Molte famiglie, insoddisfatte del Wi-Fi del modem fornito dal provider, comprano un router migliore e lo collegano con un cavo dietro al primo. Internet funziona, il Wi-Fi è più forte, e tutto sembra a posto. Poi un giorno la console di gioco segnala un tipo di NAT restrittivo, l'apertura di una porta non ha effetto, o la VPN per entrare in casa da fuori non si collega. Spesso la causa è il doppio NAT.
Cos'è il doppio NAT
Il NAT è la funzione che permette a tutti i dispositivi di casa di uscire su Internet con un solo indirizzo pubblico. Il router traduce gli indirizzi privati interni in quello pubblico e tiene traccia delle connessioni.
Quando si mettono due router in cascata, ognuno con il proprio NAT attivo, il traffico viene tradotto due volte: dal router interno verso la rete del modem, e dal modem verso Internet. Dall'esterno nessuno vede il router interno, e una connessione in ingresso si ferma al modem, che non sa a chi inoltrarla.
Come riconoscerlo
Il modo più rapido è guardare l'indirizzo WAN del tuo router, cioè quello che riceve sulla porta collegata al modem. Se è un indirizzo privato, il NAT è doppio:
| Indirizzo WAN del router | Significato |
|---|---|
| 192.168.x.x, 10.x.x.x, 172.16-31.x.x | Il router è dietro un altro NAT in casa |
| 100.64.x.x - 100.127.x.x | NAT del provider (CGNAT), non risolvibile in casa |
| Indirizzo pubblico | Nessun doppio NAT |
Un'altra verifica è un traceroute verso un sito qualsiasi:
tracert 1.1.1.1 (Windows)
traceroute 1.1.1.1 (macOS e Linux)
Se i primi due salti sono entrambi indirizzi privati di casa, per esempio 192.168.1.1 e poi 192.168.0.1, ci sono due router in fila.
Quali problemi causa
Per la navigazione normale, lo streaming e la posta il doppio NAT è quasi invisibile. I problemi riguardano le connessioni in ingresso e alcuni servizi sensibili:
- il port forwarding configurato sul router interno non funziona, perché la richiesta si ferma al modem;
- UPnP apre le porte solo sul router interno, quindi giochi e app che lo usano restano bloccati;
- le console riportano un NAT di tipo moderato o restrittivo, con difficoltà nelle partite online;
- un server VPN in casa non è raggiungibile da fuori;
- la diagnosi dei problemi è più confusa, perché esistono due reti, due DHCP e due firewall.
Soluzione 1: modem in modalità bridge
La soluzione più pulita è mettere il modem del provider in modalità bridge. In questo modo il modem smette di fare da router: si limita a convertire il segnale della linea e passa la connessione direttamente al tuo router, che ottiene l'indirizzo pubblico e diventa l'unico NAT di casa.
Non tutti i modem lo permettono, e alcuni provider bloccano l'opzione. Se è disponibile, prima di attivarla annota i parametri di connessione: dopo il bridge sarà il tuo router a dover autenticarsi con il provider.
Soluzione 2: il tuo router collegato direttamente alla linea
Con molte connessioni in fibra il modem del provider si può sostituire del tutto. Il router personale si collega all'apparato in fibra o alla linea e gestisce da solo la connessione, spesso tramite PPPoE con nome utente e password, a volte con un identificativo di rete virtuale (VLAN) specifico del provider. I parametri esatti dipendono dall'operatore e vanno richiesti o cercati nella documentazione ufficiale.
È la configurazione con più controllo, ma va fatta con cura: se manca anche un solo parametro, la connessione non si attiva. E alcuni servizi del provider, come la linea telefonica fissa integrata nel modem, possono richiedere accorgimenti aggiuntivi.
Soluzione 3: DMZ verso il router interno
Se il bridge non è disponibile, quasi tutti i modem offrono una funzione DMZ (a volte "host esposto"). Indicando come destinazione l'indirizzo WAN del tuo router, il modem gli inoltra tutto il traffico in ingresso non richiesto. Il NAT resta tecnicamente doppio, ma in pratica il router interno riceve le connessioni come se fosse esposto direttamente.
Perché funzioni stabilmente, il router interno deve avere sempre lo stesso indirizzo sulla rete del modem: si imposta una prenotazione DHCP sul modem o un indirizzo statico sulla porta WAN del router.
Soluzione 4: usare il router interno come access point
Se l'obiettivo era solo migliorare il Wi-Fi, si può lasciare il modem come unico router e configurare quello nuovo in modalità access point. Il nuovo apparecchio diffonde il Wi-Fi ma non fa più NAT né DHCP. Si perdono le sue funzioni di routing, ma la rete diventa una sola. Nel mio lavoro è spesso la scelta più semplice quando le funzioni avanzate del secondo router non servono.
In sintesi
- Due router in cascata con NAT attivo creano un doppio NAT.
- Si riconosce da un indirizzo WAN privato o da due salti privati nel traceroute.
- Causa problemi a port forwarding, UPnP, giochi online e VPN in ingresso.
- Le soluzioni sono bridge, collegamento diretto con PPPoE, DMZ o access point.
- Un indirizzo 100.64.x.x indica CGNAT del provider, che in casa non si risolve.
