Crea la tua VPN con WireGuard

WireGuard è un protocollo VPN integrato nel kernel Linux che ti permette di creare il tuo server VPN con pochi comandi. La tua VPN fa uscire il tuo traffico da un indirizzo IP che controlli tu. Non ti rende però anonimo: i siti che visiti vedono l'indirizzo IP del tuo server.

Questo articolo spiega a cosa serve la tua VPN e cosa non risolve, i passaggi dell'installazione manuale e la via più semplice con un'interfaccia web.

A cosa serve la tua VPN?

• Wi-Fi pubblico: su una rete di bar o hotel il tuo traffico viaggia cifrato fino al tuo server.
• Un IP turco dall'estero: poiché il server è a Istanbul, quando sei all'estero puoi uscire con un indirizzo IP turco.
• Accesso alla rete privata: raggiungi i dispositivi che colleghi alla stessa VPN e i servizi sul server come se foste tutti nella stessa rete locale.
• Un indirizzo di uscita fisso: anche se il tuo IP di casa cambia, l'uscita della tua VPN resta la stessa.

Cosa non risolve?

• Non ti rende anonimo. I siti vedono l'indirizzo IP del tuo server e quell'indirizzo è legato al tuo account.
• Alcuni servizi bloccano gli indirizzi IP dei data center. Non dare per scontato che ogni servizio si apra attraverso la tua VPN.
• Non offre uscite in molti paesi. Il tuo server si trova in un solo posto, che da Seturack è Istanbul.
• Non è stata progettata per dare accesso a internet ad altre persone. Se fornisci accesso a internet ad altri tramite il tuo server, gli obblighi previsti dalla Legge n. 5651 sono tuoi secondo il contratto di servizio. Usa la VPN soprattutto per i tuoi dispositivi e leggi il contratto di servizio prima di dare accesso a qualcun altro.

Perché WireGuard piace

• È entrato nel kernel Linux con la versione 5.6, quindi sulle distribuzioni attuali non devi installare un driver a parte.
• Non ci sono password. Ogni estremità è riconosciuta dalla propria coppia di chiavi privata e pubblica.
• La configurazione è breve e sta in un solo file.
• Usa UDP. La porta che vedi più spesso negli esempi e negli strumenti è la 51820.

Installazione manuale (Ubuntu, come root)

1. Installa il pacchetto: apt install wireguard
2. Genera la coppia di chiavi del server: umask 077 && wg genkey | tee privatekey | wg pubkey > publickey
3. Lascia che ogni dispositivo client generi la propria chiave. L'app WireGuard su telefoni e computer lo fa e a te serve solo la sua chiave pubblica.
4. Scrivi /etc/wireguard/wg0.conf seguendo la tabella qui sotto.
5. Attiva l'IP forwarding: echo 'net.ipv4.ip_forward=1' | tee /etc/sysctl.d/70-wireguard.conf e poi sysctl --system
6. Apri la porta nel firewall: ufw allow 51820/udp
7. Avvialo: systemctl enable --now wg-quick@wg0

Scrivi prima nel file le righe di [Interface], poi quelle di [Peer]. Ogni client ha il proprio blocco [Peer].

Connettere un client

Sul client, nella sezione [Interface] metti la tua chiave privata, la riga Address = 10.8.0.2/24 e un indirizzo DNS. Nella sezione [Peer] metti la chiave pubblica del server, la riga Endpoint = SERVER_IP:51820 e la riga AllowedIPs = 0.0.0.0/0. L'ultimo valore fa passare nel tunnel tutto il traffico IPv4. Se vuoi raggiungere solo la rete VPN, scrivi invece 10.8.0.0/24. Per i dispositivi dietro NAT o un firewall, la documentazione ufficiale suggerisce PersistentKeepalive = 25.

Esegui wg show sul server. Se il client si è connesso, vedi una riga "latest handshake".

Tutto il traffico o solo una parte?

Il valore AllowedIPs sul client decide quale traffico entra nel tunnel. 0.0.0.0/0 fa passare tutto il traffico IPv4, ma non IPv6. Se il tuo dispositivo ha IPv6, quel traffico può aggirare il tunnel. Con 0.0.0.0/0, ::/0 anche IPv6 entra nel tunnel e lì viene scartato, perché il server non trasporta IPv6, quindi non può trapelare. Se vuoi raggiungere solo certe reti, per esempio 10.8.0.0/24, scrivi solo quelle. Si chiama split tunneling e il resto del traffico esce dal percorso normale. Per raggiungere una rete da remoto, lo split tunneling spesso basta. Il resto del tuo traffico non passa dal tunnel, quindi non viene rallentato.

La via più semplice: wg-easy

wg-easy è uno strumento che riunisce il server WireGuard e la gestione dei client in un'interfaccia web. Aggiunge e rimuove client e mostra un codice QR per i telefoni. Si installa con Docker Compose e usa la 51820/UDP. Se vuoi aprire la schermata admin a internet in sicurezza, è consigliato un reverse proxy.

Il server WireGuard già pronto di Seturack usa wg-easy ed è attivo in circa 4 minuti. Nel pannello vedi l'indirizzo admin e la password. Il tunnel trasporta solo IPv4. Crea un client separato per ogni dispositivo e, se ne perdi uno, elimini solo il suo client. I passaggi per connettersi sono nell'articolo di aiuto su WireGuard.

Configurare i tuoi dispositivi

WireGuard ha app ufficiali per Windows, macOS, Android e iOS. Su Linux basta il pacchetto. Su un telefono aggiungi la configurazione con un codice QR, su un computer importando il file di configurazione. Attivi e disattivi il tunnel dall'app. Finché il tunnel è attivo, il tuo traffico internet esce dal tuo server.

Quattro piccole regole di sicurezza

• Lascia che solo root legga il file di configurazione: chmod 600 /etc/wireguard/wg0.conf
• Non inviare mai a nessuno la tua chiave privata. La chiave pubblica è l'unica cosa che condividi.
• Elimina il blocco [Peer] di un dispositivo che hai perso o che non vuoi più autorizzare.
• Tieni il server aggiornato. Dopo la configurazione, gli aggiornamenti del sistema operativo e delle applicazioni sono tuoi.

Poiché il traffico della tua VPN passa dal server, conta anche il volume di traffico. Nel prezzo di Seturack è incluso il traffico illimitato.

Se non si connette

Alcune reti bloccano il traffico UDP. Prova un'altra rete, per esempio i dati mobili del telefono. Controlla anche che la porta 51820/UDP sia aperta nel firewall.

Se vuoi partire con l'installazione già pronta, vedi la pagina WireGuard VPN.