Configurare un server WireGuard

WireGuard è una VPN snella: poche righe di configurazione, connessione veloce, app per Windows, macOS, Linux, Android e iOS. I propri dispositivi raggiungono così il vServer e i suoi servizi (database, amministrazione, siti interni) in modo cifrato, senza che questi servizi siano aperti su Internet. Questa guida vale per Debian 13 e Ubuntu 26.04.

Non è consentito instradare tutto il traffico Internet della rete domestica o di un'altra connessione attraverso un vServer (uscita VPN). Vedi il punto 4.14 delle condizioni generali.

Quale server

WireGuard gira nel kernel. La via più semplice è quindi un vServer con KVM, che ha un kernel proprio. Servono un indirizzo IPv4 pubblico e una porta UDP libera.

1. Installare e generare le chiavi

apt update && apt install wireguard-tools qrencode
cd /etc/wireguard && umask 077
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee handy.key | wg pubkey > handy.pub

2. Configurazione del server

/etc/wireguard/wg0.conf, inserire le chiavi dai file:

[Interface]
Address    = 10.66.0.1/24
ListenPort = 51820
PrivateKey = <Contenuto di server.key>

[Peer]
# Telefono
PublicKey  = <Contenuto di handy.pub>
AllowedIPs = 10.66.0.2/32

3. Avviare

systemctl enable --now wg-quick@wg0

Se è attivo un firewall, la porta UDP 51820 deve essere aperta (ufw: ufw allow 51820/udp).

4. Collegare un dispositivo

Salvare la seguente configurazione come /etc/wireguard/handy.conf e importarla nell'app WireGuard come file o codice QR (qrencode -t ansiutf8 < handy.conf):

[Interface]
Address    = 10.66.0.2/32
PrivateKey = <Contenuto di handy.key>

[Peer]
PublicKey  = <Contenuto di server.pub>
Endpoint   = <Indirizzo IPv4 del server>:51820
AllowedIPs = 10.66.0.1/32
PersistentKeepalive = 25

Tramite la VPN passa solo il traffico verso il vServer (10.66.0.1). I servizi sul server si possono limitare a questo indirizzo, ad esempio un database con bind-address = 10.66.0.1. Non è consentito instradare tutto il traffico Internet di una connessione attraverso il vServer (uscita VPN). Vedi il punto 4.14 delle condizioni generali.

Verifica

wg show mostra l'ultimo handshake per dispositivo. Se non c'è nulla, il dispositivo non passa: confrontare porta, indirizzo Endpoint e coppie di chiavi.

Continua: Vedi i vServer con KVM Primi passi sul vServer