Aprire una porta sul router di casa: guida pratica al port forwarding

Hai installato un NAS, una telecamera o un piccolo server in casa e vuoi raggiungerlo da fuori, ma quando provi a collegarti non risponde nulla. Nove volte su dieci il motivo è uno solo: il router blocca le connessioni in arrivo dall’esterno finché non gli dici esplicitamente dove inoltrarle. Lo strumento per farlo si chiama port forwarding (in italiano inoltro delle porte) e in questa guida vediamo come funziona e come configurarlo senza commettere l’errore più comune, quello che fa smettere di funzionare la regola dopo qualche giorno.

Cos’è il port forwarding e perché serve

Il router di casa fa da confine tra la tua rete locale e Internet. Verso l’esterno presenti un solo indirizzo IP pubblico, mentre dentro casa ogni dispositivo ha un proprio indirizzo privato (tipicamente del tipo 192.168.x.x). Questo meccanismo si chiama NAT e ha un effetto collaterale utile: una connessione che parte da fuori non sa a quale dispositivo interno deve arrivare, quindi il router la scarta.

Il port forwarding risolve esattamente questo. Crei una regola che dice al router: “quando arriva una connessione su una certa porta, inoltrala a questo dispositivo interno”. Una porta è semplicemente un numero (da 1 a 65535) che identifica un servizio: 80 e 443 per il web, 22 per SSH, e così via. Mappando una porta a un indirizzo interno, apri un canale dedicato verso quel singolo dispositivo.

Il passo che quasi tutti saltano: prima l’IP statico

Prima ancora di toccare il port forwarding c’è un’operazione obbligatoria, e proprio la documentazione ufficiale dei produttori la mette in cima alla procedura: assegnare al dispositivo di destinazione un indirizzo IP fisso. La guida di TP-Link, per esempio, apre la procedura ricordando di assegnare un IP statico al dispositivo oppure di usare la prenotazione dell’indirizzo sul router.

Il motivo è semplice. La regola di inoltro punta a un indirizzo IP preciso, ad esempio 192.168.1.50. Ma per impostazione predefinita il router assegna gli indirizzi in modo dinamico tramite DHCP, e dopo un riavvio o qualche giorno lo stesso dispositivo potrebbe ricevere un indirizzo diverso. A quel punto la regola continua a inoltrare il traffico verso 192.168.1.50, dove però non c’è più nessuno: il servizio sembra essersi rotto da solo. È l’errore più frequente e la causa numero uno delle regole che “funzionavano e poi hanno smesso”.

Hai due modi per fissare l’indirizzo:

• Prenotazione DHCP sul router (consigliata): nel pannello del router associ l’indirizzo MAC del dispositivo a un IP fisso. Il router continuerà a gestire l’assegnazione, ma a quel dispositivo darà sempre lo stesso indirizzo. È l’opzione più pulita perché si configura in un punto solo.
• IP statico sul dispositivo: imposti l’indirizzo manualmente nelle impostazioni di rete del NAS, della telecamera o del PC. Funziona, ma devi scegliere un indirizzo fuori dall’intervallo distribuito dal DHCP per evitare conflitti.

Qualunque strada scegli, prendi nota dell’indirizzo definitivo: ti servirà tra un attimo.

Creare la regola nel pannello del router

Si entra nel pannello del router aprendo il browser sull’indirizzo del gateway (spesso 192.168.0.1 o 192.168.1.1, riportato sull’etichetta sotto l’apparecchio) e accedendo con le credenziali di amministrazione. La voce di menu cambia da marca a marca, ma il concetto è identico. Sui router TP-Link, a seconda del firmware, il percorso è uno di questi:

• Forwarding > Virtual Servers, poi Add New;
• Advanced > NAT Forwarding > Virtual Servers, poi Add;
• Advanced > NAT Forwarding > Port Forwarding, poi Add.

