Port Forwarding spiegato: cos'è, come funziona e quando ne hai effettivamente bisogno

Il port forwarding ha la reputazione di creare confusione. Viene visualizzato in ogni guida di gioco, in ogni tutorial sul server domestico e in ogni guida alla configurazione della telecamera IP, solitamente sepolto nelle impostazioni del router con campi criptici e nessuna spiegazione di ciò che effettivamente fa.

Aggiornato l'8 ottobre 2026: aggiunto un elenco di controllo ordinato per la risoluzione dei problemi e collegamenti alle guide CGNAT, double NAT e hairpin NAT. L'indirizzo

Questa guida salta il gergo tecnico e spiega cosa sta realmente accadendo, così potrai prendere la decisione giusta se ne hai bisogno e configurarla correttamente quando ne hai bisogno.

Il modello mentale: il tuo router è un receptionist

Il router si trova tra la rete domestica e Internet. Ogni dispositivo di casa tua (telefono, laptop, smart TV, console di gioco) condivide un unico indirizzo IP pubblico assegnato dal tuo ISP. Internamente, il router fornisce a ciascun dispositivo il proprio IP privato (come 192.168.1.x).

Pensala come un'azienda con un numero di telefono ma molti dipendenti. Quando qualcuno chiama il numero principale, l'addetto alla reception deve sapere a quale interno trasferire la chiamata.

Il port forwarding è l'elenco di regole che dice al tuo router: "Quando qualcuno da Internet si connette alla porta 25565, trasferisci quella connessione al PC su 192.168.1.50."

Senza questa regola, il router non ha idea di dove inviare la connessione in entrata, quindi la interrompe.

Cos'è un porto

Ogni connessione di rete utilizza due cose: un indirizzo IP (quale computer) e un numero di porta (quale applicazione su quel computer).

Le porte sono solo numeri da 0 a 65535. Quelli comuni che probabilmente hai visto:

Quando digiti google.com nel tuo browser, il tuo computer si connette all'IP di Google sulla porta 443. Quando il tuo amico tenta di connettersi al tuo server Minecraft, si connette al tuo IP pubblico sulla porta 25565.

Senza un port forwarding, il tuo router non sa come inviare il traffico Minecraft al tuo PC da gioco invece di rilasciarlo.

Quando hai effettivamente bisogno del port forwarding

Gestire un server a cui si connettono le persone fuori casa.

Questa è la vera risposta. Se ospiti un servizio dietro il NAT IPv4 del tuo router e desideri connessioni dirette in entrata, normalmente hai bisogno di una mappatura delle porte. Un relè, un tunnel in uscita o una VPN overlay possono fornire l'accesso senza inoltro manuale. IPv6 utilizza le regole del firewall anziché una mappatura NAT IPv4.

Casi specifici:

• Server Java di Minecraft — porta 25565, gli amici esterni alla tua rete non possono unirsi senza di essa
• Accesso remoto Plex : porta 32400, i client Plex esterni non possono raggiungere il tuo server senza di essa
• SSH nel tuo server di casa dal lavoro — porta 22 (o una porta personalizzata)
• Desktop remoto — comunemente TCP 3389; preferisco raggiungerlo tramite una VPN piuttosto che esporlo direttamente
• Telecamere IP — utilizzare un metodo di accesso sicuro supportato; evitare di esporre direttamente la loro interfaccia di amministrazione
• VPN self-hosted (WireGuard, OpenVPN) : richiede un port forwarding sulla porta VPN

Il filo conduttore: qualcosa fuori la tua rete sta tentando di avviare una connessione in la tua rete.

Quando non hai bisogno del port forwarding

Questa è la parte che la maggior parte delle guide salta.

Giocare ai giochi online come client non richiede il port forwarding. Ti connetti ai server EA, ai server Steam o a PlayStation Network: si tratta di una connessione in uscita che il tuo router gestisce automaticamente. Non è necessario alcun port forwarding.

I giochi e le applicazioni moderni utilizzano tecniche NAT traversal (STUN, ICE, UDP Hole Punching) per stabilire connessioni peer-to-peer senza richiedere l'apertura manuale delle porte. Cose come:

• Giocare a Call of Duty, Fortnite, Rocket League
• Utilizzo della chat vocale Discord
• Videochiamate su Zoom, Teams, Google Meet
• Streaming su Netflix, YouTube, Twitch

Tutti in uscita. Tutti funzionano senza alcun port forwarding.

