La GUI del modem Zyxel è raggiungibile da Internet?

ideandro i comandi PING e TRACEROUTE, sono comunque in grado di raggiungere l'indirizzo IP, ma è giusto così, visto che comunque il supporto tecnico deve poter accedere

Immagino si possa disabilitare la risposta al comando ping dal firewall del router.

Il problema che hai segnalato richiede di poter accedere all'interfaccia web del router: se attualmente, come è giusto che sia, è accessibile solo da LAN, non è così grave (concordo che sarebbe meglio risolvere sempre questi bug di sicurezza).

Ottieni un ulteriore livello di "protezione" (collaterale, come dice @[cancellato], perché il NAT non è un firewall, non smetteremo mai di dirlo) se il provider offre CG-NAT, ma al prezzo di non poter accedere da remoto alla tua rete (un tuo server VPN) e di non aprire le porte (che per alcune applicazioni è ancora necessario).
Ti condivido un link interessante per testare la sicurezza del router (https://www.grc.com/shieldsup), ma devo fare alcune premesse importanti per evitare false preoccupazioni

• il fatto che risponda o meno ai pacchetti ICMP (ping) non è un problema;
• non ci sono differenze di sicurezza fra porta stealth e closed (nel primo caso non rispondono proprio, nel secondo caso rispondono dicendo di essere chiuse).
• questo genere di test non è assolutamente rischioso, verifica solo l'apertura o meno di alcune porte (che potresti fare manualmente da https://www.yougetsignal.com/tools/open-ports/) e verifica che UPnP lato WAN non sia attivo (in alcune versioni di router molto vecchie era possibile aprire porte da remoto, ovviamente questo problema è stato corretto da parecchi anni).

Se le porte 22 (ssh), 23 (telnet), 80 (http), 443 (https) sono chiuse, il tuo router non è raggiungibile dall'esterno sulle porte standard.

Credo che Tiscali usi TR-069 per le autoconfigurazioni, che se configurato bene da parte dell'ISP (autenticazione a chiavi pubbliche, se non sbaglio) è molto sicuro.

edofullo

Vero, ma non condivido la security-through-obscurity in questo caso.
Ritengo ICMP "aperto" accettabile (eventualmente con qualche regola per evitare burst di pacchetti troppo numerosi), mentre non mi piace la regola di REJECT sulle porte chiuse, favorendo DROP (così i SYN vengono ignorati senza generare pacchetti di RST).

stemax97 Vero, ma non condivido la security-through-obscurity in questo caso.

Certo, ma vista la sicurezza di molti apparati (soprattutto quelli vecchi) forse è meglio che non appaiano su shodan.

stemax97 mentre non mi piace la regola di REJECT sulle porte chiuse, favorendo DROP

yep