Macoers DENAT: Reverse Proxy per bypassare il CGNAT

Macoers DENAT è un servizio utile a superare con un semplice nome dominio il doppio NAT utilizzato da alcuni operatori fissi e da quasi tutti gli operatori mobili.

Se si connette ad internet un dispositivo utilizzando un modem-router con una SIM 4G/LTE è impossibile raggiungerlo da remoto perché il provider telefonico non assegna un IP Pubblico, quindi in tal caso non è possibile effettuare il Port Forwarding ed è completamente inutile utilizzare un DDNS.

Quando il dispositivo da raggiungere è dietro una connessione senza doppio NAT i clients possono raggiungerlo direttamente tramite il suo IP Pubblico, quando invece il dispositivo da raggiungere è dietro una connessione con doppio NAT i clients non hanno modo di raggiungerlo direttamente ma occorre utilizzare degli escamotages. Tutti gli escamotages utilizzabili per scavalcare il doppio NAT fanno uso di un terzo server dotato di IP Pubblico al quale il dispositivo da raggiungere si deve collegare per rendersi disponibile ai dispositivi che vogliono contattarlo.

Una delle tecniche più utilizzate per bypassare il doppio NAT fa ricorso ad una VPN hostata su un VPS, ma è una soluzione non alla portata di tutti e che rende difficile ed antipatico esporre dei servizi che dovrebbero essere raggiungibili direttamente tramite web.

È qui che entra in gioco Macoers DENAT, permette infatti di bypassare il doppio NAT degli operatori utilizzando un reverse proxy hostato sui nostri server e collegato ad una zona del nostro DDNS (Macoers DDNS) in modo da permettere di collegarsi in HTTP e/o HTTPS e/o tramite qualsiasi porta TCP (RDP/SSH) ai servizi web esposti da qualsiasi dispositivo dietro una qualsiasi connessione senza dover configurare nulla sulla rete ed il tutto utilizzando un semplice nome dominio del tipo:

nomeutente.d.macoers.it

Per utilizzare Macoers DENAT occorre semplicemente richiedere un account e seguire le istruzioni per installare un piccolissimo e semplicissimo client che permetterà al tuo dispositivo di connettersi ai nostri server.

Nel piano base la banda è limitata a 250KB/S, più che sufficiente a connessioni WEB, SSH, RDP (*). Se si dovesse necessitare di più banda è possibile richiederla tramite offerta commerciale personalizzata.

Macoers DENAT permette l'accesso ai servizi web in HTTP/HTTPS ed a qualsiasi porta TCP (come SSH ed RDP) e può essere installato su dispositivi Windows e Linux con architetture i386, amd64, arm e arm64.

Come funziona Macoers DENAT

Macoers DENAT permette l’accesso a servizi locali (per esempio RDP, SSH, interfacce web, servizi industriali) su macchine che si trovano in reti non raggiungibili dall’esterno - ad esempio dietro CGNAT, double NAT o collegate tramite SIM mobile - senza richiedere un IP pubblico e senza aprire porte in ingresso sul router o firewall.

Il principio è semplice e robusto: non è il client remoto a collegarsi direttamente al server, ma è la macchina remota che stabilisce e mantiene una connessione in uscita verso l’infrastruttura Macoers. Sul dispositivo da raggiungere si installa un agente DENAT che apre e mantiene un canale outbound persistente verso i nodi di relay/management di Macoers. Lato infrastruttura viene così esposto un endpoint pubblico controllato, che viene mappato alla porta o al servizio locale del dispositivo remoto. In questo modo la porta del servizio non è mai pubblicata direttamente su Internet e la macchina remota non accetta connessioni in ingresso dalla rete pubblica.

Quando l’utente avvia una connessione (usando il client nativo per il servizio desiderato, ad esempio un client RDP, un client SSH o un browser per interfacce web), si connette all’endpoint messo a disposizione dall’infrastruttura Macoers. Il traffico viene quindi instradato attraverso il canale già aperto dal dispositivo remoto fino al servizio locale, senza che sia necessario modificare router, NAT o impostazioni dell’operatore di rete.

