WireGuard su Linux: crea la tua VPN personale

Ti hanno venduto l’idea che per avere una VPN devi pagare un abbonamento mensile a un’azienda che non conosci, che vede il tuo traffico passare dai suoi server, e che a un certo punto potrebbe anche decidere di alzarti il prezzo. Non è così. Se hai già un Mini PC acceso in casa, puoi costruirti una VPN tutta tua, gratis, con un protocollo che oggi è diventato lo standard del settore: WireGuard.

Quanto è serio questo protocollo? Mullvad, uno dei provider VPN più rispettati in circolazione, ha abbandonato del tutto OpenVPN a inizio 2026 per passare solo a WireGuard. WireGuard gira nativo dentro il kernel Linux dalla versione 5.6, il suo codice è una frazione di quello di OpenVPN, ed è così leggero che il tuo Mini PC con APU integrata non lo sentirà nemmeno acceso. Vediamo come montarlo, cosa serve davvero saperlo prima, e a cosa ti serve in pratica una volta che ce l’hai.

Il controllo che devi fare prima di installare qualsiasi cosa

Prima di scaricare un solo pacchetto, c’è una domanda a cui devi rispondere: il tuo router ha un IP pubblico, o no?

Per far funzionare un server VPN in casa, il mondo esterno deve poter “bussare” al tuo router. In Italia questo non è sempre scontato, perché TIM, Vodafone e WindTre applicano quasi sempre il CGNAT (una tecnica che fa condividere lo stesso IP pubblico a più clienti insieme) su gran parte delle linee FTTH e su quasi tutte le linee FWA e 5G. Se sei dietro CGNAT, puoi configurare WireGuard alla perfezione e non funzionerà comunque da fuori casa, perché il traffico in ingresso non arriva mai davvero al tuo router. Fastweb in genere non usa il CGNAT sulle linee FTTH, quindi se sei loro cliente parti con un vantaggio.

Come lo scopri, in trenta secondi: apri il pannello del tuo router e guarda l’IP che chiamano “IP WAN” o “IP pubblico”. Poi cerca su un motore di ricerca qualsiasi “qual è il mio IP”. Se i due numeri sono uguali, hai un IP pubblico vero e puoi usare il metodo classico spiegato sotto. Se sono diversi, sei dietro CGNAT, e allora la soluzione giusta per te è la seconda di questo articolo, quella con Tailscale.

Se hai un IP pubblico: WireGuard puro sul tuo Mini PC

Questo è il metodo con il controllo più totale: il Mini PC fa da server, resta acceso ventiquattro ore su ventiquattro (consuma pochissimo, è esattamente il suo lavoro), e ogni dispositivo che vuoi collegare diventa un client.

Primo passo, generi le chiavi sul server:

wg genkey | sudo tee /etc/wireguard/server_private.key
sudo cat /etc/wireguard/server_private.key | wg pubkey | sudo tee /etc/wireguard/server_public.key
sudo chmod 600 /etc/wireguard/server_private.key

Secondo passo, crei il file di configurazione /etc/wireguard/wg0.conf:

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <CHIAVE_PRIVATA_SERVER>

[Peer]
PublicKey = <CHIAVE_PUBBLICA_CLIENT>
AllowedIPs = 10.0.0.2/32

Terzo passo, apri la porta sul router: entra nel pannello di amministrazione e inoltri la porta UDP 51820 verso l’indirizzo IP locale del tuo Mini PC. Ogni router ha un menu diverso, di solito si chiama “Port Forwarding” o “NAT”.

Quarto passo, sul client (telefono, portatile, un altro PC) fai la configurazione speculare, mettendo come “endpoint” l’IP pubblico del tuo server invece dell’indirizzo locale.

Ultimo passo, attivi tutto:

sudo systemctl enable --now wg-quick@wg0

Da questo momento la VPN parte automaticamente ogni volta che il Mini PC si accende, senza che tu debba fare niente.

Un consiglio che vale la pena seguire: cambia la porta 51820 con un numero a caso invece di lasciare quella di default. Riduce parecchio il rumore degli scanner automatici che bersagliano continuamente quella porta specifica su internet.

