Traceroute: Impariamo uno dei comandi fondamentali

Una pagina web non si apre, una VPN sembra lenta o un servizio risponde solo a tratti. Il problema è nel computer, nel router locale, nel provider o vicino alla destinazione? traceroute su Linux e tracert su Windows aiutano a formulare un’ipotesi mostrando quali dispositivi rispondono lungo il percorso. Il risultato, però, non è una radiografia completa della rete: va letto come una serie di indizi.

Prima del comando: quale domanda vuoi verificare?

Traceroute è utile quando la domanda è precisa. «Internet è lento» è troppo generico; «la risposta peggiora sempre dopo l’uscita dalla rete aziendale?» oppure «IPv4 e IPv6 seguono comportamenti diversi?» sono ipotesi verificabili. Prima della traccia controlla quindi le basi: indirizzo IP locale, gateway, risoluzione DNS e raggiungibilità della destinazione.

Una singola esecuzione descrive soltanto ciò che ha risposto in quel momento, dalla tua sorgente e con quel tipo di sonda. Il percorso può cambiare per bilanciamento, politiche di routing o guasti temporanei. Per questo una traccia diventa più utile quando viene confrontata con una misura precedente, con un’altra sorgente o con un protocollo diverso.

Il meccanismo: TTL e ICMP Time Exceeded

Ogni pacchetto IPv4 contiene un campo chiamato TTL, Time To Live. Nonostante il nome, nell’uso ordinario non rappresenta un cronometro: limita il numero di router che il pacchetto può attraversare. Ogni router riduce il valore almeno di uno. Se il valore arriva a zero durante l’inoltro, il pacchetto viene scartato e il router normalmente restituisce al mittente un messaggio ICMP Time Exceeded.

Questo limite impedisce a un pacchetto di circolare indefinitamente in presenza di un loop di routing. Traceroute usa lo stesso meccanismo in modo controllato:

1. invia una sonda con TTL 1, che scade al primo router;
2. invia una nuova sonda con TTL 2, che può raggiungere il secondo router;
3. continua aumentando il TTL finché riceve una risposta dalla destinazione o raggiunge il limite configurato.

L’indirizzo mostrato per un hop è quello dell’interfaccia che ha generato la risposta ICMP. Non è necessariamente il nome “principale” del router e non rivela tutti i dispositivi attraversati. Tunnel, MPLS, filtri e apparati che non rispondono possono rendere alcuni passaggi invisibili.

Windows: iniziare con tracert

Su Windows lo strumento è già disponibile e usa normalmente richieste ICMP Echo con TTL crescente. Apri il Prompt dei comandi e prova una destinazione che sei autorizzato a contattare:

tracert example.com

Per una prima diagnosi conviene disattivare la risoluzione dei nomi. In questo modo eventuali attese DNS non vengono confuse con la misura del percorso:

tracert -d example.com

Le opzioni più utili all’inizio sono poche:

• -d mostra gli indirizzi senza cercare i nomi DNS;
• -h 15 limita, nell’esempio, la ricerca a 15 hop;
• -w 2000 attende al massimo 2.000 millisecondi per ciascuna risposta;
• -4 o -6 forza rispettivamente IPv4 o IPv6.

Windows offre anche opzioni più specialistiche. Per esempio -R riguarda IPv6 e usa l’estensione di routing per verificare il percorso inverso: non va interpretato come una misura universale e garantita del tragitto di ritorno. Le opzioni di source routing hanno inoltre un’utilità limitata nelle reti moderne e spesso vengono ignorate o bloccate.

Linux: traceroute e i diversi tipi di sonda

Su Linux il comando può dover essere installato tramite il gestore pacchetti della distribuzione. Verifica prima la sintassi della versione presente:

traceroute --version
traceroute --help

La modalità tradizionale usa datagrammi UDP diretti a porte normalmente non utilizzate. La destinazione, quando viene raggiunta, può rispondere con ICMP Port Unreachable; questa risposta segnala al programma che la traccia è arrivata in fondo.

traceroute -n example.com

L’opzione -n evita la risoluzione DNS. Se il percorso si interrompe perché UDP è filtrato, puoi confrontare il risultato con una modalità diversa, sempre nel perimetro autorizzato:

traceroute -I -n example.com
traceroute -T -p 443 -n example.com

-I usa ICMP Echo; -T usa sonde TCP SYN e, nell’esempio, la porta 443. Permessi e comportamento dipendono dalla versione del programma, dal kernel e dalla configurazione del sistema: non è corretto affermare che una modalità richieda sempre o non richieda mai privilegi elevati.

Per mantenere una prova breve e facilmente confrontabile puoi limitare hop, attesa e numero di sonde:

traceroute -n -m 15 -w 2 -q 1 example.com

Qui -m 15 imposta il massimo TTL, -w 2 limita l’attesa e -q 1 invia una sola sonda per hop. Per una misura più stabile, le tre sonde predefinite sono generalmente più informative. Le opzioni -4 e -6 permettono invece di confrontare esplicitamente i due protocolli.

Come leggere una riga dell’output

 4  192.0.2.18  12.4 ms  11.8 ms  13.1 ms

Il primo numero è l’hop, poi compare l’indirizzo del dispositivo che ha risposto e infine il RTT, il tempo di andata e ritorno della singola sonda. Tre valori diversi non indicano tre collegamenti: sono tre misure verso lo stesso livello di TTL.

Il RTT di un hop non misura esclusivamente la latenza del tratto appena attraversato. Include andata, ritorno, accodamenti e tempo impiegato dal router per generare la risposta. Un router può inoltre dare bassa priorità ai messaggi ICMP pur inoltrando normalmente il traffico degli utenti.

Che cosa significa un asterisco?