Dal punto di vista del dispositivo remoto questo comporta tre vantaggi fondamentali: non esistono connessioni in ingresso direttamente verso la sua interfaccia pubblica; non è necessario configurare il router o il firewall locale; non è richiesto alcun IP pubblico dedicato. Il risultato è l’accesso ai servizi locali anche in condizioni di rete che, con le tecniche tradizionali, li renderebbero inaccessibili.

Endpoint pubblico protetto, non una porta esposta

Con Macoers DENAT non viene mai esposta direttamente la porta del servizio sul dispositivo remoto. L’unico punto pubblico visibile è l’endpoint dell’infrastruttura Macoers, progettata e gestita per questo ruolo e protetta da sistemi di sicurezza attivi e passivi.

L’infrastruttura applica controlli proattivi sul traffico, analisi comportamentale, filtri automatici e una rete di honeypot che intercetta e analizza tentativi di scansione, brute force e accessi sospetti. Questi strumenti aiutano a riconoscere pattern anomali e a bloccarli prima che possano diventare una minaccia per i dispositivi remoti. Grazie a questo modello il traffico verso i servizi locali transita tramite un canale controllato e monitorato, riducendo considerevolmente la superficie d’attacco rispetto all’esposizione diretta delle porte su Internet.

È importante sottolineare che, per i servizi TCP generici, l’infrastruttura funziona come canale di trasporto: i byte vengono inoltrati senza terminazione applicativa. Per i servizi web (HTTP/HTTPS), quando l’utente richiede questa opzione, Macoers assegna un sottodominio pubblico (per esempio nomeutente.d.macoers.it) e il reverse proxy entra in gioco per gestire hostname, certificati e policy applicative. Questo permette di offrire servizi web pubblici affidabili senza dover installare certificati pubblici o modificare il naming sul dispositivo remoto.

HTTPS e reverse proxy: semplicità per i servizi web

Per le interfacce web Macoers DENAT mette a disposizione un sottodominio gestito e un reverse proxy che termina TLS, rinnova certificati e applica controlli (rate limiting, WAF-light, SNI routing). In pratica l’utente accede con un browser come a un normale sito web: non è necessario preoccuparsi di certificati sul dispositivo remoto né di compatibilità SNI. Il reverse proxy risolve automaticamente i problemi di naming e semplifica la gestione operativa, rendendo l’uso dei servizi web immediato e sicuro.

Sicurezza del trasporto: due opzioni semplici

La piattaforma supporta due modalità operative per la cifratura del trasporto, e la scelta dipende da quanto si vuole che l’infrastruttura veda o meno il contenuto applicativo.

Se si vuole la massima privacy end-to-end, è possibile usare il TLS passthrough: in questo caso il traffico rimane cifrato dal client fino al servizio locale e l’infrastruttura non termina la sessione TLS. È la scelta giusta quando il servizio applicativo (per esempio un sito HTTPS) già gestisce correttamente certificati e hostname e si desidera che nessun intermediario possa leggere i dati.

Se invece si preferisce semplificare la gestione dei certificati o applicare controlli direttamente sull’endpoint pubblico, si può attivare la terminazione TLS sul bordo: l’agente o il reverse proxy possono terminare TLS, permettendo di gestire certificati in modo centralizzato o di applicare policy di sicurezza. In questa modalità il canale fino all’infrastruttura è cifrato, ma la decrittazione avviene sul punto di terminazione scelto (agente o proxy). È comodo quando il servizio locale non ha certificati pubblici o quando si desidera centralizzare la rotazione dei certificati.

In sintesi: per servizi web consigliamo il reverse proxy con TLS terminato lato Macoers (gestione semplice dei certificati e risoluzione SNI), mentre per chi richiede confidenzialità assoluta è disponibile il passthrough end-to-end (il certificato resta sul servizio finale).

Un utilizzo semplice per l’utente

Sebbene la logica tecnica sia articolata, l’esperienza d’uso rimane immediata. Una volta installato e configurato l’agente DENAT sul dispositivo remoto, l’utente può accedere ai servizi locali usando i client già in uso (client RDP, client SSH, browser, tool di gestione industriale, ecc.), senza doversi occupare di configurazioni di rete, rotte, VPN o porte. Il sistema rende trasparente la complessità di NAT e CGNAT e offre all’utente un accesso “come se” il servizio fosse raggiungibile direttamente, mantenendo però il dispositivo protetto.

