Se pfSense copre il perimetro e Ubiquiti UniFi gestisce la rete interna e il Wi-Fi, MikroTik RouterOS occupa uno spazio diverso nell’infrastruttura: routing avanzato, gestione del traffico, connettività multi-sede e controllo granulare dei flussi di rete. Per le organizzazioni che devono adeguarsi alla NIS2, è uno strumento che copre requisiti tecnici specifici delle specifiche di base ACN, in modo flessibile e con costi contenuti.
MikroTik in breve
MikroTik è un’azienda lettone fondata nel 1996, con sede a Riga. Nel 2023 ha registrato un fatturato di 401 milioni di euro e circa 367 dipendenti. I suoi prodotti principali sono i RouterBoard, dispositivi hardware con sistema operativo proprietario RouterOS, e il software standalone CHR (Cloud Hosted Router) installabile su macchine virtuali. RouterOS è disponibile anche su hardware di terze parti tramite il progetto RouterOS x86.
La piattaforma è ampiamente usata in contesti ISP, reti aziendali distribuite, connettività multi-sede e infrastrutture che richiedono controllo granulare del traffico a costi contenuti rispetto alle alternative enterprise.
Le funzionalità rilevanti per la NIS2
- Firewall stateful e stateless:
RouterOS implementa sia il filtraggio stateful (con connection tracking) che stateless. Il modulo firewall consente di gestire regole su tre tabelle: filter, nat e mangle, con catene predefinite per input, output e forward. Le regole sono configurabili per indirizzo IP, protocollo, porta, interfaccia e stato della connessione, con possibilità di logging granulare per ogni regola. Questa documentabilità è rilevante per dimostrare il presidio del perimetro in sede ispettiva ACN. - VLAN e segmentazione avanzata:
RouterOS supporta VLAN 802.1q su tutte le interfacce, con possibilità di creare bridge VLAN-aware per una segmentazione precisa del traffico. Il supporto VRF (Virtual Routing and Forwarding) consente di creare istanze di routing indipendenti sullo stesso dispositivo, utile per separare traffico di servizi diversi senza hardware aggiuntivo. - VPN e connettività cifrata:
RouterOS supporta un’ampia gamma di protocolli VPN: IPsec (tunnel e trasporto), OpenVPN, WireGuard, L2TP, PPTP e SSTP. Per le organizzazioni multi-sede, le connessioni site-to-site cifrate tramite IPsec o WireGuard coprono il requisito NIS2 di protezione delle comunicazioni tra sedi remote. Il supporto MPLS consente inoltre di costruire reti private virtuali su infrastrutture condivise. - QoS e controllo del traffico:
Il modulo Queue di RouterOS consente di prioritizzare il traffico critico (VoIP, accessi ai sistemi essenziali) rispetto al traffico generico. La capacità di garantire banda minima ai servizi critici è rilevante per i requisiti NIS2 di continuità operativa e disponibilità dei servizi. - Logging e syslog: RouterOS registra eventi di sistema, connessioni firewall, autenticazioni e modifiche di configurazione. I log possono essere inviati a server syslog esterni per la raccolta centralizzata e l’integrazione con sistemi SIEM, come richiesto dalle specifiche di base ACN.
- Protezione contro attacchi DDoS e brute force:
RouterOS include funzionalità native per il rilevamento e la mitigazione di attacchi DDoS, la protezione contro la scansione di porte e il blocco automatico degli indirizzi IP che tentano accessi ripetuti per forza bruta. Queste funzionalità coprono parte dei requisiti NIS2 di monitoraggio attivo e risposta alle minacce.
RouterOS vs pfSense: quando usare cosa
I due strumenti non si escludono: spesso coesistono nella stessa infrastruttura. pfSense eccelle come firewall perimetrale con interfaccia grafica accessibile e pacchetti IDS/IPS integrati (Snort, Suricata). MikroTik RouterOS è preferito per il routing avanzato, la gestione del traffico su larga scala, la connettività multi-sede complessa e gli scenari ISP. Per una PMI che deve adeguarsi alla NIS2, la combinazione più comune è pfSense al perimetro, Ubiquiti UniFi per la rete interna e Wi-Fi, MikroTik per la connettività tra sedi e il controllo avanzato del traffico.
La certificazione MikroTik: MTCNA e oltre
MikroTik ha un proprio programma di certificazione, con il MTCNA (MikroTik Certified Network Associate) come certificazione di base. Copre la configurazione di RouterOS, firewall, routing, VLAN e VPN. Per chi lavora in ambienti che usano MikroTik, la certificazione è la dimostrazione verificabile delle competenze tecniche richieste per gestire l’infrastruttura in modo conforme.
Dadonet propone il corso di preparazione alla certificazione MTCNA, disponibile sia in aula che in modalità e-learning. Per le strutture sanitarie che integrano MikroTik nella propria infrastruttura e devono adeguarsi alla NIS2, il percorso di cybersecurity per la sanità include la valutazione dell’intera infrastruttura di rete, inclusi i dispositivi di routing e connettività.
