Tailscale Subnet Router & Pi-hole: Accesso Remoto Anti-CGNAT [2026]
Con connessioni moderne FTTH (Iliad, Fastweb, Sky WiFi, Starlink o reti mobili 5G), il router domestico non riceve più un indirizzo IPv4 pubblico univoco, ma un IP privato all'interno di una rete CGNAT (Carrier-Grade NAT). Qualsiasi tentativo di aprire la porta 80, 443 o la porta di WireGuard sul router domestico fallisce irrimediabilmente.
1. Il Concetto di Subnet Router Zero-Trust
Anziché installare il client VPN su ciascun dispositivo o rischiare attacchi brute-force aprendo porte sul firewall del router, utilizziamo un Tailscale Subnet Router:
- Un singolo dispositivo Linux sempre acceso nella tua LAN (un Raspberry Pi, un NAS, o una VM Linux su Proxmox/Hyper-V) agisce da Gateway di Sottorete.
- Quando ti trovi fuori casa con il tuo smartphone o portatile, attivi Tailscale: potrai raggiungere qualsiasi IP della tua rete di casa (es.
192.168.1.100per il NAS,192.168.1.1per il router,192.168.1.250per la stampante) esattamente come se fossi connesso al Wi-Fi domestico.
2. Configurazione del Nodo Linux Gateway
Accedi via SSH alla macchina Linux che farà da router di sottorete ed esegui:
# 1. Installazione ufficiale di Tailscale
curl -fsSL https://tailscale.com/install.sh | sh
# 2. Abilitazione del packet forwarding nel kernel Linux
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.confOra avviamo Tailscale pubblicando la classe IP della tua rete domestica (adatta 192.168.1.0/24 al tuo range reale):
sudo tailscale up --advertise-routes=192.168.1.0/24 --accept-dns=false3. Approvazione della Rotta sulla Console Tailscale
- Apri la Console di Amministrazione di Tailscale.
- Individua il nodo Linux appena configurato: noterai un badge indicante "Subnets".
- Clicca sui tre puntini (...) a destra della riga della macchina → Edit route settings...
- Spunta la casella accanto a
192.168.1.0/24e clicca su Save.
4. Integrazione con Pi-hole per Ad-Blocking Globale
Se nella tua rete domestica hai attivo Pi-hole o AdGuard Home (ad esempio su 192.168.1.50 o con il suo indirizzo IP Tailscale 100.x.y.z):
- Nella console Tailscale, vai nel menu DNS.
- Nella sezione Nameservers, clicca su Add nameserver → Custom...
- Inserisci l'indirizzo IP di Pi-hole.
- Attiva l'opzione Override local DNS.
Risultato: non solo puoi accedere a qualsiasi servizio interno digitando il suo IP locale o hostname, ma tutti i tuoi dispositivi fuori casa beneficiano dell'ad-blocking centralizzato e del blocco dei tracker senza che il traffico internet generale rallenti.
❓ Domande Frequenti (FAQ Tecniche)
Risposte sintetiche ai dubbi architetturali e agli errori operativi più frequenti su questo scenario.
Cos'è il CGNAT e perché impedisce il classico Port Forwarding?
Il CGNAT (Carrier-Grade NAT) è un'architettura in cui il tuo provider internet (ISP) assegna al tuo router un indirizzo IP privato condiviso tra centinaia di clienti. Non avendo un IP pubblico dedicato, nessuna richiesta in ingresso dall'esterno può raggiungere le porte del tuo router.
Come fa Tailscale a superare il CGNAT senza aprire porte?
Tailscale utilizza protocolli avanzati di NAT Traversal (DERP relays, STUN e ICE) basati sul protocollo crittografico WireGuard. Entrambi i dispositivi stabiliscono una connessione uscente verso il piano di controllo, aprendo tunnel bidirezionali peer-to-peer diretti.
Perché usare un Subnet Router invece di installare Tailscale su ogni singolo PC o stampante?
Perché dispositivi IoT, stampanti di rete, telecamere IP o vecchi controller industriali non possono installare client VPN. Un Subnet Router fa da ponte trasparente tra la rete Tailscale e l'intera classe di indirizzi IP locale della tua casa.