Aller au contenu principal
NUKOE

VPN domestico con WireGuard su Raspberry Pi: guida facile

• 8 min •
Un Raspberry Pi configuré en serveur VPN WireGuard, prêt à sécuriser vos connexions.

Sei in viaggio, connesso al Wi-Fi di un hotel o di uno spazio di coworking, e ti accorgi che alcuni siti sono bloccati – o peggio, che il tuo traffico potrebbe essere intercettato. La soluzione? Un VPN personale, ospitato a casa tua, su un Raspberry Pi, utilizzando il protocollo WireGuard. A differenza dei servizi VPN commerciali, mantieni il controllo totale dei tuoi dati e della configurazione. E soprattutto, è molto più semplice da configurare di quanto pensi.

Perché un VPN personale invece di un servizio a pagamento?

I VPN commerciali promettono anonimato e sblocco geografico, ma presentano due grossi svantaggi: vedono tutto il tuo traffico e sono spesso bloccati dai firewall più restrittivi. Configurando il tuo server VPN su un Raspberry Pi a casa, ottieni una connessione crittografata verso la tua abitazione, come se fossi sulla tua rete locale. Come sottolinea un articolo del blog di Jeff Geerling, questo permette di accedere al tuo NAS, al server di editing o a qualsiasi altro servizio locale dall'esterno, senza esporre porte sensibili. Inoltre, questo tipo di VPN personale, basato su WireGuard, è molto più difficile da bloccare perché utilizza una singola porta UDP e può persino essere mascherato come traffico HTTPS.

Materiale necessario e preparazione

Per iniziare, ti serve:

  • Un Raspberry Pi (modello 3B+ o superiore; un Pi 4 o 5 è consigliato per prestazioni migliori)
  • Una scheda microSD (16 GB sono sufficienti)
  • Un alimentatore stabile
  • Una connessione internet cablata preferibilmente (il Wi-Fi può funzionare, ma l'Ethernet è più affidabile)
  • Un nome di dominio o un indirizzo IP pubblico (fisso se possibile, altrimenti un DDNS)

Installa Raspberry Pi OS Lite (senza interfaccia grafica) sulla scheda SD, attiva SSH e connettiti. Aggiorna il sistema con `sudo apt update && sudo apt upgrade -y`.

Installazione di PiVPN: lo strumento che semplifica tutto

Invece di configurare WireGuard manualmente, usa PiVPN, uno script di installazione che automatizza la creazione del server e la generazione dei file di configurazione dei client. Il vantaggio? Gestisce anche le regole del firewall, il routing e persino l'integrazione con indirizzi IP dinamici tramite un servizio DDNS. Il forum Level1techs ricorda inoltre l'importanza di configurare correttamente iptables affinché il VPN possa accedere a Internet limitando l'accesso alla rete locale se necessario.

Esegui il comando: `curl -L https://install.pivpn.io | bash`

Segui le istruzioni a schermo: scegli WireGuard come protocollo, seleziona l'interfaccia di rete (preferibilmente eth0), imposta una porta (quella predefinita 51820 va bene) e configura il DNS (ad esempio 1.1.1.1 o quello del tuo ISP). Una volta completata l'installazione, genera un profilo client con `pivpn add` ed esporta il file `.conf`.

Configurazione del router: il passo cruciale

Affinché il tuo VPN sia accessibile dall'esterno, devi aprire la porta UDP 51820 sul router e reindirizzarla all'indirizzo IP locale del Raspberry Pi. Questo passaggio è spesso il più delicato, poiché ogni router ha un'interfaccia diversa. Consulta la documentazione del tuo dispositivo o usa UPnP se ti fidi della tua rete locale. Senza questo reindirizzamento, il traffico in entrata non potrà raggiungere il tuo server VPN.

> Insidia da evitare: se il tuo ISP utilizza CGNAT (indirizzo IP condiviso), non potrai aprire una porta direttamente. In tal caso, usa un VPS economico come relay o un servizio di tunneling (come Tailscale, che utilizza WireGuard internamente).

