Hardware economico per server VPN: cosa scegliere nel 2026

Se stai leggendo questo, probabilmente hai già provato VPN gratuite che riducono drasticamente la tua velocità, o servizi a pagamento che funzionano in modo intermittente. La tua infrastruttura personale è un altro livello di controllo. Ma quale hardware economico per server VPN vale davvero la pena acquistare e quale è solo una perdita di denaro? Analizziamo questo specificamente: computer a scheda singola, mini-PC, router, indicatori di prestazioni reali e — cosa importante per la Russia — quale protocollo non sarà bloccato dal Roskomnadzor tra un mese.

Perché vale la pena configurare il proprio server VPN e quale hardware è necessario per farlo

Un servizio VPN a pagamento è un server di qualcun altro, un protocollo di qualcun altro e un indirizzo IP di qualcun altro. Non controlli come il traffico viene mascherato come HTTPS legittimo, non puoi cambiare protocollo in risposta a nuove restrizioni. Il tuo server personale ti dà piena libertà di configurazione.

Questo è particolarmente importante in Russia, dove il DPI (Deep Packet Inspection) dei provider può riconoscere e bloccare le firme dei protocolli popolari. Quando il Roskomnadzor emette una direttiva, il provider chiude il traffico attraverso l'hardware TSPU. Se hai il tuo protocollo con la giusta mascheratura, puoi semplicemente cambiare la configurazione senza aspettare un aggiornamento del servizio.

Il tuo server personale contro una VPN a pagamento: qual è la vera differenza

Una VPN a pagamento ti offre un pulsante e un'app pronta all'uso. Il tuo server personale richiede 2-4 ore di configurazione iniziale e comprensione di ciò che sta accadendo. Ma l'indirizzo IP appartiene solo a te — niente "questo indirizzo è bloccato perché 500 persone lo hanno usato su un servizio".

Un altro punto: i servizi VPN russi, sotto pressione del Roskomnadzor, periodicamente lasciano il mercato o iniziano a filtrare il traffico. Un servizio straniero, non soggetto alla giurisdizione russa, può anch'esso essere bloccato. Il tuo server su un VPS straniero è l'opzione ottimale.

Requisiti hardware minimi per WireGuard e VLESS/XRay

WireGuard è minimalista: funziona con 256 MB di RAM e un core CPU. In effetti, WireGuard funziona su Orange Pi Zero con 512 MB di RAM senza problemi, ma non aspettarti 1 Gbps.

VLESS/XRay con Reality richiede un po' di più: almeno 512 MB di RAM, preferibilmente 1 GB. XRay è scritto in Go, senza compilazione JIT, ma non è particolarmente pesante. Su Raspberry Pi 4 con 2 GB di RAM funziona alla grande, il carico della CPU durante il traffico attivo è del 20-40%.

Shadowsocks-2022 ha un carico della CPU simile a WireGuard, ma aggiunge sovraccarichi per la crittografia. Su un debole ARM Cortex-A53 (Orange Pi Zero, vecchio Pi) questo è evidente.

Dove posizionare fisicamente il server: a casa, su VPS o presso un provider di hosting

A casa: hai bisogno di un IP statico (o DDNS) e porte aperte. Molti provider russi sono dietro CGNAT — le connessioni in entrata sono fisicamente impossibili senza configurazioni aggiuntive. Controlla in anticipo: se il tuo IP esterno inizia con 100.64.x.x o 10.x.x.x — hai CGNAT.

VPS all'estero (Hetzner, DigitalOcean, Vultr) — l'opzione ottimale. A partire da 3-5 dollari al mese per un server base in Germania o Finlandia. IP statico incluso. Nessun problema con CGNAT e connessioni in entrata.

Hardware domestico + VPS straniero — una combinazione per paranoici e perfezionisti: tutto il controllo è tuo, il traffico in uscita passa attraverso un IP straniero.

