiesto con le relative credenziali
(Postmaster) destinatario / mittente di default	La casella che compare come mittente dei messaggi e che riceve gli avvisi di sistema
Email Assistenza	La casella dell'assistenza tecnica, a cui l'appliance invia le segnalazioni e, ogni mese, la propria configurazione

Premi Salva per applicare.

A cosa serve l'invio mensile della configurazione

All'indirizzo indicato in Email Assistenza l'appliance recapita con cadenza mensile una copia della propria configurazione. Serve a chi presta assistenza: in caso di guasto o di sostituzione dell'apparato, permette di ricostruire l'impostazione senza doverla ricavare dalla memoria di chi l'aveva fatta.

Indica quindi una casella presidiata e conservata nel tempo, non quella personale di chi installa.

Verificare l'invio

La scheda SMTP Test, accanto a Impostazioni, invia un messaggio di prova usando i parametri appena salvati. È il modo più rapido per scoprire subito un errore di porta o un blocco del server, invece di accorgersene settimane dopo quando un avviso non arriva.

Se il messaggio di prova non arriva

Nell'ordine: verifica che il server di posta accetti connessioni dall'indirizzo dell'appliance, che la porta indicata sia aperta sul percorso di rete, e che il messaggio non sia finito nella posta indesiderata del destinatario. Un mittente su un dominio diverso da quello del server viene spesso rifiutato dai controlli antispam.

Firewall

1. Regole

Il percorso è Firewall → Regole. La pagina raccoglie tutte le regole di filtraggio, divise in schede secondo la direzione del traffico a cui si applicano.

1.1 Salvare e applicare le regole

Una regola diventa attiva appena la si salva: se non contiene errori, entra in servizio subito, senza un passaggio di conferma separato. I comandi in cima alla pagina non servono a mettere in servizio le singole regole — quello avviene al salvataggio — ma a governare la configurazione nel suo insieme:

Comando	Che cosa fa
Firewall Armato	Indica e comanda lo stato del firewall: armato quando le regole sono attive
Applica Configurazione	Ricarica per intero la configurazione del firewall. Serve nei casi dubbi — per esempio dopo aver cancellato una regola — per essere certi che ciò che è in servizio corrisponda esattamente alle regole presenti
Modifica Manuale	Apre la modifica manuale della configurazione, per gli interventi che le schede non coprono
Ripristina Configurazione	Riporta il firewall a una configurazione salvata in precedenza

Una regola ha effetto nell'istante in cui la si salva

Poiché una regola entra in servizio appena salvata, una regola che blocca il proprio stesso accesso all'apparato lo rende irraggiungibile dall'interfaccia web nel momento stesso del salvataggio. Prima di salvare regole restrittive sull'accesso, verifica di non star chiudendo la porta da cui sei entrato.

A che serve, allora, Applica Configurazione

Se le regole sono già attive dal salvataggio, Applica Configurazione ricarica da capo l'intera configurazione. È utile nei casi dubbi — dopo aver cancellato una regola, o quando si vuole essere certi che lo stato in servizio rispecchi esattamente l'elenco che si sta guardando.

1.2 Come è fatta una regola

Ogni regola dice, in una riga, che cosa fare a un certo traffico: Permetti oppure Nega, in base alla sorgente, alla destinazione e alla porta o servizio. Sorgenti e destinazioni si indicano per lo più con oggetti dal nome parlante — una rete come LAN, un gruppo di server, un singolo host — così che le regole restino leggibili e un indirizzo che cambia si aggiorni in un posto solo.

L'ordine conta: le regole si valutano dall'alto verso il basso e vince la prima che corrisponde. Le frecce su ogni riga spostano la regola più in alto o più in basso, cambiando così la priorità; accanto stanno i comandi per modificarla ed eliminarla, e in fondo Nuova Regola ne aggiunge una.

1.3 Le schede

Ogni scheda raccoglie le regole per una direzione del traffico. Sceglierla bene è il primo passo: la stessa coppia sorgente–destinazione ha effetto diverso a seconda della scheda in cui la regola vive.

Scheda	A quale traffico si applica
Forward	Le porte concesse ai client della rete interna verso Internet — è la scheda dell'uso quotidiano, che stabilisce cosa la LAN può raggiungere fuori
Admins	Regole a massima priorità, valutate prima di tutte le altre: servono agli accessi che devono funzionare sempre, scavalcando il resto
LAN Input	Il traffico dalla rete interna verso l'apparato stesso, cioè l'accesso ai servizi dell'appliance da parte dei client
Servizi	I servizi dell'apparato resi disponibili da Internet
NAT	I servizi dei server interni resi raggiungibili da Internet (port forwarding). Lasciando vuoto l'indirizzo sorgente, la regola vale per qualsiasi indirizzo di provenienza
Proxy	Le eccezioni al proxy: client o destinazioni da non filtrare durante la navigazione e da non tracciare nei log
SMTP	I server SMTP a cui non applicare antivirus e filtri anti-spam sulla posta in uscita
QoS	Le regole di traffic shaping, che assegnano banda e priorità al traffico
Log	Il registro in tempo reale delle comunicazioni bloccate dal firewall, con aggiornamento automatico

Forward e NAT sono le due schede da capire per prime

Nella pratica quotidiana quasi tutto passa da due schede: Forward, per decidere cosa la rete interna può fare verso Internet, e NAT, per pubblicare all'esterno un servizio interno — un server web, un gestionale raggiungibile da fuori. Le altre schede intervengono su casi più specifici.

