Che cos'è il NAT? Router domestici e port forwarding
Il NAT (Network Address Translation) modifica gli indirizzi dei pacchetti al confine di una rete. In una rete domestica il router di solito permette a più dispositivi IPv4 con indirizzi privati di usare un unico indirizzo IPv4 esterno. Spesso modifica anche i numeri di porta, così da distinguere più connessioni contemporanee.
Il percorso di una richiesta in uscita
Immagina un portatile con indirizzo 192.168.1.20 che apre un sito web passando dal router. Il router registra un'associazione tra indirizzo e porta interni del portatile e il proprio indirizzo esterno con una porta scelta da lui. Il sito vede l'indirizzo esterno e risponde a quello. Grazie all'associazione, il router consegna la risposta al portatile giusto, anche se nello stesso momento un telefono ha contattato lo stesso sito. È un esempio semplificato della comune traduzione di indirizzi e porte; il comportamento esatto dipende dal router. La RFC 3022 descrive il modello di base del NAT.
Perché una connessione in entrata può fallire
Una richiesta non sollecitata proveniente dall'esterno non trova alcuna voce corrispondente, perché nessuna connessione in uscita l'ha creata. Per ospitare un servizio, l'amministratore può configurare una regola che inoltra una porta esterna a un dispositivo e a una porta locali. Ad esempio, la porta TCP esterna 8443 potrebbe puntare a una determinata applicazione web interna. La regola deve indicare il protocollo di trasporto corretto, perché le porte TCP e UDP sono separate. Prima di aprirla, verifica che il servizio sia mantenuto, protetto da autenticazione e che abbia davvero bisogno di essere raggiungibile pubblicamente. Una porta che risulta aperta non dimostra che l'applicazione funzioni correttamente.
Il NAT non è una politica di firewall
La traduzione descrive come vengono modificati gli indirizzi e come le risposte vengono associate alle connessioni. È la politica del firewall a decidere quale traffico è consentito. Un router domestico spesso svolge entrambe le funzioni, ed è per questo che si confondono facilmente. Non affidarti al NAT come unica barriera di sicurezza: una regola di inoltro, una funzione di mappatura automatica o un errore di configurazione possono cambiare l'esposizione. Dopo la configurazione verifica il servizio vero e proprio, non solo il numero di porta. Lo strumento Verifica porte aperte di 2IP può offrire un riscontro dall'esterno, ma non può confermare che il servizio usi un'autenticazione robusta.
Controllare una regola di inoltro che non funziona
Per prima cosa controlla l'indirizzo locale del server e se risponde dalla stessa LAN. Poi verifica la regola su porta e protocollo nel router e il firewall del server stesso. Confronta l'indirizzo esterno del router con quello rilevato da un sito Internet. Se a monte c'è un altro router o il carrier-grade NAT del provider, la sola regola sul router di casa potrebbe non bastare. Non disattivare l'intero firewall solo per diagnosticare il problema: esamina piuttosto la regola specifica e i log dell'applicazione.