Router VPN su Raspberry Pi: configurazione passo dopo passo 2026

Router VPN su Raspberry Pi: configurazione completa nel 2026

Un router domestico con firmware del produttore raramente riesce a funzionare correttamente con VPN a livello di rete. Se è necessario proteggere il traffico di tutti i dispositivi — smart TV, console, laptop del bambino e una decina di gadget IoT — sarà necessario acquistare un router con supporto per firmware personalizzati o costruire un dispositivo del genere da soli. Raspberry Pi gestisce bene questo compito: un computer a scheda singola che costa circa 6000–9000 rubli si trasforma in un router VPN completo, che cripta tutto il traffico in uscita e supera i blocchi senza installare client su ogni dispositivo.

Perché fare un router VPN proprio su Raspberry Pi

Ci sono tre scenari in cui un router VPN separato risolve il problema meglio di un'app su telefono o laptop.

Dispositivi senza supporto per client VPN

Le smart TV con i loro firmware, le console di gioco PlayStation 5 e Xbox Series X, gli altoparlanti intelligenti e le telecamere di sorveglianza non consentono fisicamente di installare un client VPN. L'unico modo per far passare il loro traffico attraverso un tunnel crittografato è collegarli a una rete in cui la VPN è già configurata a livello di router.

Stanco di cercare chiavi funzionanti?

Una chiave pronta per v2RayTun e Hiddify

1. Registrati e prendi un giorno di prova a 29 ₽
2. Apri la Modalità stealth nel tuo account
3. Tocca «Connetti con un tocco» nella sezione «Modalità stealth»

Ottieni una chiave

• da 0,06 € al giorno
• carta o crypto
• 14 server online

Un punto di configurazione per tutta la casa

Invece di installare e configurare WireGuard o OpenVPN su otto diversi dispositivi, la configurazione viene eseguita una sola volta su Raspberry Pi. Un nuovo dispositivo si collega semplicemente al Wi-Fi di questo mini-router e ottiene automaticamente un accesso protetto a Internet.

Flessibilità di instradamento

Su Raspberry Pi è possibile configurare il tunneling separato (split tunneling): parte dei dispositivi o dei siti passa attraverso la VPN, parte direttamente. Questo è comodo, ad esempio, se i servizi bancari devono funzionare tramite un IP russo, mentre le piattaforme di streaming estere devono passare attraverso un server VPN in un altro paese.

Cosa serve per l'assemblaggio

Attrezzatura

• Raspberry Pi 4 Model B con 2 GB di RAM o più recente — Raspberry Pi 5 offre un notevole aumento della velocità di crittografia grazie a un processore Broadcom BCM2712 più potente;
• scheda microSD con capacità di almeno 16 GB, classe di velocità A2 (ad esempio, SanDisk Extreme Pro) o, preferibilmente, avvio da un'unità SSD USB per maggiore durata;
• adattatore USB Ethernet-to-USB o secondo interfaccia di rete, se è necessaria la condivisione via cavo su più dispositivi tramite uno switch;
• alimentatore da 5V/3A con connettore USB-C — un'alimentazione insufficiente porta al throttling del processore e a interruzioni della connessione;
• case con raffreddamento passivo o attivo: durante la crittografia continua del traffico, il chip si surriscalda più di quanto avvenga durante un uso normale di Raspberry Pi.

Software

La scelta ottimale del sistema operativo è Raspberry Pi OS Lite (64-bit) senza interfaccia grafica: consuma meno risorse e riduce il carico sul processore, che è già impegnato nella crittografia. Per configurare la VPN sarà necessario uno dei due protocolli:

• WireGuard — protocollo moderno con costi di overhead minimi, la velocità su Raspberry Pi 4 raggiunge 250–400 Mbit/s;
• OpenVPN — protocollo più vecchio ma flessibile, la velocità sulla stessa attrezzatura raramente supera 80–120 Mbit/s a causa di un carico computazionale più elevato.

Se il provider del servizio VPN che stai utilizzando supporta entrambi i protocolli, per il router è quasi sempre consigliabile scegliere WireGuard — la differenza di velocità si avverte già durante la visione di video in 4K su più dispositivi contemporaneamente.