La differenza fra Servizi e NAT

Servizi apre una porta sull'apparato stesso — un servizio che gira sulla Serie S. NAT inoltra invece la connessione a un server interno dietro l'apparato. Sono due cose diverse: la prima espone l'appliance, la seconda un'altra macchina della rete.

Una scheda in più con il multiWAN

Quando è attivo il multi gateway — più linee Internet bilanciate — alle schede qui elencate se ne aggiunge una, DSL ROUTING, per forzare determinato traffico su una linea specifica escludendolo dal bilanciamento. È trattata con la SD-WAN, perché è lì che ha senso.

2. Universal Threat Management

Il percorso è Firewall → Universal Threat Management. È il quadro comandi delle protezioni dell'apparato: una serie di interruttori Abilitato / Disabilitato, uno per funzione, che si confermano con Salva. Da qui si accende o si spegne ciascuna difesa; la configurazione di dettaglio, dove prevista, sta nella pagina dedicata alla singola funzione.

Interruttore	Che cosa attiva
Filtro dei contenuti sulla navigazione HTTP	Il filtro dei contenuti sulla navigazione: senza, la navigazione non viene filtrata
Mostra indirizzi IP completi nei log di navigazione	La registrazione dell'indirizzo IP per intero nei log, invece che in forma ridotta
Logga tutti i pacchetti	La registrazione estesa del traffico, utile in diagnosi ma pesante sui log
Intrusion Prevention System (IPS)	Il rilevamento e blocco degli attacchi noti sul traffico di rete
Advanced Threat Protection (ATP)	Le contromisure contro le minacce avanzate
Abilita BlackHole DNS	Il filtro DNS che scarta le richieste verso domini indesiderati
Blocca i DNS over HTTPS	Il blocco del DNS cifrato dentro HTTPS, che altrimenti aggirerebbe il filtro DNS
Abilita DSCP per il QoS	La marcatura DSCP dei pacchetti, su cui la QoS regola le priorità
Abilita Mascheramento	Il mascheramento degli indirizzi interni dietro l'indirizzo dell'apparato in uscita

Un interruttore accende la funzione, non la configura

Alcune di queste voci hanno una pagina propria — il filtro DNS, il filtro dei contenuti, l'IPS. Qui si decide se la funzione è attiva; le sue regole ed eccezioni si impostano nella pagina dedicata. Spegnere l'interruttore ferma la funzione ovunque, a prescindere da come è configurata.

Bloccare il DNS over HTTPS ha senso solo con il filtro DNS acceso

Il BlackHole DNS filtra i domini sulle richieste DNS in chiaro. Se un dispositivo usa il DNS over HTTPS, le sue richieste viaggiano cifrate dentro il traffico web e sfuggono al filtro. Bloccare i DNS over HTTPS chiude questa scorciatoia, e ha senso tenerlo attivo ovunque si voglia che il filtro DNS valga davvero per tutti.

3. Blackhole DNS

Il percorso è Firewall → Blackhole DNS. Il filtro DNS scarta le richieste verso i domini indesiderati — pubblicità, tracker, siti malevoli — rispondendo come se non esistessero, prima ancora che il traffico li raggiunga. Si accende dall'interruttore UTM; questa pagina ne governa le eccezioni e lo stato.

3.1 SafeSearch

L'interruttore Abilita SafeSearch, in testa alla pagina, impone la ricerca sicura sui motori che la prevedono: i risultati per adulti vengono esclusi a monte, per tutta la rete, senza doverlo impostare su ogni dispositivo. Si conferma con Salva.

3.2 Eccezioni

La scheda Lista Eccezioni raccoglie gli indirizzi IP a cui non applicare il filtro DNS: si indica l'indirizzo e un commento, si preme Aggiungi, e si rendono operative le modifiche con Applica Configurazione. Serve per le poche macchine che devono risolvere i nomi senza passare dal filtro — un server con esigenze particolari, un dispositivo che il filtro disturberebbe.

3.3 Stato e verifica

Due schede accompagnano la lista:

• Stato Filtro mostra se e come il filtro sta lavorando;
• Verifica Blackhole permette di provare un dominio, per sapere se verrebbe bloccato o lasciato passare — comodo per capire perché un sito non si apre, o per confermare che un dominio malevolo è effettivamente scartato.

Prima di aprire un'eccezione, verifica

Quando un sito legittimo non si carica, la tentazione è aggiungere subito un'eccezione. Conviene prima usare Verifica Blackhole sul dominio: se risulta bloccato a torto lo si sblocca in modo mirato, senza escludere dall'intera protezione la macchina che lo stava cercando.

4. Tracking Connessioni

Il percorso è Firewall → Tracking Connessioni. La pagina — Connection Tracking — mostra in tempo reale le connessioni instradate dall'apparato: chi sta comunicando con chi, in questo momento, attraverso il firewall.

Per ogni connessione la tabella riporta:

Colonna	Significato
Sorgente	Da dove parte la connessione
Proxy	Se la connessione passa dal proxy dell'apparato
Destinazione	Verso dove è diretta
Porta	La porta di destinazione, che dice di che servizio si tratta
Dati Trasmessi	Quanto è stato scambiato sulla connessione
Protocollo	Il protocollo di trasporto

Il pulsante Aggiorna rilegge l'elenco, la casella di ricerca filtra le righe e la paginazione scorre le connessioni quando sono molte.

