Accesso remoto al NAS: come raggiungere i tuoi file senza esporre più del necessario
L’accesso remoto cambia un aspetto importante dell’utilizzo di un NAS: i dati che normalmente rimangono all’interno della rete domestica, dietro il router, devono ora essere raggiungibili attraverso un percorso controllato via Internet. Questo non significa che l’accesso remoto al NAS sia di per sé poco sicuro, ma rende fondamentale il modo in cui viene configurato quel percorso.
In genere, l’approccio più sicuro è anche quello più semplice in grado di soddisfare davvero le proprie esigenze. Prima di aprire porte sul router o configurare una VPN, è quindi importante stabilire con precisione chi deve accedere da remoto, a quali risorse deve poter accedere e se il NAS debba essere direttamente raggiungibile dall’esterno.
Parti da ciò a cui devi davvero accedere
La maggior parte degli scenari di accesso remoto a un NAS rientra in alcune categorie ben distinte, che non richiedono necessariamente la stessa configurazione di rete.
Un utente domestico potrebbe voler semplicemente aprire documenti o foto dal proprio portatile mentre è in viaggio. Chi lavora da remoto potrebbe invece aver bisogno di accedere a più cartelle condivise e servizi interni. Chi utilizza servizi self-hosted potrebbe voler rendere disponibile tramite browser una singola applicazione web, mentre un amministratore potrebbe aver bisogno di accedere occasionalmente alle impostazioni di sistema.
Trattare tutti e quattro gli scenari come se fossero lo stesso problema porta spesso a esporre più servizi del necessario.
| Esigenza | Approccio tipico | Cosa permette di evitare |
| Accedere ai propri file da dispositivi affidabili | Accesso remoto integrato o rete mesh privata | Esporre più servizi del NAS |
| Accedere a più servizi privati della rete LAN | VPN o rete overlay privata | Rendere pubblico ogni servizio separatamente |
| Rendere disponibile una singola applicazione tramite browser | Reverse proxy HTTPS | Esporre porte interne non necessarie |
| Amministrare il NAS da remoto | Accesso tramite rete privata con autenticazione robusta | Esporre pubblicamente l’interfaccia di amministrazione |
Il principio è semplice: rendi accessibile soltanto il servizio necessario e mantieni privato tutto il resto.
È anche per questo che partire da un elenco di porte da inoltrare è spesso l’approccio sbagliato. Dovrebbe essere il modello di accesso a determinare la configurazione della rete, non il contrario.
Accesso remoto integrato: la soluzione più semplice per molti utenti domestici
Le piattaforme NAS moderne includono sempre più spesso un servizio di accesso remoto integrato che gestisce gran parte della configurazione di rete per conto dell’utente.
Per chi vuole accedere ai propri file dal proprio smartphone o portatile quando si trova fuori casa, questa soluzione può essere più pratica rispetto alla gestione di un server VPN separato. A seconda di come la piattaforma gestisce la connettività remota, può anche evitare di dover configurare manualmente regole di ingresso sul router.
Questa comodità introduce però una dipendenza diversa: l’account che protegge il servizio diventa parte integrante del perimetro di sicurezza. Una funzione di accesso remoto integrata non sostituisce quindi un’autenticazione robusta, una corretta gestione delle autorizzazioni o aggiornamenti software regolari.
È particolarmente adatta agli utenti con un’esigenza semplice e ben definita: accedere da remoto a file, foto o altre applicazioni del NAS senza trasformare la propria rete domestica in un servizio Internet da gestire autonomamente.
VPN e reti mesh: mantieni il NAS su una rete privata
Una VPN adotta un approccio diverso. Invece di esporre un servizio del NAS affinché sia raggiungibile da Internet, crea una connessione crittografata tra un dispositivo remoto autorizzato e una rete privata.
Una volta stabilita la connessione, il portatile o lo smartphone remoto può accedere alle risorse interne consentite in modo simile a quando si trova collegato alla rete di casa.
Protocolli VPN tradizionali come WireGuard e OpenVPN sono utili quando si desidera avere maggiore controllo sul gateway, sul routing e sulle regole di accesso. Il compromesso è che qualcuno deve occuparsi della manutenzione del gateway, della gestione delle credenziali o delle chiavi e dell’aggiornamento del software VPN esposto a Internet.
Strumenti di rete mesh come Tailscale e ZeroTier possono semplificare lo stesso principio creando reti private tra dispositivi autorizzati e gestendo automaticamente buona parte del NAT traversale. A seconda del servizio utilizzato e delle condizioni della rete, il traffico può passare direttamente tra i dispositivi oppure attraverso un’infrastruttura di relay quando non è possibile stabilire una connessione diretta.
