Il port forwarding era il pedaggio da pagare per raggiungere il proprio computer da fuori. Per una quota crescente di connessioni domestiche — router del provider bloccati, CGNAT, indirizzi che cambiano da un giorno all'altro — non è nemmeno più possibile, e dove è possibile è un invito permanente per gli scanner. Ecco come si collegano le app moderne senza alcuna porta aperta, e come si confrontano una VPN mesh e un port forward all'antica.
Perché il port forwarding è il vecchio metodo
Per vent'anni la ricetta standard per raggiungere un computer a casa era questa: dare alla macchina un IP locale fisso, accedere al router, inoltrare una porta esterna verso di essa e puntare il client al tuo indirizzo pubblico. Funzionava — finché controllavi il router, il provider ti dava un vero IP pubblico e nessun malintenzionato notava la porta aperta. Tutte e tre queste ipotesi sono invecchiate male.
- Configurare il router è un vero tormento. Ogni produttore nasconde il port forwarding in un menu diverso, e un numero crescente di router forniti dai provider blocca del tutto l'impostazione. Se dietro il box del provider usi un tuo sistema mesh, sei in doppio NAT: l'inoltro va configurato su entrambi i router, nell'ordine giusto, e un aggiornamento del firmware può annullarlo in silenzio.
- CGNAT e IP dinamici rendono impossibile l'entrata per molte connessioni. Il NAT a livello di operatore significa che il tuo provider condivide un solo indirizzo IPv4 pubblico tra molti clienti — comune su rete cellulare, sui rivenditori di fibra e su qualsiasi provider entrato in Internet dopo l'esaurimento degli indirizzi IPv4. Dietro CGNAT il tuo port forward configura un router che non vede mai il traffico in entrata; la connessione viene scartata a monte, su apparecchiature su cui non avrai mai accesso da amministratore. Anche su una linea senza CGNAT, un IP dinamico significa che l'indirizzo configurato lunedì può puntare altrove entro venerdì.
- Il rischio per la sicurezza è il punto dirimente. Una porta RDP esposta è una delle cose più scansionate di Internet. Apri la porta 3389 al mondo e gli scanner automatici la troveranno in fretta, seguiti da continui tentativi di forza bruta e di credential stuffing; l'RDP esposto è costantemente citato come uno dei principali vettori di accesso iniziale nei rapporti sugli incidenti ransomware. Non è un rischio teorico — è la tua porta di casa messa alla prova giorno e notte.
Niente di tutto questo significa che l'accesso remoto sia off-limits. Significa che lo è il modello della porta in entrata. La connessione deve partire dall'interno.
Come si collegano le app moderne senza porte aperte
Il tuo router consente già le connessioni in uscita e le relative risposte — è così che ogni pagina web che carichi ti torna indietro. Le app moderne di desktop remoto usano esattamente quella concessione: entrambe le estremità chiamano verso l'esterno, e il traffico tra loro è trattato come risposte a conversazioni che ogni router ha già approvato. Pensa a due persone in uffici chiusi a chiave che escono nel corridoio comune nello stesso momento — nessuno ha dovuto aprire una porta dall'esterno.
Tre elementi lo rendono affidabile. Un piccolo server pubblico dice a ogni dispositivo come appare il suo indirizzo da Internet. Poi entrambi i lati si inviano pacchetti nello stesso istante, il che buca (hole punching) un percorso diretto attraverso ciascun router. E quando una rete è troppo restrittiva per l'hole punching, la sessione ripiega su un relay cifrato che inoltra traffico che non può leggere — sempre senza che tu apra alcuna porta in entrata. (Mac Host 3.3 può anche chiedere a un router che lo consente di aprire una porta per una sessione; è attivo per impostazione predefinita e facoltativo.) Questa è l'idea completa; per la trattazione ingegneristica integrale — NAT simmetrico, priorità dei candidati, valori reali di latenza — leggi la nostra spiegazione del NAT traversal.
Il router non viene mai riconfigurato. Entrambi i dispositivi avviano la conversazione dall'interno, e il firewall tratta l'intera sessione come risposte che ha già approvato.
Opzione 1: desktop remoto P2P (nessuna configurazione del router)
È la categoria in cui si trova Remio, quindi pesa il nostro entusiasmo di conseguenza — ma il meccanismo è lo stesso che ogni grande app di videochiamata usa da anni, ed è la strada più breve da «sono in un hotel» a «sto guardando il mio desktop».
- Connessioni solo in uscita. Entrambi i dispositivi chiamano verso l'esterno, quindi funziona dietro CGNAT, nelle reti di hotel e campus e negli hotspot cellulari — posti in cui un port forward non è nemmeno possibile.