È lo strumento per capire cosa sta succedendo adesso

Quando la rete è lenta o un dispositivo si comporta in modo strano, questa pagina dice cosa sta comunicando davvero: una macchina con un numero anomalo di connessioni verso l'esterno, un traffico verso una destinazione o una porta che non ci si aspetta. È il primo posto dove guardare per distinguere un problema di rete da un dispositivo compromesso.

5. Strumenti

Tre voci del menu Firewall non configurano regole ma servono a consultare: aiutano a capire chi c'è sulla rete e come l'apparato è affacciato su Internet.

5.1 Whois

Firewall → Whois consulta il database WHOIS, che raccoglie le informazioni associate a un indirizzo IP o a un dominio Internet. Si scrive l'indirizzo o il dominio e si preme Cerca.

Serve a risalire alla provenienza di un indirizzo o all'intestatario di un dominio — per esempio per capire da dove arriva un traffico sospetto — o a verificare se un dominio è già stato registrato.

5.2 IP in uso

Firewall → Ip in uso è il LAN Scanner: elenca gli indirizzi IP attivi sulla rete interna, ciascuno con il proprio indirizzo MAC e il tipo di scheda di rete riconosciuto. È la fotografia di chi è collegato in questo momento.

Utile per trovare un dispositivo o un intruso

L'elenco degli IP in uso serve a due cose opposte: ritrovare un apparecchio di cui si è perso l'indirizzo, e accorgersi di un dispositivo che sulla rete non dovrebbe esserci. Un MAC sconosciuto fra quelli attesi è un buon motivo per indagare.

5.3 IP Pubblico

Firewall → IP Pubblico mostra lo Schema LAN, cioè come l'apparato è affacciato sulle reti:

Voce	Significato
Indirizzo IP Pubblico	L'indirizzo con cui l'apparato è visto da Internet
Router	Il router a monte verso Internet
WAN di Sistema	L'indirizzo dell'apparato sul lato Internet
LAN di Sistema	L'indirizzo dell'apparato sulla rete interna

Sono le informazioni tecniche che tornano utili quando si imposta un NAT o si prepara un accesso di assistenza remota — previa abilitazione della VPN o della console SSH.

Filtro e protezione dei contenuti

1. Gruppi di navigazione

Il percorso è Filter → Gruppi di Navigazione. È qui che si decide che cosa si può navigare. Le regole non valgono per tutti allo stesso modo: si raccolgono in gruppi, e a ciascun gruppo si applica una politica diversa — uno per gli uffici, uno più aperto per la direzione, uno più stretto per le aree comuni. Il numero di gruppi si imposta in fondo alla pagina, e il selettore in alto sceglie il gruppo che si sta modificando.

Chi appartiene a quale gruppo si stabilisce nella pagina Appartenenza ai gruppi.

1.1 I filtri del gruppo

La scheda Filtri raccoglie i modi in cui il gruppo può essere limitato. Agiscono su tre livelli — l'indirizzo del sito, il singolo URL, e il contenuto della pagina:

Filtro	Che cosa fa
Siti autorizzati	Siti sempre ammessi, a prescindere dal contenuto
Siti negati	Siti sempre bloccati, a prescindere dal contenuto
Blacklist	Blocco per categoria (gioco, adulti, social…), con aggiornamento automatico degli elenchi
Siti grigi	Siti presenti in blacklist ma ammessi, purché le pagine rispettino il controllo sul contenuto
Url autorizzati / Url negati	Le stesse ammissioni ed esclusioni, ma sul singolo indirizzo di pagina invece che sul sito
Url grigi	Url ammessi ma sottoposti al controllo sul contenuto
Contenuti MIME vietati	Blocco per tipo di file scaricato (il suo tipo MIME)
Estensioni vietate	Blocco per estensione del file
Frasi di blocco	Parole o frasi che, se presenti anche una sola volta in una pagina, la fanno bloccare
Frasi pesate	Parole che sommano punti: superata una soglia, la pagina viene negata
Frasi di bypass	Parole che, al contrario, lasciano passare una pagina scavalcando i controlli sul contenuto
Censura e Sostituzione dei contenuti	Sostituzione di parti del contenuto invece del blocco dell'intera pagina

Le impostazioni generali del gruppo — la pagina di blocco, gli orari, il comportamento predefinito — stanno nella scheda Impostazioni.

Siti negati, siti grigi e frasi pesate lavorano insieme

Le tre leve si combinano: la blacklist taglia via intere categorie; i siti grigi riammettono ciò che, pur in blacklist, si vuole consentire a patto che il contenuto sia decoroso; le frasi pesate giudicano quel contenuto pagina per pagina, sommando punti fino a un limite oltre il quale la pagina viene comunque negata. È il meccanismo che permette di essere permissivi sui siti e severi sui contenuti.

Meglio pochi gruppi ben distinti

La tentazione è creare un gruppo per ogni sfumatura. Conviene invece tenerne pochi e chiari — per esempio standard, aperto e ristretto — perché ogni gruppo va poi mantenuto nel tempo, e più politiche diverse convivono più diventa difficile ricordare perché un certo sito è bloccato per gli uni e no per gli altri.

2. Appartenenza ai gruppi

Il percorso è Filter → Appartenenza ai Gruppi. Definisce chi appartiene a quale gruppo di navigazione, e quindi quale politica si applica a ciascuno.