Per una famiglia o un piccolo team con un numero limitato di dispositivi affidabili, questo approccio può essere interessante perché non richiede di trasformare il NAS in un servizio web aperto al pubblico.
Una VPN, tuttavia, non è automaticamente la soluzione “più sicura” in ogni situazione. Il gateway VPN stesso fa parte della superficie di attacco e un accesso troppo ampio alla rete può consentire a un dispositivo remoto compromesso di raggiungere più risorse del necessario. Le regole di accesso dovrebbero quindi rimanere il più limitate possibile in base alle esigenze reali.
Un reverse proxy risolve un problema diverso
Esistono casi in cui un’applicazione web deve effettivamente essere raggiungibile da un normale browser senza che sia necessario installare prima un software VPN.
Un reverse proxy può fornire questo punto di ingresso accettando il traffico HTTPS e indirizzando le richieste verso il servizio appropriato all’interno della rete. In questo modo, determinate applicazioni possono condividere un unico gateway controllato esposto a Internet, invece di rendere accessibili separatamente più porte interne.
Ciò che un reverse proxy non fa è rendere privata l’applicazione.
HTTPS protegge i dati durante il trasferimento tra browser e server, ma una pagina di login esposta a Internet può comunque essere individuata, analizzata alla ricerca di vulnerabilità o presa di mira utilizzando credenziali rubate. Crittografia ed esposizione a Internet sono due aspetti distinti.
Per questo motivo, un reverse proxy dovrebbe essere considerato un metodo consapevole per pubblicare una specifica applicazione, piuttosto che una scorciatoia generica per accedere da remoto a un intero NAS.
La stessa cautela vale per il port forwarding diretto. Esistono configurazioni legittime in cui un servizio adeguatamente mantenuto viene intenzionalmente esposto, ma inoltrare direttamente su Internet l’interfaccia di amministrazione del NAS soltanto per comodità crea più rischi di quanti la maggior parte degli utenti domestici abbia realmente bisogno di accettare.
La crittografia è necessaria, ma non risolve il problema dell’autenticazione
Una connessione remota dovrebbe proteggere i dati durante il trasferimento, ma vedere HTTPS nel browser non risponde alla domanda più importante:
Chi è autorizzato ad accedere?
Una pagina di login crittografata può comunque accettare una password rubata. Anche un NAS completamente aggiornato può essere utilizzato da qualcuno che è riuscito a compromettere un account autorizzato.
L’accesso remoto richiede quindi controlli robusti sull’identità degli utenti, oltre alla crittografia della connessione.
Per qualsiasi account utilizzabile dall’esterno della rete locale:
- utilizza una password univoca che non venga condivisa con altri servizi;
- abilita l’autenticazione a più fattori o la verifica in due passaggi, quando supportata;
- rimuovi gli account che non hanno più bisogno dell’accesso remoto;
- evita di utilizzare credenziali di amministratore per il normale accesso ai file;
- limita ogni utente alle cartelle e alle applicazioni di cui ha effettivamente bisogno.
La distinzione tra account normali e account con privilegi amministrativi è particolarmente importante. Un utente che deve soltanto scaricare il documento di un cliente non dovrebbe avere anche la possibilità di creare nuovi account, installare applicazioni o modificare le impostazioni di archiviazione.
Separare questi ruoli limita ciò che un’eventuale credenziale compromessa può consentire di fare.
Anche il dispositivo da cui ti connetti conta
Un NAS sicuro non rende sicuro un portatile infetto.
I dispositivi utilizzati per l’accesso remoto si trovano dall’altra parte dello stesso rapporto di fiducia. Un computer compromesso può quindi esporre credenziali memorizzate, sessioni già autenticate o file scaricati dal NAS.
Smartphone e computer utilizzati per accedere al NAS da remoto dovrebbero quindi essere mantenuti aggiornati e protetti con un sistema di blocco dello schermo adeguato. Anche la crittografia del dispositivo è utile quando disponibile, soprattutto sui portatili che potrebbero essere smarriti o rubati durante un viaggio.
È invece consigliabile prestare maggiore attenzione ai computer che non si gestiscono direttamente. Una sessione del browser aperta sul PC di un business center di un hotel o su un altro dispositivo condiviso potrebbe lasciare sul computer credenziali, cookie o file scaricati.
