Proteggere il router cambiando le impostazioni di fabbrica

Collegare un modem alla presa telefonica senza ritoccare le opzioni di fabbrica espone l'intera rete domestica alle scansioni automatiche delle botnet e agli attacchi informatici. Mantenere le impostazioni predefinite significa lasciare aperte porte di telegestione e falle su IPv6 che trasformano telecamere, computer e memorie locali in bersagli vulnerabili.

I fornitori di connettività consegnano apparati programmati per funzionare istantaneamente, sacrificando la riservatezza per azzerare le richieste di supporto ai centralini. Andare oltre le regolazioni elementari permette di chiudere varchi insidiosi, abbattere la latenza sotto carico ed eliminare il tracciamento del traffico.

LEGGI ANCHE: come aggiornare il firmware del modem per migliorare la velocità

Rischi delle opzioni di serie e vulnerabilità su IPv6

I router configurati con le opzioni predefinite lasciano attive porte di gestione remote e tabelle IPv6 permissive che bypassano il NAT. Senza la traduzione degli indirizzi, ogni dispositivo domestico riceve un IP pubblico globale raggiungibile da scansioni esterne se il firewall del modem non blocca le connessioni in entrata.

Sulle vecchie reti IPv4 il meccanismo NAT nascondeva i dispositivi interni dietro un unico indirizzo condiviso. Con l'adozione su larga scala di IPv6, ogni accessorio riceve coordinate univoche visibili dall'esterno. Se il firewall del modem non viene impostato per scartare in modo rigido i pacchetti in ingresso non richiesti, chiunque su internet può interrogare direttamente la scheda di rete di un televisore o di una telecamera interna.

Accesso al pannello e disattivazione delle porte di telegestione

La regolazione comincia individuando le coordinate del modem digitando l'indirizzo del gateway all'interno della barra del navigatore web. Nella maggior parte dei casi corrisponde a 192.168.1.1 o a 192.168.0.1, mentre su apparati Fastweb si trova spesso su 192.168.1.254.

Se non conosciamo l'indirizzo IP del modem, possiamo estrarlo in pochi secondi tramite la console di sistema.

Su Windows apriamo il Prompt dei comandi ed eseguiamo:

ipconfig

Su macOS apriamo l'applicazione Terminale e digitiamo:

netstat -nr | grep default

La voce identificata come gateway predefinito rappresenta il valore da incollare nel browser per entrare nel router per accedere alle impostazioni. A questo punto compare la schermata di login. Gli apparati appena collegati presentano combinazioni generiche; per i modelli più datati possiamo consultare l'elenco con tutte le password dei router.

Se le credenziali sono state smarrite, possiamo resettare il router e la password tenendo premuto il pulsante posteriore di ripristino per dieci secondi.

Appena effettuato l'accesso, la prima misura consiste nel disabilitare i protocolli di gestione remota dell'operatore, spesso identificati come TR-069, CWMP o TR-369. Questi servizi mantengono la porta 7547 in costante ascolto verso la rete esterna per consentire al fornitore di inviare modifiche ai parametri. Spegnere questa funzione impedisce a scansioni automatizzate di sfruttare vulnerabilità nei moduli di telegestione.

Protezione delle porte tra UPnP, inoltro mirato e pericoli del DMZ

I router commerciali arrivano con il protocollo UPnP attivo di serie per evitare segnalazioni di malfunzionamenti da parte degli utenti meno esperti. Questa opzione permette a qualsiasi programma in esecuzione sulla rete locale di richiedere l'apertura immediata di porte di comunicazione sul firewall.

Quando un elettrodomestico smart o un computer contrae un'infezione, l'UPnP apre passaggi verso l'esterno senza chiedere alcuna conferma. Spegnere l'UPnP garantisce che nessun canale venga aperto all'insaputa dell'amministratore.

Se un programma richiede collegamenti in ingresso per il trasferimento dati o il gioco, la soluzione corretta consiste nell'imparare come aprire le porte del router creando regole di inoltro dedicate. Prima di configurare l'inoltro, occorre blindare le coordinate della macchina assegnando un IP statico tramite DHCP, ricordando come ci colleghiamo a internet con lo stesso IP pubblico verso l'esterno.

Bisogna invece evitare la funzione DMZ (zona demilitarizzata). Questa impostazione devia l'intero flusso di traffico non assegnato verso un singolo computer, azzerando le barriere difensive e lasciando la macchina esposta a qualsiasi tentativo di intrusione.

Crittografia DNS alla radice con DoH e DoT

Sostituire i server DNS dell'operatore è indispensabile per accelerare la navigazione e superare i filtri di rete imposti a livello nazionale. Le istruzioni su come impostare il DNS sul modem e su come scegliere i DNS più veloci guidano nella selezione di resolver affidabili come Cloudflare o Quad9.