2.1 Assegnare un gruppo

L'appartenenza si stabilisce per indirizzo IP — un singolo indirizzo o un intervallo — oppure per utente, quando gli utenti sono riconosciuti tramite l'autenticazione. Si indica l'IP o l'utente, si sceglie il gruppo e si aggiunge una descrizione che spieghi la voce, poi si conferma con Aggiungi.

2.2 Le eccezioni

Alcune schede della pagina raccolgono chi sta fuori dalle regole ordinarie:

Elenco	Effetto
IP senza Filtri / Utenti senza Filtri	Navigano senza alcun filtro sui contenuti
IP Senza accesso Web / Utenti Senza accesso Web	Non possono navigare affatto

«Senza filtri» va usato con parsimonia

Mettere un indirizzo fra quelli senza filtri lo esclude da ogni controllo sui contenuti, non solo da quello che dà fastidio in quel momento. Ha senso per un server o un servizio che il filtro disturberebbe, non come scorciatoia per un utente: quella persona resterebbe scoperta anche il giorno in cui il filtro servirebbe davvero.

3. Gestione autenticazione

Il percorso è Filter → Gestione Autenticazione. Serve a riconoscere chi naviga: finché gli utenti sono identificati solo dall'indirizzo IP, le politiche di navigazione si possono applicare per postazione ma non per persona. Con l'autenticazione, invece, ogni utente si identifica prima di navigare, e il gruppo di navigazione può seguirlo qualunque sia la postazione che sta usando.

Richiede il modulo proxy

L'autenticazione al filtro si appoggia al proxy dell'apparato. Se il proxy non è installato, la pagina propone la sua installazione; la configurazione dell'autenticazione diventa disponibile una volta che il proxy è attivo.

Autenticare conviene quando le persone si spostano

Legare le politiche all'indirizzo IP basta finché ogni persona ha la sua postazione fissa. Quando gli utenti cambiano postazione, usano portatili o si collegano al Wi-Fi, è l'autenticazione a far sì che la politica giusta segua la persona invece di restare attaccata alla scrivania.

4. Prevenzione delle intrusioni (IPS)

Il percorso è Filter → IPS. L'Intrusion Prevention System ispeziona il traffico che attraversa l'apparato e lo confronta con un catalogo di firme di attacchi noti: quando riconosce lo schema di una minaccia — un tentativo di sfruttare una vulnerabilità, il traffico verso un centro di comando di un malware — interviene. Si accende con l'interruttore IPS Abilitato e si conferma con Applica; lo stesso interruttore è raggiungibile anche dalla pagina UTM.

4.1 Le regole

La scheda Gestione Regole elenca le firme, aggiornate da fonti di threat intelligence. Per ciascuna:

Colonna	Significato
Azione	Che cosa fa la regola quando corrisponde — per esempio segnalare (alert)
Classe	Il tipo di minaccia a cui la regola appartiene
Etichetta	La descrizione della firma, che dice quale attacco riconosce
SID	L'identificativo univoco della firma

La casella accanto a ogni riga accende o spegne la singola regola, e la ricerca aiuta a ritrovare una firma fra le molte. La scheda Flusso Pacchetti mostra il traffico che l'IPS sta esaminando.

Segnalare o bloccare

Ogni firma ha un'azione. Alert segnala l'attacco nei log senza fermarlo, ed è prudente all'inizio, per vedere che cosa l'IPS intercetterebbe senza rischiare di bloccare traffico legittimo. Una volta presa confidenza con ciò che segnala, si passa al blocco vero e proprio sulle firme di cui ci si fida.

Le firme vanno tenute aggiornate

Un IPS vale quanto le sue firme: gli attacchi cambiano di continuo, e una regola di ieri non riconosce la minaccia di oggi. L'aggiornamento automatico del catalogo è ciò che tiene la protezione al passo; conviene verificare, ogni tanto, che stia funzionando.

Difesa attiva

1. Anti-esfiltrazione

Il percorso è Difesa Attiva → Anti Exfiltration. Lo strumento definisce e monitora una quota di traffico esterno per ogni dispositivo: fissata una soglia, sorveglia quanti dati ciascun apparecchio della rete spedisce verso l'esterno e segnala chi la supera.

Il senso è cogliere l'esfiltrazione dei dati sul nascere. Un dispositivo che comincia a inviare fuori molti più dati del solito raramente lo fa per motivi legittimi: più spesso è un malware che sta portando via documenti, un ransomware che copia i dati prima di cifrarli, o un account compromesso. Il volume anomalo del traffico in uscita è uno dei pochi segnali che questi attacchi lasciano mentre sono ancora in corso.

1.1 La soglia

In testa alla pagina è indicata la soglia predefinita — la quantità di traffico in uscita oltre la quale un dispositivo viene considerato sospetto. I pulsanti di servizio accanto avviano, fermano e riavviano il monitoraggio; la scheda Configurazione permette di regolare le soglie.

1.2 Le violazioni

Il traffico è diviso in due schede:

• Connessioni Normali — i dispositivi che restano sotto la soglia;
• Violazioni Soglia — quelli che l'hanno superata, ciascuno con il dettaglio di quanto e verso dove.

Per ogni violazione la tabella riporta:

Colonna	Significato
IP Sorgente	Il dispositivo interno che sta inviando i dati
IP di Destinazione	Dove li sta inviando
Traffico	Quanto ha inviato
Threshold	La soglia applicata
Superato Di	Di quanto ha oltrepassato la soglia
Packets / Connessioni	Il numero di pacchetti e di connessioni coinvolti
Azioni	Approfondire la violazione o bloccare il dispositivo

La soglia va tarata sulla rete

Una soglia troppo bassa segnala un backup verso il cloud o un videocollegamento come fossero attacchi; troppo alta, lascia passare un'esfiltrazione lenta. Conviene osservare per qualche giorno le Connessioni Normali per capire quanto traffico in uscita è fisiologico sulla propria rete, e fissare la soglia poco sopra quel valore.

