Come accedere a Home Assistant da remoto: port forwarding, DDNS e HTTPS

Accedere a Home Assistant quando siamo fuori casa è una delle prime esigenze dopo aver configurato un impianto domotico. Possiamo controllare luci, climatizzazione, sensori e telecamere anche dalla rete mobile, ma è importante farlo senza esporre inutilmente la nostra rete domestica.

Home Assistant permette di utilizzare il port forwarding del router. La documentazione ufficiale, però, avverte che aprire semplicemente una porta verso Home Assistant senza cifrare la connessione non è una configurazione sicura.

Vediamo quindi quali sono i passaggi corretti.

1. Assegna un indirizzo IP fisso a Home Assistant

Prima di configurare il router dobbiamo fare in modo che Home Assistant mantenga sempre lo stesso indirizzo IP nella rete locale.

Potrebbe essere, ad esempio:

192.168.1.50

La soluzione generalmente migliore consiste nel creare una prenotazione DHCP direttamente nel router.

Nel pannello del router cerca una voce simile a:

• LAN;
• DHCP;
• dispositivi connessi;
• prenotazione DHCP;
• Static Lease;
• Address Reservation.

Seleziona il dispositivo che esegue Home Assistant e assegna sempre lo stesso indirizzo IP.

Questo passaggio è fondamentale perché il port forwarding deve sapere verso quale dispositivo inoltrare il traffico.

2. Controlla la porta utilizzata da Home Assistant

Normalmente Home Assistant utilizza la porta:

8123

Possiamo verificarla da:

Impostazioni → Sistema → Rete

La documentazione ufficiale indica proprio la porta 8123 come porta HTTP predefinita di Home Assistant.

In rete locale avremo quindi qualcosa come:

http://192.168.1.50:8123

3. Configura il port forwarding sul router

Entriamo nell’interfaccia di amministrazione del router.

La funzione può chiamarsi:

• Port Forwarding;
• Inoltro porte;
• NAT;
• Virtual Server;
• Port Mapping.

Creiamo una nuova regola indicando l’indirizzo IP di Home Assistant.

Un esempio concettuale potrebbe essere:

Dispositivo: Home Assistant
IP interno: 192.168.1.50
Protocollo: TCP
Porta interna: 8123

Home Assistant permette anche di scegliere una porta esterna differente e inoltrarla verso quella utilizzata internamente dal server.

Attenzione: non fermarti qui

Tecnicamente, dopo aver configurato il port forwarding, Home Assistant potrebbe risultare raggiungibile da Internet.

Questo però non significa che la configurazione sia sicura.

La stessa documentazione Home Assistant avverte che rendere semplicemente accessibile una porta non è sufficiente e raccomanda di cifrare il traffico.

Per un’installazione reale conviene quindi utilizzare HTTPS, un reverse proxy oppure una VPN.

4. Controlla se hai un indirizzo IP pubblico

Prima ancora di continuare dobbiamo verificare un altro elemento: il collegamento Internet deve permettere connessioni in ingresso.

Molti operatori utilizzano oggi il CG-NAT, cioè un sistema nel quale più clienti condividono lo stesso indirizzo IPv4 pubblico.

In questo caso il port forwarding configurato sul nostro router potrebbe non funzionare.

Home Assistant segnala esplicitamente il CG-NAT tra le possibili cause dell’impossibilità di accedere alla propria installazione dall’esterno.

Se siamo sotto CG-NAT possiamo:

• chiedere al provider un IPv4 pubblico;
• utilizzare Home Assistant Cloud;
• utilizzare una VPN come Tailscale;
• valutare un tunnel sicuro.

5. Se l’IP cambia, usa un servizio DDNS

Gli indirizzi IP delle connessioni domestiche possono cambiare.

Invece di ricordare qualcosa come:

93.xxx.xxx.xxx

possiamo utilizzare un nome DNS, per esempio:

casaesempio.duckdns.org

Il Dynamic DNS, o DDNS, aggiorna automaticamente il nome quando cambia l’indirizzo IP pubblico.

La documentazione di Home Assistant cita DuckDNS proprio come possibile soluzione quando il provider assegna un indirizzo IP dinamico.

6. Configura HTTPS

Questo è il passaggio più importante.

Le credenziali di Home Assistant non devono viaggiare su una normale connessione HTTP attraverso Internet.

È quindi necessario utilizzare HTTPS/TLS.

Home Assistant supporta direttamente un certificato SSL attraverso le impostazioni dell’integrazione HTTP, specificando certificato e chiave privata.

Un’altra soluzione, che vedremo nella guida successiva, consiste nel lasciare Home Assistant sulla porta 8123 della rete locale e mettere davanti un reverse proxy che gestisce HTTPS.

7. Configura l’URL esterno di Home Assistant

Una volta ottenuto un indirizzo HTTPS funzionante possiamo comunicarlo a Home Assistant.

Vai in:

Impostazioni → Sistema → Rete

Nella sezione dedicata agli URL di Home Assistant inserisci l’indirizzo Internet, per esempio:

https://ha.casaesempio.it

Home Assistant documenta questo passaggio espressamente nella procedura per l’accesso remoto.

8. Attiva l’autenticazione a più fattori

Quando Home Assistant è accessibile da Internet è particolarmente consigliabile attivare la multi-factor authentication, o MFA.

In questo modo conoscere la password non è sufficiente per accedere all’impianto.

Home Assistant raccomanda l’autenticazione a più fattori nella propria checklist di sicurezza.

9. Prova la connessione realmente dall’esterno

Non eseguire il test utilizzando il Wi-Fi di casa.

Disattiva il Wi-Fi dello smartphone e usa la rete mobile.

Apri quindi:

https://ha.casaesempio.it

Se Home Assistant compare correttamente e il browser mostra una connessione HTTPS valida, possiamo configurare lo stesso indirizzo nell’app Home Assistant Companion.

Port forwarding diretto: conviene davvero?

È possibile, ma richiede attenzione.

La configurazione minima dovrebbe comprendere:

1. indirizzo IP locale fisso per Home Assistant;
2. port forwarding;
3. IP pubblico raggiungibile;
4. DDNS se l’IP cambia;
5. HTTPS;
6. password robusta;
7. autenticazione a più fattori.

Se vogliamo una configurazione più ordinata e facilmente espandibile, il passo successivo consiste nell’utilizzare un reverse proxy.

Ed è proprio quello che vedremo nella prossima guida.