Tuttavia, inserire semplicemente gli indirizzi IP (come 1.1.1.1 o 9.9.9.9) fa viaggiare le richieste in chiaro sulla porta 53, consentendo a chiunque si trovi sul percorso di rete di registrare i siti visitati. Nei router moderni occorre abilitare DNS-over-HTTPS (DoH) o DNS-over-TLS (DoT). Questi standard cifrano le richieste di risoluzione all'interno di un canale protetto, rendendo impossibile per il fornitore di connettività tracciare la cronologia di navigazione.

Se il dispositivo distribuito dall'operatore blocca la personalizzazione dei resolver, la rotta di Navigaweb prevede di declassare l'apparato a convertitore di linea impostandolo in modalità modem puro, per poi collegare al modem un router nuovo in cascata. Questa configurazione restituisce la totale sovranità su crittografia, instradamento e regole del firewall.

Ottimizzazione Wi-Fi, chiusura del WPS e WPA3 puro

La sezione senza fili racchiude alcune tra le falle più semplici da forzare se non vengono corrette subito.

Il sistema di abbinamento rapido WPS tramite codice numerico deve essere disattivato immediatamente. La convalida a blocchi separati del PIN a 8 cifre consente a programmi di forzatura automatica di violare la chiave wireless in poche ore di tentativi continui.

Sul piano della cifratura è consigliabile selezionare WPA3-Personal escludendo la modalità mista WPA2/WPA3 se tutti i dispositivi in casa sono recenti. La modalità di transizione espone la rete ad attacchi di downgrade, nei quali un aggressore induce l'apparato a negoziare la connessione sul vecchio algoritmo WPA2 per catturare l'handshake e tentare la decifrazione offline.

Per massimizzare il rendimento del segnale è opportuno separare i canali radio. Prima di completare la configurazione possiamo verificare le soluzioni per sfruttare la rete a 5 GHz e 6 GHz per le postazioni di lavoro, analizzando l'ambiente circostante per trovare il canale wireless migliore lontano dai segnali dei vicini.

Se l'abitazione richiede una copertura estesa, possiamo valutare di aumentare il segnale Wi-Fi con due router collegati in rete tramite cavo Ethernet. Gli elettrodomestici smart vanno isolati attivando la rete ospiti con separazione dei client, verificando periodicamente il registro interno per scoprire chi è connesso alla rete Wi-Fi e bloccare accessi indesiderati.

Eliminare il Bufferbloat con algoritmi SQM

Molti utenti riscontrano blocchi nelle videochiamate o picchi di latenza nel gioco online non appena un altro componente della famiglia avvia un download pesante su una linea in fibra.

Questo fenomeno, noto come bufferbloat, si verifica perché i router accumulano troppi pacchetti nei buffer di memoria prima di trasmetterli. Invece di usare i vecchi controlli di priorità manuali, conviene attivare il QoS per navigare senza rallentamenti scegliendo apparati che supportano la gestione intelligente delle code (SQM) basata su algoritmi come CAKE o FQ-CoDel. Questi sistemi frammentano il traffico in flussi paralleli, azzerando le code e mantenendo la linea reattiva anche durante il caricamento di file pesanti.

Per raggiungere computer o archivi casalinghi dall'esterno senza acquistare un indirizzo statico, possiamo seguire le indicazioni per connettersi al PC di casa con un DNS dinamico tramite piattaforme come No-IP, ricordando di aggiornare costantemente il software di gestione scaricando i file dai portali ufficiali di marchi come TP-Link o ASUS.

Diario di bordo di Navigaweb

Durante la verifica su un apparato domestico che manifestava blocchi continui durante le riunioni di lavoro, ho riscontrato una serie di impostazioni predefinite insidiose: il firewall IPv6 lasciava aperte le porte in ingresso verso le telecamere interne, l'UPnP era attivo e il bufferbloat provocava picchi di latenza fino a quattrocento millisecondi appena partiva un backup in cloud. È bastato disattivare la telegestione TR-069, attivare l'algoritmo SQM per stabilizzare la coda dei pacchetti e impostare server DNS cifrati con protocollo DoT per trasformare una linea instabile in un canale veloce e protetto. Il mio suggerimento schietto è di non considerare mai conclusa l'installazione di un modem appena estratto dalla scatola: dedicare mezz'ora a disattivare gli automatismi di comodo evita intrusioni e restituisce il pieno controllo su ciò che transita nella propria abitazione.

Per approfondire possiamo leggere anche le nostre guide su come sostituire il Modem con uno nuovo (fibra, dual band, wireless AC).

Articolo pubblicato su Navigaweb.net. Non è consentito ripubblicare senza il consenso dell'autore. Segui anche su Facebook, Twitter e Google News .