VPN su Raspberry Pi: progetto self-hosted
Il Raspberry Pi è l'hardware ideale per ospitare una VPN domestica: basso consumo (3-5W), prezzo accessibile, comunità enorme e prestazioni più che sufficienti per traffico tipico di una famiglia o di un piccolo ufficio. Con PiVPN si installa tutto in pochi minuti.
Hardware e topologia
Si consiglia Raspberry Pi 4 (almeno 2GB RAM) collegato via ethernet al router. Per accesso esterno serve IP pubblico o DDNS, port forwarding sul router (UDP 51820 per WireGuard) e una microSD di qualità o SSD via USB. Il consumo costante e di pochi watt h24, costo trascurabile.
Procedura passo-passo
- Installa Raspberry Pi OS Lite e aggiorna con sudo apt update && sudo apt full-upgrade.
- Imposta IP statico nel router e su /etc/dhcpcd.conf.
- Esegui curl -L'https://install.pivpn.io | bash e segui il wizard.
- Scegli WireGuard (consigliato), porta 51820, DNS preferito (Cloudflare/Quad9).
- Inserisci dominio DDNS (es. miacasa.duckdns.org) per accesso da Internet.
- Crea un client con pivpn add nomecliente e genera QR code per mobile con pivpn -qr.
- Configura port forwarding sul router per UDP 51820 verso Pi.
- Verifica la connessione da fuori la LAN.
Sicurezza del Pi esposto
Un Pi VPN e su Internet 24/7: hardening e obbligatorio. Disabilita login password SSH (solo chiavi), cambia porta SSH, installa fail2ban, configura UFW. Aggiornamenti automatici via unattended-upgrades. Monitora con auditd. Backup configurazione regolari (cron + rsync verso cloud).
DDNS e IP dinamico
Quasi tutti gli ISP italiani danno IP dinamico residenziale: usa DDNS (DuckDNS, No-IP, Cloudflare DNS API) per associare un nome a IP corrente. Cron job sul Pi aggiorna IP ogni 5 minuti. Per IPv6 nativo (Vodafone, Tim FibraCasa) puoi anche evitare port forwarding usando direttamente IPv6 globale.
Casi d'uso oltre il VPN
Una volta che hai un Pi sempre acceso, puoi aggiungere altri servizi: Pi-hole (DNS sinkhole ad-blocker), Home Assistant (domotica), Nextcloud (file sync), Jellyfin (media server). La VPN diventa anche modo di accedere a tutti questi servizi da remoto senza esporli su Internet pubblico.
Confronto Pi 4 vs Pi 5
Pi 5 ha CPU significativamente più veloce: WireGuard supera facilmente 500 Mbps vs ~200 Mbps Pi 4. Per VPN intensive (famiglia con streaming 4K, smart workers) Pi 5 vale upgrade. Pi 4 resta ottimo per uso moderato. Considera caching SSD via USB 3.0 per affidabilità superiore a microSD.
Alternative hardware
Oltre al Raspberry Pi: Mini PC fanless con N100/N305 (~200 EUR, 1 Gbps WireGuard facile), router compatti con OpenWrt (GL.iNet Brume, Slate AX), Synology con VPN package. Pi resta il miglior rapporto qualità-prezzo per setup learning/hobby; per produzione serio considera dedicated mini PC.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Connessione interna funziona, esterna no: manca port forwarding sul router o ISP usa CG-NAT.
- Microsd corrotta dopo mesi: uso intensivo logora microSD: passa a SSD USB.
- Aggiornamenti che rompono: pin versione kernel e mantieni backup configurazione /etc/wireguard.
- Banda upload casa limitata: la VPN regge al massimo l'upload del tuo ISP: dimensiona aspettative.
Domande frequenti
D: Quanto consuma?
R: Pi 4 sotto carico tipico circa 3-4W: meno di 5 euro/anno di elettricita.
D: Quanti utenti regge?
R: 10-20 client moderati senza problemi; throughput VPN 100-200 Mbps facili.
D: E sicuro esporlo su Internet?
R: Si, se aggiorni regolarmente OS e PiVPN e usi solo chiavi non password.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.