Una violazione va capita prima di bloccare

Non ogni superamento è un attacco: un trasferimento legittimo e voluminoso somiglia, nei numeri, a un'esfiltrazione. Prima di bloccare un dispositivo conviene approfondire — verso quale destinazione sta inviando, su quali porte — perché bloccare a torto un server che sta facendo il suo lavoro ferma un'attività reale. Il valore dello strumento è arrivare in fretta a guardare, non bloccare alla cieca.

Smart Portal

1. Impostazioni

Il percorso è Smart Portal → Impostazioni. È la pagina che definisce come il portale si presenta su Internet, quali servizi rende disponibili, a quali condizioni e a chi.

1.1 Pubblicazione

In testa si dà una Descrizione, si attiva il portale con Abilitato e si sceglie il Certificato SSL con cui pubblicarlo, insieme alla porta: il portale è raggiungibile in HTTPS, così il collegamento è cifrato dal primo istante, prima ancora dell'autenticazione.

Il pulsante Servizi → Impostazioni definisce le risorse interne che il portale espone — le applicazioni, i portali, i desktop remoti che gli utenti autorizzati potranno raggiungere. Il collegamento Login Anteprima, nel menu, mostra la pagina di accesso così come la vedranno gli utenti.

1.2 Le politiche di accesso

Alcune impostazioni restringono quando e da dove si può entrare, a prescindere da chi si è:

Politica	Effetto
Fascia oraria	Le ore e i giorni in cui il portale accetta accessi; fuori da quelle, è chiuso
Nazioni abilitate	I soli Paesi da cui l'accesso è consentito, in base alla geolocalizzazione dell'indirizzo
Connessioni massime per IP	Quante sessioni può aprire uno stesso indirizzo, per contenere abusi e tentativi automatici
Permetti indirizzi IP privati	Se ammettere anche connessioni da indirizzi di reti private

Restringere orario e provenienza riduce gli attacchi prima ancora del login

Se il lavoro avviene in orario d'ufficio e dall'Italia, limitare Fascia oraria e Nazioni abilitate a quello fa cadere gran parte dei tentativi automatici, che arrivano di notte e dall'estero, prima che raggiungano la pagina di accesso. È una barriera che non dipende dalla robustezza delle password.

1.3 Utenti e autenticazione

Il riquadro Utenti governa chi può entrare. Gestione apre l'elenco degli utenti del portale, e due opzioni ne rafforzano l'identificazione:

• Utilizza autenticazione Active Directory LDAP — gli utenti si autenticano con le credenziali del dominio aziendale, senza account separati da mantenere;
• Abilita 2FA (Google Authenticator) — aggiunge il secondo fattore: oltre alla password, un codice temporaneo generato dall'app.

Il secondo fattore è ciò che regge quando la password cade

Un portale esposto su Internet riceve tentativi di indovinare le password di continuo, e prima o poi una password debole o riusata viene trovata. Il secondo fattore fa sì che conoscere la password non basti: senza il codice temporaneo l'accesso non riesce comunque. Su un portale che pubblica risorse aziendali va considerato la regola, non l'opzione.

2. Connessioni attive

Il percorso è Smart Portal → Connessioni attive. La pagina mostra in tempo reale chi è collegato al portale in questo momento, e attraverso quale servizio.

Per ogni sessione la tabella riporta:

Colonna	Significato
Utente	L'utente autenticato
Servizio	La risorsa interna a cui sta accedendo
IP sorgente	L'indirizzo da cui si è collegato
Connessioni / Max	Le sessioni aperte e il limite consentito
Stato	Lo stato della connessione
Azioni	I comandi sulla sessione

È il posto dove si vede se il portale sta funzionando come previsto

L'elenco delle connessioni attive risponde a due domande pratiche: chi sta usando davvero il portale in questo momento, e se qualcuno vi accede in modo inatteso — un utente collegato a un'ora insolita, o da un indirizzo che non ci si aspetta. È il primo posto dove guardare quando un accesso remoto dà problemi, o quando si vuole confermare che le politiche stanno tenendo fuori chi devono.

VPN

1. OpenVPN

Il percorso è Rete → Server VPN OpenVPN. È la VPN più versatile dell'apparato: serve sia a far collegare i singoli utenti da remoto, sia a unire due reti fra loro, ed è quella che si integra con l'autenticazione aziendale.

La pagina elenca i server OpenVPN configurati, ciascuno con lo stato, il nome, il tipo, l'endpoint con cui è raggiungibile, le reti remote che rende accessibili, il metodo di autenticazione, il protocollo e le azioni per gestirlo, fra cui scaricare la configurazione da consegnare al client.

1.1 Due modi di usarla

Il pulsante di creazione offre i due modi in cui OpenVPN si usa:

• Remote Access — l'accesso dei singoli utenti da remoto: dal portatile o dal computer di casa ci si collega alla rete aziendale con un profilo OpenVPN. È il caso dello smart working e dell'accesso occasionale.
• Site-to-Site — due reti collegate stabilmente attraverso Internet, come se fossero un'unica rete. È il caso di due sedi della stessa azienda.

