Port forwarding non funziona: DS-Lite, CGNAT, firewall

Come appare il messaggio

Der Server oder die Kamera ist von außen nicht erreichbar, obwohl im Router eine Portfreigabe eingetragen ist.

Cause frequenti

• DS-Lite o CGNAT: più clienti condividono un solo IPv4 pubblico, quindi il port forwarding classico via IPv4 non è possibile.
• Il dispositivo di destinazione non ha più lo stesso indirizzo interno perché il router gliene ha dato uno nuovo.
• Il firewall del dispositivo o del router blocca la porta.
• Porta o protocollo sbagliati (TCP o UDP), oppure sul dispositivo nessun programma è in ascolto su quella porta.
• Due router in serie: l'inoltro è impostato solo nel secondo router mentre il primo blocca.

Verifica

1. Che indirizzo ha il dispositivo di destinazione? (Windows)
   ipconfig /allCopia
2. Quali dispositivi conosce il router in rete?
   arp -aCopia
3. Che percorso fa il traffico verso Internet? (Windows: tracert example.com) Più indirizzi privati all'inizio indicano due router o CGNAT
   traceroute example.comCopia
4. Un programma è in ascolto sulla porta del dispositivo? (Linux)
   ss -ltnCopia

Soluzione

• Confronta l'indirizzo IPv4 pubblico mostrato nel menu del router con quello mostrato da un sito che indica il tuo IP. Se sono diversi, o se quello del router inizia con 100.64 fino a 100.127, hai DS-Lite o CGNAT.
• Con DS-Lite o CGNAT non hai un IPv4 pubblico tutto tuo, quindi il port forwarding classico non può funzionare. Chiedi al provider un IPv4 pubblico, oppure usa IPv6 con una regola firewall, o una VPN o un servizio di tunnel.
• Dai al dispositivo un indirizzo fisso o una prenotazione fissa nel router, così l'inoltro non punta nel vuoto.
• Controlla porta e protocollo nella regola. Controlla anche il firewall del dispositivo e consenti la porta.
• Prova da fuori, non dal tuo Wi-Fi: per esempio con i dati mobili del telefono.
• Apri solo le porte che servono davvero e proteggi il servizio con password e aggiornamenti.

Domande frequenti

Come riconosco DS-Lite o CGNAT?

L'indirizzo pubblico nel router è diverso da quello mostrato da un sito che indica il tuo IP, oppure inizia con 100.64 fino a 100.127. Anche il provider può confermarlo.

Il port forwarding è sicuro?

Ogni porta aperta è un rischio. Apri solo il necessario, tieni il software aggiornato e usa password robuste. Per l'accesso remoto una VPN è di solito la scelta più sicura.