Come configurare una VPN per accedere alla rete di casa

1. Che cos'è una VPN domestica

VPN è l'acronimo di Virtual Private Network, cioè rete privata virtuale. Una VPN crea un collegamento cifrato tra un dispositivo remoto e un server VPN. Nel caso di una VPN domestica, il server si trova nella rete di casa e il client può essere installato su un portatile, uno smartphone o un tablet.

Quando sei fuori casa, ad esempio collegato alla rete Wi-Fi di un albergo o alla rete mobile, puoi avviare il client VPN e stabilire un tunnel protetto verso il router o un altro dispositivo configurato come server. A seconda delle impostazioni, il dispositivo remoto potrà raggiungere le risorse della LAN come se fosse collegato alla rete locale.

Una VPN domestica non va confusa con un servizio VPN commerciale. Quest'ultimo viene normalmente utilizzato per instradare il traffico Internet attraverso server di un fornitore. Una VPN verso casa serve invece principalmente a raggiungere in modo protetto la propria rete privata.

2. Che cosa serve prima di iniziare

Per realizzare una VPN domestica occorrono alcuni elementi. Le possibilità dipendono dal router, dal NAS e dal tipo di connessione Internet disponibile.

• Connessione Internet a casa: deve essere raggiungibile dall'esterno, direttamente o tramite una soluzione supportata dal produttore.
• Server VPN: può essere integrato nel router oppure installato su un NAS o su un computer sempre acceso.
• Client VPN: il programma da installare sul dispositivo che si collega da remoto.
• Credenziali e configurazione: chiavi, certificati o profili generati dal server, in base al protocollo utilizzato.
• Nome host raggiungibile: un indirizzo IP pubblico statico oppure un servizio DDNS, quando necessario.

3. Dove installare il server VPN

Il server VPN può essere eseguito su dispositivi differenti. La scelta dipende dalle funzioni disponibili, dai consumi, dalle prestazioni richieste e dal fatto che il dispositivo rimanga acceso in modo continuativo.

Se il router integra già un server VPN aggiornato e adatto alle tue esigenze, questa può essere la soluzione più semplice. Se utilizzi un NAS, controlla che il produttore mantenga aggiornato il software VPN e che il servizio sia protetto da credenziali e regole firewall adeguate.

4. WireGuard oppure OpenVPN?

WireGuard e OpenVPN sono due tecnologie diffuse per creare tunnel VPN cifrati. Non tutti i router supportano entrambi i protocolli: prima di scegliere, controlla le funzioni effettivamente disponibili sul dispositivo.

Per una nuova installazione domestica, WireGuard è spesso una scelta pratica quando è supportato dal router o dal server. OpenVPN resta una valida alternativa in presenza di dispositivi che lo richiedono o di configurazioni già esistenti.

5. IP pubblico, IP dinamico e DDNS

Per collegarsi dall'esterno, il client deve sapere dove trovare il server VPN. Se il provider assegna un indirizzo IP pubblico statico, puoi utilizzare quell'indirizzo nella configurazione del client. Se l'indirizzo pubblico cambia nel tempo, un servizio DDNS (Dynamic DNS) può associare un nome host al tuo indirizzo aggiornandolo quando necessario.

Il DDNS non crea una connessione Internet raggiungibile e non supera le limitazioni imposte dal provider: serve soltanto a mantenere aggiornato il nome che identifica l'indirizzo pubblico.

Attenzione al CGNAT

Alcuni operatori utilizzano il CGNAT (Carrier-Grade NAT), una tecnologia che consente a più clienti di condividere indirizzi IPv4 pubblici. In questa situazione il router domestico può ricevere un indirizzo WAN privato o appartenente a intervalli riservati, e le connessioni in ingresso non possono essere inoltrate direttamente dal cliente.

Per verificare la situazione, confronta l'indirizzo WAN mostrato dal router con l'indirizzo pubblico rilevato da un servizio di verifica IP. Se i valori sono diversi, potrebbe esserci un NAT intermedio. Non è una prova definitiva in ogni configurazione, ma è un indizio da approfondire con il provider.

Se sei sotto CGNAT, chiedi all'operatore se può fornire un IPv4 pubblico o una soluzione alternativa. In alternativa puoi valutare servizi di accesso remoto con connessione in uscita o un sistema VPN con relay, verificando attentamente sicurezza, costi e condizioni del servizio.

6. Configurare il server VPN sul router o sul NAS

I nomi delle voci e le procedure cambiano tra produttori. I passaggi seguenti descrivono il flusso generale: per i dettagli operativi consulta il manuale del tuo modello e la documentazione ufficiale del software installato.

1. Accedi al pannello di amministrazione del router o del NAS.
2. Apri la sezione VPN e verifica che sia disponibile la modalità Server.
3. Scegli WireGuard o OpenVPN, se il dispositivo consente di selezionare il protocollo.
4. Attiva il servizio e imposta una rete o un intervallo di indirizzi dedicato ai client VPN, evitando sovrapposizioni con la LAN domestica.
5. Configura quali risorse della rete locale possono essere raggiunte dai client.
6. Genera un profilo o una configurazione separata per ogni dispositivo autorizzato.
7. Salva le modifiche e annota la porta e il protocollo utilizzati dal server.