La creazione chiede pochi elementi: un nome, la rete fittizia su cui vive il tunnel, la rete locale che si vuole rendere raggiungibile dall'altro capo, la porta, il protocollo (UDP o TCP) e la crittografia (per esempio AES-256-GCM). Le reti remote dichiarano quali reti interne il collegamento rende accessibili: sono le rotte che l'apparato annuncia al client o alla sede.

1.2 Autenticazione: dal solo certificato all'Active Directory con 2FA

Per l'accesso dei singoli utenti (Remote Access), il campo Utilizza Utente e Password stabilisce come le persone si identificano, oltre al certificato che identifica il dispositivo. Le scelte vanno dalla più semplice alla più robusta:

Opzione	Che cosa richiede
Nessun utente (solo certificato SSL)	Solo il certificato: chi possiede il profilo entra
Utenti Locali	Il certificato più utente e password definiti sull'apparato
Utenti Locali + 2FA	In più, un secondo fattore — un codice temporaneo da un'app
Usa Active Directory	Utente e password del dominio aziendale, senza account VPN separati
Usa Active Directory + 2FA	Le credenziali di dominio più il secondo fattore

Su una VPN esposta, il solo certificato o la sola password non bastano

Il server VPN è pubblicato su Internet e riceve tentativi di accesso in continuazione. Un certificato può essere copiato da un portatile rubato; una password può essere indovinata o riutilizzata. L'Active Directory più il secondo fattore è la combinazione che regge in questi casi: serve la credenziale aziendale valida e il codice del momento, e nessuno dei due da solo apre la porta.

Con un dominio, Active Directory + 2FA è la scelta da preferire

Dove esiste un Active Directory, legarvi la VPN evita un secondo elenco di utenti da tenere allineato: l'accesso si concede e si revoca gestendo l'utente nel dominio, dove lo si gestisce comunque, e un account disabilitato è fuori dalla VPN nello stesso istante. Aggiungere il 2FA copre il caso in cui una credenziale di dominio venga rubata o indovinata.

2. WireGuard

Il percorso è Rete → Server VPN WireGuard. WireGuard è la VPN più recente delle tre: nasce per essere semplice e veloce, con molte meno opzioni da configurare rispetto a OpenVPN e IPSec, e un carico più leggero sia sull'apparato sia sul dispositivo che si collega.

È la scelta pulita per far collegare i singoli dispositivi — portatili, telefoni, tablet — soprattutto quelli recenti, che hanno il client WireGuard nativo o facilmente installabile.

2.1 Come si collega un dispositivo

WireGuard identifica ogni parte con una coppia di chiavi, pubblica e privata, invece che con nome utente e password. Per ogni dispositivo che deve collegarsi si crea un profilo — un peer — con la sua chiave e l'indicazione delle reti a cui potrà accedere; la configurazione risultante si consegna al dispositivo, che la importa nel proprio client.

WireGuard si riprende in fretta dalle interruzioni

A differenza delle VPN più vecchie, WireGuard non tiene una sessione pesante aperta: quando la rete cambia — dal Wi-Fi alla rete mobile, dopo una pausa del portatile — riprende a comunicare quasi subito, senza dover ristabilire tutto da capo. È il motivo per cui si comporta bene sui dispositivi mobili.

Meno opzioni significa meno da sbagliare, ma anche meno da modulare

La semplicità di WireGuard è un pregio quando serve un accesso remoto pulito e diretto. Quando invece servono l'autenticazione con il dominio, il secondo fattore o l'integrazione con un'infrastruttura esistente, la scelta più completa resta OpenVPN.

3. IPSec

Il percorso è Rete → Server VPN IPSec. IPSec è lo standard di VPN supportato da praticamente tutti i firewall e i router, di qualsiasi produttore. È la ragione per cui lo si sceglie: quando l'altro capo del collegamento non è un apparato GIGASYS ma il firewall di un'altra sede, di un fornitore o di un servizio esterno, IPSec è la lingua comune che entrambi parlano.

L'uso tipico è il collegamento fra due sedi (site-to-site): due reti restano unite stabilmente attraverso Internet, con il traffico cifrato dal punto in cui esce da una all'ingresso nell'altra.

IPSec quando conta l'interoperabilità, OpenVPN quando conta il controllo

Fra due apparati GIGASYS, o per l'accesso dei singoli utenti, OpenVPN è più flessibile e integra l'autenticazione con il dominio. IPSec dà il meglio quando l'altro estremo è di un altro produttore e serve una tecnologia che entrambi supportano senza adattamenti: è lo standard che li mette d'accordo.

I due estremi devono concordare i parametri

Un collegamento IPSec si stabilisce solo se i due apparati usano gli stessi parametri di cifratura e la stessa chiave o certificato condiviso. Prima di configurarlo conviene mettersi d'accordo con chi gestisce l'altra sede sui valori da usare, perché un parametro diverso da un lato impedisce al collegamento di salire, spesso senza un messaggio chiaro sul perché.

Rete

1. SD Network

Il percorso è SD Network → Infrastruttura. La Software Defined Network porta sotto un unico governo gli apparati di rete — switch e access point — invece di configurarli uno a uno: le impostazioni si decidono qui, sull'apparato Serie S, e da qui scendono ai dispositivi che compongono la rete.

1.1 Infrastruttura

La vista Infrastruttura rappresenta gli apparati di rete gestiti, con le loro porte, in una mappa. Il pulsante Gestione dispositivi è il punto da cui si aggiungono e si configurano.

