Per aprire la porta 25565 devi verificare che il server ascolti localmente, assegnare un IP statico al dispositivo e creare una regola di port forwarding TCP 25565 nel router. Se l’IP WAN risulta privato per via del CGNAT, l’apertura non funzionerà: dovrai contattare l’ISP o valutare un hosting gestito. Per Bedrock la porta cambia (19132-19133, UDP); senza precauzioni di sicurezza, l’apertura resta rischiosa.
In breve:
- Se l’indirizzo IP WAN è privato o rientra in range CGNAT, l’apertura delle porte dal router non sarà efficace.
- Per garantire il funzionamento, bisogna verificare che il server ascolti sulla porta corretta e che il firewall non blocchi le connessioni.
- L’utilizzo di un hosting gestito offre soluzioni più affidabili in caso di IP privato o problemi ricorrenti con il router e il CGNAT.
- La porta TCP 25565 di Minecraft Java deve essere aperta e correttamente inoltrata, mentre Bedrock richiede UDP sulle porte 19132-19133.
- Monitorare le connessioni e conoscere lo stato delle porte tramite strumenti di controllo aiuta a distinguere problemi di configurazione da attacchi o scansioni automatizzate.
Indice
- Checklist rapida per aprire la porta 25565 sul router
- Procedura dettagliata passo passo per la configurazione router 25565
- Perché la porta 25565 sembra chiusa: diagnosi dei problemi comuni
- Come verificare se la porta 25565 è davvero aperta
- Buone pratiche di sicurezza dopo aver aperto la porta 25565
- Cosa ho imparato gestendo server domestici e in hosting
- Configurare il port forwarding su Fritz!Box, TP-Link e Netgear
- TCP o UDP: quale protocollo usare per la porta 25565
- Come monitorare il traffico sulla porta 25565
- Alternative quando la porta 25565 resta bloccata
- Cosa dice davvero l’esperienza su porte, router e hosting
- Quando conviene un hosting gestito invece del port forwarding
- Fonti
- Domande frequenti
Checklist rapida per aprire la porta 25565 sul router
Prima di perdere tempo tra menu del router e impostazioni firewall, segui questo ordine. Risparmia ore di tentativi a caso e isola subito dove sta il problema.
- Verifica il server in locale: apri Minecraft e collegati a
localhost:25565. Se non risponde, il problema è nel server, non nel router. - Fissa un IP locale stabile: imposta un IP statico sul dispositivo oppure crea una riservazione DHCP dal router, così la regola di inoltro non si rompe a ogni riavvio.
- Crea la regola di port forwarding: porta esterna e interna entrambe su 25565, protocollo TCP, indirizzo IP del dispositivo che ospita il server.
- Apri la porta nel firewall del sistema operativo, altrimenti il traffico viene bloccato ancora prima di arrivare al gioco.
- Controlla l’IP WAN nella pagina di stato del router: se è un indirizzo privato (nel range 100.64.0.0/10 o simili), sei dietro CGNAT e l’inoltro dal router domestico non funzionerà.
Questi cinque passaggi coprono la maggior parte dei casi. Il resto riguarda situazioni particolari, come il doppio NAT o un ISP che limita le porte in ingresso, trattate più avanti nella diagnosi dei problemi comuni.
Procedura dettagliata passo passo per la configurazione router 25565
Trovare IP locale, gateway e IP pubblico
Su Windows apri il prompt dei comandi e digita ipconfig: cerca la voce «Gateway predefinito» (di solito qualcosa come 192.168.1.1) e l’indirizzo IPv4 della tua scheda di rete. Su Linux o macOS il comando equivalente è ifconfig oppure ip addr. Per l’IP pubblico basta digitare «qual è il mio IP» su un motore di ricerca, o visitare un sito dedicato: è il numero che dovrai comunicare agli altri giocatori insieme alla porta, nel formato ip.pubblico:25565.
Impostare un IP statico o una riservazione DHCP
Hai due strade. La prima è impostare manualmente un IP fisso sul dispositivo che ospita il server, dentro le impostazioni di rete del sistema operativo. La seconda, spesso più solida nel tempo, è creare una riservazione DHCP direttamente nel pannello del router: il dispositivo riceve sempre lo stesso IP tramite il proprio indirizzo MAC, senza doverlo configurare a mano su ogni macchina. Questa seconda opzione evita conflitti quando cambi hardware o reinstalli il sistema, perché la gestione resta centralizzata sul router.
Configurare la regola di port forwarding
Entra nel pannello di amministrazione del router (di solito su 192.168.1.1 o 192.168.0.1) e cerca la sezione «Port Forwarding» o «NAT/Virtual Server», a seconda del produttore. Compila questi campi:
- Nome regola: qualcosa di riconoscibile, come «Minecraft Server».
