Proxy per dispositivi IoT: come configurare telecamere intelligenti e robot aspirapolvere tramite router

Telecamere intelligenti, robot aspirapolvere, termostati e altri dispositivi IoT si connettono costantemente a Internet — e non sempre nei modi che ti aspetti. Configurare un proxy a livello di router consente di controllare tutto il traffico in uscita dei dispositivi intelligenti, nascondere l'IP reale della rete e superare le restrizioni regionali senza installare alcun software sul dispositivo stesso. In questo articolo esploreremo perché è necessario, quali proxy sono adatti e come configurare tutto passo dopo passo.

Perché i dispositivi IoT hanno bisogno di un proxy

La maggior parte degli utenti non si preoccupa nemmeno di dove esattamente i loro dispositivi intelligenti "chiamano a casa". Nel frattempo, i robot aspirapolvere cinesi Roborock, Dreame, Xiaomi inviano regolarmente mappe degli ambienti e dati sui percorsi ai server del produttore. Le telecamere IP Hikvision, Dahua, Reolink si connettono a servizi cloud per la visualizzazione remota. Le prese intelligenti, le lampadine e i termostati si sincronizzano con server esteri.

Un server proxy configurato a livello di router risolve subito diversi problemi:

• Nasconde l'IP reale della tua rete — il produttore del dispositivo vede l'IP del proxy, non il tuo indirizzo domestico.
• Supera le geobloccature — alcune funzioni dei dispositivi intelligenti sono disponibili solo in determinati paesi. Un proxy con la geolocalizzazione corretta apre l'accesso a tutte le funzionalità.
• Controlla il traffico in uscita — puoi vedere con quali server si connette ogni dispositivo.
• Protegge dalla sorveglianza — particolarmente rilevante per le telecamere e i dispositivi con microfoni.
• Permette di testare il comportamento dei dispositivi — utile per chi si occupa di monitoraggio delle case intelligenti o vende attrezzature IoT.

Un altro scenario è l'uso aziendale. Se gestisci una rete di più uffici o magazzini con attrezzature IoT (telecamere di sorveglianza, sensori, serrature intelligenti), un proxy tramite router consente di gestire centralmente gli indirizzi IP dell'intera infrastruttura. Questo è comodo sia dal punto di vista della sicurezza che dell'amministrazione.

Quale tipo di proxy scegliere per i dispositivi intelligenti

Non tutti i tipi di proxy sono adatti per IoT. Esaminiamo le opzioni e la loro applicabilità ai dispositivi intelligenti:

Per la maggior parte delle attività con dispositivi domestici intelligenti, la scelta ottimale è proxy residenziali. Hanno indirizzi IP reali di utenti domestici, il che significa un rischio minimo di blocco da parte dei servizi cloud del produttore. Quando la tua telecamera intelligente si connette a Internet tramite un IP residenziale, per il server del produttore appare come un normale utente domestico.

Se l'obiettivo è superare un blocco regionale severo (ad esempio, sbloccare funzioni di un dispositivo intelligente disponibili solo negli Stati Uniti o in Europa), considera i proxy mobili — hanno IP degli operatori mobili e raramente vengono inseriti nelle liste nere.

Per attività di monitoraggio, test dell'infrastruttura IoT o lavoro con dispositivi che non hanno controlli severi, i proxy dei data center sono adatti — offrono alta velocità e stabilità a un costo inferiore.

Come configurare un proxy tramite router: istruzioni passo passo

Configurare un proxy sul router è l'unico modo per coprire tutti i dispositivi IoT nella rete senza dover configurare ciascuno di essi separatamente. Esaminiamo alcuni scenari popolari.

Opzione 1: Router con firmware OpenWRT / DD-WRT

Questa è l'opzione più flessibile. I firmware OpenWRT e DD-WRT supportano l'installazione di pacchetti aggiuntivi, inclusi i client proxy. Se il tuo router supporta uno di questi firmware (ASUS, TP-Link, Netgear e molti altri), avrai il pieno controllo sul traffico.

