Il NAS di casa contiene spesso le cose più preziose che abbiamo in digitale: foto, documenti, backup dei computer. Ed è proprio per questo che, quando lo si rende raggiungibile da Internet nel modo più semplice, diventa uno dei bersagli preferiti di chi diffonde ransomware.
In questa guida vediamo perché "aprire una porta sul router" è una cattiva idea, come verificare se il tuo NAS è esposto senza saperlo e tre alternative sicure per usarlo da fuori casa.
#Perché un NAS esposto è un rischio
Negli ultimi anni ci sono state diverse campagne di ransomware pensate apposta per i NAS domestici e delle piccole aziende: tra il 2021 e il 2022, per esempio, Qlocker e DeadBolt hanno cifrato i dati di migliaia di dispositivi QNAP raggiungibili da Internet, chiedendo un riscatto in bitcoin. Il meccanismo è sempre lo stesso:
- programmi automatici scandagliano continuamente Internet alla ricerca delle pagine di accesso dei NAS;
- appena esce una vulnerabilità, provano a sfruttarla su tutti i dispositivi trovati, spesso prima che i proprietari abbiano aggiornato il firmware;
- i dati vengono cifrati, a volte insieme alle copie salvate sullo stesso NAS.
Il punto non è che un produttore sia meno sicuro di un altro: qualsiasi dispositivo con un'interfaccia web esposta, prima o poi, ha una vulnerabilità. La difesa migliore è che quell'interfaccia non sia raggiungibile da chiunque.
#Come capire se il tuo NAS è esposto
Molti NAS sono esposti senza che il proprietario lo sappia, perché alcune funzioni aprono le porte da sole tramite UPnP, il protocollo con cui i dispositivi chiedono al router di inoltrare le connessioni.
Controlla tre cose:
- Sul router, nella sezione "Port forwarding" o "Virtual server": non devono esserci regole che puntano all'indirizzo del NAS.
- Sempre sul router, la tabella UPnP: se compaiono porte aperte dal NAS, disattiva UPnP sul router oppure la funzione di configurazione automatica del router sul NAS.
- Dal NAS: nelle impostazioni di accesso remoto del produttore (per QNAP, myQNAPcloud) disattiva la configurazione automatica del router.
Per una verifica dall'esterno puoi usare un computer collegato a un'altra rete, per esempio con l'hotspot del telefono, e controllare le porte più comuni dei NAS verso il tuo indirizzo IP pubblico:
# Da una rete esterna (es. hotspot del telefono): sostituisci con il tuo IP pubblico
nmap -Pn -p 80,443,5000,5001,8080,8081,8443 TUO_IP_PUBBLICOSe tutte le porte risultano filtered o closed, bene. Se una risulta open e non sai perché, quella è la prima cosa da sistemare.
#Tre modi sicuri per accedere da fuori
| Metodo | Come funziona | Pro | Contro |
|---|---|---|---|
| VPN WireGuard | Un tunnel cifrato verso casa: da fuori sei "dentro" la tua rete | Standard aperto, velocissimo, gratuito | Richiede una porta UDP aperta verso la VPN (non verso il NAS) e un minimo di configurazione |
| Rete mesh (es. Tailscale) | I dispositivi si collegano tra loro tramite WireGuard, senza aprire porte | Nessuna porta aperta, si configura in pochi minuti | Ti affidi a un servizio esterno per il coordinamento |
| Cloudflare Tunnel + Access | Il NAS apre una connessione in uscita verso Cloudflare; chi vuole entrare deve prima autenticarsi | Nessuna porta aperta, accesso da browser, login con l'account che preferisci | Il traffico passa da Cloudflare; adatto soprattutto alle interfacce web |
#1. VPN WireGuard
È la soluzione più "pulita": il NAS resta invisibile da Internet e tu, da fuori, attivi la VPN e lo raggiungi come se fossi a casa. Molti router recenti hanno un server WireGuard integrato; in alternativa lo si può attivare sul NAS stesso (su QNAP con l'app QVPN) o su un piccolo dispositivo dedicato.
Documentazione ufficiale: wireguard.com.
#2. Rete mesh
Servizi come Tailscale usano WireGuard ma si occupano loro di mettere in contatto i dispositivi, anche dietro NAT e senza porte aperte. Si installa il client sul NAS (o su un computer di casa) e sul telefono, si accede con lo stesso account e i dispositivi si vedono tra loro. Per uso personale c'è un piano gratuito.
#3. Cloudflare Tunnel con Access
Se usi già Cloudflare per un tuo dominio, puoi pubblicare l'interfaccia web del NAS dietro un tunnel: un piccolo programma (cloudflared) apre una connessione in uscita verso Cloudflare, quindi sul router non serve aprire nulla. Davanti al tunnel si mette Cloudflare Access, che chiede di autenticarsi (per esempio con il tuo account Google e un codice) prima ancora di vedere la pagina di login del NAS.
cloudflared tunnel login # collega cloudflared al tuo account
cloudflared tunnel create nas # crea il tunnel
cloudflared tunnel route dns nas nas.tuodominio.it
cloudflared tunnel run nas # avvia il tunnel (meglio come servizio)Guida ufficiale: Cloudflare Tunnel.
#Le difese da avere comunque
Anche con l'accesso remoto fatto bene, queste regole valgono sempre:
- Aggiorna il firmware del NAS e delle app appena escono le correzioni di sicurezza. Gli avvisi dei produttori principali li trovi raccolti su PatchRadar.
- Disattiva l'account
adminpredefinito e usa un utente amministratore con un nome diverso. - Attiva la verifica in due passaggi per gli account amministrativi.
- Snapshot: attiva le istantanee dei volumi, con una conservazione di almeno qualche settimana. Contro un ransomware sono spesso la via più rapida per tornare indietro.
- Una copia fuori dal NAS: un disco esterno scollegato o un servizio cloud con versioni. Un backup che sta sullo stesso dispositivo dei dati non è un backup.
- Controlla periodicamente gli strumenti di sicurezza del produttore (su QNAP, Security Counselor), che segnalano impostazioni rischiose.
#In sintesi
Il modo più semplice per rendere il NAS raggiungibile da fuori, cioè aprire una porta, è anche il più rischioso. Con una VPN, una rete mesh o un tunnel protetto da autenticazione ottieni la stessa comodità senza lasciare la porta di casa aperta a chiunque passi.