VPN su VPS a 5 dollari nel 2026: guida passo passo — Hetzner e Contabo

Introduzione

Avrai un server VPN personale su VPS a 5 dollari, configurato con tutte le norme di sicurezza e pronto all’uso su telefono, laptop e desktop. Installeremo WireGuard come protocollo moderno e veloce, aggiungeremo opzionalmente OpenVPN per compatibilità, attiveremo il firewall e gli aggiornamenti automatici, configureremo i profili client e faremo il debug della routing. Alla fine avrai un sistema di gestione chiaro e istruzioni per eventuali problemi.

Questa guida è pensata per principianti, ma include anche sezioni per utenti avanzati: configurazioni dettagliate di UFW e sysctl, supporto IPv6, controllo accessi, integrazione OpenVPN e opzioni di monitoraggio. Procederemo passo dopo passo, senza salti e con verifiche ad ogni fase.

Cosa serve sapere in anticipo. Bastano competenze base per copiare comandi e sapere dove eseguirli. Spiegheremo i termini in modo semplice. Non servono conoscenze Linux speciali, ma se conosci SSH e il package manager apt sarà più facile.

Quanto tempo serve. L’installazione base e i controlli si completano in 2-3 ore. Per configurazioni avanzate e OpenVPN considera 3-5 ore. La maggior parte del tempo sarà per verifiche accurate e trasferimento dei profili ai dispositivi.

Preparazione preliminare

Strumenti e accessi necessari. Ti servirà un account presso uno dei provider VPS, meglio avere due carte di pagamento pronte in caso di problemi, e un dispositivo per gestire il server. Va bene Windows, macOS o Linux. Su Windows è comodo usare il terminale e clienti SSH, su macOS e Linux il terminale è già presente. Ti serve una connessione internet stabile e 30-60 minuti consecutivi per ogni fase importante.

Requisiti di sistema. Per WireGuard e OpenVPN bastano 1 vCPU, 1 GB di RAM e 20-40 GB di disco. Se prevedi più di 10 client con streaming attivo, meglio 2 GB di RAM. La banda dipende dal piano del provider e dalla rete reale. Di norma le configurazioni minime di Hetzner e Contabo reggono traffico domestico e streaming Full HD.

Cosa installare sul computer. Su Windows installa un client SSH, ad esempio tramite il componente SSH integrato delle versioni recenti. Su macOS e Linux SSH è preinstallato. Installa un editor di testo per modificare i file di configurazione, può bastare il Blocco Note o uno qualsiasi. Per i dispositivi mobili scarica in anticipo le app client WireGuard e OpenVPN dagli store ufficiali, ma le installeremo dopo aver configurato il server.

Backup. Per ora non serve, poi configureremo backup delle configurazioni VPN. Prepara subito una cartella sul PC locale dove conserverai chiavi e config client. Dagliela un nome chiaro, tipo VPN-configs, e non sincronizzarla su cloud pubblici. Le configurazioni contengono chiavi private.

Concetti base

Termini chiave spiegati semplicemente. VPS è un server virtuale remoto in data center. Hai IP pubblico e diritti da admin. VPN è un canale cifrato tra il tuo dispositivo e il server. WireGuard è un protocollo moderno, veloce, basato su coppie di chiavi e semplice da configurare. OpenVPN è classico e versatile, usato per dispositivi vecchi e ambienti aziendali. UFW è una comoda interfaccia per gestire regole firewall. SSH è il metodo sicuro per connettersi al server via terminale.

Come funziona. Il dispositivo invia traffico attraverso un tunnel cifrato al VPS. Il server sostituisce l’indirizzo IP sorgente col proprio e inoltra su Internet. Le risposte ritornano al VPS e da lì al tunnel verso il dispositivo. La protezione si basa su crittografia e restrizioni firewall sull’accesso esterno. Routing corretto evita fughe di traffico, impedendo che le richieste passino fuori dal VPN mostrando l’IP reale.

Cosa è importante prima di iniziare. Due punti chiave: sicurezza e riproducibilità. Configureremo il minimo indispensabile sul server, bloccheremo tutto il superfluo, abiliteremo aggiornamenti e versionamento logico delle configurazioni. Potrai sempre aggiungere client, revocare profili smarriti e migrare il server su altro provider. Segui la guida e verifica ogni passaggio intermedio.

