Server domestico inaccessibile dietro CGNAT? La soluzione con Tor

Stai cercando di raggiungere un server ospitato a casa tua, ma le connessioni da Internet non arrivano mai. Il browser o il client remoto mostrano timeout o errori di connessione, nonostante il servizio locale risponda correttamente sul tuo computer. È il classico sintomo di una rete protetta da CGNAT (Carrier-Grade NAT), dove l'operatore telefónico impedisce l'accesso diretto in ingresso verso il tuo router.

Le cause più frequenti

• Assenza di IPv4 pubblico: il tuo operatore assegna un indirizzo IP privato condiviso (CGNAT), rendendo impossibile il port forwarding tradizionale dal router.
• Firewall rigido: anche con IP pubblico, il firewall del router o del sistema operativo potrebbe bloccare le porte necessarie per l'accesso remoto.
• Configurazione errata del servizio: l'applicazione ascolta su un'interfaccia di rete specifica (es. 192.168.1.x) invece che su localhost, o la porta non corrisponde a quella mappata.

Cosa provare

1. Verifica l'accesso locale: assicurati che il servizio (es. un server web o SSH) funzioni correttamente digitando localhost o l'IP locale nel browser o terminale sulla stessa macchina. Se non funziona qui, il problema è interno al servizio, non alla rete.
2. Configura un Tor Onion Service: installa Tor sul server domestico e aggiungi al file di configurazione /etc/tor/torrc le direttive HiddenServiceDir e HiddenServicePort. Ad esempio, per esporre un servizio web sulla porta 8080 locale, usa HiddenServicePort 80 127.0.0.1:8080. Riavvia il servizio Tor.
3. Ottieni l'indirizzo .onion: dopo il riavvio, Tor genererà automaticamente un indirizzo .onion. Copia questo indirizzo dal file specificato in HiddenServiceDir. Non serve aprire porte sul router né configurare DNAT.
4. Testa la connessione da un client Tor: da un altro dispositivo, installa un browser compatibile con Tor (come Tor Browser) e naviga all'indirizzo .onion generato. La connessione avviene tramite circuiti in uscita dal tuo server, aggirando il blocco in ingresso del CGNAT.

Quando fermarsi

Se dopo aver configurato correttamente l'Onion Service e verificato la connettività locale, l'indirizzo .onion non è raggiungibile da un client Tor esterno, verifica che il servizio Tor sia in esecuzione e che non ci siano restrizioni di rete interne al provider che blocchino anche le connessioni in uscita verso i relay Tor (raro, ma possibile). In caso di problemi persistenti con la configurazione di Tor o dubbi sulla sicurezza delle chiavi generate, consulta la documentazione ufficiale di Tor Project o chiedi supporto a una community tecnica specializzata. Evita di tentare aperture di porte sul router se sai di avere CGNAT, poiché non risolveranno il problema dell'accesso in ingresso.

Domande frequenti

È necessario un VPS per usare Tor Onion Services?

No. A differenza delle soluzioni basate su WireGuard o tunnel, Tor Onion Services non richiede un host intermedio con IP pubblico. Il server domestico stabilisce da solo le connessioni in uscita verso i relay Tor.

Perdo i dati se configuro un Onion Service?

No. La configurazione di Tor non modifica i dati del server. Tuttavia, assicurati di avere backup regolari, poiché l'accesso remoto espone il servizio a potenziali tentativi di intrusione se non protetto da autenticazione robusta.

Quando è inutile insistere con questa soluzione?

Se il tuo provider blocca esplicitamente il traffico verso i relay Tor (raro in Italia, ma possibile in alcune reti corporate o restrittive), o se hai bisogno di un accesso a bassa latenza per applicazioni in tempo reale, Tor potrebbe non essere la scelta ideale a causa della maggiore latenza introdotta dai circuiti multipli.

Posso usare Tor per sostituire completamente un IP pubblico?

Sì, per l'accesso remoto a servizi specifici (web, SSH, API), l'Onion Service sostituisce la necessità di un IP pubblico e di regole NAT. Non sostituisce però la connettività Internet generale per il resto della rete domestica.