 7  *  *  *

L’asterisco dice soltanto che la risposta attesa non è arrivata entro il timeout. Le cause possibili includono un filtro, un limite alla frequenza dei messaggi ICMP, una risposta persa, un percorso di ritorno differente o un dispositivo configurato per non rispondere. Non dimostra da solo né un firewall né un guasto.

Se gli hop successivi e la destinazione rispondono, quel punto sta continuando a inoltrare i pacchetti: è soltanto poco visibile alla misura. Se invece da un certo hop in poi non arriva più nulla, puoi formulare un’ipotesi, ma devi confermarla con altri controlli.

Perché possono comparire indirizzi diversi allo stesso hop?

Le sonde possono attraversare percorsi diversi a causa del bilanciamento del traffico. Traceroute tradizionale varia alcuni campi dei pacchetti e una rete può assegnare flussi diversi a collegamenti diversi. Anche il percorso di ritorno delle risposte può essere differente da quello di andata. La sequenza non deve quindi essere letta automaticamente come una singola catena fisica stabile.

Un laboratorio sicuro e ripetibile

Usa il tuo computer, il gateway della tua rete e example.com, dominio riservato alla documentazione. Non servono scansioni né privilegi amministrativi per la prova di base.

1. Registra il contesto. Annota data, ora, connessione usata, presenza di VPN e destinazione.
2. Controlla il nome. Verifica che la destinazione venga risolta. Se sospetti il DNS, usa anche la modalità numerica -d o -n.
3. Esegui una traccia di base. Salva l’output senza modificarlo.
4. Ripeti una sola volta. Confronta indirizzi, hop e tempi. Una differenza occasionale non è automaticamente un’anomalia.
5. Confronta IPv4 e IPv6. Solo se entrambi sono disponibili, usa -4 e -6.
6. Su Linux confronta due metodi. Se la modalità UDP si ferma, prova ICMP; usa TCP soltanto verso una porta e una destinazione consentite.

Risultato atteso: devi saper indicare fino a quale hop ricevi risposte, se la destinazione è raggiunta e quali differenze sono osservabili tra le prove. Non devi attribuire la causa del problema basandoti su una sola riga.

Ripristino e pulizia: il laboratorio non modifica configurazioni di rete. Chiudi il terminale ed elimina gli output se contengono indirizzi interni o nomi che non vuoi condividere. Se hai disattivato una VPN soltanto per il confronto, riattivala secondo la configurazione iniziale.

Dal risultato alla diagnosi

Un metodo semplice evita conclusioni premature:

1. Osserva: la destinazione risponde? Dove iniziano a mancare risposte? Il comportamento è costante?
2. Confronta: ripeti dalla stessa sorgente, poi confronta protocollo, famiglia IP o una sorgente autorizzata differente.
3. Isola: verifica separatamente DNS, gateway, servizio applicativo e raggiungibilità IP.
4. Conferma: usa log del firewall, monitoraggio del router o informazioni del provider quando sono disponibili.
5. Documenta: conserva comando, orario, sorgente, destinazione e output. Senza contesto la traccia perde gran parte del suo valore.

Se tutti gli hop mostrano tempi elevati e anche la destinazione resta lenta, esiste un segnale da approfondire. Se un hop intermedio risponde lentamente ma quelli successivi e la destinazione tornano normali, è più probabile che quel router stia limitando le risposte diagnostiche. Se la traccia raggiunge la destinazione ma l’applicazione non funziona, il problema può trovarsi a livello DNS, TLS, autenticazione o servizio: traceroute non verifica l’applicazione.

Limiti, evidenze e possibili errori

Traceroute produce evidenze riproducibili soltanto se registri condizioni e comandi. NAT, MPLS, tunnel, firewall, routing asimmetrico, bilanciamento e rate limiting riducono la copertura. Una risposta proviene inoltre dall’interfaccia scelta dal router per il messaggio ICMP, non necessariamente da quella attraversata dalla sonda.

Non esiste una mitigazione universale basata sul solo output. In un’attività di troubleshooting, le azioni difensive corrette sono ridurre la frequenza delle prove, verificare i log degli apparati sotto il proprio controllo e condividere con provider o amministratori un’evidenza completa, senza presentare ipotesi come fatti. Un apparente “hop problematico” può essere un falso positivo.

Glossario

Hop

Un passaggio logico attraverso un router lungo il percorso.

TTL

Campo IPv4 ridotto dai router; impedisce che un pacchetto circoli senza fine. In IPv6 la funzione equivalente si chiama Hop Limit.

ICMP

Protocollo usato per comunicare informazioni ed errori relativi al funzionamento della rete IP.

RTT

Round Trip Time: tempo tra l’invio della sonda e la ricezione della relativa risposta.

Routing asimmetrico

Situazione in cui traffico di andata e ritorno segue percorsi differenti.

Rate limiting

Limitazione della frequenza con cui un dispositivo produce o inoltra determinate risposte.

Cosa ricordare

• Traceroute sfrutta TTL o Hop Limit crescenti per ottenere risposte dai diversi livelli del percorso.
• tracert usa normalmente ICMP; traceroute su Linux usa tradizionalmente UDP ma può usare anche ICMP o TCP.
• Un asterisco significa “nessuna risposta entro il timeout”, non “guasto dimostrato”.
• Il RTT di un hop non equivale alla latenza del singolo collegamento.
• Una traccia è un indizio contestualizzato, non una mappa completa né una diagnosi definitiva.

Fonti essenziali

Fonti primarie consultate e verificate il 12 ottobre 2026.

• Linux man-pages — traceroute(8)
• Microsoft Learn — tracert
• RFC 1812 — Requirements for IP Version 4 Routers