- Niente è in ascolto su Internet aperto. Non c'è una porta che uno scanner possa trovare, nessun servizio che risponde agli sconosciuti, nessuna superficie d'attacco parcheggiata sul tuo IP pubblico.
- Crittografia end-to-end a prescindere dal percorso. Remio negozia le chiavi di cifratura direttamente tra i tuoi due dispositivi a ogni sessione. Se una sessione deve ripiegare su un relay, il relay inoltra testo cifrato — non può leggere fotogrammi, battute di tasto o file. La pagina della sicurezza tratta il modello nel dettaglio.
- Gratuito, senza account. Tutto ciò che era gratuito prima di Remio Pro resta gratuito, su ogni piattaforma. L'abbinamento è un codice QR o un Device ID e un PIN letti dallo schermo dell'host — nessuna email, nessun database di password da nessuna parte.
La configurazione è tutto il punto: installa Remio su entrambe le macchine, leggi Device ID e PIN dall'host, digitali in Remio e sei collegato. Il router non fa mai parte della conversazione. Un desktop remoto P2P ti dà lo schermo di un computer, non una rete; ciò che aggiunge una VPN mesh è descritto qui sotto.
Opzione 2: tunnel e VPN mesh
Strumenti come Tailscale — e il protocollo WireGuard su cui si basa — risolvono una versione diversa del problema. Invece di trasmettere uno schermo, creano una rete privata tra i tuoi dispositivi: ogni macchina registrata riceve un indirizzo privato stabile, e qualsiasi cosa tu faccia passare attraverso di essa — RDP, VNC, SSH, condivisioni di file — resta dentro quella rete invece di affacciarsi su Internet. Sotto il cofano eseguono lo stesso NAT traversal solo in uscita descritto sopra, quindi funzionano anch'essi dietro CGNAT senza modifiche al router.
Cosa copre una VPN mesh:
- Molti servizi su molte macchine, non solo un desktop — il caso di chi si ospita da sé e dell'homelab.
- Accesso a livello di rete — montare condivisioni di file, SSH, raggiungere una dashboard di domotica — che un'app di desktop remoto non offre.
- Controllo degli accessi legato a un provider di identità esistente, dato che si appoggia agli accessi esistenti.
I compromessi sono altrettanto reali. Installi un client e vi accedi su ogni dispositivo, di solito tramite un provider di identità, e così fa chiunque con cui condividi l'accesso. La mesh ti dà una rete, non uno schermo — ti serve comunque un protocollo di desktop remoto al suo interno, e su Windows significa un'edizione Pro o Enterprise per ospitare RDP; la Home non può. E quando non si riesce a bucare un percorso diretto, il traffico passa dai relay del fornitore (DERP, nel caso di Tailscale), dove la latenza dipende dalla posizione del relay — va bene per una sessione da terminale, si nota quando trascini le finestre. Per la distinzione più approfondita tra schermo e rete, vedi desktop remoto o VPN.
Opzione 3: port forwarding rinforzato
Il port forwarding non è stupido; è solo l'impostazione predefinita sbagliata. Resta un'opzione quando l'infrastruttura è statica e tua: una macchina in un ufficio con una linea business e un IP fisso, un server in colocation o un homelab in cui gestisci tu l'intero stack e non vuoi alcuna infrastruttura di terzi sul percorso.
Se scegli questa strada, fallo bene:
- Non esporre mai la 3389 grezza (né la 5900 di VNC). Se RDP deve essere raggiungibile, mettilo dietro una VPN o un tunnel SSH invece di inoltrarne direttamente la porta.
- Usa una porta esterna non predefinita. Non rende il servizio sicuro, ma riduce drasticamente il rumore degli scanner di fondo.
- Limita la frequenza e blocca. Strumenti in stile fail2ban che bandiscono gli indirizzi dopo ripetuti fallimenti trasformano un idrante di forza bruta in un rivolo.
- Preferisci l'autenticazione a chiave — una porta d'ingresso SSH con chiavi, o l'autenticazione a certificato — a qualsiasi cosa basata solo su password. Dove restano le password, rendile lunghe, uniche e abbinate al blocco dell'account.
- Limita gli indirizzi di origine nel firewall quando puoi prevedere da dove ti collegherai, e tieni l'host aggiornato.
Se gestisci un tuo firewall e vuoi sapere esattamente quali porte e protocolli usa una sessione di desktop remoto, la nostra documentazione su firewall e NAT lo spiega.