Passo 1: scegliere e ordinare un VPS da 5 dollari su Hetzner o Contabo

Obiettivo

Ottenere un VPS funzionante con IP pubblico, Ubuntu LTS installato e credenziali SSH corrette.

Istruzioni passo passo

1. Accedi al pannello del provider scelto, effettua il login e avvia la creazione del nuovo server.
2. Scegli la regione. La più vicina riduce la latenza. Per l’Europa comuni Germania e Paesi Bassi. Per USA coste Est o Ovest. Per uso misto prendi l’Europa centrale.
3. Seleziona l’immagine del sistema. Consigliamo Ubuntu 24.04 LTS, supportata a lungo e completa di pacchetti necessari.
4. Scegli il piano tariffario. Per circa 5 dollari prendi 1 vCPU, 1 GB RAM e 20-40 GB disco. Controlla il prezzo effettivo nell’interfaccia, può variare tra provider per valuta e tasse.
5. Lasciala rete con parametri di default. Attiva IPv6 se disponibile, utile per compatibilità e test.
6. Crea o aggiungi una chiave SSH. Se non ce l’hai, la genereremo nel passo successivo e per adesso lascia accesso con password. Se possibile, imposta una password robusta e salvala in un password manager.
7. Conferma l’ordine e aspetta l’avvio dell’istanza. Visualizzerai IP pubblico e hostname. Salvali nelle note.

⚠️ Attenzione: I provider possono vietare certi tipi di traffico o attività. Controlla termini d’uso nel tuo paese e con il tuo provider. Non usare VPN per azioni illegali.

Consiglio: Se sei indeciso tra Hetzner e Contabo, scegli in base alla vicinanza del data center e facilità del pannello. Trasferire la configurazione sarà comunque semplice se conservi le configurazioni con cura.

✅ Verifica: Server creato, vedi IP e stato attivo. Nel pannello appare Ubuntu 24.04 LTS e SSH abilitato.

Problemi comuni e soluzioni

• Server non si avvia. Cause: problemi temporanei provider. Soluzione: annulla e crea un nuovo server o scegli altra regione.
• Nessun IPv6. Cause: piano o sito non supporta. Soluzione: continua con IPv4, non è critico.
• Pagamento fallito. Cause: restrizioni bancarie. Soluzione: usa altra carta o metodo accettato dal provider.

Passo 2: primo accesso SSH e verifica base sistema

Obiettivo

Connettersi al VPS, confermare accessibilità e versione sistema, controllare interfacce di rete.

Istruzioni passo passo

1. Apri il terminale sul tuo computer. Su Windows può essere Terminale Windows, su macOS e Linux usa il Terminale standard.
2. Esegui ssh nome_utente@IP_server. Se non hai creato utente, usa root o ubuntu secondo immagine. Queste info sono in pannello provider.
3. Alla prima connessione conferma l’impronta digitale della chiave server. Procedura normale. Conferma per continuare.
4. Inserisci password se richiesta. Se usi chiave, l’accesso è immediato con la chiave corretta.
5. Controlla versione OS con cat sul file di versione in /etc. Verifica che sia Ubuntu 24.04 LTS.
6. Controlla interfacce rete con ip a. Dovrebbero esserci eth0 o ens3 con indirizzo esterno. Se c’è IPv6 sarà un indirizzo con due punti.

Consiglio: Tieni traccia dei comandi usati in una nota. Dopo ogni passo importante copia i comandi in un file locale. Aiuta per debug e reinstallazioni.

✅ Verifica: Sei dentro al server via SSH, vedi prompt, versione Ubuntu corretta e interfacce di rete con IPv4 e eventualmente IPv6.

Problemi comuni e soluzioni

• Accesso SSH fallito. Cause: porta chiusa o IP errato. Soluzione: verifica IP e porta, riavvia da pannello provider, controlla firewall per regole restrittive.
• Timeout login. Cause: problemi rete o user errato. Soluzione: assicurati username corretto e server attivo.
• Impronta chiave errata. Cause: server ricreato con stesso IP. Soluzione: cancella entry in known_hosts sul PC locale.

Passo 3: sicurezza da zero - aggiornamenti, utenti, chiavi SSH e firewall

Obiettivo

Proteggere il server da attacchi comuni, limitare accesso password, abilitare UFW e preparare sistema a VPN.