L’agente Macoers DENAT non deve necessariamente girare sulla stessa macchina che espone il servizio; può essere installato su un altro host nella stessa rete locale (una jump box o gateway), che si occupa di aprire il canale outbound verso l’infrastruttura Macoers e di mappare i servizi interni verso quel canale. Questa opzione è utile quando il dispositivo target non può ospitare software aggiuntivo, quando si vuole aggregare più servizi interni dietro un unico punto di controllo oppure quando si preferisce separare il piano di accesso remoto dalle macchine di produzione. Dal punto di vista operativo il comportamento resta identico: l’endpoint pubblico Macoers viene associato al servizio esposto tramite la jump box e l’utente si collega come al solito; dal punto di vista della sicurezza però è fondamentale che la jump box sia trattata come un elemento critico: va hardenizzata, isolata dalla rete di produzione, soggetta a politiche di accesso ristrette, logging centralizzato e protezione delle chiavi/credenziali (rotazione e storage sicuro).

Vantaggi concreti e scenari tipici

Macoers DENAT è pensato per contesti dove raggiungibilità e sicurezza sono requisiti vincolanti. Funziona con SIM mobili e reti che non forniscono IP pubblici, elimina la necessità di infrastrutture VPN centralizzate e evita interventi sull’edge device di rete. Per i servizi web, il sottodominio Macoers e il reverse proxy rendono la gestione dei certificati semplice e affidabile; per i protocolli non-HTTP la piattaforma offre un canale TCP compatibile con i servizi esistenti. Grazie al modello outbound + relay, la soluzione scala su centinaia di dispositivi mantenendo controlli di sicurezza centralizzati e logging consolidato.

Informativa Privacy - Servizio Macoers DENAT

Questa informativa descrive le modalità di trattamento dei dati personali raccolti e trattati da Macoers (di seguito «noi», «nostro/a», «la Società») nell’ambito della fornitura del servizio Macoers DENAT.

La presente informativa è redatta ai sensi del Regolamento (UE) 2016/679 ("GDPR") e della normativa italiana vigente.

1) Titolare del trattamento

Titolare del trattamento:

• Ragione sociale: Macoers
• Email contatti privacy: [email protected]

Per qualsiasi richiesta relativa al trattamento dei dati (esercizio dei diritti, richieste informative, reclami) è possibile contattare il Titolare ai recapiti sopra indicati.

2) Ambito e ruoli nel trattamento

Ruoli principali:

• Il Cliente (il soggetto che sottoscrive il contratto con Macoers) è generalmente il Titolare del trattamento dei dati relativi ai propri utenti/utenti finali e alle risorse gestite tramite la piattaforma; decide finalità, basi giuridiche, tempi di conservazione, soggetti autorizzati e modalità di informativa verso gli interessati.

• Macoers svolge le attività tecniche di erogazione del servizio e, relativamente ai dati trattati per conto del Cliente (es. log di connessione, telemetria del device), opera come Responsabile del Trattamento ai sensi dell’art. 28 GDPR, secondo le istruzioni del Cliente.

• Parallelemente, Macoers è Titolare del Trattamento per i dati necessari alla gestione amministrativa e tecnica della piattaforma (account amministrativi, fatturazione, autenticazione, log di sistema) per finalità proprie.

Assenza di contitolarità: Macoers e il Cliente non operano quali contitolari ai sensi dell’art. 26 GDPR.

3) Tipologie di dati trattati

I dati trattati nell’ambito del servizio Macoers DENAT possono comprendere, a titolo esemplificativo:

• Dati tecnici e di connessione: indirizzi IP sorgente/destinazione (quando necessari), timestamp di connessione, durata sessione, metadata di sessione, log agent, identificativo dispositivo/cliente, informazioni di diagnostica.

• Dati di autenticazione e account: username, ruolo, log di accesso, dati di contatto dei referenti contrattuali.

• Dati amministrativi e contabili: riferimenti contrattuali, fatturazione, storico pagamenti.

• Eventuali dati applicativi: solo se il Cliente ne dispone il trattamento tramite la piattaforma (es. contenuti trasmessi dagli utenti) e secondo le istruzioni del Cliente.