1.2 Inventario dispositivi

SD Network → Inventario dispositivi — la Client list — elenca i dispositivi collegati attraverso gli apparati della rete gestita. È la fotografia di chi è attaccato alla rete e da dove.

Gestire la rete da un punto solo tiene le regole coerenti

Quando switch e access point si configurano ciascuno per conto proprio, con il tempo le impostazioni divergono e diventa difficile ricordare dove una VLAN è ammessa e dove no. Governarli dall'apparato mantiene le stesse regole su tutta l'infrastruttura, e l'inventario dà in ogni momento il quadro di chi è collegato.

2. SD-WAN

Il percorso è SD Wan → Gestione. La pagina — Multi gateway — governa l'uso di più linee Internet insieme: quando l'apparato ha più di una WAN, qui si decide come impiegarle.

2.1 Multi gateway

L'interruttore Abilitato multi gateway accende la gestione di più linee. Sotto, ogni linea (xDSL) è associata a un'interfaccia — la sua WAN — e si indicano la velocità della linea e l'IP del router a monte verso Internet. Si conferma con Salva e Applica.

La velocità dichiarata serve al bilanciamento: sapendo quanto vale ciascuna linea, l'apparato può ripartire il traffico in proporzione, invece di trattarle come se fossero uguali.

MultiWAN, rotte e failover lavorano insieme

Il multi gateway stabilisce come usare le linee — bilanciare il traffico fra tutte quelle attive. La scelta di quale linea preferire e cosa fare quando una cade si imposta in Rotte e Failover, raggiungibile dalla pagina delle interfacce. Le due cose insieme danno la continuità — il traffico non si ferma se una linea manca — e la capacità — finché funzionano entrambe si sommano.

Dichiarare la velocità giusta conta per il bilanciamento

Se le due linee hanno banda molto diversa, indicarne i valori reali fa sì che l'apparato mandi più traffico su quella più capiente. Lasciare valori sbagliati, o uguali quando non lo sono, porta a saturare la linea più piccola mentre l'altra resta scarica.

2.2 Forzare del traffico su una linea specifica

Il bilanciamento ripartisce il traffico fra le linee, ma a volte una parte del traffico deve andare sempre sulla stessa linea, a prescindere: un gestionale che deve presentarsi all'esterno con l'indirizzo di una linea precisa, una videoconferenza da tenere su quella più stabile, un servizio che l'altro capo riconosce solo da un certo IP pubblico.

Quando il multi gateway è abilitato, nel firewall compare per questo una scheda in più, DSL ROUTING, che raccoglie le eccezioni al bilanciamento — usa la linea specificata invece di bilanciare il traffico quando si verificano le condizioni indicate.

Ogni regola mette in relazione una condizione con la linea su cui mandare il traffico che la soddisfa:

Elemento	Che cosa indica
Sorgente e destinazione	Gli estremi del traffico — indirizzo, rete o oggetto, in positivo o in negativo
Porta e protocollo	Il servizio a cui la regola si applica
MAC, fascia oraria, paese, applicazione	Condizioni aggiuntive facoltative — il dispositivo, l'orario, la provenienza geografica o l'applicazione riconosciuta
Linea xDSL	La linea (da DSL 1 a DSL 9) su cui forzare il traffico che soddisfa la condizione

Il traffico che corrisponde a una regola viene instradato rigidamente sulla linea scelta e non entra nel bilanciamento; tutto il resto continua a essere ripartito fra le linee attive.

Le rotte specifiche hanno la precedenza sul bilanciamento

Il bilanciamento è la regola generale; le rotte di DSL ROUTING sono le eccezioni, e vengono valutate prima. Un pacchetto che soddisfa una regola è già assegnato alla sua linea quando il bilanciamento entrerebbe in gioco, e resta su quella linea per tutta la durata della connessione. Così si tiene fermo ciò che deve stare fermo senza rinunciare a ripartire tutto il resto.

3. Server DHCP

Il percorso è Rete → Server DHCP. Il server DHCP assegna automaticamente un indirizzo IP ai dispositivi che si collegano alla rete, così che non serva configurarli a mano uno per uno.

I pulsanti in cima avviano, fermano e riavviano il servizio. Sotto, due schede:

• Status — i lease attivi, cioè gli indirizzi assegnati in questo momento e a quali dispositivi; Refresh aggiorna l'elenco;
• Configurazione — l'intervallo di indirizzi da distribuire e le opzioni che li accompagnano (gateway, DNS, durata del lease).

Un indirizzo fisso per ciò che deve essere sempre allo stesso posto

Server, stampanti di rete e apparati che altri raggiungono per indirizzo conviene che abbiano sempre lo stesso IP. Lo si ottiene con una prenotazione — un indirizzo legato al dispositivo — così resta stabile pur essendo distribuito dal DHCP, senza doverlo configurare a mano sulla macchina.

4. Server DNS

Il percorso è Rete → Server DNS. Il server DNS traduce i nomi in indirizzi per la rete interna: è ciò che permette ai dispositivi di raggiungere gli altri per nome invece che per indirizzo.

4.1 Lo stato

La scheda DNS Dashboard riassume lo stato del servizio — se è attivo, la porta (la 53), da quanto è in funzione e quando ha ricaricato l'ultima volta — con il conteggio delle zone, dei record e dei forwarder configurati. La scheda DNS del Provider riporta i server DNS a monte usati dall'apparato.

