Come aprire le porte del router

Cos’è il port forwarding

Il port forwarding (inoltro delle porte) è una regola del router che prende le connessioni in arrivo da Internet su una porta del tuo IP pubblico e le consegna a un dispositivo della rete locale, per esempio un NAS, una console o un server di gioco. Senza questa regola il router scarta le connessioni non richieste, perché con il NAT non saprebbe a quale dei tuoi dispositivi mandarle.

Una regola tipica dice: “il traffico TCP che arriva sulla porta 8443 dell’IP pubblico va al dispositivo 192.168.1.50, porta 443”. Porta esterna e porta interna possono coincidere o essere diverse. Usare una porta esterna diversa da quella standard non rende il servizio più sicuro, perché gli scanner automatici provano tutte le porte, ma evita conflitti quando due dispositivi usano lo stesso numero.

Il port forwarding serve solo per le connessioni che partono da Internet verso casa tua. Navigare, guardare video o giocare online come client non richiede alcuna porta aperta.

Come aprire una porta sul router, passo passo

1. Verifica di avere un IP pubblico: l’IP WAN letto nel pannello del router deve coincidere con quello mostrato nella pagina qual è il mio indirizzo IP. Se è diverso o inizia con 100.64–100.127, sei dietro CGNAT e il port forwarding non può funzionare.
2. Assegna un indirizzo fisso al dispositivo che deve ricevere le connessioni, con una riservazione DHCP nel router o un IP statico impostato sul dispositivo.
3. Leggi nella documentazione del programma o del dispositivo quale porta usa e con quale protocollo, TCP, UDP o entrambi.
4. Nel pannello del router apri la sezione dedicata all’inoltro delle porte. Può chiamarsi “Port forwarding”, “Inoltro porte”, “Virtual server” o “NAT”.
5. Crea la regola indicando porta esterna, porta interna, protocollo e indirizzo IP del dispositivo, poi salva.
6. Sul dispositivo consenti la connessione in entrata nel firewall del sistema operativo e controlla che il programma sia avviato e in ascolto.
7. Verifica dall’esterno con il controllo porte, aprendo la pagina dalla stessa rete con VPN spenta.

Dare un indirizzo fisso al dispositivo

La regola di inoltro punta a un indirizzo IP privato. Se il dispositivo riceve un indirizzo diverso a ogni riavvio, la regola smette di funzionare senza alcun avviso. Hai due modi per evitarlo.

• Riservazione DHCP: nel router associ l’indirizzo MAC del dispositivo a un IP che il router gli assegnerà sempre. È il metodo consigliato perché resta tutto gestito in un solo posto. La funzione si trova di solito nella sezione LAN o DHCP del pannello, con nomi come “IP statico”, “Indirizzi riservati” o “Assegna sempre lo stesso indirizzo”.
• IP statico sul dispositivo: imposti a mano indirizzo, subnet mask, gateway e DNS nelle impostazioni di rete del dispositivo. Scegli un indirizzo fuori dall’intervallo che il DHCP del router distribuisce, altrimenti rischi un conflitto con un altro apparecchio.

Smartphone e tablet recenti usano spesso un indirizzo MAC casuale per ogni rete Wi-Fi, e la riservazione DHCP può non riconoscerli. Se devi inoltrare una porta verso un telefono, disattiva l’indirizzo privato o casuale per la rete di casa nelle impostazioni Wi-Fi. Per vedere l’intervallo di host disponibili nella tua rete usa il calcolatore subnet.

TCP o UDP: quale protocollo scegliere

TCP e UDP sono i due protocolli di trasporto con cui i programmi scambiano dati: TCP stabilisce una connessione e controlla che ogni pacchetto arrivi, UDP spedisce i pacchetti senza conferma ed è usato da giochi, voce e alcune VPN perché ha meno ritardo. La stessa porta numero 443 in TCP e in UDP sono due porte diverse, e il router le inoltra solo se la regola indica il protocollo giusto.

Giochi, telecamere e centralini usano porte molto diverse tra un modello e l’altro: prendile sempre dalla documentazione del produttore. Se indica “TCP/UDP” o non specifica, crea la regola per entrambi.

Il controllo porte del sito prova connessioni TCP. Una porta UDP non si può verificare allo stesso modo, perché UDP non ha una fase di apertura della connessione: per quella fai una prova reale con il programma, collegandoti da una rete esterna come la rete mobile del telefono.

