Il tuo accesso remoto funziona — ma non l'hai dimostrato

Il motivo più onesto per guardare in casa propria da fuori non è tecnico: a restare lì è Bruno. Che cosa faccia quando la porta si chiude è stato a lungo un mistero — ed è proprio questo che mi ha spinto non solo a installare l’accesso remoto, ma a fidarmene.

Perché una telecamera che all’occorrenza non raggiungi non tranquillizza nessuno.

Tre appartamenti, tre risposte alla stessa domanda:

	Accesso remoto
Kapfenberg	in esercizio dal 29.08.2026
Vienna	dall’08.09.2026, dopo una serata di ricerca guasti
Merano	non documentato affatto

La terza voce è la più onesta, e ci torno alla fine.

La struttura che esiste in due case

internet --443--> router --inoltro--> Pi --> proxy --> Home Assistant

In più un nome DNS dinamico. Non è un lusso: a Kapfenberg l’indirizzo pubblico è cambiato nel giro di tre settimane. È esattamente a questo che serve il nome — ed è esattamente per questo che da quel giorno nella documentazione c’è il nome e non più il numero.

Come l’accesso remoto non si dimostra

È la parte a cui tengo di più, perché in entrambi i vicoli ciechi ci sono finito io.

Primo vicolo cieco: la chiamata da casa propria. Interrogare il nome pubblico dalla rete di casa restituisce 200 OK. Sembra una prova e non lo è: la richiesta va al router, che la rimanda indietro attraverso il proprio inoltro. Non è mai stata su internet. Si chiama NAT hairpinning.

Secondo vicolo cieco: la chiamata fatta da uno strumento che «gira nel cloud». Il pensiero era ovvio — se la chiamata parte da un’infrastruttura altrui, arriva da fuori.

Girava in locale. La prova stava nel registro dei blocchi: come mittente era segnato l’indirizzo pubblico di casa, con tanto di identificativo dello strumento. Di nuovo hairpinning, solo con un’altra etichetta sulla busta.

Quello che entrambe mostrano: la regola di inoltro esiste e punta alla macchina giusta. Quello che nessuna mostra: se il fornitore lasci passare le connessioni in entrata.

Valide sono esattamente due strade:

1. Dal telefono con rete mobile, Wi-Fi spento.
2. Da una macchina esterna, per esempio un server a noleggio.

Il trucco del tentativo fallito

La controprova nel registro funziona solo con un tentativo fallito — il registro dei blocchi annota soltanto gli accessi respinti. Quindi si sbaglia l’accesso di proposito; allora lì compare il vero indirizzo del mittente.

Tenendo il conto: dopo cinque tentativi falliti l’indirizzo finisce nell’elenco dei blocchi. Sopportabile per un indirizzo mobile, fastidioso per la propria linea.

I blocchi non scadono da soli

Letto nel codice sorgente: l’elenco dei blocchi viene caricato dal file all’avvio, poi resta in memoria e viene solo ampliato. Un tempo di scadenza non esiste.

Ne segue una cosa che sfugge facilmente: ripulire il file non basta. Senza riavvio il blocco resta attivo in memoria.

Due cose vanno tenute ben distinte:

	sta dove	sopravvive a un riavvio?
contatore dei tentativi falliti	memoria	no — a zero dopo ogni avvio
blocco completato (da 5 tentativi)	file	sì, in modo permanente

Non ci si può quindi infilare in un blocco nell’arco di giorni. Servono cinque tentativi falliti in una sola sessione.

La pulizia gira ogni giorno alle quattro del mattino: rimuovere le voci più vecchie di 24 ore — e riavviare solo se qualcosa è stato davvero rimosso. Nella stragrande maggioranza dei giorni non succede nulla.