Se sei dietro CGNAT: Tailscale, il piano B che funziona comunque

Niente panico se il controllo di prima ti ha dato la brutta notizia. Tailscale è costruito sopra WireGuard e risolve esattamente il problema del CGNAT: usa un server di coordinamento esterno solo per far “incontrare” i tuoi dispositivi, ma il traffico vero passa direttamente tra loro quando possibile, sempre cifrato. Non devi toccare il router, non devi aprire nessuna porta.

È gratuito per uso personale fino a un buon numero di dispositivi. L’installazione su Linux si riduce a un comando e un login con il browser:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

In due minuti hai la tua rete privata funzionante. Per usarla come punto di uscita verso internet (utile per il discorso streaming che vediamo tra poco) attivi la funzione exit node direttamente dall’app o dal pannello di controllo di Tailscale sul dispositivo che vuoi usare come uscita.

La differenza da sapere: con WireGuard puro sei tu il proprietario completo dell’infrastruttura, nessuno oltre a te è coinvolto. Con Tailscale dipendi dai loro server per la fase di “presentazione” iniziale tra i dispositivi, anche se il traffico resta cifrato punto a punto e loro non lo vedono. Per un uso domestico normale questo compromesso è assolutamente ragionevole, ed è comunque molto meglio di qualunque VPN commerciale a pagamento, perché la rete resta tua.

Guardare RaiPlay, Mediaset e DAZN quando sei all’estero

Probabilmente è per questo che sei arrivato fin qui, quindi affrontiamolo diretto.

Prima controlla se ti serve davvero una VPN. Se hai un abbonamento DAZN e ti trovi in un altro paese dell’Unione Europea per un soggiorno temporaneo (vacanza, trasferta breve), esiste un regolamento europeo sulla portabilità transfrontaliera che ti permette di usare il tuo abbonamento italiano senza toccare nessuna VPN. Apri l’app, fai login, guardi la partita. Funziona solo per soggiorni brevi dentro la UE, non se vivi stabilmente all’estero e non fuori dai confini europei.

Se invece la VPN ti serve davvero, ecco cosa succede: ti connetti al tuo WireGuard di casa (o all’exit node di Tailscale spiegato sopra), e da quel momento tutto il tuo traffico esce con l’IP di casa tua, in Italia. RaiPlay ti vede italiano perché lo sei in quel momento, non stai fingendo niente a livello tecnico, semplicemente il tuo traffico passa fisicamente da casa tua prima di uscire su internet. E qui hai un vantaggio concreto rispetto a una VPN commerciale: il tuo è un IP residenziale vero, non un server condiviso da altre diecimila persone che usano la stessa VPN. Le piattaforme streaming ormai riconoscono e bloccano periodicamente gli IP noti dei grandi provider VPN. Il tuo IP di casa no, perché è identico a quello di qualunque altro cliente TIM o Fastweb.

Un dettaglio tecnico che quasi nessuno dice: attiva la VPN prima di aprire l’app o il sito, non dopo. Se apri RaiPlay con l’IP estero e ti connetti alla VPN solo dopo, la sessione può restare segnata come estera e continuare a bloccarti anche a connessione attiva. Chiudi tutto, attiva la VPN, poi riapri.

Il limite: bypassare il geoblocco va contro i termini di servizio di quasi tutte queste piattaforme, anche se per un uso personale non è reato. Non ne faccio un dramma, ma è giusto saperlo prima di farlo, non dopo.

Vedere canali esteri stando in Italia

Qui la faccenda si ribalta, e il tuo Mini PC di casa non ti aiuta più. Il motivo è semplice: il tuo WireGuard esce sempre e solo dal posto dove si trova fisicamente il server, cioè casa tua, in Italia. Non hai un menu di paesi tra cui scegliere. Se vuoi vedere il catalogo USA di Netflix o BBC iPlayer stando comodo a casa tua, hai due strade:

La strada fai da te: affitti un VPS economico da un provider cloud con sede nel paese che ti interessa (si trovano a pochi euro al mese) e ci monti sopra lo stesso WireGuard che hai già imparato a configurare qui. Resta la soluzione più economica nel tempo, ma richiede un minimo di manutenzione in più.

