Un Raspberry Pi 5 collegato a un router con cavi ethernet, che mostra la configurazione di un server VPN domestico

Trasformare un Raspberry Pi in un server VPN personale permette di accedere alla propria rete domestica in sicurezza da qualsiasi parte del mondo. Questa guida completa spiega passo dopo passo come installare e configurare WireGuard o OpenVPN sul piccolo computer a scheda singola, creare profili utente, configurare il port forwarding sul router e connettersi da smartphone e PC. Una soluzione economica ed efficace per proteggere la privacy online.

Cosa serve per iniziare: hardware e prerequisiti
Prima di procedere con la configurazione, è necessario procurarsi alcuni componenti hardware e verificare alcuni requisiti di rete. Innanzitutto serve un Raspberry Pi, preferibilmente un modello dalla versione 3 in poi per avere prestazioni adeguate. Il Raspberry Pi 4 con almeno 2GB di RAM o il nuovissimo Raspberry Pi 5 sono le scelte ideali per questo scopo, garantendo velocità di connessione elevate e la capacità di gestire più connessioni VPN simultanee senza rallentamenti.

Oltre al Raspberry Pi serve una microSD da almeno 16GB classe 10 o superiore per installare il sistema operativo, un alimentatore ufficiale da 5V 3A per garantire stabilità, e un cavo ethernet per collegare il dispositivo al router. Una connessione cablata è fortemente consigliata rispetto al WiFi per ottenere prestazioni ottimali e ridurre la latenza. Serve inoltre accesso fisico al router di casa per configurare il port forwarding, operazione indispensabile per permettere alle connessioni dall'esterno di raggiungere il server VPN.

Per quanto riguarda i prerequisiti software, è necessario avere familiarità di base con il terminale Linux e i comandi fondamentali come cd, ls, nano o vim. Non serve essere esperti di networking, ma è utile conoscere concetti base come indirizzi IP, subnet mask e porte di rete. L'intera procedura richiede circa un'ora per la prima configurazione, dopodiché il sistema funzionerà in modo autonomo richiedendo manutenzione minima.

Installazione del sistema operativo Raspberry Pi OS
Il primo passo consiste nell'installare il sistema operativo sul Raspberry Pi. La soluzione più semplice è utilizzare Raspberry Pi Imager, un software ufficiale gratuito disponibile per Windows, macOS e Linux scaricabile dal sito ufficiale. Dopo aver avviato il programma, inserire la microSD nel computer tramite un lettore di schede, selezionare il modello di Raspberry Pi posseduto, scegliere come sistema operativo Raspberry Pi OS Lite nella versione a 64 bit che non include interfaccia grafica risparmiando risorse, e selezionare la microSD come destinazione.

Prima di procedere con la scrittura, cliccare sull'icona dell'ingranaggio per accedere alle impostazioni avanzate. Qui è fondamentale abilitare SSH selezionando l'opzione corrispondente e impostando una password sicura per l'utente predefinito pi. Configurare anche il nome host del dispositivo, ad esempio vpnserver, e impostare la connessione WiFi se si prevede di utilizzarla temporaneamente durante la configurazione iniziale. Fatto questo, cliccare su Salva e poi su Scrivi per avviare il processo di creazione della microSD avviabile.

Una volta completata la scrittura, estrarre la microSD dal computer, inserirla nel Raspberry Pi, collegare il cavo ethernet al router e alimentare il dispositivo. Il Raspberry Pi si avvierà automaticamente e sarà raggiungibile in rete tramite SSH. Per trovare l'indirizzo IP assegnato, accedere all'interfaccia web del router e cercare nella lista dei dispositivi connessi quello con il nome host impostato in precedenza, oppure utilizzare strumenti come Advanced IP Scanner su Windows o nmap su Linux con il comando nmap -sn 192.168.1.0/24 sostituendo la subnet con quella della propria rete.