Tabella decisionale
Il riepilogo. «Desktop remoto P2P» descrive Remio e le app costruite allo stesso modo; «VPN mesh» descrive gli overlay in stile Tailscale; «port forwarding» è la classica configurazione in entrata.
| Criterio | Desktop remoto P2P (Remio) | VPN mesh (stile Tailscale) | Port forwarding |
|---|---|---|---|
| Funziona dietro CGNAT | Sì — solo in uscita, ripiego su relay | Sì — stesso approccio di attraversamento | No — l'entrata muore presso l'operatore |
| Configurazione del router necessaria | Nessuna | Nessuna | Sì — su ogni router del percorso |
| Tempo di configurazione | Pochi minuti — installa entrambe le estremità, inserisci il PIN | Più lungo — client più un provider di identità a entrambe le estremità | Il più lungo — amministrazione del router più protezione dell'host |
| Esposizione di sicurezza | Niente in ascolto su Internet aperto | Bassa — i servizi restano dentro la rete privata | Alta — la porta inoltrata è raggiungibile pubblicamente |
| Software aggiuntivo a entrambe le estremità | Sì — un'unica app | Sì — client VPN e accesso, più uno strumento di desktop remoto al suo interno | Nessuno strato aggiuntivo, ma il servizio dell'host è esposto direttamente a Internet |
| Costo | Gratuito, senza account | Gratuito per uso personale nelle opzioni più diffuse; i piani per team costano | Gratuito, anche se ospitare RDP richiede Windows Pro |
Un desktop remoto P2P ti dà uno schermo con il minimo attrito; una VPN mesh ti dà una rete; il port forwarding tiene tutto nelle tue mani — rinforzato come descritto sopra.
Domande frequenti
Il desktop remoto funziona dietro CGNAT?
Sì — con lo strumento giusto. Le app di desktop remoto P2P come Remio si collegano in uscita da entrambe le estremità e bucano un percorso diretto, cosa che funziona dietro il NAT a livello di operatore, e ripiegano su un relay cifrato quando non si riesce ad aprire un percorso diretto. Le VPN mesh come Tailscale attraversano il CGNAT allo stesso modo. Ciò che non funziona è RDP o VNC semplice in entrata dietro un port forward, perché la connessione viene scartata al NAT dell'operatore prima ancora di raggiungere il tuo router.
È sicuro inoltrare la porta 3389?
È ampiamente sconsigliato. L'RDP esposto viene scansionato di continuo e resta uno dei principali vettori d'ingresso per attacchi di forza bruta e ransomware. Se davvero non puoi evitarlo, rinforza la configurazione: sposta il servizio su una porta non predefinita, imponi password forti e uniche con blocco e limite di frequenza, richiedi Network Level Authentication, limita gli indirizzi IP di origine nel firewall e tieni l'host aggiornato. Un'app P2P o una VPN mesh evita del tutto l'esposizione.
Mi serve un IP statico per il desktop remoto?
No. Le app di desktop remoto P2P e le VPN mesh riscoprono gli indirizzi attuali dei tuoi dispositivi a ogni connessione, quindi gli IP dinamici non sono un problema. Un IP statico conta solo per il classico port forwarding verso un indirizzo fisso — e anche lì il DNS dinamico può farne le veci.
Remio richiede una qualche configurazione del router?
Nessuna. Entrambi i dispositivi si collegano in uscita e Remio gestisce il NAT traversal in automatico, con un relay cifrato come ripiego quando non si riesce a stabilire un percorso diretto. Non ci sono porte da inoltrare, nessuna DMZ, nessun requisito UPnP e nessun account da creare — abbini i dispositivi con un codice QR o con un Device ID e un PIN, con un nuovo PIN quando vuoi.
Cosa succede quando l'hole punching fallisce?
La sessione ripiega su un relay cifrato. Remio cifra end-to-end — le chiavi sono negoziate direttamente tra i tuoi dispositivi a ogni sessione, quindi il relay trasporta solo testo cifrato — e non può leggere il tuo schermo, le tue battute di tasto o i tuoi file. Potresti notare una latenza leggermente più alta rispetto a un percorso diretto, ma il modello di sicurezza non cambia.
Ancora indeciso? Il modo più rapido per scoprire se il P2P funziona sulla tua connessione è provarlo: installa Remio su due dispositivi e abbinali con un codice QR o con un Device ID e un PIN. Se la tua rete riesce a fare l'hole punching, guarderai il tuo desktop in meno di un minuto; se non può, il relay cifrato prende in carico la sessione in automatico. In ogni caso, il router ne resta fuori. Per i meccanismi dietro quella frase, come funziona è il giro guidato.