Le migliori opzioni economiche di hardware per server VPN

Parliamo di dispositivi specifici con prezzi reali. I prezzi sono attuali all'inizio del 2025, fai riferimento a Ozon/Wildberries/AliExpress — ci sono variazioni, ma l'ordine di grandezza è più o meno questo.

Computer a scheda singola: Raspberry Pi 4/5, Orange Pi, Banana Pi — prezzi e prestazioni

Raspberry Pi 4 (2 GB) — circa 4000-5500. Processore Cortex-A72 a 1.8 GHz fornisce ~400-600 Mbps con WireGuard in condizioni reali. Ethernet gigabit disponibile. Il supporto della comunità è enorme — qualsiasi domanda riceve risposta in 5 minuti di ricerca su Google.

Raspberry Pi 5 (4 GB) — ~7000-9000. Cortex-A76, notevolmente più veloce, ma richiede un raffreddamento attivo separato per funzionare 24/7. Alcune vecchie immagini di Pi 4 non funzioneranno su di esso — controlla la compatibilità dell'immagine del sistema operativo prima del download.

Orange Pi 3 LTS — 2500-3500. Allwinner H6, Cortex-A53. Le prestazioni sono circa la metà rispetto a Pi 4: WireGuard ~150-250 Mbps. Sufficiente per uno o due utenti. Acquista solo la versione ufficiale — su AliExpress ci sono cloni con chip di memoria flash diversi, che causano blocchi del sistema operativo.

Banana Pi M5 — ~3500-4500. Amlogic S905X3, la stessa classe Cortex-A55. Una valida alternativa a Orange Pi, ma la documentazione è peggiore.

Mini-PC: N100, Celeron J4125 — il miglior equilibrio tra prezzo e prestazioni

Intel N100 — è un altro livello. Architettura x86, AES-NI di serie, che fornisce accelerazione hardware per OpenVPN e altri protocolli con crittografia AES. I mini-PC N100 costano 8000-12000 su Ozon (marchi come BMAX, MinisForum, Trigkey).

WireGuard su N100 fornisce 900+ Mbps — quasi un gigabit. XRay con VLESS+Reality — 400-600 Mbps anche con TLS pesante. Questo è già un server di livello piccolo ufficio, non solo una VPN personale.

Celeron J4125 — un po' più vecchio, ~6000-9000 per un mini-PC pronto all'uso. Le prestazioni sono leggermente inferiori rispetto a N100, ma c'è anche AES-NI. Buona opzione se lo trovi in offerta.

Un vecchio laptop o PC come server VPN: quando è giustificato

Se hai un vecchio laptop con Core i3/i5 e 4 GB di RAM che giace inutilizzato — questo è hardware gratuito per un server VPN. La batteria integrata funge da UPS durante le interruzioni di corrente. Svantaggi: consumo di 15-45 W contro 3-5 W per Raspberry Pi, più il rumore della ventola.

Per un uso costante non è economicamente sostenibile — la differenza nei costi energetici in un anno è di 1500-4000. Ma per testare o per un server temporaneo — è ottimo.

Router con OpenWRT: GL.iNet, TP-Link — l'opzione più compatta

GL.iNet Beryl AX (MT3000) — 6000-8000. MediaTek MT7981B, 256 MB di RAM, WireGuard direttamente dal web interface. Consumo ~5 W. Ma c'è una limitazione: ha una porta 2.5G, le altre sono 1G. Per la maggior parte non è un problema.

Importante limitazione di tutti i router economici: se hai porte Fast Ethernet (100 Mbit/s) — questo è il limite fisico della velocità, nessun software può aiutare. Controlla le specifiche delle porte prima dell'acquisto.

TP-Link Archer C7 e dispositivi simili su OpenWRT funzionano, ma il processore è debole — WireGuard raggiungerà al massimo 50-80 Mbit/s. Per un utente è accettabile, per una famiglia no.

Tabella comparativa: prezzo / consumo / velocità WireGuard

Quale protocollo scegliere per il tuo server contro il blocco di Roskomnadzor

Questa è la sezione più importante se vivi in Russia. Puoi acquistare l'hardware ideale e economico per un server VPN, ma se il protocollo viene bloccato dopo 2 settimane, tutto ciò sarà inutile.