Istruzioni passo passo

1. Aggiorna pacchetti con apt update e apt upgrade confermando. Attendi fine processi.
2. Installa utilità base: apt install sudo ufw htop curl qrencode. qrencode utile per trasferire config su telefono tramite QR code. Se curl manca, installalo, serve per diagnostica.
3. Crea utente separato con diritti sudo. Aggiungilo, impostagli password sicura e inseriscilo nel gruppo sudo.
4. Genera coppia di chiavi SSH sul tuo computer, se ancora non ce l’hai. Su Windows usa comando generazione chiave nel client SSH, su macOS/Linux similmente. Conserva chiave privata in luogo sicuro.
5. Copia chiave pubblica sul server per il nuovo utente tramite comando ssh-copy-id o simile. Controlla che il file chiavi sul server contenga la tua chiave.
6. Disabilita accesso SSH con password. Modifica config SSH server, imposta PasswordAuthentication no. Assicurati accesso via chiavi abilitato.
7. Riavvia servizio SSH. Verifica che non si interrompa la connessione corrente. Non chiudere la sessione attuale finché non testi un nuovo accesso in un’altra finestra.
8. Apri secondo terminale e connettiti con il nuovo utente usando chiave. Controlla che funzioni.
9. Abilita e configura firewall UFW. Permetti porta 22 per SSH, imposta politica predefinita deny ingressi, allow uscite. Attiva UFW e test connessione attuale.

⚠️ Attenzione: Non chiudere la tua unica sessione SSH finché il nuovo accesso non è testato, rischi di perdere controllo e dover usare console provider.

Consiglio: Limita accesso SSH per IP se hai indirizzo statico da casa. In UFW aggiungi regola che consente SSH solo dal tuo IP e rimuovi regola generale SSH.

✅ Verifica: Accedi con nuovo utente via chiave, accesso password disabilitato, UFW attivo con permessi 22 aperti e ingressi bloccati.

Problemi comuni e soluzioni

• Accesso SSH perso dopo modifica. Cause: errore nel config. Soluzione: usa console provider per tornare a settings precedenti, poi modifica con cautela.
• UFW blocca SSH. Cause: regola allow porta 22 mancante. Soluzione: aggiungi regola e riattiva firewall.
• Aggiunta chiave fallita. Cause: permessi errati cartella SSH. Soluzione: assicurati che .ssh e authorized_keys abbiano permessi corretti e siano di proprietà utente giusto.

Passo 4: installazione e configurazione base WireGuard sul server

Obiettivo

Installare WireGuard, generare chiavi server, configurare tunnel, abilitare routing e NAT per uscita internet tramite VPS.

Istruzioni passo passo

1. Installa WireGuard con apt install wireguard. Attendi completamento.
2. Crea cartella per chiavi con permessi restrittivi. Usa umask per bloccare accessi non autorizzati, crea file per chiavi private e pubbliche server.
3. Genera chiavi WireGuard server. Salva chiave privata su file e ricava chiave pubblica. Non condividere chiave privata.
4. Configura subnet VPN: useremo 10.8.0.0 per IPv4 e fd86 per IPv6 ULA. Server prenderà 10.8.0.1 e corrispondente indirizzo IPv6, assegnati a interfaccia wg0.
5. Crea file di configurazione wg0.conf in etc/wireguard. Compila sezione Interface: Address 10.8.0.1/24 e IPv6 locale, porta ascolto 51820 UDP, PrivateKey server, SaveConfig true. Aggiungi regole PostUp e PostDown per NAT masquerading e abilitazione forwarding. Usa iptables. In PostUp metti regole forwarding e masquerade per interfaccia di uscita (es. eth0 o ens3). In PostDown rimuovi queste regole simmetricamente.
6. Abilita forwarding di pacchetti: crea file in sysctl.d con net.ipv4.ip_forward=1 e net.ipv6.conf.all.forwarding=1. Applica con sysctl --system.
7. Apri porta WireGuard in UFW: permetti UDP 51820. Controlla stato firewall.
8. Avvia interfaccia WireGuard con wg-quick up wg0, assicurati senza errori. Attiva avvio automatico con systemctl enable wg-quick@wg0.
9. Verifica interfaccia wg0 con ip a, conferma indirizzo 10.8.0.1 e indirizzo IPv6 ULA.

