Port isolation: split-horizon per isolare i clienti a L2

In un POP WISP molti clienti condividono lo stesso switch e la stessa VLAN d'accesso. Per default si vedono tutti a L2: possono fare ARP-scan, ARP-spoofing/MITM tra loro, e ricevono il broadcast altrui. La port isolation impedisce a due porte 'cliente' di comunicare direttamente, lasciando però che entrambe raggiungano l'uplink (il core/gateway). RouterOS lo realizza col parametro horizon sulle bridge port.

Come funziona l'horizon

L'horizon è un numero: due porte con lo stesso valore di horizon NON si inoltrano traffico a vicenda. Porte con horizon diverso (o senza horizon) comunicano normalmente. Quindi metti tutte le porte cliente sullo stesso horizon (es. 1) e lasci l'uplink senza horizon: i clienti parlano solo con l'uplink, mai tra loro.

# Tutte le porte cliente: stesso horizon -> non si vedono tra loro
/interface/bridge/port
set [find interface=ether1] horizon=1
set [find interface=ether2] horizon=1
set [find interface=ether3] horizon=1
# ... e cosi via per tutte le porte cliente ...

# L'uplink (sfp-sfpplus1) NON ha horizon:
# i clienti lo raggiungono, ma non raggiungono gli altri clienti.

Alternativa: VLAN private (una VLAN per cliente)

Quando l'offload è imprescindibile, l'isolamento si ottiene assegnando una VLAN dedicata a ciascun cliente (o una S-VLAN QinQ per sito): i clienti sono su VID diversi e non si vedono per costruzione, il forwarding resta in hardware. Costa più VLAN ID e più configurazione, ma è la via 'a prova di offload' tipica delle reti d'accesso grandi.