UPnP: quando il router apre le porte da solo

L’UPnP (Universal Plug and Play), nella funzione IGD, permette a un programma della rete locale di chiedere al router di aprire una porta senza passare dal pannello. Console, programmi di chiamata e client torrent lo usano per funzionare senza configurazioni manuali.

Il limite è che il router non distingue un programma legittimo da un malware: qualsiasi dispositivo della rete può aprire porte verso sé stesso, senza chiederti nulla. La CISA, l’agenzia statunitense per la cibersicurezza, consiglia di disattivare l’UPnP quando non serve: un malware nella rete può usarlo per aggirare il firewall del router. Lo scrive nella sua guida alla sicurezza della rete domestica del febbraio 2021. Se in casa non hai console o programmi che ne hanno bisogno, disattivalo. Se lo tieni attivo, controlla di tanto in tanto l’elenco delle regole create via UPnP, che molti router mostrano nel pannello. Poi fai un controllo porte per vedere cosa risulta aperto da fuori.

Rischi e porte da non aprire mai su Internet

Ogni porta inoltrata espone un servizio a chiunque su Internet, compresi gli scanner automatici che provano di continuo gli indirizzi IP in cerca di servizi vulnerabili o con password deboli. Tre porte non vanno mai inoltrate. La #StopRansomware Guide della CISA (2023) raccomanda di non esporre sul web servizi come il desktop remoto e di bloccare in ingresso la porta TCP 445.

• 3389 (RDP), il desktop remoto di Windows: è tra i bersagli più colpiti da tentativi di accesso e da attacchi ransomware.
• 445 (SMB), la condivisione file di Windows: è la porta usata dal ransomware WannaCry nel 2017 per propagarsi.
• 23 (Telnet): trasmette tutto in chiaro, password comprese, ed è presente su router e telecamere datati.

Lo stesso vale per i pannelli di amministrazione di router, NAS e telecamere e per i database come MySQL (3306). Se un servizio deve proprio essere raggiungibile, limita i danni possibili:

1. Apri solo la porta che serve, verso un solo dispositivo, e cancella la regola quando non la usi più.
2. Tieni aggiornati firmware e software del dispositivo esposto.
3. Usa password lunghe e uniche e, dove possibile, l’autenticazione a due fattori o le chiavi al posto delle password, come in SSH.
4. Se il router lo consente, accetta connessioni solo dagli indirizzi IP da cui ti colleghi.

L’alternativa più sicura: una VPN verso casa

Una VPN verso la rete di casa è un collegamento cifrato che ti fa entrare nella rete locale come se fossi in casa, dopo esserti autenticato. Al posto di una porta aperta per ogni servizio ne resta al massimo una, quella della VPN, e NAS, telecamere e desktop remoto restano invisibili da Internet.

Alcuni router integrano un server VPN, WireGuard, OpenVPN o IPsec a seconda del modello: in quel caso l’unica regola da creare è quella della VPN, spesso aggiunta in automatico dal router. In alternativa puoi installare WireGuard su un NAS o su un piccolo computer sempre acceso. Se la tua linea è dietro CGNAT, una VPN mesh come Tailscale o ZeroTier funziona anche senza porte aperte: le opzioni sono descritte nella guida al CGNAT.

La porta risulta ancora chiusa: le cause più frequenti

Se dopo aver creato la regola il controllo porte la indica ancora come chiusa o filtrata, controlla queste cause, nell’ordine.

1. CGNAT: l’IP WAN del router è diverso dall’IP pubblico. La regola non riceve mai traffico.
2. Doppio NAT in casa: un tuo router è collegato dietro il modem dell’operatore. Devi inoltrare la porta su entrambi, oppure mettere il modem in bridge o il secondo router in modalità access point.
3. IP del dispositivo cambiato: la regola punta a un indirizzo che ora appartiene a un altro apparecchio o a nessuno.
4. Servizio non in ascolto: il programma è chiuso o ascolta su una porta diversa. Senza un programma in ascolto, la porta risulta chiusa anche con la regola corretta.
5. Firewall del dispositivo: il firewall di Windows, macOS o del NAS blocca le connessioni dall’esterno della rete locale.
6. Prova fatta dall’interno: non tutti i router permettono di raggiungere il proprio IP pubblico da dentro la rete (funzione chiamata NAT loopback o hairpinning). Prova dalla rete mobile del telefono.

Alcuni operatori filtrano anche certe porte in ingresso o in uscita sulle linee domestiche. Se hai escluso tutte le altre cause, chiedi all’assistenza se la porta che ti serve è bloccata.