Port forwarding per un server Minecraft: aprirlo, ripararlo o evitarlo

Parti da qui: quale di questi casi sei tu?

Quattro situazioni, quattro risposte diverse. Trova la tua e salta subito lì: le cause non si sovrappongono quasi per niente, quindi leggere il ramo sbagliato ti costa una serata.

Il controllo da due minuti da fare per primo

Una cosa sola decide se il port forwarding può funzionare per te, e richiede due minuti. Falla prima di toccare una sola impostazione del router, perché se il risultato viene dal verso sbagliato, niente del primo ramo di questa pagina ti sarà utile.

1. Apri il pannello di amministrazione del router e cerca l'indirizzo WAN o internet che dichiara di avere. È nella schermata di stato o di riepilogo, di solito etichettato come WAN IP, Internet IP o IPv4 address.
2. Cerca "what is my IP" nel browser, da un dispositivo sulla stessa rete, e annota l'indirizzo che ti restituisce.
3. Confrontali. Se coincidono, hai un vero indirizzo pubblico e il port forwarding funzionerà una volta configurato correttamente. Se non coincidono, il tuo provider sta traducendo il traffico e una porta aperta sul tuo router non riesce a raggiungere internet: vedi perché non ha funzionato per capire cosa fare.

Aprire la porta come si deve

Il menu di ogni router è organizzato in modo diverso e la funzione ha vari nomi: Port Forwarding, Virtual Server, NAT Forwarding, Applications and Gaming. Quello che deve succedere è lo stesso ovunque: dire al router che il traffico in arrivo sulla porta di Minecraft va consegnato alla macchina su cui gira il server.

1. Prima dai alla macchina del server un indirizzo locale fisso. Questo passaggio si salta ed è il motivo per cui i forward smettono di funzionare una settimana dopo. Il router assegna gli indirizzi locali a tempo, quindi il PC che oggi è 192.168.1.42 dopo un riavvio può diventare 192.168.1.57, mentre il forward continua a puntare a quello vecchio. Risolvilo o nel router, aggiungendo una prenotazione DHCP per quel PC, o sul PC stesso, impostando un indirizzo statico fuori dall'intervallo DHCP del router. La prenotazione è la più sicura delle due, perché il router resta l'unica fonte di verità.
2. Crea la regola di forwarding. Porta interna ed esterna entrambe impostate sulla porta del server. Protocollo TCP per Java (25565), UDP per Bedrock (19132). Destinazione: l'indirizzo locale che hai appena fissato. Se il router insiste per un intervallo di porte, usa lo stesso numero come inizio e come fine.
3. Fallo passare dal firewall della macchina. Ora il router manda il traffico al PC, e il firewall del PC può comunque scartarlo. Su Windows aggiungi una regola in entrata per la porta, o per l'eseguibile Java che manda avanti il server, in Windows Defender Firewall. È il secondo motivo più comune per cui un forward corretto sembra non fare nulla.
4. Provalo dall'esterno della tua rete. Non da un browser nel tuo salotto. Spegni il Wi-Fi sul telefono così passa alla rete dati e prova a raggiungere l'indirizzo, oppure usa un port checker online mentre il server è acceso. Entrambi verificano la stessa cosa: se il mondo esterno riesce a entrare.

Appena il controllo dall'esterno riesce, i tuoi amici si collegano usando il tuo indirizzo pubblico e la porta: per Java, your.public.ip:25565. Se il tuo provider ogni tanto ti cambia l'indirizzo pubblico, come fa la maggior parte delle linee residenziali, un nome DNS dinamico gratuito ti dà un hostname fisso che lo segue.

Hai aperto la porta e continua a non funzionare

Scorri questa lista in ordine. È ordinata in base a quanto spesso ciascun punto si rivela essere la risposta, e i primi due si escludono gratis.

1. Hai fatto il test dall'interno della tua rete

Ne abbiamo parlato sopra, ed è davvero il falso allarme più frequente: l'hairpinning è un obbligo dello standard che molti router ignorano, quindi provare il proprio indirizzo pubblico dal proprio salotto può fallire su un impianto perfettamente funzionante. Rifai la prova dalla rete dati prima di cambiare qualunque altra cosa.

2. L'indirizzo locale della macchina server è cambiato

Se funzionava e poi ha smesso, quasi sempre è questo. Il forward punta ancora a un indirizzo che il PC non ha più. Aggiungi una prenotazione DHCP così non può più spostarsi.

3. Carrier-grade NAT: quello senza via d'uscita

Se l'indirizzo WAN nel tuo router non coincide con quello che riporta "what is my IP", il tuo traffico viene tradotto dal provider prima di arrivare a internet, e una porta che apri sul tuo router non esiste per il mondo esterno. Si legge direttamente dal router:

Il carrier-grade NAT esiste perché non ci sono abbastanza indirizzi IPv4 per darne uno a ogni casa, quindi i provider condividono un solo indirizzo pubblico tra molti clienti. Non è un guasto e nessuno ha sbagliato niente. Le tue opzioni sono chiedere al provider un indirizzo IPv4 pubblico (molti lo offrono, a volte gratis, a volte come opzione a pagamento) oppure smettere di averne bisogno, con un tunnel o con un server in hosting.