Preparazione di Raspberry Pi

Installazione del sistema operativo

Scarica Raspberry Pi Imager dal sito ufficiale della Raspberry Pi Foundation, seleziona l'immagine di Raspberry Pi OS Lite (64-bit) e scrivila sulla scheda di memoria o sull'SSD. Nelle impostazioni di Imager (icona dell'ingranaggio) attiva subito SSH, imposta un nome utente e una password, e anche le impostazioni Wi-Fi, se prevedi di collegarti in modalità wireless nella fase iniziale.

Primo collegamento e aggiornamento del sistema

Dopo il caricamento, collegati tramite SSH:

ssh pi@raspberrypi.local

Aggiorna il sistema e riavvia il dispositivo:

sudo apt update && sudo apt full-upgrade -ysudo reboot

Configurazione dell'indirizzo IP statico

Il router ha bisogno di un indirizzo prevedibile nella rete locale. Apri il file di configurazione dhcpcd:

sudo nano /etc/dhcpcd.conf

E aggiungi in fondo:

interface eth0static ip_address=192.168.1.2/24static routers=192.168.1.1static domain_name_servers=1.1.1.1 8.8.8.8

Configurazione di WireGuard su Raspberry Pi

Installazione del pacchetto

sudo apt install wireguard wireguard-tools -y

Generazione delle chiavi

wg genkey | tee privatekey | wg pubkey > publickey

La chiave privata rimane sul dispositivo, la chiave pubblica viene inviata al provider del servizio VPN o utilizzata per configurare il proprio server.

File di configurazione del client

Crea un file /etc/wireguard/wg0.conf con il seguente contenuto, sostituendo i valori con i dati forniti dal tuo provider VPN:

[Interface]PrivateKey = ваш_приватный_ключAddress = 10.0.0.2/32DNS = 1.1.1.1[Peer]PublicKey = публичный_ключ_сервераEndpoint = адрес_сервера:51820AllowedIPs = 0.0.0.0/0, ::/0PersistentKeepalive = 25

Avvio e avvio automatico

sudo systemctl enable wg-quick@wg0sudo systemctl start wg-quick@wg0

Puoi verificare che il tunnel sia attivo con il comando sudo wg show — lì verrà visualizzato lo stato della connessione, il volume dei dati trasferiti e l'ora dell'ultimo handshake.

Trasformare Raspberry Pi in un punto di accesso

Installazione di hostapd e dnsmasq

sudo apt install hostapd dnsmasq -ysudo systemctl unmask hostapd

Configurazione di hostapd

Nel file /etc/hostapd/hostapd.conf imposta i parametri di rete:

interface=wlan0driver=nl80211ssid=VPN-Home-Routerhw_mode=gchannel=7wmm_enabled=0macaddr_acl=0auth_algs=1ignore_broadcast_ssid=0wpa=2wpa_passphrase=надёжный_пароль_16_символовwpa_key_mgmt=WPA-PSKwpa_pairwise=TKIPrsn_pairwise=CCMP

Configurazione di dnsmasq per la distribuzione degli indirizzi

In /etc/dnsmasq.conf aggiungi:

interface=wlan0dhcp-range=192.168.4.2,192.168.4.100,255.255.255.0,24hdhcp-option=3,192.168.4.1dhcp-option=6,1.1.1.1

Configurazione del routing tramite iptables

Per fare in modo che tutto il traffico dalla rete wireless passi attraverso il tunnel WireGuard, abilita l'inoltro dei pacchetti e configura il NAT:

echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.confsudo sysctl -psudo iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADEsudo iptables -A FORWARD -i wlan0 -o wg0 -j ACCEPTsudo iptables -A FORWARD -i wg0 -o wlan0 -m state --state RELATED,ESTABLISHED -j ACCEPTsudo netfilter-persistent save

Dopo di ciò, qualsiasi dispositivo connesso alla rete "VPN-Home-Router" invierà automaticamente tutto il traffico attraverso il tunnel crittografato — senza installare applicazioni client.