Consiglio: Se il tuo server usa un’interfaccia diversa da eth0, correggi i nomi nelle regole PostUp/PostDown. Scoprilo con ip route show default.

✅ Verifica: wg show mostra wg0 senza peer, UFW consente porta UDP 51820, ip a mostra 10.8.0.1 su wg0. Forwarding attivo.

Problemi comuni e soluzioni

• Errore avvio wg-quick. Cause: errore sintassi config. Soluzione: controlla sintassi, righe vuote e permessi chiavi.
• Forwarding non abilitato. Cause: sysctl non applicato. Soluzione: rilancia sysctl --system e controlla parametri.
• Porta non raggiungibile esternamente. Cause: UFW blocca UDP 51820 o firewall esterno provider. Soluzione: aggiungi regola in UFW e sul firewall provider se applicabile.

Passo 5: creazione profili client WireGuard e connessione dispositivi

Obiettivo

Generare chiavi client, registrarli sul server, preparare config per telefoni e PC, connettere e testare traffico.

Istruzioni passo passo

1. Genera coppia chiavi client sul server o locale. Comodo farlo centralizzato sul server. Crea cartella etc/wireguard/clients, con sottocartelle per client, es. phone o laptop.
2. Per ogni client crea file chiave privata e pubblica. Dai permessi rigorosi.
3. Scegli IP client nella rete VPN: es. 10.8.0.2 per primo client e corrispondente IPv6 nella subnet ULA. Ricordali.
4. Apri wg0.conf e aggiungi sezione Peer cliente con PublicKey client, AllowedIPs 10.8.0.2/32 e IPv6 /128. Salva. Se SaveConfig true usa wg set per aggiungere e poi salva config.
5. Crea file config client: sezione Interface con PrivateKey client, Address con IP client e DNS pubblici (es. 1.1.1.1 e IPv6). Sezione Peer con PublicKey server, Endpoint IP:51820, PersistentKeepalive 25, AllowedIPs 0.0.0.0/0 e ::/0 per tutto il traffico in tunnel.
6. Riavvia interfaccia wg0 o ricarica config per applicare peer.
7. Esporta config client al dispositivo. Per telefono genera QR da testo config, importa con app WireGuard via QR. Per laptop copia file con SCP in cartella protetta.
8. Attiva tunnel client in app WireGuard. Assicurati stato "connesso" verde con ultimo handshake registrato.

Consiglio: Dai nomi descrittivi ai profili per semplificare audit e revoche, es. phone-ivan o macbook-lavoro.

✅ Verifica: Server mostra peer con chiave pubblica e ultimo handshake, byte scambiati crescono. Client attivo e connesso.

Problemi comuni e soluzioni

• Client non si connette. Cause: endpoint errato o porta bloccata. Soluzione: verifica IP server, porta 51820 UDP in UFW, riavvia servizio se serve.
• Connessione attiva ma niente internet. Cause: NAT mancante o regole forwarding sbagliate. Soluzione: controlla sysctl e regole PostUp, conferma interfaccia uscita corretta.
• Import config su telefono fallito. Cause: codifica errata o file incompleto. Soluzione: apri file con editor semplice e verifica chiavi e sezioni.

Passo 6: test traffico e protezione da fughe DNS e IPv6

Obiettivo

Assicurarsi che tutto il traffico passi attraverso VPN, bloccare fughe DNS e gestire correttamente IPv6 in modo che app esterne non bypassino il tunnel.

Istruzioni passo passo

1. Controlla routing client. Su PC apri terminale e mostra rotte; la predefinita deve passare da interfaccia WireGuard. Su telefono verifica stato icona e richieste riuscite.
2. Controlla che DNS usi indirizzi configurati. Se hai impostato DNS in config, il client risolve tramite tunnel. Verifica impostazioni DNS client corrispondenti.
3. Controlla assenza fughe IPv6. Se IPv6 abilitato client, AllowedIPs deve includere ::/0; allora il traffico IPv6 va nel tunnel. Se provider non supporta IPv6, assicurati che client non invii IPv6 fuori dal tunnel.
4. Fai test aprendo siti e video streaming. Valuta stabilità, latenza e velocità. Queste dipendono da ubicazione server, piano e carico rete.
5. Controlla contatori server: wg show deve mostrare byte trasmessi e ricevuti in aumento durante l’uso.