Connessione SSH e aggiornamento del sistema
Una volta identificato l'indirizzo IP del Raspberry Pi, è possibile connettersi tramite SSH utilizzando il terminale su Linux e macOS o un client come PuTTY su Windows. Il comando da utilizzare è ssh pi@INDIRIZZO_IP sostituendo INDIRIZZO_IP con quello effettivo, ad esempio ssh pi@192.168.1.150. Alla prima connessione apparirà un avviso relativo all'autenticità dell'host, digitare yes per procedere, quindi inserire la password configurata durante la creazione della microSD.

Una volta effettuato l'accesso, la prima operazione da compiere è aggiornare il sistema operativo e tutti i pacchetti installati all'ultima versione disponibile. Eseguire in sequenza i comandi sudo apt update per aggiornare l'elenco dei pacchetti disponibili e sudo apt upgrade -y per installare tutti gli aggiornamenti. Questo processo può richiedere diversi minuti a seconda della velocità della connessione internet. Al termine, è consigliabile riavviare il sistema con sudo reboot per assicurarsi che tutte le modifiche siano applicate correttamente.

Dopo il riavvio, riconnettersi tramite SSH e configurare un IP statico per il Raspberry Pi in modo che l'indirizzo non cambi a ogni accensione. Aprire il file di configurazione della rete con sudo nano /etc/dhcpcd.conf e aggiungere alla fine del file le righe interface eth0, static ip_address=192.168.1.150/24, static routers=192.168.1.1 e static domain_name_servers=8.8.8.8 8.8.4.4 modificando gli indirizzi secondo la propria configurazione di rete. Salvare il file con Ctrl+O, confermare con Invio, uscire con Ctrl+X e riavviare con sudo reboot.

Scelta tra WireGuard e OpenVPN: quale protocollo utilizzare
Prima di procedere con l'installazione vera e propria del server VPN, è importante scegliere quale protocollo utilizzare tra i due più diffusi: WireGuard e OpenVPN. WireGuard è il protocollo più moderno, sviluppato a partire dal 2015 e integrato direttamente nel kernel Linux dalla versione 5.6. Si distingue per semplicità di configurazione, prestazioni elevate con overhead minimo, consumo ridotto di risorse CPU e codice sorgente estremamente compatto di circa 4000 righe contro le oltre 100.000 di OpenVPN, facilitando audit di sicurezza.

OpenVPN è invece il protocollo maturo e consolidato, utilizzato da oltre vent'anni e supportato da praticamente qualsiasi piattaforma. Offre maggiore flessibilità nella configurazione, supporto per numerose opzioni avanzate e compatibilità garantita anche con dispositivi e sistemi operativi datati. La configurazione è più complessa e le prestazioni leggermente inferiori a WireGuard, ma resta la scelta più sicura per chi necessita di massima compatibilità.

Per questa guida ci concentreremo su WireGuard essendo la soluzione più moderna, semplice da configurare e performante, ideale per uso domestico. Chi preferisce OpenVPN può seguire guide dedicate reperibili online, il processo è simile ma richiede più passaggi e la gestione di certificati digitali. WireGuard utilizza crittografia di stato dell'arte con curve ellittiche, chiavi di sessione rotanti automaticamente e protocollo UDP per minimizzare la latenza.

Installazione e configurazione di WireGuard
Per installare WireGuard su Raspberry Pi OS, eseguire il comando sudo apt install wireguard. Una volta completata l'installazione, è necessario generare le chiavi crittografiche che identificheranno il server. Spostarsi nella directory di configurazione con cd /etc/wireguard e generare la coppia di chiavi privata e pubblica con i comandi wg genkey | sudo tee privatekey | wg pubkey | sudo tee publickey. Questi comandi creano due file, privatekey contenente la chiave privata da mantenere segreta e publickey contenente la chiave pubblica da condividere con i client.

Creare il file di configurazione del server con sudo nano /etc/wireguard/wg0.conf e inserire la seguente struttura base. Nella sezione Interface specificare Address = 10.0.0.1/24 per definire la subnet interna della VPN, ListenPort = 51820 per impostare la porta di ascolto UDP, PrivateKey = CHIAVE_PRIVATA_SERVER sostituendo con il contenuto del file privatekey generato in precedenza. Aggiungere anche PostUp = iptables -A FORWARD -i %i -j ACCEPT e PostDown = iptables -D FORWARD -i %i -j ACCEPT per configurare il routing del traffico.