Evitare i blocchi: quando un solo VPN non è sufficiente

Nelle regioni con filtraggio attivo del traffico tramite protocollo DPI (Deep Packet Inspection), il provider può identificare e bloccare anche le connessioni WireGuard in base a etichette caratteristiche dei pacchetti. In tali casi, l'offuscamento del traffico è utile:

• WireGuard + involucro di offuscamento — ad esempio, lo strumento wireguard-go con il plugin di offuscamento maschera il tunnel come traffico HTTPS normale;
• Shadowsocks in combinazione con VPN — il traffico passa prima attraverso un proxy Shadowsocks, il che nasconde il fatto stesso di utilizzare il protocollo VPN;
• cambio della porta Endpoint a 443 — a volte è sufficiente spostare il server VPN dalla porta 51820 a 443, affinché il traffico non si distingua visivamente dal normale HTTPS.

Se il servizio VPN che utilizzi fornisce configurazioni pronte con offuscamento (spesso si tratta di server separati contrassegnati come "obfuscated" o "stealth" nell'elenco delle posizioni), è più semplice utilizzare proprio quelli, piuttosto che configurare manualmente l'involucro su Raspberry Pi.

Verifica del funzionamento e diagnostica

Controllo delle perdite DNS e dell'IP reale

Dopo aver connesso qualsiasi dispositivo alla rete del router, apri un browser su di esso e visita un servizio di verifica dell'indirizzo IP e delle perdite DNS. L'indirizzo visualizzato dovrebbe appartenere al server VPN e non al tuo provider Internet.

Misurazione della velocità

Confronta la velocità prima e dopo l'attivazione del tunnel VPN tramite iperf3 all'interno della rete locale, così come attraverso un normale test di velocità nel browser. Una diminuzione del 15-30% rispetto alla velocità di base di Internet è un indicatore normale per WireGuard su Raspberry Pi 4; una diminuzione superiore al 50% indica un sovraccarico della CPU o problemi dal lato del server VPN.

Monitoraggio della temperatura

vcgencmd measure_temp

Con un carico costante di crittografia, la temperatura del chip Raspberry Pi 4 senza raffreddamento attivo può superare i 70°C, il che porta al throttling. Se le letture rimangono costantemente superiori a questo valore, è consigliabile aggiungere una ventola al case.

Avvio automatico e resilienza

Script di controllo della connessione

Per far sì che il tunnel si ripristini automaticamente dopo un'interruzione del provider, aggiungi al crontab un controllo ogni 5 minuti:

*/5 * * * * ping -c1 10.0.0.1 > /dev/null || systemctl restart wg-quick@wg0

Kill switch in caso di interruzione della VPN

Per evitare che i dispositivi "cadano" su Internet aperto in caso di interruzione del tunnel, aggiungi una regola che blocchi il traffico in uscita attraverso l'interfaccia principale in assenza di una connessione WireGuard attiva:

sudo iptables -A FORWARD -i wlan0 -o eth0 -j DROP

Questa regola consente al traffico dalla rete wireless di passare solo attraverso l'interfaccia wg0, e non direttamente su Internet — se il tunnel cade, i dispositivi semplicemente perdono la connessione, senza passare a una connessione non protetta.

Errori comuni nella configurazione di un router VPN

• Alimentatore debole — risparmiare su un adattatore originale porta spesso a un funzionamento instabile del modulo Wi-Fi proprio nel momento di carico elevato sulla crittografia;
• Utilizzo di una scheda microSD economica
• Ignorare l'MTU
• Un canale Wi-Fi su due bande

Quando Raspberry Pi non è la scelta migliore

Per appartamenti con internet a velocità superiore a 500 Mbit/s e un gran numero di dispositivi attivi contemporaneamente, Raspberry Pi 4 può diventare un collo di bottiglia: il processore semplicemente non riesce a crittografare il traffico a tale velocità. In questo caso, è più sensato considerare un router basato su mini-PC x86 o soluzioni pronte con accelerazione hardware per la crittografia. Ma per una rete domestica con una velocità tipica di 100–300 Mbit/s e una decina di dispositivi connessi, Raspberry Pi 4 o 5 funziona senza limitazioni evidenti ed è uno dei modi più accessibili per proteggere tutto il traffico dell'appartamento in una sola volta, senza dover configurare una VPN su ogni singolo dispositivo.