Connessione da qualsiasi luogo

Una volta esportato il profilo, installa l'app WireGuard sul tuo smartphone, tablet o laptop. Importa il file `.conf` e attiva la connessione. Ora dovresti avere accesso alla tua rete domestica come se fossi lì. Gli utenti di Reddit confermano che questo metodo funziona anche in ambienti molto restrittivi come le università, dove i VPN commerciali sono spesso bloccati. Il protocollo WireGuard, leggero e veloce, consente una connessione quasi istantanea.

Miti e realtà del VPN fai-da-te

Mito: È troppo complicato per un non informatico.

Realtà: Con PiVPN, l'installazione richiede circa venti minuti. La parte più difficile è la configurazione del router, ma una volta impostato, tutto funziona senza interventi.

Mito: Un Raspberry Pi non è abbastanza potente per fare da VPN.

Realtà: WireGuard è estremamente leggero. Anche un Pi 3 può gestire più connessioni simultanee senza rallentamenti. Un Pi 4 o 5 può raggiungere velocità vicine al gigabit, più che sufficienti per un uso personale.

Mito: I VPN personali sono meno sicuri dei servizi commerciali.

Realtà: Con WireGuard, benefici di una crittografia all'avanguardia (Curve25519, ChaCha20, Poly1305). Il rischio principale deriva dalla tua configurazione: non esporre la porta inutilmente, usa chiavi forti e aggiorna regolarmente il sistema.

Risoluzione dei problemi e suggerimenti avanzati

  • Problema di connessione: Verifica che la porta sia effettivamente aperta con uno strumento come `canyouseeme.org`. Controlla anche che il firewall del Pi permetta il traffico WireGuard.
  • Accesso alla rete locale: Per impostazione predefinita, PiVPN consente l'accesso alla sottorete locale. Se vuoi isolare il client VPN dal resto della LAN, modifica le regole iptables come discusso sul forum Level1techs.
  • Client multipli: Genera un profilo per dispositivo con `pivpn add`. Ogni client ha la propria chiave privata, consentendo di revocare un accesso individualmente.
  • Prestazioni: Usa un cavo Ethernet per il Pi ed evita il Wi-Fi per il server. Sul client, il Wi-Fi può essere usato senza problemi.

Sicurezza aggiuntiva

Per rafforzare la sicurezza, puoi:

  • Disabilitare l'accesso SSH al Pi dall'esterno (usa il VPN solo per l'amministrazione remota)
  • Impostare un firewall con `ufw` o `iptables` per limitare le connessioni in entrata alla sola porta WireGuard
  • Attivare gli aggiornamenti automatici con `unattended-upgrades`
  • Usare un reverse proxy come Nginx se vuoi esporre servizi web dietro il VPN

E se non hai una connessione fissa?

Se la tua abitazione non ha un indirizzo IP pubblico (CGNAT), hai due opzioni:

  1. Usare un VPS: Noleggia un server presso un provider (DigitalOcean, Linode) e installa WireGuard su di esso. Avrai un IP fisso, ma il traffico passerà attraverso un terzo. Script come Algo (menzionato sul forum GL.iNet) automatizzano questa installazione.
  2. Usare Tailscale: Questo servizio gratuito per uso personale crea una rete mesh basata su WireGuard, senza necessità di aprire porte. È una soluzione intermedia tra il VPN casalingo e il servizio commerciale.

Il futuro del VPN personale

Con l'aumento delle restrizioni di rete (censura, blocchi geografici, filtri in aziende e università), il VPN personale diventa uno strumento indispensabile per professionisti in mobilità e privati attenti alla privacy. WireGuard, ora integrato nel kernel Linux, è destinato a diventare lo standard de facto per le connessioni VPN. E grazie a progetti come PiVPN, la sua democratizzazione è in corso.

Allora, sei pronto a riprendere il controllo del tuo accesso a Internet? Il tempo di configurazione è minimo, ma la libertà che offre è immensa.

Per approfondire