Posso far girare una VPN su un VPS NAT, o mi serve un IP dedicato?

Ti serve un IP dedicato. Una VPN ascolta connessioni in entrata su una porta UDP e instrada il tuo traffico in uscita sotto l'IP del server — questo richiede il tuo IP pubblico e la capacità di aprire porte, che un piano NAT a IP condiviso non ti dà. Scegli un piano con IP dedicato per una VPN.

Una VPN WireGuard self-hosted è meglio di una VPN commerciale?

Per la privacy dalla tua rete e un tunnel personale veloce, sì — controlli il server e non c'è la questione dei log condivisi. Ma sii onesto sul compromesso: tutto il tuo traffico esce da un IP fisso che è chiaramente un server, quindi è ottima per la privacy e la flessibilità geografica, non per mescolarti nella folla. E c'è esattamente una località — la tua.

Quanto è veloce WireGuard su un VPS?

Veloce. WireGuard aggiunge pochissimo overhead, quindi otterrai di solito quasi la velocità di linea del server — molto più scattante dei vecchi setup OpenVPN. Su una piccola macchina la CPU è raramente il collo di bottiglia per un tunnel personale.

Una VPN ha bisogno di molta RAM o CPU?

No. Un tunnel WireGuard personale è leggero — una macchina da 1 GB / 2 core gestisce comodamente diversi dispositivi. WireGuard vive nel kernel e consuma pochissime risorse; paghi per la banda e l'IP, non per la potenza.

La mia VPN self-hosted terrà dei log?

Solo se li imposti — WireGuard stesso non logga connessioni o traffico. Dato che è il tuo server, decidi tu. È questo il fascino centrale: la promessa 'no-log' è qualcosa che imponi tu, non qualcosa di cui devi fidarti da un'azienda.

Fai self-hosting della tua VPN WireGuard su un VPS

C'è un particolare prurito che una VPN commerciale non gratta mai del tutto: ti stai comunque fidando della promessa 'no-log' di qualcun altro. Fare self-hosting di WireGuard ribalta la cosa — il server è tuo, le chiavi sono tue, e l'unica policy no-log che conta è quella che hai effettivamente configurato. È anche davvero veloce e richiede circa dieci minuti. Ecco tutto.

Prima, l'unico requisito che la gente manca

Una VPN ha bisogno di un IP dedicato — non di un piano NAT/IP condiviso. Il motivo è semplice: una VPN ascolta connessioni in entrata su una porta UDP e rispedisce il tuo traffico in uscita sotto l'indirizzo stesso del server. Questo richiede il tuo IP pubblico e la libertà di aprire porte. Una macchina NAT a IP condiviso (SSH su una porta inoltrata, nessuna entrata arbitraria) non può farlo. Quindi scegli un piano con IP dedicato prima di iniziare — tutto ciò che segue ne presuppone uno.

Non ha bisogno di essere grande, però. WireGuard è leggero: una macchina da 1 GB / 2 core fa il tunnel di diversi dispositivi senza battere ciglio. Paghi per l'IP e la banda, non per la CPU.

Installazione (il percorso facile)

Su una macchina Ubuntu/Debian nuova con IP dedicato, la via più rapida è il noto script helper wireguard-install, che gestisce chiavi, l'interfaccia e il primo client per te:

sudo apt update && sudo apt install -y curl
curl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh
sudo bash wireguard-install.sh

Fa un paio di domande (IP pubblico — di solito lo rileva da solo, porta, DNS), poi genera una config del client e la mostra come QR code. Ecco tutto il lato server.

Preferisci farlo a mano? La versione manuale è solo: apt install wireguard, genera una coppia di chiavi con wg genkey, scrivi /etc/wireguard/wg0.conf con il tuo [Interface] e un blocco [Peer] per dispositivo, abilita l'IP forwarding (net.ipv4.ip_forward=1), e systemctl enable --now wg-quick@wg0. Lo script fa questo per te senza refusi.

Connetti un dispositivo

Telefono: installa l'app WireGuard, tocca +, scansiona il QR code che lo script ha stampato. Fatto.
Laptop: installa WireGuard, importa il file .conf che lo script ha salvato. Attiva.

Per aggiungere un altro dispositivo, riesegui lo script e scegli "aggiungi un client" — ciascuno ottiene la propria config e chiave.

Non saltare: blinda la macchina

È una VPN, ma è comunque un server con un IP pubblico che viene scansionato. Dedica i cinque minuti alla checklist di sicurezza prima — chiavi SSH, niente login con password, un firewall che consente solo SSH e la tua porta UDP di WireGuard. Una VPN su una macchina non blindata è una contraddizione.

I compromessi onesti

Il self-hosting vince chiaramente su fiducia e velocità: il tuo server, le tue chiavi, il throughput quasi nativo di WireGuard, nessun log a meno che non li crei tu. Dove non vince:

Anonimato nella folla. Tutto il tuo traffico esce da un IP fisso che ovviamente appartiene a un server. È eccellente per la privacy dalla tua rete locale o dall'ISP e per un'uscita personale stabile — ma è l'opposto dello scomparire in un pool condiviso. Obiettivo diverso.
Una località. Ottieni la regione in cui è il tuo server, punto. Nessun salto tra paesi.
Sei tu l'admin. Aggiornamenti, uptime e gestione delle chiavi ora sono il tuo lavoro — che è esattamente il punto, ma è un lavoro.

Un'avvertenza da conoscere: in alcune reti, la DPI rileva e blocca il protocollo WireGuard del tutto. Se è la tua situazione, WireGuard non si connetterà comunque lo configuri — e la risposta è un protocollo che si traveste da normale traffico TLS. Vedi il tuo server VLESS/Xray per quando WireGuard viene bloccato.

Se ciò che vuoi è un tunnel veloce e privato che controlli completamente — per i tuoi dispositivi, il tuo traffico, senza fiducia in terze parti — WireGuard self-hosted è difficile da battere. Prendi un piano con IP dedicato (puoi pagare in crypto, no KYC), esegui lo script, scansiona il QR, e sei nel tunnel in circa dieci minuti.

Vedi anche: VPS per VPN — il quadro completo — quale piano scegliere, cosa eseguire, ed esattamente quando è richiesto un IP dedicato.

Pronto a configurarlo? Il piano più economico Nano-IP ($8/mese) ti dà l'IP dedicato di cui WireGuard ha bisogno — è tutto ciò che serve.