4.2 Che cosa si configura

Sotto lo stato, alcune schede coprono i diversi usi del server:

Scheda	A cosa serve
Local/Split DNS Records	Gli override locali: forzare la risoluzione di un nome verso un indirizzo scelto, tipicamente un FQDN pubblico verso l'IP interno del server
Forwarding	I server DNS a cui inoltrare le richieste che l'apparato non risolve da sé
Zona Master/Reverse	Le zone di cui l'apparato è autoritativo, dirette e inverse
Secondario / Replica	Le zone tenute come copia secondaria di un altro server DNS

Lo split-DNS risolve il problema del server raggiunto «dall'esterno» da dentro

Un server interno pubblicato su Internet ha un nome pubblico che punta all'indirizzo pubblico. Se lo si raggiunge con quel nome da dentro la rete, il traffico farebbe un giro inutile fino al firewall e ritorno (il cosiddetto NAT hairpin), quando spesso non funziona affatto. Uno split-DNS record fa risolvere quel nome, per i soli client interni, direttamente all'IP di LAN del server: la connessione resta dentro la rete e va a buon fine.

Log

1. Log di navigazione

Il percorso è Logs → Log di Navigazione. Registra la navigazione web che passa dall'apparato: quali siti sono stati visitati, da chi e con quanto traffico.

1.1 Cercare

Il riquadro in alto restringe il periodo e l'oggetto della ricerca: un sito web o un nome utente specifici, un intervallo di date e di ore. Il pulsante Esporta in CSV salva il risultato per analizzarlo altrove.

1.2 Le viste

Gli stessi dati si guardano da angolazioni diverse, scegliendo la scheda:

Vista	Che cosa mostra
IP Client	Il traffico raggruppato per dispositivo, con oggetti richiesti e dettagli
Siti	I siti più visitati
Utenti	La navigazione raggruppata per utente, quando gli utenti sono autenticati
Top 20 Download	Gli scaricamenti più consistenti
Realtime Log	La navigazione in tempo reale, mentre avviene

Per nome utente serve l'autenticazione

La vista Utenti ha senso solo se gli utenti si identificano prima di navigare: senza autenticazione, la navigazione si può leggere per indirizzo IP — cioè per postazione — ma non per persona. Se il registro deve dire chi ha fatto cosa, l'autenticazione è il presupposto.

2. Log dei siti negati

Il percorso è Logs → Log dei Siti Negati. Registra ciò che il filtro dei contenuti ha bloccato: gli URL e gli oggetti negati, e a chi.

Si filtra per indirizzo IP, nome utente e intervallo di date. Per ogni blocco la tabella riporta:

Colonna	Significato
URL	L'indirizzo che è stato negato
IP	Il dispositivo che l'ha richiesto
FQDN	Il nome del sito
Gruppo	Il gruppo di navigazione a cui si applica la regola che ha bloccato
Data / Orario	Quando è avvenuto

È lo strumento per sistemare i falsi positivi

Quando un utente segnala che un sito legittimo non si apre, questo registro dice perché è stato bloccato — quale gruppo, quale URL — e permette di correggere in modo mirato: riammettere quel sito nel gruppo giusto, invece di allentare il filtro per tutti. La colonna Gruppo dice esattamente dove intervenire.

3. Log del server di posta

Il percorso è Logs → Log Server di Posta. Registra la posta che passa dall'apparato — accettata, inoltrata o respinta — così da poter ricostruire il percorso di un singolo messaggio.

3.1 Cercare

Si restringe la ricerca per mittente, destinatario, ID del messaggio e intervallo di date e ore; Esporta in CSV salva il risultato.

3.2 Le viste

Vista	Che cosa mostra
Destinatario	I messaggi raggruppati per chi li ha ricevuti, con dimensione e dettagli
Mittente	I messaggi raggruppati per chi li ha inviati
Client	La posta raggruppata per client di provenienza
Realtime Log	Il flusso della posta in tempo reale

Serve a rispondere a «la mail non è arrivata»

La domanda più frequente sulla posta è se un messaggio sia partito o arrivato. Cercando per mittente e destinatario nel periodo giusto, il log dice se l'apparato ha visto quel messaggio e cosa ne ha fatto — l'ha consegnato, lo ha respinto, lo ha trattenuto — e distingue così un problema sull'apparato da uno più a valle.

4. Archivio e conservazione

Il percorso è Logs → Archivio Log. La pagina — LOG Retention — raccoglie i log del passato in archivi mensili compressi e stabilisce per quanto tempo conservarli.

• Log Archiviati — l'elenco degli archivi, uno per mese, ciascuno con la dimensione, il pulsante per scaricarlo e quello per eliminarlo.
• Impostazioni — la politica di conservazione: elimina gli archivi più vecchi di un certo numero di mesi. L'apparato rimuove da solo gli archivi che superano quel limite.

La durata della conservazione è una scelta, non un dettaglio tecnico

Per quanto tenere i log non lo decide la comodità: conservarli troppo a lungo accumula dati personali oltre il necessario, troppo poco lascia senza storia quando un'indagine servirebbe. Il valore giusto discende da ciò a cui i log servono davvero nell'organizzazione e dalle regole sulla loro conservazione, ed è quello che va impostato qui — non il massimo per prudenza.

Scaricare prima di eliminare ciò che potrebbe servire

Un archivio eliminato non torna. Se una verifica o una richiesta potrebbe riguardare un periodo che sta per superare il limite di conservazione, lo si scarica e lo si mette da parte prima che l'apparato lo rimuova.