Risposta rapida: la LAN è il dominio locale, fatto di switch, prese e indirizzi privati, e la si amministra in proprio; la WAN è il collegamento verso l’operatore, con indirizzi pubblici o condivisi e regole imposte dall’esterno. Il confine è la porta WAN del router, dove stanno NAT e firewall. Il cavo Ethernet appartiene solo alla LAN e resta limitato a 100 m di canale, con 940 Mbit/s netti come riferimento pratico su 1000BASE-T. Un guasto lento in LAN si cerca tra cavo, presa e negoziazione; un guasto lento verso Internet si cerca nel profilo contrattuale e nella congestione.
La confusione tra LAN e WAN produce diagnosi sbagliate: si cambia cavo quando il collo di bottiglia è il profilo contrattuale, o si accusa l’operatore quando è una porta dello switch a negoziare a 100 Mbit/s. Separare i due domini significa sapere chi gestisce cosa e dove finisce la propria responsabilità. La distinzione non è accademica: cambia il modo di misurare, gli strumenti da usare e il referente a cui rivolgersi quando il problema non si risolve in casa.
LAN e WAN: due domini, due proprietari
La LAN comprende tutto ciò che sta a valle del router: switch, prese, access point, cavi, indirizzi assegnati dal DHCP locale. La WAN è il tratto che porta il traffico fuori dall’edificio, su fibra, coassiale o doppino, ed è configurata dall’operatore con parametri che l’utente non controlla. Il confine fisico è la porta contrassegnata WAN o Internet; tutto il resto è territorio locale, compreso il cavetto per internet che collega un dispositivo a una presa.
Indirizzi e NAT: cosa vede chi sta dentro
Dentro la LAN si usano indirizzi privati, che non sono instradabili su Internet: 192.168.x.x, 10.x.x.x, 172.16-31.x.x. Il router traduce questi indirizzi in uno pubblico quando il traffico esce, e ricorda a chi restituire le risposte. Se l’operatore assegna a sua volta un indirizzo condiviso, si aggiunge un secondo livello di traduzione e alcune funzioni, come l’apertura di una porta dall’esterno, smettono di funzionare.
| Dominio | Gestione | Indirizzi | Mezzo tipico | Dispositivo di confine |
|---|
| LAN | utente o azienda | privati, DHCP locale | rame Cat 5e/6, fibra | switch, presa RJ45 |
| WAN | operatore | pubblici o condivisi | GPON, coassiale, doppino | ONT, modem |
| WLAN | utente o azienda | privati, ponte sul router | radio 2,4 e 5 GHz | access point |
| VPN | amministratore | sottorete dedicata | tunnel su WAN | gateway o client |
Il doppio NAT è la causa più frequente di problemi con telecamere, console e accessi remoti: la porta risulta aperta sul router locale ma chiusa sul dispositivo dell’operatore. La verifica parte dal confronto tra l’indirizzo sulla porta WAN e quello restituito da un servizio esterno.
Porte, firewall e regole di attraversamento
Il firewall filtra in base a porte e protocolli, e la sua politica predefinita è chiudere in ingresso. Un servizio interno diventa raggiungibile solo con una regola esplicita di inoltro, che lega porta esterna, indirizzo privato e porta interna. Se l’indirizzo privato cambia, la regola punta nel vuoto: serve una prenotazione DHCP o un indirizzo statico.
Il rame dentro la LAN: schermatura e percorso
Nella LAN il cavo è l’unico elemento che l’utente sceglie davvero. La schermatura ha senso quando il percorso costeggia linee di potenza o inverter, e solo se le prese sono collegate a terra: un cavo Ethernet schermato senza continuità di terra peggiora la situazione invece di migliorarla.
Percorso fisico e collo di bottiglia
La LAN ha un limite geometrico preciso: 100 m di canale, di cui 90 m di tratta fissa e 10 m di patch. Oltre, il segnale non arriva con margine sufficiente e servono uno switch intermedio o una fibra. Un impianto fatto bene prevede un cavo Ethernet nel muro verso ogni presa, con patch cord corte e sostituibili: è l’unico modo per distinguere un guasto di cavo da un limite di apparato. Con 1000BASE-T il throughput reale si attesta intorno a 940 Mbit/s netti, regola pratica utile per non cercare prestazioni che il protocollo non consente.
Casi pratici
- Situazione: speed test a 300 Mbit/s su linea da 2,5 Gbit/s. Controllare la porta WAN, poi il cavo: la LAN raramente è il primo sospetto.
- Situazione: telecamera non raggiungibile dall’esterno. Verificare se l’indirizzo WAN è condiviso: con doppio NAT l’inoltro porta non basta.
- Situazione: due PC sullo stesso switch si vedono, uno non esce su Internet. Il guasto è sul gateway o sul DNS, non nel cavo locale.
- Situazione: presa a 40 m dal router che negozia a 100 Mbit/s. Misurare il canale: spesso è un connettore mal crimpato, non la lunghezza.
FAQ
La porta WAN può essere usata come porta LAN?
Su alcuni router sì, assegnandola a uno switch virtuale o convertendola in modalità access point. In quel caso il dispositivo smette di fare routing e NAT, e l’indirizzamento passa al router a monte. È una soluzione corretta quando serve una presa in più e non si vuole un secondo livello di traduzione.
Perché la velocità è alta in LAN e bassa verso Internet?
Perché sono due tratte diverse con due tetti diversi. La LAN può viaggiare a 940 Mbit/s netti o a 2,5 Gbit/s, mentre la WAN è limitata dal profilo dell’operatore e dalla congestione. Un test interno alto e uno esterno basso indicano che l’impianto locale è sano e il limite è a monte.
Serve un firewall separato in una rete domestica?
Di norma basta quello del router, che già separa LAN e WAN con NAT e chiude le porte in ingresso. Un apparato dedicato diventa utile con più segmenti, regole per singoli dispositivi o server esposti. In quel caso la LAN viene segmentata e il firewall diventa il nuovo confine tra i domini.