Le guide di gioco che ti dicono di aprire un sacco di porte "per un tipo NAT migliore"? A volte utile per piattaforme molto specifiche (Xbox, classificazione per tipo NAT PlayStation), ma raramente richiesto per giocare online.

UPnP gestisce molti casi automaticamente. Molti router hanno il Plug and Play universale abilitato per impostazione predefinita. Quando un'app necessita dell'apertura di una porta, la chiede direttamente al router e il router la apre automaticamente. Plex lo usa, molti giochi lo usano. Lo svantaggio è che è meno sicuro: le app possono aprire porte a tua insaputa.

Come impostare il port forwarding

L'interfaccia utente esatta varia in base alla marca del router, ma il processo è lo stesso ovunque:

Passaggio 1: assegna al tuo dispositivo un IP locale statico

I port forwarding puntano a un indirizzo IP specifico sulla tua rete locale. Se l'IP del tuo dispositivo cambia (i lease DHCP scadono e vengono riassegnati), l'inoltro si interrompe. Risolvilo in uno dei seguenti modi:

• Impostazione di un IP statico sul dispositivo stesso (nelle impostazioni di rete), oppure
• Prenotare un IP per l'indirizzo MAC di quel dispositivo nelle impostazioni DHCP del router

Passaggio 2: trova il pannello di amministrazione del tuo router

Di solito 192.168.1.1 o 192.168.0.1 nel tuo browser. Se non sei sicuro, controlla l'etichetta sul router.

Passo 3: Trova la sezione di port forwarding

Cerca: "Port Forwarding", "Server virtuale", "NAT" o "Applicazioni e giochi"; varia in base alla marca.

Passaggio 4: crea la regola

Dovrai compilare:

• Porta esterna (a volte chiamata "Porta di servizio" o "Porta pubblica"): il numero di porta su cui arriva il traffico in entrata
• IP interno: l'IP locale del dispositivo a cui stai inoltrando
• Porta interna (a volte chiamata "Porta locale"): solitamente la stessa della porta esterna, a meno che non si stia rimappando
• Protocollo: TCP, UDP o entrambi: controlla la documentazione per ciò di cui ha bisogno la tua applicazione

Passaggio 5: salva e prova

Salva la regola. Il port forwarding è immediatamente attivo sulla maggior parte dei router.

Verifica che il tuo port forward abbia effettivamente funzionato

Per prima cosa conferma che l'applicazione è in esecuzione e raggiungibile all'interno della tua LAN. Quindi utilizzare il Controllo porta con il tuo attuale IP pubblico e porta TCP esterna. Mantieni il servizio in esecuzione durante il test. Un controllo TCP non convalida un servizio solo UDP come un tipico endpoint WireGuard; testarlo con il suo cliente reale.

Se il test fallisce, esegui questi controlli in ordine. Fermati quando trovi il primo passaggio fallito.

1. Confermare che il servizio è in ascolto localmente

Trova l'indirizzo LAN corrente dell'host, quindi controlla la presa di ascolto. Sostituisci 25565 con la porta TCP della tua applicazione.

Windows PowerShell:

Get-NetTCPConnection -State Listen -LocalPort 25565

Linux:

sudo ss -lntp 'sport = :25565'

Un ascoltatore legato solo a 127.0.0.1 accetta connessioni locali, non connessioni ordinarie inoltrate all'indirizzo LAN dell'host. Configurare l'applicazione per l'ascolto sull'interfaccia LAN prevista in base alla sua documentazione. Un ascoltatore da solo non dimostra che l'applicazione funzioni correttamente.

2. Connettersi da un altro dispositivo LAN

Utilizza il client dell'applicazione per connetterti all'attuale IP privato e alla porta interna dell'host. Per un test TCP da un altro computer Windows:

Test-NetConnection 192.168.1.50 -Port 25565

Sostituisci l'indirizzo e la porta effettivi. Se l'accesso alla LAN fallisce, correggere il servizio, il firewall dell'host o l'isolamento del segmento prima di modificare l'inoltro del router. Consenti solo il traffico richiesto; non disattivare l'intero firewall.

3. Abbina tutti i campi nella regola di inoltro

Confermare l'IP di destinazione, la porta esterna, la porta interna e il protocollo TCP/UDP. Preferire una prenotazione DHCP in modo che la destinazione non si sposti. Se la porta esterna 30000 è mappata alla porta interna 25565, un client esterno deve connettersi a 30000.

Per una destinazione sconosciuta, usa il nostro Flusso di lavoro di identificazione del dispositivo per abbinare la regola al computer corretto.