Consiglio: Per controllare fughe disattiva temporaneamente interfaccia di rete fisica su client lasciando solo VPN; più facile comunque verificare routing e comportamento app. Se un’app bypassa VPN, controlla sue impostazioni proxy o tunnel.

✅ Verifica: Internet funziona sul client, privacy tutelata, contatori server crescono con traffico, rotte sono corrette e non ci sono errori nei log.

Problemi comuni e soluzioni

• Latenza alta e velocità bassa. Cause: server in regione lontana o piano sovraccarico. Soluzione: cambia regione o piano con rete migliore.
• Fughe DNS. Cause: resolver di sistema ignora settaggi client. Soluzione: reinserisci DNS in config o attiva opzione client per usare DNS dal profilo.
• Fughe IPv6. Cause: mancata aggiunta ::/0 in AllowedIPs. Soluzione: aggiungi e riavvia tunnel.

Passo 7: alternativa e compatibilità - configurazione OpenVPN sullo stesso VPS

Obiettivo

Installare OpenVPN come protocollo di backup o compatibile per dispositivi senza WireGuard.

Istruzioni passo passo

1. Installa pacchetti: apt install openvpn easy-rsa. Serve server OpenVPN e utilità per certificati e chiavi.
2. Inizializza infrastruttura chiavi. Crea directory PKI, inizializza CA root, genera certificato root con password sicura e valori di default, crea certificato server e client, firma con root CA. Crea file parametri Diffie-Hellman.
3. Crea config server OpenVPN. In cartella config aggiungi server.conf. Imposta porta 1194 UDP, protocollo udp, dev tun, subnet client 10.9.0.0/24, push redirect-gateway def1 e DNS. Indica percorsi chiavi/certificati, consenti multipli client con client-config-dir per settare individualmente. Attiva keepalive, disabilita compressione per sicurezza.
4. Apri porta 1194 UDP in UFW. Aggiungi regola e verifica firewall attivo.
5. Configura forwarding IP e NAT per OpenVPN. Forwarding già abilitato vale anche per OpenVPN. Aggiungi masquerading per subnet 10.9.0.0 se PostUp WireGuard non la copre o usa blocco NAT in UFW che include entrambe subnet 10.8.0.0 e 10.9.0.0.
6. Avvia servizio OpenVPN e abilita avvio automatico. Controlla stato, assenza errori, porta in ascolto.
7. Crea profilo client .ovpn. Unisci parametri client, indirizzo server con porta 1194, protocollo udp, dev tun, ca, cert, key e tls-auth se usato. Per comodità usa certificati inline, facilita trasferimento profilo su dispositivo mobile.
8. Importa profilo in app ufficiale OpenVPN su dispositivo e connettiti. Controlla routing e accesso internet.

Consiglio: Conserva profili OpenVPN separati da WireGuard e nomina file specificando device e protocollo, es. phone-wg.conf e phone-ovpn.ovpn.

✅ Verifica: Servizio OpenVPN attivo, log mostra avvio senza errori, client connesso riceve IP 10.9.0.0, internet funziona tramite server.

Problemi comuni e soluzioni

• OpenVPN non parte. Cause: percorsi certificati errati o formato file sbagliato. Soluzione: rivedi config e permessi file.
• Client non riceve rotte. Cause: manca push opzioni. Soluzione: aggiungi push redirect-gateway def1 e push DNS.
• Conflitto porte. Cause: porta occupata. Soluzione: seleziona porta diversa o libera quella attuale.

Passo 8: gestione, monitoraggio, backup e ripristino

Obiettivo

Garantire funzionamento stabile VPN, aggiornamenti automatici, backup configurazioni e piano rapido di ripristino.

Istruzioni passo passo

1. Attiva aggiornamenti automatici con pacchetto unattended-upgrades, abilitalo e controlla stato. Minimizza problemi di vulnerabilità.
2. Configura backup configurazioni. Crea archivio con file WireGuard e OpenVPN, incluse chiavi e profili client. Copia archivio su PC locale e in storage cifrato. Non tenere unica copia su server.
3. Registra log modifiche. Ogni aggiunta client o cambio regole firewall aggiungi nota con data e descrizione breve.
4. Imposta monitoraggio disponibilità. Controlla almeno porta WireGuard e accesso SSH. Usa timer di sistema per verificare stato servizio e riavvia in caso di errore.
5. Prepara piano di ripristino: include creazione nuovo server sullo stesso provider, installazione WireGuard, ripristino config e chiavi da backup, apertura porte necessarie e test accesso. Conserva piano con archivio configurazioni.
6. Controlla regolarmente i log: systemd per wg-quick e openvpn, stato UFW per anomalie anticipabili.