- Porta esterna: 25565.
- Porta interna: 25565.
- Protocollo: TCP per Minecraft Java, UDP per Bedrock (o entrambi se non sei sicuro dell’edizione).
- IP interno: l’indirizzo statico o riservato del dispositivo host.
La porta predefinita di Minecraft Java è appunto 25565 in TCP, mentre Bedrock usa 19132-19133 in UDP: confondere protocollo o edizione è l’errore più comune in questa fase.
Aprire la porta nel firewall
Su Windows vai in «Windows Defender Firewall con sicurezza avanzata», crea una nuova regola in ingresso, seleziona «Porta», scegli TCP e specifica 25565, poi consenti la connessione. Su Linux, se usi UFW, basta un comando: sudo ufw allow 25565/tcp. Le guide più aggiornate confermano questi stessi passaggi come standard per autorizzare il traffico Minecraft sia su desktop che su distribuzioni server headless.
Un consiglio: Riavvia sempre router e server dopo aver salvato la regola di forwarding. Molti router applicano le modifiche solo dopo un riavvio completo, e un test fatto prima rischia di darti un falso «non funziona».
Prima di dichiarare vittoria, controlla anche server.properties: il campo server-port deve corrispondere a 25565 (o alla porta che hai scelto), e enable-command-block o altre impostazioni di rete non devono limitare le connessioni esterne.
Perché la porta 25565 sembra chiusa: diagnosi dei problemi comuni
Segui sempre questa gerarchia: prima il server locale, poi il firewall del computer, infine il router e solo alla fine l’ISP. Molti fallimenti nascono proprio dall’ordine sbagliato nelle verifiche, perché si salta subito al router quando il vero problema è un firewall attivo o un server che non ha nemmeno avviato l’ascolto.
I casi più frequenti:
- CGNAT (Carrier Grade NAT): se l’IP WAN mostrato dal router è un indirizzo privato o rientra in range condivisi dall’operatore, l’inoltro porte dal router domestico normalmente non funziona, perché il tuo router non è il vero confine con internet.
- Doppio NAT: capita con modem forniti dall’operatore che fanno già da router. La soluzione è metterlo in modalità bridge, oppure inoltrare le porte anche dal dispositivo a monte.
- UPnP: può aprire automaticamente le porte necessarie, comodo ma meno controllabile; utile come test rapido, sconsigliato come soluzione permanente per motivi di sicurezza.
- IP cambiato: se non hai fissato un IP statico o una riservazione DHCP, il dispositivo può ricevere un nuovo indirizzo e rendere inutile la regola già creata.
Alcuni router, inoltre, presentano vulnerabilità note che possono causare comportamenti anomali nella gestione delle regole NAT: un’analisi tecnica sui modelli più esposti aiuta a capire se il firmware del tuo dispositivo va aggiornato prima di procedere. Se sei bloccato da CGNAT, contatta l’ISP e chiedi esplicitamente un IP pubblico dedicato: molti operatori lo offrono come opzione a pagamento o su richiesta per chi ospita server.
Come verificare se la porta 25565 è davvero aperta
Testa in ordine, non a caso. Prima da locale, poi da fuori casa.
- Test locale: connettiti a
localhost:25565dallo stesso dispositivo. Se funziona, il server è sano. - Test dalla LAN: da un altro dispositivo in casa, usa l’IP locale del server (es.
192.168.1.50:25565). Isola se il problema è nel router. - Test pubblico: usa uno strumento online di port check, oppure chiedi a un amico fuori dalla tua rete di connettersi a
ip.pubblico:25565. Le guide dedicate al port forwarding confermano che è proprio questo formato quello da comunicare ai giocatori esterni. - Interpretare i risultati: «porta chiusa» o timeout indicano blocco a livello di router o ISP; «connessione rifiutata» quasi sempre significa server non attivo o porta interna sbagliata nella regola.
Se il test pubblico fallisce ma quello in LAN funziona, il problema è quasi certamente nella regola di forwarding o nel CGNAT, non nel server.
Buone pratiche di sicurezza dopo aver aperto la porta 25565
Aprire una porta significa esporre quella macchina a internet, non solo ai tuoi amici. Il port forwarding senza altre misure di protezione espone la rete a rischi reali: scansioni automatiche delle porte comuni, tra cui la 25565, sono continue.
Tieni server e plugin sempre aggiornati: molte vulnerabilità sfruttate contro server Minecraft colpiscono versioni vecchie con falle già corrette. Attiva una whitelist per limitare l’accesso ai soli giocatori autorizzati, e assegna permessi minimi agli operatori. Se prevedi un traffico consistente o un server pubblico, valuta una protezione anti DDoS dedicata piuttosto che affidarti solo al firewall di casa.