4. Verificare la presenza di un livello NAT upstream

Confronta l'indirizzo WAN IPv4 del router con il tuo indirizzo IPv4 pubblico attuale, utilizzando la stessa connessione Internet senza VPN o proxy. Una mancata corrispondenza suggerisce una traduzione a monte o un percorso di traffico diverso; lo fa no dimostra CGNAT da solo.

Un indirizzo WAN in 10.0.0.0/8, 172.16.0.0/12, o 192.168.0.0/16 è privato. Potrebbe provenire da un gateway ISP che controlli o da un NAT gestito dall'ISP. Un indirizzo dentro 100.64.0.0/10 è lo spazio degli indirizzi condiviso spesso utilizzato per CGNAT; conferma l'accordo con il tuo ISP.

• Due router che controlli: segui il doppia guida NAT.
• NAT upstream gestito dall'ISP: seguire il Guida al controllo CGNAT e chiedi informazioni su un indirizzo pubblico o un altro metodo di accesso supportato.
• Corrispondenza WAN e IPv4 pubblico: proseguire con i test esterni; la sola corrispondenza non dimostra che il traffico in entrata sia consentito.

5. Test da una connessione veramente esterna

Utilizza un telefono con dati cellulare con Wi-Fi disattivato o il controllo TCP online. Testare il tuo indirizzo pubblico dall'interno della tua LAN può fallire perché il router non supporta il loopback. Se l'accesso esterno funziona ma l'accesso interno no, utilizzare il file Guida NAT a forcina.

Controlla nuovamente il tuo IP pubblico se la connessione è stata riavviata. Se utilizzi un nome di dominio, confronta il suo record A con l'attuale IPv4 pubblico utilizzato Ricerca DNS. Controlla il suo record AAAA separatamente: una connessione IPv6 seguirà il routing IPv6 e le regole del firewall, non l'inoltro IPv4.

6. Interpretare il fallimento piuttosto che aprire più porte

Chiedi al tuo ISP informazioni sulle restrizioni delle porte in entrata solo dopo aver verificato il servizio locale e la mappatura del router. Un timeout di per sé non è in grado di identificare quale firewall o rete ha interrotto il traffico. Il nostro Guida all'handshake TCP spiega la differenza tra rifiuto e silenzio.

Una parola sulla sicurezza

Il port forwarding espone un servizio sul tuo dispositivo direttamente su Internet. Questo è il punto, ma comporta dei rischi.

Alcune pratiche che vale la pena seguire:

Non utilizzare porte predefinite per servizi sensibili. L'esecuzione di SSH sulla porta 22 garantisce un flusso costante di tentativi di accesso automatizzati. Lo spostamento su una porta non standard può ridurre il rumore della scansione di routine, ma non è una misura di controllo dell'accesso e non impedisce il rilevamento.

Utilizza l'autenticazione forte. Se stai inoltrando SSH o RDP, assicurati di utilizzare l'autenticazione basata su chiave o una password complessa e considera l'inserimento nella lista consentita degli IP se solo poche posizioni necessitano dell'accesso.

Controlla periodicamente i tuoi attaccanti. Controlla di tanto in tanto l'elenco di port forwarding del tuo router e rimuovi tutto ciò che non ti serve più. I vecchi attaccanti che puntano a dispositivi che non esistono più sono solo superfici di attacco.

Considera invece una VPN. Se hai bisogno di un accesso remoto generale alla tua rete domestica (non solo di un servizio specifico), configurare un server VPN WireGuard è più sicuro che aprire più porte. Esponi una porta UDP e tutto ciò che c'è dietro rimane protetto.

Il risultato finale

Il port forwarding è semplice una volta compresa la logica sottostante. Il tuo router interrompe tutte le connessioni in entrata non richieste per impostazione predefinita: il port forwarding è il tuo modo di dire "tranne questa".

Per l'accesso IPv4 in entrata diretto dietro NAT, verificare il servizio localmente, confermare la mappatura e il percorso upstream, quindi testare esternamente. Per l'amministrazione privata, considera invece una VPN o un tunnel supportato.

Configuralo, quindi verifica che funzioni effettivamente prima di passare un'ora a eseguire il debug della cosa sbagliata. E controlla se CGNAT è un problema prima ancora di iniziare: nessuna configurazione del router risolve un IP pubblico mancante.

Riferimenti tecnici

Il Specifica dello spazio di indirizzi condiviso IETF definisce 100.64.0.0/10. Documenti Microsoft Connessione Get-NetTCP e Prova-Connessionerete.