Perché il Port Forwarding Ha Smesso di Funzionare Improvvisamente? 6 Cause Comuni
Il port forwarding è fragile perché dipende da una catena di mapping statici. Ecco le sei ragioni più comuni per cui si rompe da un giorno all'altro.
1. Il Tuo IP WAN è Cambiato (IP Dinamico)
La maggior parte degli ISP residenziali usa DHCP con tempi di affitto di 24h–7g. Quando l'affitto si rinnova, potresti ottenere un nuovo IP. La regola di port forwarding sul router punta al tuo **IP LAN**, ma gli *utenti esterni* colpiscono il **vecchio IP WAN**.
Soluzione: Dynamic DNS (DDNS) — No-IP, DuckDNS, script Cloudflare DDNS — così `tuohost.ddns.net` risolve sempre all'IP WAN attuale.
2. Il Tuo IP LAN è Cambiato (Scadenza Affitto DHCP)
Il server DHCP del router ha dato al tuo server/PC un nuovo IP privato (es. 192.168.1.50 → .55). La regola di port forwarding punta ancora al vecchio IP LAN.
Soluzione: **Prenotazione DHCP** (affitto statico) nel router: lega l'indirizzo MAC a un IP fisso. Oppure imposta IP statico sul dispositivo *fuori* dal pool DHCP.
3. Aggiornamento Firmware Router / Riavvio / Ripristino Fabbrica
- Riavvio per auto-aggiornamento → tabella NAT cancellata (temporaneo). Le regole persistono nella configurazione, ma lo stato si resetta.
- Ripristino fabbrica (sbalzo di corrente, pressione tasto, gestione remota ISP) → **tutte le regole personalizzate scompaiono**.
Soluzione: Backup configurazione (`/backup` o esportazione web UI). Disabilita auto-aggiornamento se instabile. UPS per il router.
4. Firewall Locale / Antivirus che Blocca
Windows Defender, antivirus di terze parti (Norton, Bitdefender), o `ufw`/`iptables` su Linux hanno iniziato a bloccare la porta in entrata dopo un aggiornamento.
Soluzione: Aggiungi regola in entrata per la porta TCP/UDP sulla *macchina di destinazione*. Testa con `nmap -p PORTA IP_LAN` da un altro dispositivo LAN.
5. Servizio Spostato / Conflitto Porta
- Hai spostato il server di gioco / Plex / Home Assistant su un'altra macchina ma non hai aggiornato la regola di forwarding.
- Un'altra app (es. Steam, client torrent, contenitore Docker) ha preso la stessa porta.
Soluzione: `netstat -anob` (Win) / `ss -tulpn` (Linux) per vedere chi possiede la porta. Aggiorna la regola di forwarding al nuovo IP LAN.
6. ISP-Level CGNAT / Blocco Porte
L'ISP ti ha spostato dietro un **Carrier-Grade NAT (CGNAT)** (comune su Starlink, 5G casa, fibra in alcune regioni). Condividi un IP pubblico con centinaia di utenti—**nessuna porta in entrata possibile**. Oppure l'ISP ha iniziato a bloccare porte "sospette" (25, 80, 443, 8080, 3389, 22).
Soluzione: Richiedi un **IP pubblico statico** all'ISP (spesso costo extra). Oppure usa **Tailscale Funnel / Cloudflare Tunnel / ngrok / proxy inverso VPN VPS** per bypassare completamente il CGNAT.
Checklist di Debug
- Puoi accedere a `https://IP_LAN:PORTA` da un altro dispositivo LAN? → Il servizio funziona.
- `canyouseeme.org` / `portchecker.co` mostra aperto? → Il percorso WAN funziona.
- Controlla log router: "DROP IN=WAN OUT=..." → Blocco ISP.