L’ho verificata con un elenco artificiale preso dall’intervallo di indirizzi riservato alla documentazione:

Voce	Età	Risultato
prima	30 h	rimossa
seconda	2 h	mantenuta
terza	data illeggibile	mantenuta

Il terzo caso è voluto. Togliere un blocco perché non se ne riesce a leggere la data sarebbe sbagliare nella direzione sbagliata.

La correzione che rende inutile una documentazione

Nella mia stessa documentazione per otto righe c’era scritto che verso l’esterno mostra «solo il proxy sulla 443».

Misurato dall’ufficio, quindi davvero da fuori:

porta 22     risponde   <- il componente SSH
porta 443    risponde   <- il proxy
porta 2222   timeout
porta 22222  timeout

Anche la porta 22 è aperta. Claude si era fidato di quella documentazione e su quella base aveva affermato che da qui non si potessero distribuire pacchetti. Sbagliato — me ne sono accorto io.

Una documentazione che non conosce una porta aperta è peggio di nessuna documentazione: suona come un’affermazione verificata.

Ho quindi controllato come sia protetto quel varco aperto:

accesso con password	spento
richiesta da tastiera	spenta
accesso come utente principale	sì
chiavi registrate	esattamente una

Dunque: utente principale sì, ma con esattamente una chiave. Chi non ce l’ha non va da nessuna parte sulla porta 22, per quante volte ci provi. L’apertura è difendibile — semplicemente non era scritta.

Due fattori e un’obiezione che non regge

L’obiezione all’accesso a due fattori era: con un solo telefono è faticoso inserire un secondo fattore a ogni accesso.

Non è così. Home Assistant rilascia un token di aggiornamento per apparecchio e browser. Chi spunta «resta connesso» inserisce il secondo fattore una volta per apparecchio, non una volta per sessione.

Ho invece scartato la scorciatoia ovvia, cioè dichiarare la rete di casa attendibile in blocco e saltare lì l’accesso. Sposta la sicurezza sull’ipotesi che nella propria Wi-Fi ci siano solo persone autorizzate — e quell’ipotesi regge esattamente finché un apparecchio della rete non viene compromesso.

E il terzo luogo

Per Merano non esiste alcun file sull’accesso remoto. Non uno breve, non uno incompleto — nessuno.

Non è una mancanza di questo articolo, è lo stato delle cose. E ci è appesa una seconda questione aperta: la stessa sezione di configurazione inefficace che a Vienna mi è costata una serata probabilmente sta anche lì. Verificata non è.

La voce più onesta in un confronto tra luoghi è quella dove non c’è scritto niente.

Cosa ti consiglio

1. Verifica da fuori, non da dentro. Telefono con rete mobile, Wi-Fi spento. Tutto il resto può essere hairpinning e sembra comunque un successo.
2. Non fidarti di uno strumento che credi giri altrove. Controlla nel registro quale indirizzo mittente è davvero arrivato.
3. Usa un nome, non l’indirizzo. Cambia, e lo fa senza preavviso.
4. Annota ogni porta aperta, anche quella comoda. Un elenco incompleto di varchi aperti è più pericoloso di nessun elenco.
5. Ripulisci l’elenco dei blocchi — con riavvio. Senza, il blocco resta in memoria qualunque cosa dica il file.
6. Configura il secondo fattore prima di aprire la porta. Dopo diventa un compito che resta lì.

E quindi?

L’accesso remoto è l’unico punto di questi tre appartamenti in cui un errore significa più di un disagio. Tutto il resto costa al massimo dati o comodità. Qui c’è una porta.

Tanto più spiacevole è quanto facilmente ci si convince del successo. Due volte ho creduto di aver dimostrato l’accesso dall’esterno, e tutte e due le volte la richiesta non era mai uscita di casa. Ogni volta sembrava una prova — stato verde, 200 OK, tutto a posto.

La differenza tra «funziona» e «l’ho verificato», con un accesso remoto, non è accademica. Nel primo caso sai che la porta si apre. Nel secondo sai solo che sei dalla parte giusta.