La strada comoda: una VPN commerciale con tanti server sparsi nel mondo, che ti dà accesso a decine di paesi diversi con un clic senza dover gestire nulla tu. Su questo fronte specifico, dove serve davvero un’ampia rete internazionale di server, NordVPN resta uno dei nomi con la reputazione più solida secondo le prove indipendenti disponibili. Da segnalare: nessun servizio garantisce funzionamento eterno su ogni catalogo, perché le piattaforme aggiornano continuamente i blocchi contro gli IP noti delle VPN commerciali. Quello che funziona oggi potrebbe non funzionare tra sei mesi, va sempre verificato quando ti serve davvero.

Il WiFi pubblico: una protezione che vale con qualunque VPN

Le pubblicità delle VPN commerciali insistono molto su questo punto, tipo fosse una loro esclusiva: ti proteggono quando ti colleghi a un WiFi pubblico in aeroporto, al bar, in hotel. È vero, ma non è affatto un’esclusiva loro. È una proprietà di qualsiasi tunnel VPN, incluso il tuo WireGuard fatto in casa.

Ecco perché funziona così: su un WiFi pubblico, chiunque altro collegato a quella stessa rete può, in teoria, intercettare il traffico che non è cifrato. Con la VPN attiva, tutto il tuo traffico esce cifrato dal tuo dispositivo fino al server VPN, che sia quello di un’azienda a pagamento o il tuo Mini PC a casa tua. Chi origlia sulla rete del bar vede solo dati illeggibili, non quello che stai facendo.

Il tuo WireGuard personale offre esattamente la stessa protezione, a costo zero, e con un vantaggio in più: nemmeno il provider VPN vede il tuo traffico, perché il server è tuo.

Occhio anche a un’altra cosa: negli ultimi mesi diversi browser hanno iniziato a offrire una VPN già integrata, che sembra risolvere il problema senza nemmeno installare nulla. Vale la pena sapere cosa c’è dietro, prima di fidarsi ciecamente.

Browser	VPN integrata	Il limite vero
Opera	Gratis e illimitata	Solo zone generiche (Europa, Asia…), niente scelta del paese preciso
Firefox	Gratis, 50 GB al mese	Solo traffico del browser, serve un account Mozilla
Edge	Gratis, 5 GB al mese	Limite basso, serve login Microsoft
Brave	A pagamento (9,99 $/mese)	L’unica che copre l’intero dispositivo, non solo il browser

Tutte tranne Brave hanno lo stesso limite di fondo: proteggono solo quello che passa dentro il browser, non le altre app, e soprattutto nessuna ti fa scegliere “voglio uscire con un IP italiano vero” come fa il tuo WireGuard di casa. Per una mano di privacy veloce al bar vanno benissimo. Per il discorso RaiPlay o per accedere alla tua rete, restano lo strumento sbagliato.

Perché il tuo Mini PC batte comunque un abbonamento

Un abbonamento VPN commerciale serve principalmente a mascherare il tuo IP verso l’esterno o a darti accesso a server in tanti paesi. Un server WireGuard tuo serve a fare qualcosa di più utile per chi ha già un setup come il vostro: accedere da fuori alla tua rete di casa, ai tuoi file, al tuo NAS, alla tua webcam, senza passare per servizi cloud di terzi che non controlli. Se hai già un Mini PC acceso per un home server, aggiungere WireGuard costa zero euro e zero risorse percepibili.

Prima di chiudere, due cose utili. Le chiavi private che generi vanno trattate come una password vera, quindi se non hai ancora un posto sicuro dove tenerle, 👉 Leggi qui: Password manager per Linux: quale scegliere e perché ti serve davvero. E se quello che cerchi è organizzare canali legali via IPTV, con player e liste M3U pulite, ne ho già parlato qui: 👉 Leggi qui: Guardare la TV in Streaming su PC Gratis e Legale.

IncastroPC partecipa al Programma Affiliazione Amazon EU. Prezzi e disponibilità soggetti a variazione.