Abilitare l'IP forwarding modificando il file sudo nano /etc/sysctl.conf e decommentando o aggiungendo la riga net.ipv4.ip_forward=1. Applicare la modifica con sudo sysctl -p. Configurare il firewall per accettare il traffico sulla porta WireGuard con sudo ufw allow 51820/udp e abilitare UFW con sudo ufw enable. Avviare il server WireGuard con sudo systemctl start wg-quick@wg0 e abilitarlo all'avvio automatico con sudo systemctl enable wg-quick@wg0. Verificare lo stato con sudo systemctl status wg-quick@wg0 che dovrebbe mostrare active running.

Configurazione del port forwarding sul router
Per permettere alle connessioni provenienti da internet di raggiungere il server VPN, è necessario configurare il port forwarding sul router. Accedere all'interfaccia web del router digitando l'indirizzo del gateway nella barra degli indirizzi del browser, solitamente 192.168.1.1 o 192.168.0.1, e inserire le credenziali di amministrazione. Se non sono state modificate, consultare il manuale del router o cercare online le credenziali predefinite per il modello specifico.

Una volta effettuato l'accesso, cercare la sezione relativa al port forwarding, che può trovarsi sotto voci come NAT, Virtual Server, Port Forwarding o simili a seconda del produttore. Creare una nuova regola specificando i seguenti parametri: nome o descrizione WireGuard VPN, protocollo UDP, porta esterna 51820, porta interna 51820, indirizzo IP interno 192.168.1.150 sostituendo con l'IP statico assegnato al Raspberry Pi. Salvare la regola e verificare che sia attiva nella lista delle regole di port forwarding.

Per testare che il port forwarding funzioni correttamente, utilizzare un servizio online di port checking come canyouseeme.org. Inserire la porta 51820 e cliccare su Check Port. Se tutto è configurato correttamente, il servizio dovrebbe rilevare la porta come aperta. Se risulta chiusa, verificare che il firewall del router non blocchi il traffico, che la regola di port forwarding sia corretta e che il server WireGuard sia effettivamente in esecuzione sul Raspberry Pi.

Creazione dei profili client per connettersi alla VPN
Per ogni dispositivo che dovrà connettersi alla VPN è necessario creare un profilo client con le relative chiavi crittografiche. Generare una nuova coppia di chiavi per il primo client con wg genkey | sudo tee client1_privatekey | wg pubkey | sudo tee client1_publickey dalla directory /etc/wireguard. Creare un file di configurazione per il client con sudo nano /etc/wireguard/client1.conf contenente la sezione Interface con Address = 10.0.0.2/32, PrivateKey = CHIAVE_PRIVATA_CLIENT1 e DNS = 8.8.8.8 per utilizzare i DNS di Google.

Aggiungere la sezione Peer con PublicKey = CHIAVE_PUBBLICA_SERVER copiando la chiave dal file publickey del server, Endpoint = INDIRIZZO_IP_PUBBLICO:51820 sostituendo con l'IP pubblico della propria connessione internet ottenibile visitando siti come whatismyip.com, AllowedIPs = 0.0.0.0/0 per instradare tutto il traffico attraverso la VPN e PersistentKeepalive = 25 per mantenere attiva la connessione attraverso NAT. Salvare il file e generare un QR code per semplificare l'importazione su smartphone con sudo apt install qrencode e qrencode -t ansiutf8 < /etc/wireguard/client1.conf.

Configurare un server VPN su Raspberry Pi è un progetto accessibile che aumenta significativamente la sicurezza e la privacy della propria navigazione. Oltre a permettere l'accesso sicuro ai file della rete domestica, garantisce una connessione cifrata quando si utilizzano reti WiFi pubbliche, proteggendo i dati sensibili da occhi indiscreti. Con una spesa contenuta e un po' di pazienza, si ottiene uno strumento professionale di protezione personale.

 

Nessun commento trovato.

Disclaimer
L'indirizzo IP del mittente viene registrato, in ogni caso si raccomanda la buona educazione.