Passo 1. Accedi all'interfaccia web del router. Di solito, l'indirizzo è 192.168.1.1 o 192.168.0.1.

Passo 2. Vai alla sezione System → Software (in OpenWRT) o Administration → Commands (in DD-WRT).

Passo 3. Installa il pacchetto redsocks — è un'utilità per il proxy trasparente del traffico tramite SOCKS5 o HTTP proxy.

opkg update
opkg install redsocks

Passo 4. Modifica il file di configurazione /etc/redsocks.conf. Specifica i dati del tuo server proxy:

base {
  log_debug = off;
  log_info = on;
  daemon = on;
  redirector = iptables;
}

redsocks {
  local_ip = 0.0.0.0;
  local_port = 12345;
  ip = IL_TUO_IP_PROXY;
  port = IL_TUO_PORTO;
  type = socks5;
  login = "IL_TUO_LOGIN";
  password = "LA_TUA_PASSWORD";
}

Passo 5. Configura iptables per reindirizzare il traffico attraverso redsocks. Puoi reindirizzare tutto il traffico o solo quello di indirizzi IP specifici (ad esempio, solo dall'IP della tua telecamera):

# Reindirizzamento del traffico di un dispositivo specifico (IP telecamera: 192.168.1.50)
iptables -t nat -A PREROUTING -s 192.168.1.50 -p tcp -j REDIRECT --to-ports 12345

# Oppure reindirizzamento di tutto il traffico della rete (tranne il router stesso)
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 12345
iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-ports 12345

Passo 6. Avvia redsocks e aggiungilo all'avvio automatico:

/etc/init.d/redsocks start
/etc/init.d/redsocks enable

Opzione 2: Router ASUS con firmware Merlin

Il firmware Asuswrt-Merlin (per router della serie ASUS RT) supporta script e consente di configurare un proxy tramite il gestore integrato. Il principio è lo stesso: installare redsocks o uno strumento simile tramite il gestore di pacchetti Entware, che si integra in Merlin.

Procedura: collega un'unità USB al router → installa Entware tramite la sezione Administration → Scripts → installa redsocks tramite opkg → configura il file di configurazione in modo simile all'esempio sopra.

Opzione 3: Raspberry Pi come gateway proxy

Se il tuo router non supporta firmware personalizzati, puoi utilizzare un Raspberry Pi come gateway intermedio. Il Raspberry Pi si collega tra il router e i dispositivi, inoltrando il traffico attraverso il proxy. Questa è una soluzione più flessibile che non richiede modifiche al firmware del router.

Sul Raspberry Pi si installa la stessa combinazione: redsocks + iptables. I dispositivi IoT si connettono alla rete tramite il Raspberry Pi, che inoltra automaticamente il loro traffico.

Telecamere intelligenti: caratteristiche della configurazione e rischi

Le telecamere IP sono uno dei dispositivi IoT più "parlanti". Mantengono costantemente una connessione con i server cloud per l'accesso remoto, inviano notifiche di movimento e sincronizzano le registrazioni. Modelli popolari includono Hikvision, Dahua, Reolink, Xiaomi Mi Camera, Ezviz, TP-Link Tapo.

I principali scenari di utilizzo di un proxy per telecamere intelligenti sono:

• Nascondere l'IP reale dell'oggetto di sorveglianza — importante per oggetti aziendali e privati che non vogliono rivelare la propria posizione.
• Accesso a funzioni bloccate nella regione — alcuni servizi cloud delle telecamere funzionano solo in determinati paesi.
• Monitoraggio di più oggetti tramite un unico proxy — comodo per le aziende di sicurezza che gestiscono telecamere in diversi luoghi.
• Protezione da attacchi DDoS sulle telecamere IP — l'IP reale è nascosto dal proxy.

Per le telecamere che utilizzano il protocollo RTSP (la maggior parte delle Hikvision e Dahua), il proxy a livello di router funziona correttamente — RTSP viene trasmesso tramite TCP. Per le telecamere P2P (Xiaomi, Ezviz, TP-Link Tapo) la situazione è più complessa: utilizzano protocolli proprietari, alcuni dei quali funzionano tramite UDP.