Su altri marchi cercala sotto nomi come “Virtual Server”, “Port Forwarding”, “Inoltro porte” o “Server virtuali”: è sempre nella sezione NAT o nelle impostazioni avanzate. I campi da compilare sono sostanzialmente questi:

• Porta di servizio / Porta esterna: la porta su cui arriveranno le connessioni da Internet. Molti pannelli offrono un elenco di servizi comuni che la precompila; altrimenti la digiti a mano.
• Porta interna: la porta su cui il tuo dispositivo ascolta davvero. Spesso si compila automaticamente quando scegli un servizio dall’elenco.
• Indirizzo IP / IP interno: l’indirizzo fisso del dispositivo, quello che hai bloccato al passo precedente.
• Protocollo: TCP, UDP oppure Tutti (ALL). Se non sai quale usa il servizio, la documentazione TP-Link suggerisce di selezionare Tutti.
• Stato: imposta la regola su Abilitato, altrimenti resta inattiva.

Salvi, ed eventualmente riavvii il router se il pannello lo richiede.

Porta esterna e porta interna: quando coincidono

È il punto che genera più confusione. La porta esterna è quella che il mondo vede e usa per bussare; la porta interna è quella su cui il dispositivo risponde davvero. Nella stragrande maggioranza dei casi le due coincidono: la guida ufficiale TP-Link conferma che la porta esterna e quella interna sono di norma identiche.

Le imposti diverse solo in un caso specifico: quando vuoi raggiungere lo stesso numero di porta su più dispositivi distinti. Due telecamere che ascoltano entrambe sulla porta 80, per esempio, non possono usare la stessa porta esterna. Allora ne assegni una alla porta esterna 8081 e l’altra alla 8082, mentre internamente entrambe restano sulla 80. Il router fa la traduzione. Se hai un solo dispositivo per servizio, lascia i due valori uguali e non pensarci.

Casi d’uso legittimi

Il port forwarding ha molti impieghi del tutto normali:

• NAS: accedere ai propri file o all’interfaccia del NAS quando si è fuori casa.
• Telecamere di sorveglianza: vedere il flusso video da remoto (anche se per questo molti produttori offrono ormai servizi cloud che evitano l’apertura diretta).
• Console di gioco: migliorare il tipo di NAT e ridurre i problemi di matchmaking in alcuni titoli online.
• Server di gioco: ospitare in casa un server, ad esempio Minecraft, raggiungibile dagli amici.

Le precauzioni di sicurezza

Aprire una porta significa esporre un servizio direttamente su Internet, dove verrà trovato e sondato. Da rispettare alcune regole:

• Apri solo ciò che serve davvero. Ogni porta aperta è una superficie in più che qualcuno può attaccare. Quando un servizio non ti serve più, rimuovi la regola.
• Non esporre pannelli di amministrazione o accessi deboli. Evita di pubblicare interfacce con credenziali predefinite o password banali, e tieni aggiornato il firmware del dispositivo esposto.
• Preferisci una VPN quando puoi. Per raggiungere la rete di casa da fuori, una VPN (oggi molti router ne integrano una) è quasi sempre la scelta migliore: entri nella tua rete come se fossi a casa, senza aprire al pubblico i singoli servizi. Apri porte dirette solo quando un servizio deve davvero essere raggiungibile da chiunque, come un server di gioco.

Se non funziona

Ricontrolla nell’ordine: l’IP nella regola corrisponde all’indirizzo fisso del dispositivo; il protocollo è corretto (nel dubbio, Tutti); il servizio sul dispositivo è effettivamente attivo e in ascolto su quella porta; un eventuale firewall del dispositivo non sta bloccando la connessione. Verifica infine di avere un IP pubblico raggiungibile: con un CG-NAT dell’operatore l’indirizzo pubblico è condiviso e il port forwarding non può funzionare. In quel caso chiedi al provider un IP pubblico dedicato oppure usa una soluzione che non richiede porte aperte.

Fausto Pitzalis

Blogger dal 2001, Nativo Digitale, Developer.
Da 15 anni mi occupo di IT per una grande Azienda.
Lavoro per abbattere il Digital Divide.
Visita i miei altri progetti
sardiniamobility.com
www.cyberness.it