Come aprire le porte sul router (port forwarding)

Cos'è il port forwarding e a cosa serve

Il port forwarding (inoltro di porta) è la regola che dici al router: «le richieste che arrivano da internet su questa porta, mandale a questo dispositivo preciso della rete di casa». Senza questa regola il router blocca di default tutto quello che arriva da fuori — è il suo compito, per sicurezza.

Ti serve quando un dispositivo di casa deve essere raggiungibile da fuori: non per guardare un sito (quello funziona già), ma per farti raggiungere tu da qualcun altro — un amico che si collega al tuo server di gioco, o tu stesso che ti colleghi al tuo NAS mentre sei in vacanza.

Prima di iniziare: cosa ti serve

Prima di aprire il browser, due cose evitano la frustrazione più comune: «ho fatto tutto giusto e non funziona comunque».

Primo: il router deve avere un indirizzo IP pubblico sulla sua connessione a internet — lo dichiara la pagina ufficiale di ASUS tra i prerequisiti del port forwarding. Se sei dietro un altro router, o il tuo operatore ti assegna un IP condiviso con altre case (CGNAT), il port forwarding non funziona: serve chiedere all'operatore un IP pubblico, spesso a pagamento.

Secondo: il dispositivo a cui vuoi aprire la porta deve avere sempre lo stesso IP sulla rete locale. Netgear lo dice chiaramente nella sua guida ufficiale: se l'IP del dispositivo cambia da solo (il caso normale), la regola di port forwarding si rompe appena cambia. La soluzione è una riserva DHCP — DHCP è il sistema che assegna da solo un IP a ogni dispositivo quando si collega alla rete, e la riserva dice al router di assegnare sempre lo stesso IP a quel dispositivo, riconoscendolo dal suo indirizzo MAC (un numero identificativo univoco della sua scheda di rete) — oppure un IP fisso impostato sul dispositivo stesso.

Accedere al pannello del router

Il router si amministra da un pannello web, che apri come se fosse un sito — ma solo da dentro la tua rete di casa, non da fuori.

1. Apri il browser (dal telefono o dal computer, collegati al WiFi o via cavo) e vai all'indirizzo di amministrazione del router — i più comuni sono raccolti in cima a questa guida, pronti da copiare.
2. Accedi con nome utente e password del router: spesso scritti sull'etichetta sotto o dietro l'apparecchio, e spesso diversi da quelli del WiFi.
3. Se non trovi l'indirizzo o le credenziali da nessuna parte, l'etichetta del router è il primo posto dove guardare: quasi tutti i produttori la stampano lì.

Configurare la regola, marca per marca

Il percorso di menu cambia da marca a marca — a volte anche fra due modelli della stessa marca — ma i passaggi di fondo sono sempre gli stessi.

1. Nel pannello del router, cerca la sezione dedicata al NAT o al Port Forwarding (chiamata anche Virtual Server o Port Mapping secondo il router: il percorso preciso per marca è nella tabella di questa sezione).
2. Aggiungi una nuova regola: ti chiederà l'IP locale del dispositivo di destinazione (quello che hai fissato nella sezione «Prima di iniziare: cosa ti serve»), la porta (o le porte) e il protocollo — TCP, UDP, o entrambi, secondo cosa richiede il servizio che stai aprendo.
3. Alcuni router distinguono porta esterna e porta interna: se il servizio non dice diversamente, usa lo stesso numero per tutte e due.
4. Salva e, se il router lo chiede, riavvia.

UPnP: l'alternativa automatica

UPnP (Universal Plug and Play) fa la stessa cosa del port forwarding, ma in automatico: un programma o un dispositivo della rete locale chiede al router di aprirgli una porta, senza che tu debba configurare niente a mano.

Il problema è che l'automatismo non controlla chi chiede: UPnP non ha un meccanismo di autenticazione. Un malware su un solo dispositivo infetto della rete di casa può usarlo per aprire porte verso l'esterno senza che tu te ne accorga, scavalcando il firewall del router.

Il caso più grave è quando UPnP resta esposto anche sul lato che guarda verso internet, non solo sulla rete locale dove dovrebbe stare: una ricerca di Akamai del 2018, citata da più siti di sicurezza (SecurityWeek, BleepingComputer; non abbiamo letto il report originale), ha rilevato quasi 4,8 milioni di dispositivi nel mondo esposti in questo modo.

Le porte da non aprire mai

Una porta aperta non aspetta che tu la usi: secondo diverse analisi di sicurezza (fonti di terzi, ma concetto comune e non controverso) viene scoperta da scanner automatici nel giro di pochi minuti, con tentativi di accesso e ricerca di vulnerabilità contro il software in ascolto su quella porta.

Alcune porte, in particolare, non andrebbero aperte mai verso internet: sono bersagli così comuni che gli scanner automatici li provano per primi, qualunque sia il servizio che hai dietro.

Se vuoi approfondire i rischi dei dispositivi e dei servizi di accesso remoto esposti su internet, l'Agenzia per la Cybersicurezza Nazionale ha una pagina dedicata, citata tra le fonti di questa guida.