Consiglio pratico: se hai bisogno di nascondere l'IP per il traffico di gestione della telecamera (impostazioni, notifiche, sincronizzazione cloud), il proxy tramite router svolgerà il compito. Se hai bisogno di proxy per l'intero flusso video, considera la VPN come complemento al proxy.

Robot aspirapolvere e altri gadget intelligenti

I robot aspirapolvere sono un caso particolare tra i dispositivi IoT. Modelli come Roborock serie S, Dreame serie L, Xiaomi Mi Robot, Ecovacs Deebot utilizzano attivamente il cloud per memorizzare le mappe degli ambienti, aggiornare i firmware e sincronizzare le impostazioni. Tutti questi dati vengono inviati ai server del produttore — di solito in Cina.

Un proxy tramite router consente di:

• Nascondere l'IP reale e la posizione dal produttore
• Sbloccare funzioni non disponibili nella tua regione (ad esempio, alcuni comandi vocali o integrazioni)
• Monitorare con quali server si connette il dispositivo
• Bloccare connessioni indesiderate (attraverso una combinazione di proxy e firewall)

Una logica simile si applica ad altri dispositivi intelligenti:

HTTP vs SOCKS5: cosa scegliere per IoT

Quando configuri un proxy per i dispositivi IoT tramite router, ti troverai di fronte alla scelta del protocollo. Ecco cosa devi sapere:

Proxy HTTP/HTTPS

Funziona solo con il traffico web (porte 80 e 443). Adatto per dispositivi che comunicano con il cloud esclusivamente tramite richieste HTTP. Vantaggio — semplicità di configurazione e possibilità di analizzare il traffico a livello di proxy. Svantaggio — non supporta porte e protocolli non standard utilizzati da alcuni dispositivi IoT.

Proxy SOCKS5

Funziona a un livello più basso e supporta qualsiasi connessione TCP su qualsiasi porta. Questo rende SOCKS5 la scelta preferita per i dispositivi IoT, poiché spesso utilizzano porte non standard e protocolli propri sopra TCP. Redsocks, di cui abbiamo parlato sopra, funziona proprio con SOCKS5.

Sicurezza e controllo del traffico nella rete intelligente

Configurare un proxy è solo una parte del lavoro per garantire la sicurezza della rete IoT. Per una protezione completa, si consiglia di adottare un approccio globale.

Segmentazione della rete

Isola i dispositivi IoT in una sottorete separata (VLAN). Questa è una pratica standard di sicurezza: se uno dei dispositivi viene compromesso, l'attaccante non avrà accesso alla rete principale con computer e smartphone. La maggior parte dei router moderni (ASUS, TP-Link, Mikrotik) supporta VLAN tramite interfaccia web.

Monitoraggio delle connessioni in uscita

Dopo aver configurato il proxy, utilizza strumenti di monitoraggio per analizzare il traffico dei dispositivi IoT. Su OpenWRT è disponibile il pacchetto tcpdump per la cattura dei pacchetti e ntopng per il monitoraggio visivo. Questo ti permetterà di vedere con quali server si connettono i tuoi dispositivi e, se necessario, bloccare connessioni indesiderate.

Liste bianche e nere degli IP

Utilizzando iptables in combinazione con il proxy, puoi creare una lista bianca di indirizzi IP consentiti per ciascun dispositivo. Ad esempio, la tua telecamera Reolink dovrebbe connettersi solo ai server Reolink — tutto il resto viene bloccato. Questa è una protezione efficace contro connessioni inaspettate e potenziali vulnerabilità del firmware.

Autenticazione sul proxy

Utilizza un proxy con login e password — questo previene l'uso non autorizzato del server proxy da parte di altri dispositivi o persone che possono accedere alla tua rete. Tutti i principali fornitori di proxy supportano l'autenticazione tramite login/password o per indirizzo IP.

