Verifica porte aperte

Scegli una porta e il nostro server prova a connettersi all’indirizzo da cui stai navigando. Saprai se la porta è aperta, chiusa o muta, e cosa dice ogni risposta del tuo router.

Un indirizzo ha 65.535 porte

La tua connessione internet ha un solo indirizzo pubblico, un po’ come l’indirizzo civico di un palazzo. Una porta è una porta numerata di quel palazzo. Un programma che vuole ricevere connessioni si mette dietro una delle porte e aspetta. Un server web aspetta dietro la 443, un server Minecraft dietro la 25565, il Desktop remoto di Windows dietro la 3389.

A casa il palazzo ha un portiere, ed è il tuo router. Le connessioni che avvii tu escono e le loro risposte rientrano senza alcuna configurazione. Una connessione che parte da fuori è un’altra storia. Il router non ha idea a quale dei tuoi dispositivi sia destinata, quindi la butta via. È per questa impostazione predefinita che una rete domestica è difficile da attaccare. Ed è anche per questo che il tuo amico non riesce a entrare nel server di gioco che gira sul tuo computer.

Un port forwarding è un’istruzione permanente al portiere, del tipo «tutto ciò che arriva per la porta 25565 va al computer 192.168.1.20». Questa pagina bussa da fuori per dirti se l’istruzione funziona.

Tre risposte possibili

Facciamo un solo tentativo di connessione TCP e guardiamo cosa torna indietro. Attraverso la connessione non viene inviato nulla e la chiudiamo subito.

Risultato	Cosa è successo sulla rete	Cosa significa
Aperta	La connessione è stata accettata.	Un programma è in ascolto e ogni firewall lungo il percorso lascia passare il traffico.
Chiusa	È tornato un rifiuto in pochi millisecondi.	Il percorso è libero ma dietro la porta non c’è nessun programma. Avvia il programma o correggi il suo numero di porta.
Nessuna risposta	Quattro secondi di silenzio.	Un firewall o il router ha scartato il tentativo. Per una porta che nessuno ha aperto, è lo stato normale e sicuro.

Quando un forwarding non funziona, la differenza tra «chiusa» e «nessuna risposta» è il tuo indizio migliore. Un rifiuto prova che il router ha fatto passare la connessione, quindi ciò che non va ancora sta sul dispositivo. Il silenzio indica la regola del router, o il provider.

Perché puoi testare solo il tuo indirizzo

In questa pagina non troverai un campo per l’indirizzo. Il test punta sempre all’indirizzo da cui è partita la tua richiesta, una porta alla volta.

Provare le porte di una macchina è il primo passo della maggior parte delle intrusioni. Per questo quasi ogni contratto di hosting vieta di scansionare indirizzi che non gestisci, e in alcuni paesi è illegale. Una pagina pubblica che scansiona qualsiasi indirizzo su richiesta permetterebbe a chiunque di fare quel passo nascondendosi dietro il nostro server. Controllare la tua porta va bene, visto che la chiave ce l’hai già.

Con una VPN o un proxy aziendale attivo, «il tuo indirizzo» è l’indirizzo del server VPN. Disattivalo prima di testare un port forwarding di casa.

Quando la porta resta muta

Procedi in quest’ordine, dall’esterno verso l’interno.

Indirizzo condiviso dal provider. Apri la pagina di stato del router e leggi il suo indirizzo WAN. Se è diverso dall’indirizzo mostrato sopra, o inizia con un valore da 100.64 a 100.127, con 10. o con 192.168., il tuo provider mette molti clienti dietro un solo indirizzo (carrier-grade NAT). Nessuna regola del tuo router servirà. Chiedi un indirizzo pubblico, oppure usa IPv6 o un servizio di tunnel.
La regola di forwarding. Porta esterna, porta interna, protocollo TCP e indirizzo locale del dispositivo giusto. Dai a quel dispositivo un indirizzo locale fisso, altrimenti dopo il prossimo riavvio la regola punterà al nulla.
Due router in fila. Se un modem del provider sta davanti al tuo router, ti serve il forwarding su entrambi, oppure il primo in modalità bridge.
Il firewall del dispositivo. Windows, macOS e la maggior parte dei sistemi Linux bloccano le connessioni in entrata finché non autorizzi il programma.
Il programma. Deve essere in esecuzione, su quella porta, e in ascolto su tutte le interfacce (0.0.0.0) invece che solo su 127.0.0.1.

Alcuni provider bloccano qualche porta per tutti i clienti domestici, il più delle volte la 25 (posta), la 80 e la 445. Se una porta resta muta mentre le sue vicine si aprono, probabilmente è questo che stai vedendo.

Una porta aperta riceve visite

Scanner automatici passano al setaccio l’intera internet IPv4 più volte al giorno. Trovano una porta appena aperta in poche ore e subito dopo arrivano i primi tentativi di password. Apri solo ciò che usi e tieni aggiornato il programma che c’è dietro. Non esporre mai direttamente un database, la condivisione file di Windows (445), Telnet (23) o il Desktop remoto (3389). Raggiungili attraverso una VPN.

Questa pagina testa solo TCP. I servizi UDP come WireGuard o la maggior parte delle chat vocali non si possono verificare dall’esterno, perché una porta UDP aperta che non ha niente da dire sembra identica a una chiusa.

Domande frequenti

Come faccio a sapere se il mio port forwarding funziona?

Avvia il programma che deve ricevere le connessioni, poi testa qui la sua porta. «Aperta» significa che il forwarding funziona da un capo all’altro. «Chiusa» significa che il router inoltra correttamente ma il programma non è in ascolto. «Nessuna risposta» significa che il router o un firewall sta ancora scartando il traffico.

Perché la porta risulta chiusa quando il mio server è in esecuzione?

Di solito è un programma in ascolto solo su 127.0.0.1, un numero di porta diverso nelle sue impostazioni, un firewall del dispositivo o una VPN che fa arrivare il test a un altro indirizzo. Fai il test dalla stessa rete del server, con la VPN disattivata.

Posso verificare una porta di un altro indirizzo IP o sito web?

No. La pagina testa solo l’indirizzo da cui ti connetti. Scansionare macchine che non gestisci è un abuso, per questo non c’è un campo per l’indirizzo. Per vedere se un sito web pubblico risponde, usa Il sito è down?.

È pericoloso avere porte aperte?

Una porta è sicura quanto il programma che ha dietro. Un server web aggiornato sulla 443 va bene. Un Desktop remoto, un database o una telecamera con la password predefinita verranno trovati e attaccati in fretta. Chiudi ciò che non usi.

Cos’è il carrier-grade NAT e come blocca il port forwarding?

Il tuo provider condivide un solo indirizzo pubblico tra molti clienti, quindi le connessioni in entrata si fermano alla sua attrezzatura e non arrivano mai al tuo router. Lo riconosci da un indirizzo WAN nel router diverso dal tuo indirizzo pubblico. Solo il provider, IPv6 o un servizio di tunnel ti permettono di aggirarlo.

Questo test può verificare le porte UDP?

No. UDP non ha un handshake di connessione, quindi una porta muta può essere aperta o chiusa. Testa i servizi UDP con il loro client da un’altra rete, per esempio da un telefono con i dati mobili.