Consiglio: Proteggi archivi chiavi con password, usa contenitori sicuri. Verifica che backup si decrittino su altro dispositivo prima di necessità.

✅ Verifica: Aggiornamenti automatici attivi, backup fatti e testati, log puliti, servizi attivi dopo reboot, piano recupero chiaro e completo.

Problemi comuni e soluzioni

• Aggiornamenti automatici riavviano servizi. Cause: aggiornamenti kernel o pacchetti rete. Soluzione: pianifica finestre tecniche, gestisci aggiornamenti importanti manualmente.
• Backup obsoleti. Cause: dimenticato aggiornare dopo modifiche. Soluzione: automatizza creazione archivi con schedulazione.
• Monitoraggio non rileva downtime. Cause: controllo porta insufficiente. Soluzione: aggiungi controllo esplicito UDP 51820 con logging.

Verifica finale

Checklist cosa deve funzionare

• Accesso SSH con chiave utente dedicato senza password.
• UFW attivo con porte 22 e 51820 aperte, opzionale 1194.
• WireGuard attivo, interfaccia wg0 presente con indirizzo 10.8.0.1.
• Profilo client connesso, handshake effettuato e contatori traffico in crescita.
• Rotta predefinita passa per VPN, DNS e IPv6 non hanno fughe.
• Backup configurazioni creati e testati per lettura.

Come testare

• Disattiva e riattiva profilo client, verifica internet disponibile solo quando profilo attivo se sono impostate rotte predefinite.
• Verifica accesso a contenuti geo-limitati tramite regione server selezionata.
• Controlla stabilità connessioni dopo riavvio server e client.

Indicatori di successo

• Connessione stabilita in pochi secondi.
• Streaming video senza buffering eccessivo.
• Nessun errore nei log di WireGuard e OpenVPN.

Errori comuni e soluzioni

• Client connesso ma niente internet. Cause: manca NAT o forwarding disabilitato. Soluzione: aggiungi masquerade per interfaccia uscita e attiva sysctl, riavvia wg-quick.
• Client non si connette. Cause: porto UDP 51820 chiuso in UFW. Soluzione: aggiungi regola allow porta UDP o disattiva temporaneamente firewall host esterno se presente.
• Handshake presente ma traffico assente. Cause: AllowedIPs client non include routing completo. Soluzione: aggiungi 0.0.0.0/0 e ::/0 nel profilo client.
• Disconnessioni improvvise. Cause: provider limita priorità traffico UDP. Soluzione: aggiungi PersistentKeepalive 25, valuta cambiar regione o provider VPS.
• Conflitti indirizzi. Cause: rete interna dispositivo coincide con subnet VPN. Soluzione: scegli subnet VPN diversa come 10.10.0.0/24 e aggiorna configurazioni.
• Profilo OpenVPN non si importa. Cause: manca certificati inline o percorsi errati. Soluzione: integra certificati direttamente nel profilo e verifica formato.
• Accesso SSH perso. Cause: regole UFW troppo rigide o cambio porta senza permessi adeguati. Soluzione: recupera accesso da console provider e correggi regole.

Funzionalità aggiuntive

Configurazioni avanzate

• Split tunneling: invia solo subnet specifiche via VPN specificando in AllowedIPs prefissi particolari, es. solo rete ufficio o servizi.
• Policy accesso: segmenta client per subnet, così i dispositivi non si vedono a vicenda. Dai a ogni client AllowedIPs solo indirizzi server e rotte necessarie.
• IPv6 via tunnel: se VPS ha IPv6 reale, puoi assegnare IPv6 client dal prefisso e fare routing senza NAT, migliorando trasparenza e a volte prestazioni.
• Sostituzione iptables con nftables: sistemi moderni usano nftables. Riscrivi PostUp/PostDown per nft per regole più semplici e leggibili.
• Cambio porta WireGuard: usare porta non standard può migliorare stabilità contro shaping aggressivo provider. Aggiorna UFW e config client.