Problemi comuni e come risolverli

Quando configuri un proxy per i dispositivi IoT tramite router, potresti incontrare una serie di problemi tipici. Ecco i più comuni e come risolverli:

Problema 1: Il dispositivo non si connette al cloud dopo la configurazione del proxy

Motivo: Il dispositivo utilizza il certificate pinning — verifica del certificato SSL, che non consente di funzionare tramite un proxy trasparente con sostituzione dei certificati.

Soluzione: Utilizza un proxy trasparente senza ispezione SSL (redsocks in modalità socks5 senza intercettazione TLS). Il dispositivo funzionerà tramite proxy, ma il contenuto del traffico rimarrà crittografato — questo è normale per le attività di occultamento dell'IP.

Problema 2: Alta latenza quando si lavora tramite proxy

Motivo: Il server proxy è geograficamente lontano dai server del produttore del dispositivo.

Soluzione: Scegli un proxy con geolocalizzazione vicina ai server del produttore. Ad esempio, per dispositivi cinesi (Xiaomi, Roborock) utilizza un proxy a Hong Kong o Singapore. Per dispositivi americani (Amazon, Google) — proxy negli Stati Uniti.

Problema 3: Il proxy funziona, ma il traffico UDP non viene proxato

Motivo: Redsocks e la maggior parte dei proxy SOCKS5/HTTP funzionano solo con TCP.

Soluzione: Per i dispositivi che utilizzano UDP (alcune telecamere, altoparlanti intelligenti), aggiungi un tunnel VPN al proxy (WireGuard o OpenVPN sul router). La VPN consente il proxy del traffico UDP, mentre utilizza il proxy SOCKS5 per TCP.

Problema 4: Dopo il riavvio del router, le regole di iptables vengono ripristinate

Motivo: Le regole di iptables non vengono salvate automaticamente nella maggior parte dei sistemi.

Soluzione: Salva le regole utilizzando iptables-save e aggiungi il loro ripristino in uno script di avvio automatico. In OpenWRT utilizza il file /etc/firewall.user per regole permanenti.

# Salvataggio delle regole iptables (sistemi basati su Debian/Ubuntu)
iptables-save > /etc/iptables/rules.v4

# Ripristino all'avvio
iptables-restore < /etc/iptables/rules.v4

Problema 5: Il server proxy rifiuta le connessioni dal router

Motivo: Il proxy è configurato per l'autenticazione per IP, e l'IP del router non è stato aggiunto alla lista bianca.

Soluzione: Aggiungi l'IP del router alla lista bianca presso il fornitore del proxy, oppure utilizza l'autenticazione tramite login/password nella configurazione di redsocks (parametri login e password nella configurazione).

Conclusione e raccomandazioni

Configurare un proxy per i dispositivi IoT tramite router non è un compito difficile per chi è disposto a dedicare un'ora alla configurazione, ma il risultato vale la pena. Ottieni il pieno controllo su quali dati e dove inviano i tuoi dispositivi intelligenti, nascondi l'IP reale della rete e, se necessario, superi le restrizioni regionali.

Riassumiamo i punti chiave:

• I dispositivi IoT non possono essere configurati direttamente — il proxy deve essere configurato sul router
• Lo strumento redsocks + iptables è la soluzione standard per OpenWRT/DD-WRT/Merlin
• SOCKS5 è preferibile a HTTP per IoT a causa del supporto per porte non standard
• Per il traffico UDP (alcune telecamere) è necessaria una VPN in aggiunta al proxy
• Segmenta i dispositivi IoT in un VLAN separato per una maggiore sicurezza
• Scegli un proxy con geolocalizzazione vicina ai server del produttore del dispositivo

Se il tuo obiettivo è nascondere l'IP reale dei dispositivi intelligenti e garantire la massima fiducia da parte dei servizi cloud del produttore, ti consigliamo di considerare proxy residenziali — utilizzano IP reali di utenti domestici e praticamente non suscitano sospetti presso i server dei produttori di dispositivi IoT.