4. Doppio NAT: due router, una catena sola

Un indirizzo privato sul lato WAN del tuo router significa che il tuo router è collegato a un altro router, tipicamente la scatola del provider che lavora in modalità router invece che da semplice modem. Il tuo forward è corretto; si ferma soltanto al secondo dispositivo. Tre vie d'uscita, dalla migliore: mettere l'apparato del provider in bridge mode o modem mode così il tuo router riceve direttamente l'indirizzo pubblico; oppure aprire la stessa porta una seconda volta sull'apparato a monte, puntando al tuo router; oppure spostare il server dietro l'apparato a monte.

5. Il firewall della macchina stessa

Il router inoltra, il PC scarta. Aggiungi una regola in entrata per la porta, o per l'eseguibile del server, e riprova dall'esterno.

6. Il protocollo sbagliato o la porta sbagliata

Java è TCP 25565, Bedrock è UDP 19132. Non sono intercambiabili, e un server Bedrock dietro un forward TCP è irraggiungibile pur sembrando in perfetta salute visto da dentro. Se il tuo è un server Bedrock, la configurazione cambia in più punti oltre alla porta: la guida al server Bedrock la copre dall'inizio alla fine.

Il port forwarding è sicuro?

Risposta breve: aprire una porta verso un server che tieni aggiornato va bene, ed è quello che fa ogni server Minecraft su internet. Il rischio non è la porta aperta in sé, è quello che sta in ascolto dietro, e il fatto che il tuo indirizzo di casa adesso è l'indirizzo del server. Entrambe le cose si gestiscono e nessuna delle due è un motivo per lasciar perdere.

Cosa fa davvero una porta aperta

Una porta inoltrata espone a internet esattamente un programma: quello che ascolta su quella porta. Non apre il tuo PC, né i tuoi file, né gli altri dispositivi di casa. Significa però che chiunque trovi l'indirizzo può mandare a quell'unico programma quello che vuole, quindi il software dietro deve essere software che tieni aggiornato.

Il vero precedente, raccontato con precisione

L'esempio Minecraft a cui tutti si aggrappano è Log4Shell (CVE-2021-44228, valutata 10.0 Critical e pubblicata il 10 dicembre 2021) e Mojang pubblicò lo stesso giorno un avviso che confermava che Java Edition era coinvolta. Vale la pena essere precisi su come funzionava, perché la versione popolare della storia sbaglia proprio nel punto che qui conta.

L'analisi di Microsoft documenta l'attacco come un avversario che si collegava a un server vulnerabile e inviava un messaggio di chat costruito ad arte, il quale poi eseguiva codice sul server e sui client vulnerabili collegati. Entrambe le direzioni erano reali. Ma in ogni caso documentato l'attaccante doveva collegarsi e interagire: una porta aperta da sola non eseguiva nulla. La lezione non è "non aprire le porte", è "tieni aggiornato quello che sta dietro la porta", che all'epoca voleva dire passare alla 1.18.1 o applicare il parametro che Mojang pubblicò per le versioni più vecchie.

Il costo che non ha una patch

La parte su cui vale la pena ragionare di più non è affatto una vulnerabilità: il tuo indirizzo pubblico diventa l'indirizzo del server, e ce l'hanno tutti quelli che inviti, insieme a tutti quelli a cui lo passano. Un attacco denial-of-service diretto a un server in hosting colpisce quel server; diretto a una linea di casa toglie internet a tutta la famiglia, e non puoi filtrarlo dal tuo lato perché la linea è già satura. Un indirizzo non si può più ritirare una volta uscito. La guida sull'uptime spiega cosa comporta nel tempo; in pratica è uno scambio equo per cinque amici e pessimo per un server pubblico.

Cosa lo rende davvero sicuro

Tieni il server su una versione aggiornata, attiva la whitelist così entra solo chi hai invitato, lascia online-mode al valore predefinito così gli account vengono verificati, e fai un backup del mondo prima di sperimentare. Questi quattro punti sono tutta la checklist, e stanno con le impostazioni esatte nella sezione sulle impostazioni sicure della guida alla creazione del server. Fai così e una porta inoltrata diventa una cosa del tutto ordinaria.

Far entrare gli amici senza aprire una porta

Un tunnel dà al mondo esterno un indirizzo che appartiene al fornitore del tunnel, poi porta il traffico da lì fino al server sul tuo PC attraverso una connessione che il tuo PC ha aperto verso l'esterno. Sul router non cambia niente, ed è per questo che funziona dietro il carrier-grade NAT, dove il port forwarding non può. In cambio, adesso c'è un terzo soggetto sul percorso e i piani gratuiti hanno limiti reali.