Se il server VPN è installato su un NAS o su un computer dietro il router, potrebbe essere necessario configurare il port forwarding verso quell'apparecchio. Apri soltanto la porta richiesta dal protocollo e dal software scelto, senza esporre l'interfaccia di amministrazione del NAS o del computer.

7. Configurare il client su PC e smartphone

Dopo aver attivato il server, devi configurare ogni dispositivo che si collegherà da remoto. In genere il router o il software VPN permette di generare un file di configurazione, un codice QR oppure un profilo da importare nell'applicazione client.

Su Windows

1. Scarica il client WireGuard o OpenVPN dal sito ufficiale del progetto, se non è già disponibile sul dispositivo.
2. Installa il programma e avvialo.
3. Importa il file di configurazione generato dal server oppure crea il profilo seguendo le istruzioni del produttore.
4. Controlla che il nome host o l'indirizzo del server, la porta e gli altri parametri siano corretti.
5. Attiva il tunnel e verifica la connessione.

Su Android e iPhone

1. Installa l'applicazione ufficiale del protocollo scelto dallo store del dispositivo.
2. Importa il profilo tramite file o codice QR, se supportato dal server.
3. Accetta la richiesta del sistema operativo per aggiungere la configurazione VPN.
4. Attiva la connessione e verifica di poter raggiungere una risorsa autorizzata della rete domestica.

Tratta i file di configurazione, i codici QR e le chiavi private come credenziali: chi ne entra in possesso potrebbe riuscire a collegarsi alla rete. Non pubblicarli, non inviarli in chat non protette e revoca il profilo se il dispositivo viene smarrito o non è più utilizzato.

8. Accedere a NAS, PC e altri dispositivi della rete

Una volta attivato il tunnel, l'accesso alle risorse dipende dalle reti e dalle autorizzazioni configurate sul server. Se la VPN consente l'accesso alla LAN, puoi utilizzare gli indirizzi IP locali dei dispositivi domestici, proprio come quando sei collegato al Wi-Fi di casa.

Per esempio, se il NAS ha un indirizzo IP locale statico o una prenotazione DHCP, puoi utilizzare quell'indirizzo per aprire la sua interfaccia o raggiungere le cartelle condivise. Analogamente, puoi collegarti a un computer tramite gli strumenti di accesso remoto già configurati, purché firewall e permessi lo consentano.

Non dare per scontato che tutti i servizi funzionino automaticamente: alcuni protocolli di individuazione dei dispositivi non attraversano il tunnel VPN. In questi casi può essere necessario utilizzare l'indirizzo IP o configurare correttamente DNS e routing.

9. Full tunnel e split tunnel: quale scegliere

Il server VPN e il client possono essere configurati per instradare attraverso il tunnel tutto il traffico Internet oppure soltanto quello diretto alla rete domestica.

La scelta dipende dall'utilizzo e dalla configurazione. Il full tunnel può aumentare il traffico e il carico sulla connessione domestica; lo split tunnel può essere più efficiente, ma richiede regole di routing corrette. Verifica anche la gestione DNS per evitare che le richieste vengano inviate a server non desiderati.

10. Regole di sicurezza per la VPN domestica

• Crea un profilo distinto per ogni PC, smartphone o tablet autorizzato.
• Revoca le chiavi o i profili dei dispositivi smarriti, venduti o non più utilizzati.
• Mantieni aggiornati router, NAS, server VPN e applicazioni client.
• Consenti ai client soltanto l'accesso alle risorse di cui hanno realmente bisogno.
• Non esporre su Internet pannelli amministrativi, desktop remoti o condivisioni di rete se non è indispensabile.
• Utilizza password robuste per gli account dei dispositivi raggiungibili attraverso la VPN.
• Controlla periodicamente i log e gli accessi registrati dal server, se la funzione è disponibile.

La VPN protegge il collegamento tra client e server, ma non rende automaticamente sicuri i dispositivi interni. Un computer con software vulnerabile o un NAS con password debole rimangono esposti ai rischi presenti nella rete locale.

11. Problemi comuni e come risolverli

Se la VPN non funziona, prova prima dalla rete mobile dello smartphone o da una rete esterna: un test effettuato dalla stessa LAN del server può dare risultati diversi a causa del NAT loopback o delle impostazioni del router.

Domande frequenti sulla VPN domestica

Conclusioni

Configurare una VPN domestica è un modo efficace per accedere da remoto alle risorse della propria rete senza pubblicare direttamente su Internet servizi come NAS e condivisioni di file. La soluzione può essere installata sul router, su un NAS o su un piccolo server, scegliendo un protocollo supportato e mantenuto aggiornato.

Prima di procedere verifica la raggiungibilità della connessione Internet, soprattutto in presenza di CGNAT. Configura profili individuali, limita gli accessi e prova il collegamento da una rete esterna. Una VPN ben configurata rende più comodo e controllato l'accesso alla rete di casa.

Fonti e approfondimenti

• ProtocolloWireGuard – Sito ufficiale e documentazione
• ProtocolloOpenVPN – Sito ufficiale
• SicurezzaCISA – Secure Our World
• CybersecurityENISA – Agenzia dell'Unione europea per la cybersicurezza

Le schermate e i nomi delle impostazioni possono variare in base al produttore e alla versione del firmware. Per i parametri specifici utilizza sempre la documentazione del dispositivo e del software VPN scelto.