lI dominio .lan potrebbe diventare pubblico: i rischi per router e reti aziendali

ICANN ha ricevuto una candidatura per liberalizzare dominio .lan. Ecco cosa potrebbe cambiare e quali sono i rischi per le infrastrutture locali.

L’estensione .lan è da sempre uno dei suffissi informali più diffusi per identificare router, dispositivi IoT e server all’interno delle reti locali private. Utilizzato per assegnare identificatori mnemonici ai dispositivi interni senza dover registrare un effettivo dominio su Internet, questo suffisso gestito dai router o da server DNS locali potrebbe presto cambiare natura.

All’interno della nuova tornata di assegnazione dei domini di primo livello (TLD) avviata da ICANN nel 2026, è stata depositata una richiesta ufficiale per trasformare .lan in un TLD globale e liberamente accessibile sul web. Questo scenario apre importanti interrogativi sulla sicurezza e sulla stabilità delle reti domestiche e aziendali che fanno affidamento su questa estensione per i propri servizi interni.

La candidatura ICANN del 2026 e il caso del dominio .lan
Perché il .lan è così usato nelle reti locali e perché manca di tutela
Name Collision: i rischi concreti per router e reti private
L’alternativa ufficiale di ICANN: il dominio .internal

La candidatura ICANN del 2026 e il caso del dominio .lan

Come avevamo visto nell’articolo “Brand TLD: un’opportunità strategica irripetibile per il tuo marchio”, ICANN (Internet Corporation for Assigned Names and Numbers), l’organizzazione no-profit internazionale che coordina il sistema dei nomi di dominio e garantisce il funzionamento del DNS globale, ha dato il via nel 2026 a una nuova fase di richieste per l’assegnazione dei domini di primo livello.

Il programma ha raccolto l’interesse di numerose aziende tecnologiche mondiali: tra le proposte avanzate figurano ad esempio Google con l’estensione .browser, OpenAI con .openai e .chatgpt, e Meta con .facebook.

Tra queste richieste è emersa la candidatura per il TLD .lan, avanzata dalla società statunitense Coffee Danger. L’istanza si trova attualmente nella fase di Pre-Evaluation Processing, il che significa che il dominio non è stato ancora approvato né reso disponibile per la registrazione di indirizzi pubblici, ma il solo fatto che un suffisso capillarmente usato nelle reti private possa essere commercializzato all’esterno genera forte apprensione tra amministratori di rete e specialisti d’infrastruttura.

Perché il .lan è così usato nelle reti locali e perché manca di tutela

Nelle configurazioni di rete locale, .lan viene impiegato per accedere in modo rapido e intuitivo a dispositivi interni, come router (router.lan), server NAS (nas.lan), videocamere di sicurezza (camera.lan) o applicativi di gestione (gestionale.lan). La risoluzione di questi nomi viene effettuata direttamente dai server DNS locali o dai router (ad esempio tramite servizi come dnsmasq), mantenendo il traffico confinato all’interno della rete senza interrogare il DNS radice globale.

Nonostante l’ampia adozione tecnica, l’estensione .lan non è mai stata riservata formalmente da ICANN per l’uso privato. Per questo motivo, la sua capillare diffusione nelle infrastrutture locali non le garantisce alcuna protezione giuridica o tecnica nei confronti di una possibile delegazione nel sistema DNS pubblico.

Name Collision: i rischi concreti per router e reti private

Se la gestione di .lan venisse assegnata sul mercato pubblico, si innescherebbe il fenomeno che ICANN definisce name collision (collisione tra nomi). La collisione si verifica quando un nome di dominio concepito per rimanere confinato in una rete privata viene invece intercettato ed elaborato da un sistema di risoluzione pubblico.

I rischi principali derivanti da questo scenario comprendono:

• Reindirizzamento verso host esterni sconosciuti: Se un dispositivo mobile o un laptop viene spostato all’esterno della rete aziendale, se una VPN non veicola correttamente le query DNS interne o se il client utilizza server DNS pubblici, la richiesta per gestionale.lan non raggiungerà il resolver locale. Qualora un soggetto terzo avesse registrato quel medesimo nome su Internet, l’utente verrebbe reindirizzato verso un server remoto esterno totalmente estraneo alla rete aziendale.
• Fuga di informazioni e metadati riservati (DNS Leakage): Anche in assenza di un collegamento diretto al server esterno, le interrogazioni DNS in uscita indirizzate a nomi interni come backup.lan, nas.lan o vpn.lan rivelano a terzi l’infrastruttura di rete, le convenzioni di denominazione e la natura dei servizi interni attivi.
• Interruzione dei servizi e vulnerabilità nei protocolli datati: Nei collegamenti cifrati HTTPS, ladiscrepanza del certificato TLS produrrà un errore di sicurezza bloccandola connessione. Al contrario, gli applicativi legacy che utilizzano protocolli non cifrati o che non eseguono verifiche rigorose sull’identità del server potrebbero esporre credenziali d’accesso e informazioni riservate ad host remoti.

L’alternativa ufficiale di ICANN: il dominio .internal

Per risolvere la problematica delle collisioni dei nomi nelle reti private, a luglio 2024 il consiglio direttivo di ICANN ha approvato la riserva permanente dell’estensione .internal. Questo TLD è stato designato in modo esclusivo per le applicazioni interne, con la garanzia che non verrà mai delegato nella zona radice del DNS pubblico.

Se da un lato ICANN ha formalmente riconosciuto la necessità di proteggere le reti private con .internal, dall’altro tale riserva non si estende automaticamente agli altri suffissi utilizzati per prassi consolidata, come appunto .lan.

Per prevenire potenziali disservizi e problemi di sicurezza, le organizzazioni e gli amministratori di rete dovrebbero valutare fin da ora la pianificazione di una migrazione dei propri servizi interni verso la TLD riservata .internal oppure verso sottodomini appartenenti a domini pubblici regolarmente registrati.