WireGuard: veloce, ma facilmente bloccabile su UDP

WireGuard è un protocollo tecnicamente superiore. Codice minimalista (circa 4000 righe), crittografia veloce Curve25519/ChaCha20, bassa latenza. In un mondo senza DPI, è la scelta ideale.

In Russia, è un problema. WireGuard funziona su UDP e ha firme caratteristiche nei primi pacchetti di handshake. L'hardware DPI dei provider lo riconosce e lo blocca. Inoltre, alcuni provider applicano limitazioni su UDP: non bloccano esplicitamente, ma riducono il traffico UDP a 5-10 Mbit/s. Penserai che tutto funzioni, solo più lentamente.

VLESS + XRay + Reality: la scelta migliore per aggirare il DPI in Russia

VLESS con trasporto Reality è attualmente l'opzione più resistente al DPI. Reality maschera la connessione come un vero handshake TLS con un dominio reale (ad esempio, microsoft.com o apple.com). Il DPI vede un legittimo HTTPS sulla porta 443, quindi non c'è nulla da bloccare.

XRay è un fork di V2Ray con funzionalità aggiuntive, incluso Reality. Si installa con un comando tramite lo script ufficiale. Funziona ottimamente su mini-PC con N100. Su Orange Pi Zero con Cortex-A53 è lento, perché non c'è accelerazione hardware AES, e XRay carica la CPU al 70-80% con un traffico di 100 Mbit/s.

Shadowsocks-2022: compromesso tra velocità e offuscamento

Shadowsocks-2022 è una versione aggiornata del vecchio protocollo con crittografia migliorata (AEAD-2022). L'offuscamento è peggiore rispetto a Reality, ma migliore rispetto al normale WireGuard. Il traffico appare come dati casuali, il che complica già l'analisi della firma.

Il principale vantaggio per l'hardware debole: il carico sulla CPU è inferiore rispetto a XRay. Su Orange Pi 3 LTS, la differenza di carico sulla CPU tra Shadowsocks-2022 e XRay può raggiungere il 30-40%. Se hai una scheda ARM Cortex-A53, Shadowsocks-2022 è una scelta più pratica.

Amnezia VPN: soluzione pronta basata su hardware comune

Amnezia è un progetto russo open source che prende WireGuard e aggiunge pacchetti spazzatura prima del vero handshake. Il DPI non può riconoscere la firma di WireGuard perché vede una sequenza di pacchetti non standard.

AmneziaWG funziona praticamente su qualsiasi hardware dove funziona il normale WireGuard: le spese generali sono minime. Le applicazioni client sono disponibili per Android, iOS, Windows, macOS. È una buona soluzione se hai già configurato WireGuard e vuoi aggiungere rapidamente protezione contro il DPI senza reinstallare tutto.

OpenVPN e IKEv2: quando ha ancora senso usarli

OpenVPN su TCP sulla porta 443 è uno schema vecchio ma funzionante. Il traffico appare come HTTPS per la maggior parte dei provider senza analisi approfondita. La velocità è inferiore del 30-50% rispetto a WireGuard, il carico sulla CPU è maggiore. Ma funziona quasi ovunque ed è supportato da tutti i client.

IKEv2 è per scenari aziendali e iOS (supporto integrato). Nel contesto dell'aggiramento dei blocchi di Roskomnadzor, è una scelta debole: è relativamente facile da bloccare. Usalo solo se hai bisogno di compatibilità con una specifica soluzione aziendale.

Impostazione passo-passo di un server VPN su hardware economico

Installazione del sistema operativo: Debian/Ubuntu contro Alpine Linux per risparmiare risorse

Su Raspberry Pi 4 utilizza Raspberry Pi OS Lite (64-bit) — è una versione ottimizzata di Debian per questa piattaforma. Scaricalo dal sito ufficiale raspberrypi.com, versione senza desktop (Lite). Scrivilo usando Raspberry Pi Imager: configura anche SSH e il nome host prima del primo avvio.