Ottimizzazione

• MTU tuning: in alcune reti MTU inferiore, tipo 1380, migliora. Imposta MTU nella sezione Interface e testa stabilità.
• Compressione non necessaria per WireGuard: è già veloce. In OpenVPN evita compressione per sicurezza, le connessioni moderne sono sufficientemente performanti.
• Regioni multiple: se viaggi spesso, metti un secondo server in altra regione e tieni due profili client da cambiare secondo necessità.

Altre idee

• Implementa autenticazione a due fattori per SSH per maggiore protezione.
• Configura logging connessioni a livello firewall di sistema senza tracciare attività utente nel tunnel per mantenere VPN senza log.
• Automatizza aggiunta client via script per semplificare procedure e ridurre errori.

FAQ

Come scegliere regione per minima latenza Seleziona data center più vicino ai tuoi spostamenti reali. In Europa preferisci centro o nord Europa; per USA costa est o ovest a seconda distanza.

Quanti client regge un VPS da 5 dollari Per uso domestico normale 5-10 client senza problemi. Per streaming 4K simultaneo serve hardware più potente.

Serve IP statico a casa? No. IP statico aiuta limitare accessi SSH per IP, ma non è obbligatorio. WireGuard funziona su qualunque internet, incluso mobile.

Si può limitare accesso a siti via VPN? Sì. Configura regole client con AllowedIPs per subnet specifiche; traffico non incluso passa direttamente, quello importante tramite VPN.

Come disattivare rapidamente un profilo perso Rimuovi sezione Peer dalla config server e salva. O usa wg set per eliminare chiave pubblica velocemente.

Se dopo aggiornamento internet sparisce? Controlla nome interfaccia di default, verifica PostUp/PostDown puntano a interfaccia corretta, ricontrolla UFW e riapplica sysctl.

Si può avere WireGuard e OpenVPN sullo stesso VPS? Sì, usando porte diverse e routing attento convivono senza problemi. Assicurati che subnet indirizzi non si sovrappongano.

Che DNS è meglio mettere nei profili Usa resolver pubblici veloci via IP, affidabili e senza host name in config per evitare errori sintassi.

Come trasferire server a altro provider Crea nuova macchina, installa WireGuard, copia config e chiavi, apri porte, aggiorna Endpoint profili client.

Quanto è sicuro tenere config client su telefono Mantieni telefono con schermo bloccato, non inviare config via messaggi. Importa via QR direttamente dal server e non salvare file in cartelle condivise.

Conclusione

Abbiamo percorso tutto il processo dalla scelta del VPS su Hetzner o Contabo alla creazione di un VPN personale WireGuard con opzione OpenVPN. Hai configurato accesso SSH sicuro, attivato firewall, generato chiavi, creato profili client, verificato rotte e bloccato fughe, attivato aggiornamenti automatici e organizzato backup. Il risultato è un VPN personale, prevedibile e gestibile, senza condivisione IP con terzi, estendibile e migrabile tra provider.

Se vuoi una soluzione immediata senza lavorare da console, considera l’offerta di vpn.how per server VPN personale. Offrono IP dedicati, supporto multiprotocollo WireGuard, OpenVPN, IKEv2, L2TP, SSTP scelti per i tuoi bisogni con data center in città come Mosca, San Pietroburgo, Amsterdam, Francoforte, Londra, New York, San Jose, Chicago, Singapore, Sydney, Madrid, Helsinki, Stoccolma, Varsavia, Copenaghen, Stavanger; metodi di pagamento inclusi carte russe, SBP e criptovalute; tariffe accessibili con sconti su piani lunghi; server pronti in pochi minuti dopo pagamento, senza log. Pratico per chi non ha tempo o necessita rapido avvio.

Puoi poi estendere verso telemetria avanzata, passaggio a nftables, uso di prefisso IPv6 reale, e infrastrutture con più server e bilanciamento profili. Hai già una base solida e un piano chiaro per ogni scenario.

⚠️ Attenzione: Usa VPN nel rispetto delle leggi locali e regole provider. Rispetta norme e agisci responsabilmente.

Consiglio: Controlla periodicamente protocolli di connessione di tutti i dispositivi e rimuovi profili inutilizzati. Riduci così rischi e semplifica gestione.