I tre nomi che la gente cerca, con quello che dice oggi la loro stessa documentazione:

playit.gg

Quello che copre entrambe le edizioni. Java e Bedrock sono preset integrati già nel piano gratuito, quindi un server Bedrock su UDP funziona senza pagare: è una cosa insolita ed è il motivo principale per sceglierlo. I tuoi giocatori ricevono un indirizzo assegnato da playit invece del tuo, e installi qualcosa solo tu. I limiti onesti: i tunnel gratuiti viaggiano su instradamento globale condiviso e la documentazione di playit avverte che un giocatore può finire spedito in un datacenter lontano, descrivendo il percorso come quattro salti la cui latenza si somma; scegliere la regione e usare un dominio proprio sono a pagamento. Gli account gratuiti possono allocare quattro porte.

ngrok

Va bene per Java, inutile per Bedrock: ngrok supporta HTTP, HTTPS, TCP e TLS, e dichiara chiaramente di non fare UDP. Due dettagli del piano gratuito ti mettono in difficoltà se nessuno ti avvisa: aprire un endpoint TCP puro richiede di aggiungere un metodo di pagamento all'account, anche se resta gratuito, e l'indirizzo viene assegnato a caso a ogni avvio del tunnel, quindi i tuoi amici ne hanno bisogno di uno nuovo a ogni sessione se non paghi un indirizzo riservato. Un mito da seppellire già che ci sei: l'affermazione ripetutissima che i tunnel ngrok gratuiti muoiono dopo due ore è superata, la documentazione attuale di ngrok dice che gli endpoint gratuiti possono restare online a tempo indeterminato.

Hamachi

Il più vecchio dei tre e quello che funziona in modo diverso: non è affatto un tunnel verso un indirizzo pubblico, è una LAN virtuale. Tutti entrano nella stessa rete privata e poi si collegano come se fossero nella stessa stanza. Questa differenza è tutta la storia, in entrambe le direzioni.

Esiste ancora (GoTo Group lo gestisce con il marchio LogMeIn e le note di rilascio hanno voci del 2026) e il piano gratuito c'è ancora, ma limita una rete a cinque membri incluso te. Quattro amici. E a differenza di playit.gg o ngrok, ogni giocatore installa il client e si unisce alla rete, cosa che in un gruppo di ragazzini è di solito il punto in cui il piano muore. Sul piano tecnico è un vero adattatore di rete virtuale e negozia le connessioni via UDP per impostazione predefinita, quindi non è limitato al TCP, ma la documentazione di GoTo non nomina mai Minecraft, Bedrock o la porta 19132: tratta quindi Bedrock su Hamachi come non testato, non come supportato. GoTo avverte anche nelle proprie pagine di aiuto che le applicazioni pensate per "high-speed, low-latency LAN environments" possono non rendere bene passando da lì.

Quanto ti costa un tunnel

Latenza, soprattutto. Il traffico che sarebbe arrivato dritto a casa tua adesso passa prima dal fornitore, e sui piani gratuiti raramente scegli dove sta. Per un mondo survival con cinque amici non se ne accorge nessuno; per qualsiasi cosa in cui il tempismo conta, sì. L'altro costo è che la disponibilità del tuo server ora dipende dal fatto che il piano gratuito di un terzo continui a esistere alle stesse condizioni, cosa che, come mostrano i tunnel qui sopra, non è da dare per scontata.

Quando un server in hosting è la risposta onesta

Non serve a tutti, e far finta del contrario sarebbe disonesto: tantissime persone mandano avanti un buon server su un PC di scorta per anni. Ma ci sono quattro situazioni in cui la battaglia descritta sopra non si vince o non vale la pena, ed è meglio dirlo che lasciarti a smanettare su un router che non può aiutarti:

• Sei dietro il carrier-grade NAT. È quello senza via d'uscita a livello di router. Un tunnel o un server in hosting sono le uniche due strade, e solo una delle due ti dà un indirizzo che controlli tu.
• Vuoi che il mondo sia raggiungibile con il PC spento. Un server sul tuo desktop esiste finché il desktop è acceso. Se le persone giocano a orari diversi, è tutto lì il problema, e nessuna impostazione di porta lo risolve.
• Preferiresti non distribuire l'indirizzo di casa tua. Soprattutto se il server sarà pubblico, o se chi entra sono gli amici di tuo figlio e non i tuoi.
• Più di una manciata di giocatori. Una linea di upload residenziale e un PC usato anche per altro iniziano a farsi sentire entrambi, e si sentono sotto forma di lag che sembra un problema del gioco.

Cosa cambia: l'indirizzo è quello di un datacenter e non di casa tua, resta acceso da solo, e un attacco diretto a lui non lascia la tua famiglia senza internet. Un piano gestito toglie anche le parti di questa pagina che sono lavoro noioso: niente forwarding, niente DNS dinamico, niente regola del firewall. I server HytHost girano su storage NVMe con un SLA di uptime del 99,9%, con filtraggio DDoS Voxility davanti e supporto in live chat dalle 8 alle 23 (ora di Chișinău). Se hai già un mondo sul PC, spostarlo è una copia di cartella e lo facciamo noi per te.

Se il server non l'hai ancora costruito, parti invece da come creare un server Minecraft: questa pagina dà per scontato che tu ne abbia già uno acceso e che manchi solo la connessione.