Le specifiche informazioni effettivamente raccolte dipendono dalla configurazione del servizio e dagli elementi attivi sul dispositivo cliente (es. abilitazione dei log, telemetria).

4) Finalità e basi giuridiche del trattamento

I dati sono trattati per le seguenti finalità principali:

• Erogazione e gestione del servizio Macoers DENAT: raccolta, conservazione ed elaborazione dei dati tecnici necessari per fornire il servizio, gestire la connettività, il provisioning e il supporto tecnico. Base giuridica: esecuzione del contratto (art. 6(1)(b) GDPR).

• Gestione tecnica, sicurezza e manutenzione: amministrazione account, autenticazione, logging, monitoraggio, rilevamento anomalie e protezione da abusi (DDoS, brute force). Base giuridica: esecuzione del contratto e legittimo interesse di Macoers (art. 6(1)(f) GDPR).

• Fatturazione e obblighi contabili: gestione amministrativa e fiscale. Base giuridica: esecuzione del contratto e obblighi di legge (art. 6(1)(b)/(c) GDPR).

• Adempimenti legali e difesa: conservazione per finalità di tutela in caso di contenzioso o su richiesta di autorità competenti. Base giuridica: obbligo legale o legittimo interesse.

5) Periodi di conservazione

Salvo diverse disposizioni contrattuali:

• I log di connessione, diagnostica e telemetria sono conservati per 365 giorni dalla rilevazione.

• I dati amministrativi e contabili sono conservati secondo obblighi fiscali e amministrativi di legge.

• I dati di autenticazione e log di sistema possono essere conservati per un periodo coerente con le esigenze di sicurezza e audit (es. 24 mesi), salvo diversa indicazione contrattuale.

Eventuali conservazioni ulteriori saranno effettuate solo per obblighi di legge o su richiesta dell’autorità.

6) Categorie di destinatari e trasferimenti

I dati possono essere accessibili a:

• personale autorizzato di Macoers (supporto tecnico, amministrazione di sistema);

• amministratori e utenti autorizzati dal Cliente;

• sub-processor (fornitori terzi) incaricati da Macoers per attività tecniche: hosting, CDN, protezione DDoS/WAF, pagamenti, servizi di monitoraggio. In particolare, Macoers può avvalersi di servizi come Cloudflare per ottimizzazione, protezione DDoS e WAF. I rapporti contrattuali con i sub-processor prevedono garanzie contrattuali e obblighi ai sensi del GDPR.

• autorità pubbliche o giudiziarie in caso di obbligo di legge.

L’elenco completo dei sub-processor è disponibile su richiesta.

7) Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati, tra cui:

• autenticazione e gestione ruoli;

• canali cifrati per la trasmissione (HTTPS/TLS) ove applicabile;

• segregazione logica dei dati per Cliente;

• backup e disaster recovery;

• monitoring e logging degli accessi;

• firewall, protezioni anti-intrusione e scansione vulnerabilità;

• processi di rotazione chiavi e protezione credenziali.

Per clienti con esigenze particolari è possibile prevedere misure aggiuntive (mTLS, HSM, retention personalizzata) previo accordo contrattuale.

8) Localizzazione server e trasferimenti internazionali

Attualmente le infrastrutture principali sono ubicate in Italia; per scalabilità alcune risorse possono essere distribuite all’interno dello Spazio Economico Europeo (SEE). Qualora fosse necessario trasferire dati fuori dal SEE, tali trasferimenti saranno effettuati solo sulla base di adeguate garanzie (es. Clausole Contrattuali Standard) e il Cliente verrà informato conformemente.

9) Diritti degli interessati

Gli interessati (es. persone fisiche i cui dati sono trattati) hanno i diritti previsti dal GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, reclamo all’autorità di controllo (Garante per la protezione dei dati personali). Le richieste vanno rivolte al Titolare ai recapiti indicati nella Sezione 1.

10) Aggiornamenti dell’informativa

Questa informativa può essere aggiornata per motivi tecnologici, normativi o organizzativi. La versione pubblicata sul sito o consegnata contrattualmente è la versione vigente.

11) Contatti

Per domande, richieste o esercizio dei diritti: [email protected]