Accesso remoto al tuo media server, senza aprire una porta

Guardare la propria libreria dalla camera di un albergo richiede una di tre cose: una porta inoltrata sul router, una rete privata a cui si collegano entrambi i capi, oppure un relay verso cui è il server a comporre la chiamata, così che a casa non debba aprirsi niente. Quale delle tre sia disponibile dipende meno dalla tua competenza che da cosa ti ha dato il provider quando ha attivato la linea.

Perché il vecchio consiglio ha smesso di funzionare

Per vent’anni la risposta all’accesso remoto è stata inoltrare una porta. Presuppone che il router di casa abbia un indirizzo IPv4 pubblico, e un numero crescente di router non ce l’ha più. Il carrier-grade NAT mette centinaia di abbonati dietro lo stesso indirizzo: la regola viene accettata dal router, il firewall è giusto, il nome DNS dinamico risolve, e la connessione non arriva comunque.

La verifica dura un minuto: guarda l’indirizzo WAN che il router dichiara per sé. Qualsiasi valore da 100.64 a 100.127 appartiene all’intervallo che RFC 6598 riserva esattamente a questa architettura, e significa che l’indirizzo visto da internet non è tuo da inoltrare. Linee mobili, FWA e una buona fetta dei contratti in fibra più recenti finiscono lì per impostazione predefinita. Un indirizzo pubblico a volte si può chiedere, spesso si paga, ogni tanto viene negato.

Il doppio NAT fa lo stesso danno più vicino a casa, di solito quando il router del provider alimenta un secondo router comprato da te. Quello si risolve. Quello dell’operatore no.

Le tre strade, e cosa chiede ciascuna

Strada	Cosa configuri	Cosa espone	Dietro CGNAT	Costo
Port forwarding	Regola sul router, DNS dinamico, un certificato da rinnovare	Un indirizzo pubblico e una porta aperta	Non funziona	Gratis
Rete privata	WireGuard o Tailscale sul server e su ogni dispositivo che guarda	Niente pubblicamente	Funziona	Gratis
Relay gestito	Un interruttore nelle impostazioni del server	Niente pubblicamente	Funziona	Pro

La porta inoltrata resta la risposta migliore quando la linea lo consente, ed è il modo più antico di raggiungere un media server self-hosted. Fra te e il tuo hardware non c’è nessuno, la banda è quella che il tuo uplink riesce a spingere, e l’unica parte di cui ti fidi sei tu. Comporta anche una pagina di login raggiungibile da chiunque scansioni quell’indirizzo, che è una cosa da tenere aggiornata più che una cosa da temere.

La rete overlay è la strada degli intenditori ed è davvero ottima, fino al momento in cui il dispositivo è un televisore. Installare WireGuard su un portatile richiede quattro minuti, e installarlo su un decoder in un appartamento in affitto, per un ospite che vuole vedere un film, non succede.

Il relay è quello che chiede meno: è il server ad aprire la connessione verso l’esterno, come fa qualunque applicazione, e i client lo incontrano dall’altra parte. Nessuna regola da scrivere, nessun certificato da rinnovare, nessun tuo indirizzo pubblicato da qualche parte. Quven non chiede mai al tuo router di aprire niente per suo conto, e nel server non esiste una via UPnP che potrebbe farlo.

Cosa fa davvero un relay all’immagine

I byte che viaggiano il doppio si comportano diversamente, e far finta di no è il modo in cui la riproduzione remota si è guadagnata una brutta fama.

Una sessione remota che il server deve ricodificare si ferma a 25 Mbps e 2160p. C’è un solo gradino di qualità invece di una scala automatica: scegli tu, e puoi scendere a mano. È una decisione presa apposta, perché una scala che decide al posto tuo tende a decidere male proprio sul film a cui tenevi.

Il client browser legge i media su un percorso diverso e quel tetto non lo riguarda. Arrivarci ha richiesto una misura, non una teoria. Ogni richiesta di segmento sul relay costa circa 117 millisecondi prima che arrivi il primo byte, quindi un player che chiede un segmento, aspetta e poi chiede il successivo passa la serata ad aspettare. Leggere due segmenti avanti, con due richieste in volo, ha portato una sessione inchiodata a 720p alla sorgente 4K piena, circa 8,8 Mbit/s, senza un blocco. La linea non era cambiata. Era cambiata l’attesa.

Il client desktop i segmenti non li chiede affatto: legge il file per intervalli, come un player locale legge un disco, e lì la leva che conta è quanto bufferizza in anticipo rispetto all’immagine.

La parte di cui nessuno chiede subito

Il relay termina la cifratura e inoltra la sessione. È un confine di fiducia reale, e si dice chiaramente invece di seppellirlo: mentre i byte sono in transito il relay può vederli, è costruito per non registrarli, e niente della tua libreria viene conservato o profilato lungo il percorso. È una strada verso il tuo server, mai una copia. Se lo scambio non ti convince, la via self-hosted resta gratis, resta supportata, e resterà così. Cosa resta in locale, e perché, è spiegato in cosa non lascia la tua macchina.

Domande frequenti

Serve un indirizzo IP statico per guardare la libreria fuori casa?

No. Un indirizzo statico aiuta solo la strada del port forwarding, e per quel caso il DNS dinamico basta. Rete privata e relay gestito funzionano entrambi su una normale linea residenziale il cui indirizzo cambia a ogni riavvio del router.

Una VPN è più sicura di un relay gestito?

Per un portatile sì, e in modo significativo, perché nulla fra i due capi può leggere il traffico. Il confronto cambia quando il dispositivo è un televisore o il telefono di un ospite, dove l’alternativa onesta di solito non è una VPN ma nessun accesso remoto.

Perché fuori casa un film sembra più morbido che sul divano?

Perché il tetto è il tuo upload, non il download dell’albergo. Una fibra da 60 Mbps spesso carica a 10, e un remux 4K ne vuole di più, ed è il motivo per cui un server transcodifica. Quven mostra su cosa si è assestato invece di nasconderlo, così puoi scendere di un gradino e smettere di tirare a indovinare.

Posso tenere il mio port forwarding e usare anche il relay?

Sì. Sono strade separate verso lo stesso server e nessuna delle due disattiva l’altra. I client sulla rete locale continuano a parlargli direttamente e non toccano né l’una né l’altra.