Un consiglio: Programma backup automatici giornalieri e controlla periodicamente i log di connessione: un picco anomalo di tentativi di accesso è spesso il primo segnale di un attacco in corso, non l’ultimo.
Cosa ho imparato gestendo server domestici e in hosting
Ho visto decine di configurazioni fallire per lo stesso motivo: si salta la verifica locale e si finisce a modificare regole del router che erano già corrette. Il server, semplicemente, non era mai partito. Un host gestito elimina alla radice buona parte di questi problemi: niente IP pubblico da negoziare con l’ISP, niente CGNAT da aggirare, protezione DDoS già integrata e supporto tecnico a portata di mano quando qualcosa non torna. Il self-hosting resta sensato per chi vuole imparare, ha già un IP pubblico stabile e gioca con un gruppo piccolo. Appena il progetto cresce o la connessione domestica diventa un collo di bottiglia, passare a un host dedicato è quasi sempre la scelta più razionale.
Configurare il port forwarding su Fritz!Box, TP-Link e Netgear
I passaggi generali restano identici, ma la posizione dei menu cambia da marca a marca. Su Fritz!Box vai in «Internet» poi «Filtri» e infine «Regole di porta»: qui puoi scegliere il dispositivo dalla lista della rete (comodo perché evita di digitare manualmente l’IP) e specificare protocollo e numero di porta. Su TP-Link, nei modelli più recenti con interfaccia moderna, la voce si trova sotto «Impostazioni avanzate» o «NAT Forwarding», sezione «Virtual Servers»: qui inserisci porta esterna, porta interna, protocollo e IP del dispositivo in campi separati e ben etichettati. Su Netgear la voce è spesso sotto «Avanzate» poi «Configurazione WAN» o «Port Forwarding/Port Triggering», con un menu a tendina per scegliere applicazioni preconfigurate (raramente include Minecraft, quindi va creata una regola personalizzata).
In tutti i casi, dopo aver salvato, molti router richiedono un riavvio dell’interfaccia o dell’intero dispositivo prima che la regola diventi attiva. Un errore frequente è confondere la sezione «Port Forwarding» con «Port Triggering»: la seconda apre la porta solo dopo un traffico in uscita iniziale, ed è meno affidabile per un server che deve restare sempre raggiungibile.
TCP o UDP: quale protocollo usare per la porta 25565
Minecraft Java usa esclusivamente TCP sulla porta 25565: è un protocollo orientato alla connessione, che garantisce l’arrivo ordinato e completo di ogni pacchetto, indispensabile per sincronizzare correttamente blocchi, inventari e movimenti dei giocatori. Bedrock, invece, funziona su UDP nelle porte 19132-19133, un protocollo più leggero e senza garanzia di consegna, scelto per ridurre la latenza su piattaforme mobili e console.
Se non sei sicuro di quale edizione stai ospitando, puoi creare la regola su entrambi i protocolli per la stessa porta senza problemi di sicurezza aggiuntivi significativi: il router semplicemente instrada il traffico che arriva su quel numero, indipendentemente dal protocollo, verso l’IP interno indicato. L’errore più comune è impostare UDP pensando di «coprire tutti i casi» quando si ospita solo Java: non causa danni, ma non serve a nulla e può confondere la diagnosi se qualcosa non funziona. Verifica sempre la versione del server prima di scegliere il protocollo nella regola.
Come monitorare il traffico sulla porta 25565
Monitorare la porta aiuta a distinguere un problema di configurazione da un attacco in corso. Su Windows puoi usare il comando netstat -an | findstr 25565 per verificare se la porta è effettivamente in ascolto e quante connessioni attive esistono in quel momento. Su Linux, ss -tuln | grep 25565 restituisce un’informazione equivalente in modo più rapido rispetto al vecchio netstat.
I log del server stesso, dentro la cartella logs di Minecraft, registrano ogni tentativo di connessione con timestamp e talvolta l’IP di origine: un pattern di connessioni ripetute da IP sconosciuti in rapida sequenza è quasi sempre uno scanner automatico, non un giocatore. Alcuni router permettono di consultare i log del traffico NAT direttamente dal pannello di amministrazione, utile per capire se il traffico in ingresso arriva davvero al dispositivo giusto o viene scartato prima. Per chi gestisce più server o vuole un controllo continuo, strumenti di monitoraggio di rete più completi permettono di impostare avvisi automatici quando il volume di connessioni supera una soglia normale, un segnale utile prima che un problema di sicurezza diventi un problema di disponibilità.
Alternative quando la porta 25565 resta bloccata
Se dopo tutti i controlli la porta resta irraggiungibile, di solito il problema non è nella configurazione ma nella rete a monte, e in quel caso continuare a modificare il router è tempo perso. Le opzioni pratiche sono poche ma concrete.