Quando si accede a dati sensibili, utilizzare un dispositivo personale o aziendale sotto il proprio controllo è una scelta molto più sicura.
Controlla cosa il router espone su Internet
Le configurazioni di accesso remoto tendono spesso ad accumularsi nel tempo invece di essere rimosse.
Una porta potrebbe essere stata inoltrata per una vecchia applicazione, UPnP potrebbe aver creato automaticamente alcune mappature oppure un servizio utilizzato per un test potrebbe essere ancora raggiungibile molto tempo dopo aver smesso di essere necessario.
Per questo motivo, è utile controllare periodicamente la configurazione del router.
Esamina le regole di ingresso esistenti e chiediti a cosa serve ciascuna di esse. Se una porta o un servizio non ha più uno scopo preciso, è meglio rimuoverlo invece di lasciarlo disponibile “nel caso serva”.
UPnP merita particolare attenzione perché la mappatura automatica delle porte può rendere meno evidente quali servizi risultino effettivamente esposti a Internet. Il problema non è che ogni utilizzo di UPnP sia intrinsecamente poco sicuro, ma che l’accesso remoto dovrebbe essere configurato in modo sufficientemente consapevole da sapere quali servizi sono raggiungibili e per quale motivo.
Se il metodo di accesso scelto non richiede mappature automatiche in ingresso, creare ulteriore esposizione soltanto per comodità offre pochi vantaggi.
Aggiorna prima di tutto i componenti esposti a Internet
Qualsiasi componente raggiungibile dall’esterno della rete domestica dovrebbe ricevere tempestivamente gli aggiornamenti di sicurezza disponibili.
Questo comprende il sistema operativo del NAS, ma può includere anche:
- il router;
- il software VPN;
- i reverse proxy;
- le applicazioni per l’accesso remoto;
- le applicazioni NAS accessibili tramite browser;
- i dispositivi utilizzati per collegarsi da remoto.
Questo aspetto è importante perché la crittografia non può compensare una vulnerabilità presente nel servizio all’altra estremità della connessione crittografata.
Un gateway VPN non aggiornato può diventare esso stesso il punto di ingresso. Lo stesso vale per un’applicazione HTTPS che presenta una vulnerabilità nota di esecuzione remota del codice.
Per i sistemi esposti a Internet, ridurre il numero dei servizi accessibili e mantenerli aggiornati sono due misure che funzionano insieme. Nessuna delle due, da sola, è particolarmente efficace.
L’accesso remoto non è una strategia di backup
C’è un’altra distinzione importante da tenere ben presente: la sicurezza dell’accesso remoto protegge il percorso utilizzato per raggiungere il NAS, mentre il backup protegge i dati se qualcosa va storto.
Sono due funzioni diverse.
Un aggressore che riesca a ottenere le credenziali legittime di un utente potrebbe essere in grado di eliminare o modificare tutti i file accessibili da quell’account. Anche un malware presente su un computer considerato affidabile può danneggiare lo storage di rete accessibile senza dover compromettere direttamente il sistema di login del NAS.
Nemmeno il RAID risolve questo problema. Può mantenere disponibile un pool di archiviazione in caso di determinati guasti dei dischi, ma non crea una copia indipendente dei dati.
I file importanti dovrebbero quindi avere un’altra copia recuperabile che non dipenda interamente dal NAS in uso. A seconda dell’importanza dei dati, potrebbe trattarsi di un disco esterno, di un secondo NAS situato in un’altra posizione, di un backup sul cloud oppure di un altro sistema di backup protetto.
Gli snapshot possono aggiungere un ulteriore livello di ripristino, se il NAS li supporta, soprattutto in caso di eliminazioni accidentali o modifiche indesiderate dei file. Il livello di protezione dipende tuttavia da come sono configurati e dalla possibilità che possano essere modificati o eliminati. Non vanno quindi considerati automaticamente un sostituto di un backup indipendente.
Il ruolo di UGREENlink
Per gli utenti di UGOS Pro, UGREENlink offre un metodo integrato per accedere a un NAS dall’esterno della rete locale senza richiedere un indirizzo IP pubblico o una complessa configurazione manuale del port forwarding.
Questo lo rende particolarmente adatto al primo scenario descritto nell’articolo: un utente domestico che desidera accedere facilmente al proprio NAS da remoto senza dover gestire un gateway VPN separato.
