non_dormo Di fatto sto esponendo il mio IP verso l'esterno, corretto?
L'IP pubblico? È inevitabile, se vuoi essere collegato a internet devi per forza avere un IP pubblico, anche dietro CG-NAT hai un IP pubblico - mascherato dal NAT operatore (e questo implica maggiori difficoltà ad essere raggiunto dall'esterno, nel bene e nel male - ad esempio con certi servizi quali VoIP o certi giochi è un problema) e condiviso con n utenti (anche questo, nel bene e nel male - un utente che fa casini può danneggiare la "reputazione" dell'IP, che poi viene bloccato da certi servizi). Come detto, però, non fasciarti la testa perché hai un IP pubblico statico, non è un rischio particolare.
Anche con una VPN hai un IP pubblico - è quello al termine del tunnel VPN. Molti servizi bannano questi IP perché sono usati per bypassare le restrizioni che impongono, per motivi commerciali e legali. Il gestore del server VPN vede il tuo IP reale (e anche il tuo traffico, visto che deve decrittarlo per farlo uscire su internet...)
Tutto ciò che è direttamente esposto su internet può essere individuato, e se vulnerabile attaccato direttamente, anche se questo non è l'unico vettore di attacco. Se vieni compromesso in altro modo (es. sito web malevolo che sfrutta una vulnerabilità del browser), avere un IP pubblico statico o dinamico o essere in CG-NAT è irrilevante.
Per questo è meglio non avere servizi esposti se non necessari. Ad esempio se accedi al disco dall'esterno via protocollo SMB hai un rischio piuttosto elevato, SMB è sconsigliatissimo su internet per vari motivi, è da usare solo in LAN. Altri protocolli sono più o meno sicuri, poi dipende quanto bene li implementa l'applicazione esposta.
Come fanno tutti. Innanzi tutto un buon firewall configurato correttamente. Se è necessario accedere a servizi interni dall'esterno (applicazioni di gestione, condivisioni file), farlo tramite VPN, ma non quella che usi tu ora dall'interno verso l'esterno, ma una dall'esterno verso l'interno. Se è proprio necessario esporre servizi all'esterno senza VPN, allora oltre al firewall ci vorrebbero adeguate configurazioni - es. una DMZ (vera, posta fra due firewall), reverse proxy per le applicazioni web, hardening dei dispositivi che espongono i servizi, cifratura delle connessioni, ecc. ecc. Cosa fare effettivamente dipende da che rischio sei disposto ad accettare e dalla tua capacità di impostare le configurazioni corrette e monitorare lo stato dei sistemi per rilevare eventuali pericoli.