Puoi richiedere all’ISP un IP pubblico dedicato: molti operatori lo offrono su richiesta, a volte con un costo aggiuntivo mensile. In alternativa, un servizio di tunnel esposto verso internet permette di raggiungere un server dietro CGNAT senza modificare nulla sulla rete domestica, anche se introduce una latenza aggiuntiva e spesso un limite di banda nei piani gratuiti. Una terza strada è affittare un VPS economico su cui installare il server, mantenendo il controllo completo della macchina ma delegando la connettività a un provider con IP pubblico nativo. Ciascuna di queste soluzioni comporta compromessi diversi tra costo, latenza e complessità di gestione, e nessuna è oggettivamente superiore alle altre in assoluto.
L’ultima opzione, spesso la più semplice per chi non vuole gestire reti o VPS, è passare a un hosting gestito che fornisce già IP pubblico, protezione e pannello di controllo pronti all’uso.
Cosa dice davvero l’esperienza su porte, router e hosting
La sensazione comune è che aprire una porta sia un problema tecnico da risolvere una volta e basta. Non è così: è una manutenzione continua, perché router che si aggiornano da soli, IP che cambiano e provider che modificano le proprie policy di rete possono rompere una configurazione che funzionava perfettamente da mesi. La checklist di questo articolo risolve il problema del momento, ma non elimina la fragilità di fondo di una connessione domestica pensata per navigare, non per fare da server pubblico. Chi ospita solo per un piccolo gruppo di amici, con connessione stabile e router recente, può tranquillamente restare sul self-hosting. Chi invece punta a una community più grande, o è già passato due volte per lo stesso problema di CGNAT, farebbe bene a considerare che il tempo perso a debuggare il router ha un costo reale, anche se non compare in nessuna bolletta.
— Fabio Turi
Quando conviene un hosting gestito invece del port forwarding
Se il tuo ISP usa CGNAT, se il router continua a perdere la regola dopo ogni riavvio, o se semplicemente non vuoi più gestire firewall e IP statici, un hosting gestito risolve il problema alla radice: niente porte da aprire, perché il server ha già un IP pubblico proprio.
AtomSync offre server con protezione DDoS integrata e un alto livello di uptime, per garantire stabilità della connettività e protezione contro attacchi associati al port forwarding. La gestione avviene tramite un pannello Pterodactyl personalizzato, progettato per facilitare le operazioni di backup, gestione di plugin e file di configurazione. Il supporto è disponibile via Discord nei giorni lavorativi, con assistenza diretta in italiano.
Puoi vedere piani e prezzi per il server Minecraft hosting di AtomSync, oppure consultare la pagina generale dei server di gioco se stai valutando anche altri titoli oltre a Minecraft. Non ci sono vincoli contrattuali e hai una garanzia di rimborso di 48 ore per provare il servizio senza rischi.
Fonti
Per approfondire comandi firewall, gestione del CGNAT e configurazioni specifiche dei router, consulta le guide pratiche su port forwarding e server Minecraft e l’analisi dedicata alle soluzioni per reti dietro CGNAT.
- Come impostare il port forwarding per i server Minecraft Java o Bedrock - TechBriefly IT
- Minecraft Server Behind CGNAT: Hosting and Tunnel Options | MineFixTools
- Port forwarding risks and best practices | Splashtop blog
Domande frequenti
Qual è la differenza tra porte TCP e UDP?
TCP garantisce la consegna ordinata dei pacchetti ed è usato da Minecraft Java sulla porta 25565; UDP è più veloce ma senza garanzia di consegna, ed è usato da Minecraft Bedrock sulle porte 19132-19133.
A cosa serve la porta 21 TCP?
La porta TCP riservata al protocollo FTP per il trasferimento di file non ha alcun collegamento con i server di gioco o con la porta 25565.
A cosa serve la porta 23 TCP?
La porta TCP usata dal protocollo Telnet per l’accesso remoto a dispositivi di rete è un uso ormai raro per motivi di sicurezza e non correlato ai server Minecraft.
Quali porte usa PS5 per il multiplayer online?
PS5 utilizza principalmente porte TCP e UDP per i servizi di rete PlayStation, diverse dalla porta 25565 usata specificamente dai server Minecraft Java.
Perché la porta 25565 rimane chiusa anche dopo la configurazione?
Il motivo più frequente è il CGNAT: se l’IP WAN del router è privato, l’inoltro non funziona e serve contattare l’ISP o passare a un hosting come AtomSync con IP pubblico già incluso.
Devo aprire sia TCP che UDP per la porta 25565?
Per Minecraft Java basta il TCP; l’UDP è necessario solo se ospiti anche o esclusivamente un server Bedrock sulle sue porte dedicate 19132-19133.