La documentazione di supporto UGREEN indica che l’attivazione di UGREENlink genera un indirizzo univoco per l’accesso remoto e configura un certificato SSL per la connessione. Come per qualsiasi altro metodo di accesso remoto, tuttavia, la sicurezza della configurazione dipende anche dall’account utilizzato, dalle autorizzazioni, dal software del NAS e dal dispositivo client.
Gli utenti che desiderano maggiore controllo sul modo in cui vengono gestite le connessioni remote possono invece preferire una VPN, una rete mesh privata oppure una configurazione DDNS adeguatamente impostata. La scelta più adatta dipende meno da quale soluzione sembri tecnicamente più avanzata e più da quali risorse debbano effettivamente essere raggiungibili.
Per un confronto tecnico più approfondito, è utile valutare i principali metodi di connessione e i relativi compromessi in termini di sicurezza.
Quale metodo di accesso remoto scegliere?
Prendere una decisione diventa più semplice una volta definita con precisione la propria esigenza.
Vuoi principalmente accedere ai tuoi file mentre sei in viaggio
Inizia dal servizio di accesso remoto integrato nella piattaforma NAS oppure da una rete mesh privata. Entrambi gli approcci possono mantenere la configurazione relativamente semplice senza dover rendere pubblicamente accessibili più servizi del NAS.
Devi accedere a più servizi privati della rete di casa
Una VPN o una rete overlay privata offre generalmente un’architettura più ordinata, perché i dispositivi autorizzati possono entrare in una rete privata controllata invece di esporre singolarmente ogni servizio interno.
Altre persone devono accedere a una sola applicazione web
Utilizza un endpoint HTTPS o un reverse proxy correttamente mantenuto e proteggi l’applicazione stessa con un sistema di autenticazione robusto e software aggiornato.
Devi amministrare il NAS da remoto
Mantieni separata l’amministrazione dal normale accesso ai file. Una connessione tramite rete privata, credenziali di amministrazione dedicate e l’autenticazione a più fattori (MFA), quando disponibile, rappresentano un punto di partenza più sicuro rispetto all’esposizione diretta dell’interfaccia di gestione sulla rete Internet pubblica.
Qualunque modello tu scelga, l’obiettivo rimane lo stesso: concedere a ogni utente l’accesso necessario per svolgere le proprie attività senza offrirgli un percorso più ampio verso il NAS o la rete domestica.
Controllo rapido prima di accedere al NAS da remoto
Prima di utilizzare il NAS quando sei fuori casa, verifica i seguenti aspetti:
- Sai esattamente cosa è esposto a Internet.
Individua il servizio o il gateway che gestisce la connessione remota. - La connessione è crittografata.
Credenziali e file privati non dovrebbero viaggiare attraverso una connessione non protetta. - Gli account con accesso remoto utilizzano un’autenticazione robusta.
Abilita MFA o 2FA quando supportata ed evita di riutilizzare la stessa password su servizi diversi. - Le autorizzazioni sono limitate.
Gli utenti remoti dovrebbero poter accedere soltanto ai file e alle applicazioni di cui hanno effettivamente bisogno. - L’amministrazione viene gestita separatamente.
Non utilizzare account privilegiati per il normale accesso ai file. - NAS, router e software per l’accesso remoto sono aggiornati.
I componenti raggiungibili da Internet meritano particolare attenzione quando vengono rilasciati aggiornamenti di sicurezza. - Esiste una copia recuperabile dei dati in un’altra posizione.
La sicurezza dell’accesso remoto non può sostituire un backup.
Se questi controlli sono stati applicati correttamente, accedere al NAS da remoto diventa un problema di sicurezza gestibile, anziché un motivo per rinunciare ad accedere ai propri dati quando si è fuori casa.
Considerazioni finali
Non esiste un unico metodo di accesso remoto che sia il più sicuro per ogni utente NAS. Un servizio integrato può essere la soluzione più sensata per un semplice accesso personale, mentre una VPN o una rete mesh offre maggiore controllo quando è necessario raggiungere più risorse private. Un reverse proxy ha invece senso quando una specifica applicazione web deve effettivamente essere accessibile da Internet, ma comporta un modello di esposizione diverso.
L’aspetto più importante è mantenere il percorso di accesso proporzionato allo scopo. Rendi raggiungibile soltanto il servizio necessario, proteggilo con un’autenticazione adeguata, mantieni aggiornati i sistemi coinvolti e conserva un backup che non dipenda esclusivamente dal NAS in uso.
L’accesso remoto al NAS è più sicuro quando il percorso verso i propri dati non è semplicemente crittografato, ma anche controllato, limitato e facile da comprendere.
