Il modello OSI: i 7 livelli spiegati
Il modello OSI suddivide la comunicazione di rete in sette livelli, dal cavo fisico (livello 1) all'applicazione (livello 7). Ogni livello ha un compito preciso e dialoga solo con i livelli immediatamente sopra e sotto. Il modello è uno strumento didattico e di diagnostica; la vera internet usa il modello TCP/IP a quattro livelli, più semplice.
I sette livelli
Lato mittente i dati scendono attraverso i livelli e ciascuno aggiunge la propria intestazione. Questo processo si chiama incapsulamento. Il destinatario rimuove le intestazioni in ordine inverso. L'unità di dati di ogni livello si chiama PDU (protocol data unit).
| Livello | Nome | PDU | Protocolli di esempio | Dispositivi tipici |
|---|---|---|---|---|
| 7 | Applicazione | Dati | HTTP, DNS, SMTP, SSH | Proxy, firewall applicativo |
| 6 | Presentazione | Dati | TLS (in parte), codifiche dei caratteri, MIME | - |
| 5 | Sessione | Dati | RPC, sessione NetBIOS, TLS (in parte) | - |
| 4 | Trasporto | Segmento (TCP) o datagramma (UDP) | TCP, UDP | Firewall, load balancer |
| 3 | Rete | Pacchetto | IP, ICMP, OSPF | Router, switch di livello 3 |
| 2 | Collegamento dati | Frame | Ethernet, Wi-Fi (802.11), ARP | Switch, access point |
| 1 | Fisico | Bit | Cablaggio Ethernet, fibra, radio | Cavo, hub, ripetitore |
OSI a confronto con TCP/IP
Il modello TCP/IP ha quattro livelli e rispecchia il modo in cui i protocolli sono stati realmente costruiti. La corrispondenza è approssimativa:
| Livello TCP/IP | Livelli OSI |
|---|---|
| Applicazione | 7, 6, 5 |
| Trasporto | 4 |
| Internet | 3 |
| Collegamento (accesso alla rete) | 2, 1 |
Alcuni libri presentano TCP/IP con cinque livelli, suddividendo il livello di collegamento in collegamento dati e fisico. Nel lavoro quotidiano si continua a parlare di «switch di livello 2» o «firewall di livello 7» con la numerazione OSI, quindi è utile conoscere entrambi i modelli.
Cosa succede quando apri un sito web
Immagina di digitare https://example.com nel browser.
- Livello 7: il browser ha bisogno di un indirizzo, quindi invia una query DNS per example.com. In seguito invia una richiesta HTTP.
- Livello 6/5: un handshake TLS negozia le chiavi di cifratura e verifica il certificato del server.
- Livello 4: TCP apre una connessione sulla porta 443 con un handshake in tre passaggi (SYN, SYN-ACK, ACK) e divide i dati in segmenti.
- Livello 3: IP inserisce gli indirizzi di origine e destinazione nei pacchetti. I router li inoltrano hop dopo hop.
- Livello 2: su ogni collegamento il pacchetto viene inserito in un frame con indirizzi MAC. Nelle reti IPv4, ARP trova l'indirizzo MAC dell'hop successivo.
- Livello 1: il frame diventa segnali elettrici, impulsi di luce o onde radio.
Sul server gli stessi passaggi avvengono in ordine inverso, dal livello 1 al livello 7.
Quale livello verifica ciascuno strumento?
Ogni controllo di rete dimostra che i livelli fino a un certo punto funzionano. La tabella mostra dove si collocano i nostri strumenti.
| Strumento | Livello | Cosa dimostra |
|---|---|---|
| Ping | 3 (ICMP) | L'host è raggiungibile a livello IP e quanto dura un viaggio di andata e ritorno |
| Traceroute | 3 | Quali router si trovano sul percorso e dove iniziano ritardi o perdite |
| Verifica porte | 4 (TCP) | È possibile aprire una connessione TCP verso una determinata porta |
| Verifica SSL | 6/5, sopra il 4 | L'handshake TLS funziona e il certificato è valido |
| Header HTTP | 7 | Il server web risponde e quali stato e header invia |
| Verifica DNS | 7 | I name server restituiscono i record attesi |
Tre dettagli richiedono attenzione:
- TLS non rientra in un solo livello. Nel modello OSI viene spesso collocato al livello 6 (cifratura e presentazione), talvolta al livello 5 (sessione). Nel modello TCP/IP è semplicemente parte del livello applicativo e funziona sopra TCP. Per la diagnostica basta sapere che TLS opera dopo TCP e prima di HTTP.
- Il ping può fallire su un host funzionante. Molti firewall scartano le richieste ICMP echo. Un ping fallito non significa sempre che l'host sia spento, quindi verifica anche la porta. Inoltre traceroute usa il campo TTL dei pacchetti IP e le risposte ICMP time-exceeded, e alcuni router non rispondono, il che appare come un'interruzione nell'output.
- Il DNS opera al livello 7 anche se serve prima di tutto il resto. Di norma usa la porta UDP 53, e la porta TCP 53 per le risposte di grandi dimensioni e i trasferimenti di zona.
Diagnostica dal basso verso l'alto
Un metodo affidabile consiste nel partire dal livello 1 e salire. Ogni passaggio elimina un intero gruppo di possibili cause.
- Livello 1: Il cavo è collegato, il Wi-Fi è attivo, la spia del collegamento è accesa?
- Livello 2: Il dispositivo ha un collegamento con lo switch o l'access point? La VLAN è corretta? Verifica la presenza di indirizzi MAC duplicati o di una password Wi-Fi errata.
- Livello 3: Il dispositivo ha un indirizzo IP, una maschera e un gateway validi? Riesce a fare ping al gateway e poi a un indirizzo esterno come
192.0.2.1? Usa traceroute se il percorso si interrompe a metà. Consulta cos'è un indirizzo IP e il subnetting per gli errori di indirizzamento più comuni. - Livello 4: La porta è aperta e non bloccata da un firewall? Consulta le porte note.
- Livelli 5-6: L'handshake TLS riesce? Cerca un certificato scaduto, un nome errato o una versione di protocollo non supportata.
- Livello 7: Il nome viene risolto e l'applicazione restituisce una risposta corretta?
In pratica si può anche procedere dall'alto verso il basso oppure dividere il problema a metà: se la verifica di una porta riesce, i livelli da 1 a 4 sono a posto e puoi concentrarti sull'applicazione.