VPN su router: pro e contro
Configurare la VPN direttamente sul router permette di proteggere tutta la rete domestica o aziendale senza dover installare client su ogni dispositivo. È particolarmente comodo per smart TV, console e IoT che non supportano nativamente VPN, ma introduce alcuni trade-off di prestazioni e flessibilita.
Quando ha senso
Sui router cuore della rete famiglia/SOHO la VPN client si applica come default gateway: ogni dispositivo dietro al router esce automaticamente nel tunnel. Sui router enterprise (Fortinet, Sophos) e la base per S2S e SSL-VPN aziendali. La controindicazione principale è la CPU del router che limita throughput.
Procedura passo-passo
- Verifica compatibilità: router con OpenWrt, AsusWrt-Merlin, Mikrotik, pfSense, Ubiquiti supportano VPN.
- Aggiorna il firmware all'ultima versione stabile.
- Su OpenWrt installa pacchetti wireguard-tools, luci-app-wireguard via opkg.
- Configura l'interfaccia tunnel come WAN aggiuntiva e definisci routing/policy-based routing.
- Crea regole firewall per consentire forward da LAN a tunnel.
- Imposta DNS verso server VPN per evitare leak.
- Testa banda e latenza prima/dopo: hardware sottodimensionato si vede subito.
- Considera policy-based routing per escludere streaming o servizi che non funzionano con VPN.
Selective routing e exclude domains
Configurare il router come client VPN spesso include opzioni di routing selettivo: dispositivi specifici dietro VPN, altri diretti. AsusWrt-Merlin supporta Per-Device Policy Routing; OpenWrt richiede script con ip rule. Utile per evitare problemi con servizi che bloccano IP VPN (online banking) mantenendo VPN per il resto.
OPNsense/pfSense come VPN gateway
Una variante avanzata e usare OPNsense o pfSense come router VPN dedicato dietro il router ISP: doppio NAT controllabile e firewall robusto. Configura interfaccia LAN del firewall come network principale, WAN del firewall verso ISP, e tunnel WireGuard come gateway alternativo. Setup più complesso ma molto più potente.
Limiti di kill switch a livello router
Configurare kill switch a livello router (drop traffic se VPN giu) richiede regole firewall ben pensate: blocca outbound WAN diretto, consenti solo via tunnel. In OpenWrt usa zone-based firewall con rule reject su wan quando vpn e down. Senza questo, il fallimento del tunnel può lasciare traffico in chiaro per minuti.
OpenWrt update workflow
OpenWrt richiede gestione attiva: aggiornamenti maggiori (es. 22.03 -> 23.05) richiedono backup, flash, restore. Modifica /etc/sysupgrade.conf per mantenere file custom. Per WireGuard config, esporta /etc/config/network e /etc/wireguard prima dell'upgrade. Pianifica downtime di 15-30 minuti per upgrade pulito.
AsusWrt-Merlin e VPN
AsusWrt-Merlin (firmware terza parte per molti router ASUS) ha supporto VPN client/server di alto livello, inclusi WireGuard, OpenVPN, IPsec. Setup via web UI semplificato. Permette policy routing per device che e raro su firmware stock. Per chi ha router ASUS supportati, Merlin offre upgrade significativo senza cambiare hardware.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Banda crollata: CPU del router è il collo di bottiglia: AES-NI hardware aiuta, ChaCha20 è più leggero su CPU ARM.
- Netflix bloccato: alcuni IP VPN sono filtrati: usa policy routing per escludere i domini Netflix.
- Smart TV non aggiorna app: alcuni servizi (Google, Apple) bloccano IP VPN: escludi domini specifici dal tunnel.
- DNS leak: imposta DNS server del router su quelli della VPN ed esplicita override su DHCP server.
Domande frequenti
D: Posso usare un router consumer da 50 euro?
R: Si per WireGuard fino a 100 Mbps su CPU ARM dual-core; per gigabit serve hardware ad hoc.
D: Si possono usare più VPN sullo stesso router?
R: Si, con policy-based routing che instrada subnet differenti su tunnel differenti.
D: Posso connettermi da remoto al router?
R: Si, configurando il router come server VPN (modalita inversa).
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.