Approfondimento tecnico

Gateway, DHCP e doppio NAT

L'indirizzo del router è il gateway predefinito: la voce della tabella di instradamento che il sistema usa per ogni destinazione non coperta da una regola più specifica. Lo comunica il server DHCP del router insieme all'indirizzo del dispositivo, e si legge in un attimo da riga di comando.

Gateway e tabella di instradamento

Ogni sistema operativo tiene una tabella di instradamento: per ciascuna rete di destinazione, l'interfaccia da usare e l'eventuale prossimo salto. La rete locale, per esempio 192.168.1.0/24, è "direttamente connessa" e si raggiunge senza intermediari. Tutto il resto ricade nella rotta predefinita, 0.0.0.0/0 in IPv4 e ::/0 in IPv6, che punta al router.

Fra più rotte che coprono la stessa destinazione vince quella con il prefisso più lungo. Per questo una VPN può far passare tutto il traffico dal tunnel senza cancellare la rotta verso il router: aggiunge rotte più specifiche, o una predefinita con priorità maggiore.

Leggerlo da riga di comando

• Linux: ip route show default — la riga default via 192.168.1.1 dev eth0 indica gateway e interfaccia; ip -6 route show default per IPv6
• Windows: route print — nella sezione IPv4 la riga con destinazione 0.0.0.0 e maschera 0.0.0.0 riporta il gateway nella colonna Gateway; in PowerShell Get-NetRoute -DestinationPrefix 0.0.0.0/0
• macOS: netstat -rn (riga default) oppure, per la sola interfaccia Wi-Fi, ipconfig getoption en0 router; il nome dell'interfaccia si ricava con networksetup -listallhardwareports
• Su tutti: traceroute (o tracert su Windows) verso un indirizzo esterno mostra il gateway come primo salto

In IPv6 il gateway è di solito un indirizzo link-local che comincia con fe80::, annunciato dal router con i messaggi di Router Advertisement e non dal DHCP. Per entrare nel pannello conviene comunque usare l'indirizzo IPv4.

DHCP: chi assegna gli indirizzi

Quando un dispositivo si collega, chiede la configurazione al server DHCP, che quasi sempre gira sul router stesso. Lo scambio avviene in quattro messaggi (DISCOVER, OFFER, REQUEST, ACK) e la risposta contiene l'indirizzo assegnato, la maschera di rete, il gateway e i server DNS.

• Intervallo: il router assegna indirizzi da un intervallo configurabile, per esempio da .100 a .199. Gli indirizzi fuori intervallo restano disponibili per le impostazioni manuali
• Lease: l'assegnazione ha una durata, spesso di qualche ora o di un giorno. A metà del periodo il client chiede il rinnovo; se il dispositivo resta spento a lungo, l'indirizzo può tornare libero e finire a un altro
• Riserve: associano un indirizzo fisso all'indirizzo MAC di un dispositivo. Sono il modo corretto di dare un IP stabile a stampanti, NAS e telecamere, meglio dell'impostazione manuale sul dispositivo, che rischia di collidere con l'intervallo DHCP

Per forzare una nuova richiesta: ipconfig /release e ipconfig /renew su Windows, sudo dhclient -r seguito da sudo dhclient o il riavvio dell'interfaccia su Linux, il pulsante "Rinnova lease DHCP" nelle impostazioni TCP/IP su macOS. Attenzione al gestore della rete: sulle distribuzioni recenti è NetworkManager o systemd-networkd, e i comandi cambiano.

LAN e WAN: le due facce del router

Il router ha almeno due interfacce. Sulla LAN ha l'indirizzo privato che usi per entrare nel pannello. Sulla WAN, verso l'operatore, ha un altro indirizzo, che il pannello mostra di solito nella pagina di stato della connessione. Se la WAN coincide con l'indirizzo che vedi nella pagina principale, il router è esposto direttamente su Internet; se no, a monte c'è un'altra traduzione.

Doppio NAT: due router in cascata

Succede spesso quando al modem dell'operatore si collega un secondo router, magari per avere un Wi-Fi migliore. Il secondo router riceve sulla WAN un indirizzo privato dal primo, e i dispositivi di casa finiscono dietro due traduzioni. Si riconosce così:

• la WAN del secondo router è in 192.168., 10. o 172.16-31.
• traceroute mostra due indirizzi privati nei primi due salti
• il port forwarding impostato sul secondo router non ha effetto da fuori

La soluzione è lasciare il NAT a uno solo dei due: mettere il modem dell'operatore in modalità bridge, oppure il secondo router in modalità access point. Se invece la WAN del modem stesso è in 100.64.0.0/10, il secondo livello di NAT è dell'operatore e non si toglie dal pannello: è il CGNAT.

Sicurezza del pannello

• Password di amministrazione propria, lunga e diversa dalla chiave Wi-Fi: quella di fabbrica è stampata sull'etichetta
• Firmware aggiornato: i modem forniti dall'operatore si aggiornano di solito da remoto, quelli acquistati vanno controllati periodicamente
• WPS disattivato: il metodo con PIN è vulnerabile a tentativi ripetuti, e il pulsante serve di rado
• Amministrazione remota spenta: il pannello raggiungibile da Internet è un bersaglio costante; se serve gestire il router da fuori, meglio una VPN verso casa
• UPnP con giudizio: permette a qualsiasi dispositivo della rete di aprire porte da solo, comodo per console e videogiochi ma rischioso con dispositivi poco curati come certe telecamere economiche

La spiegazione semplice, con il modo di trovare l'indirizzo su ogni dispositivo e cosa fare quando la pagina non si apre, è nella guida base.