Per mini-PC x86 — Debian 12 Bookworm Minimal o Ubuntu Server 24.04 LTS. Alpine Linux risparmia memoria, ma i repository sono meno ampi e alcuni pacchetti devono essere compilati manualmente. Per un principiante, è un'incombenza in più.

Installazione di WireGuard in 10 minuti: comandi e configurazione

Su Debian/Ubuntu:

apt update && apt install -y wireguard
wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key
chmod 600 /etc/wireguard/server_private.key

Configurazione /etc/wireguard/wg0.conf:

[Interface]# Server private key
PrivateKey = <contents of server_private.key>
# Server address in VPN network
Address = 10.0.0.1/24
# Port — better non-standard, but if provider blocks UDP — it's a problem
ListenPort = 51820
# Enable traffic forwarding
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# Client public key
PublicKey = <client_public.key>
AllowedIPs = 10.0.0.2/32

Abilita e avvia:

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

Se il tuo provider blocca il traffico UDP su porte non standard, modifica ListenPort a 53 (DNS) o usa wstunnel per incapsulare WireGuard in WebSocket.

Installazione di XRay/VLESS con Reality su mini-PC o computer a scheda singola

Script di installazione ufficiale di XRay (versione 1.8.x e superiore):

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Dopo l'installazione, la configurazione si trova in /usr/local/etc/xray/config.json. Per Reality è necessario generare una coppia di chiavi:

xray x25519

Nella configurazione si specifica "dest": "www.microsoft.com:443" — XRay reindirizzerà le connessioni non riconosciute a Microsoft, creando un convincente camuffamento.

Connessione dei client: Android, iPhone, Windows, router

WireGuard Android/iOS: l'app ufficiale WireGuard dal Play Store/App Store. Genera un codice QR di configurazione con qrencode -t ansiutf8 < client.conf, scansiona con il tuo telefono.

VLESS/XRay su Android: v2rayNG app (Google Play). Copia il link, come vless://uuid@ip:443?..., incollalo nell'app.

VLESS/XRay su iOS: Streisand o Shadowrocket app (a pagamento, $2.99). Importa lo stesso link.

Windows: per WireGuard — client ufficiale wireguard.com, importa il file .conf. Per XRay — Nekoray o Hiddify.

Monitoraggio e sicurezza: fail2ban, aggiornamenti automatici

Set di sicurezza minimo:

apt install -y fail2ban unattended-upgrades
systemctl enable fail2ban
dpkg-reconfigure -plow unattended-upgrades

Fail2ban blocca automaticamente il brute force SSH. Unattended-upgrades installa patch di sicurezza senza il tuo intervento. Cambia la porta SSH da 22 a qualcosa di non standard e disabilita l'autenticazione tramite password — solo chiavi.

Cosa non funziona e errori tipici nella scelta dell'hardware

Perché l'IP domestico non è adatto per VPN in Russia

Anche se hai risolto il problema CGNAT e hai ottenuto un IP statico dal tuo provider — l'indirizzo IP domestico è problematico per un altro motivo. I provider russi hanno il diritto e la possibilità tecnica di bloccare indirizzi IP specifici dei loro utenti su richiesta. Inoltre, il tuo IP si trova nell'intervallo del provider russo — alcuni servizi stranieri lo filtrano ulteriormente.

Schema corretto: hardware domestico + VPS all'estero come nodo di uscita. A casa c'è un Raspberry Pi o un mini-PC, si collega tramite un tunnel al tuo server in Germania, tutto il traffico passa attraverso un IP tedesco. In questo modo, nessuno conosce il tuo indirizzo domestico.

Router senza NAT hardware: collo di bottiglia in velocità

Molti router economici con OpenWRT non hanno accelerazione hardware NAT. Con il traffico VPN, tutte le trasmissioni passano attraverso la CPU, che nei router MIPS dal 2016-2018 è chiaramente debole. La velocità reale può essere di 20-40 Mbit/s a fronte di 300 Mbit/s teorici per il router.

GL.iNet su MediaTek MT7621/MT7981 è migliore — Software Flow Offloading funziona lì e offre un notevole incremento. Ma l'hardware più vecchio del 2020 con processore MIPS per il server VPN è spazzatura, non perdere tempo.

Computer a scheda singola con Ethernet a 100 Mbit/s — limitazione nascosta

Orange Pi Zero, Banana Pi M2 Zero, alcuni primi Raspberry Pi — hanno fisicamente Ethernet a 100 Mbit/s o solo WiFi. WireGuard può fornire 300 Mbit/s tramite CPU, ma la rete sarà un collo di bottiglia a 100 Mbit/s. Controlla le specifiche prima di acquistare.

Raspberry Pi 4 e 5 — Ethernet gigabit. Orange Pi 3 LTS — anche gigabit. Questo è il minimo per un uso normale.

Calore e stabilità: problemi di funzionamento 24/7 con hardware economico

Raspberry Pi 4 senza raffreddamento sotto carico costante riduce la frequenza da 1800 MHz a 600 MHz. Questo è un problema reale per un server VPN 24/7. Acquista un case con dissipatore passivo per 300-500 — questo risolve completamente il problema senza alcuna ventola.

Mini-PC cinesi economici, come "no-name N100", a volte hanno un modulo WiFi instabile e un alimentatore mediocre. Collegati tramite Ethernet, il WiFi non è necessario per il server. Ottieni un alimentatore con margine — un economico 12V/1A sotto carico può avere cali di tensione.

Una storia a parte — hosting economici in luoghi esotici (1 dollaro al mese per VPS in Moldavia o Kazakistan): interruzioni di corrente, connessione instabile, a volte semplicemente offline per alcune ore. Hetzner, Contabo, DigitalOcean — spendi 2 dollari in più, ma dormi tranquillo.

Alternativa al tuo server personale: quando scegliere un VPN pronto all'uso

Quando l'auto-ospitazione non è appropriata

Il tuo server VPN personale su hardware economico per VPN è un progetto. Non un'app, non un abbonamento, ma un progetto con configurazione iniziale, manutenzione periodica e risoluzione di problemi, come "il server si è bloccato alle 3 di notte e tutti a casa non hanno internet".

Calcoliamo il TCO reale: Raspberry Pi 4 (~6100 euro una tantum) + case con raffreddamento (~6 euro) + scheda microSD (~7 euro) = ~6100 euro una tantum. Elettricità: ~4 W × 24 h × 30 giorni × 0.06 euro/kWh = ~17 euro al mese. VPS all'estero (Hetzner CX11, 2 GB di RAM, Germania) = ~3.5 euro/mese ≈ 320 euro. Totale: ~6100 euro di ingresso + ~340 euro/mese. Per 6 mesi sono ~8100 euro. Inoltre, il tuo tempo per configurazione e manutenzione.

Un servizio VPN pronto all'uso con un buon supporto per l'aggiramento dei blocchi costa 100-500 euro al mese. Per 6 mesi — 600-3000 euro, zero tempo per la configurazione. Per gli utenti non tecnici, la scelta è ovvia.

NvoVPN e altri servizi come alternativa pronta senza hardware

Se non vuoi occuparti di configurazioni e aggiornamenti, un servizio pronto è una scelta ragionevole. NvoVPN, ad esempio, supporta già protocolli moderni per aggirare il DPI e non richiede l'acquisto di alcun hardware: basta scaricare l'app e connettersi.

Il tuo server personale ha senso se: hai conoscenze tecniche e vuoi controllare ogni aspetto, sei disposto a investire tempo o hai requisiti specifici (ad esempio, un IP di uscita specifico per lavorare con determinati servizi). In altri casi, valuta razionalmente se ne vale la pena.

Ho bisogno di un IP statico per il mio server VPN?