# Come collego la mia rete domestica a un VPS con WireGuard (dietro CGNAT)? > Raggiungere un server domestico dietro CGNAT tramite un hub WireGuard su un VPS, passo dopo passo. Dusk, 2 GB di RAM, costa $5.25 al mese con 12 mesi. - URL: https://gloamport.com/it/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ - Ultimo aggiornamento: 2026-11-10 - Editore: Gloamport (https://gloamport.com) Il router di casa non ha un indirizzo pubblico. Il VPS ne ha uno, quindi diventa il punto d'incontro a cui entrambi i lati si collegano in uscita. **Risposta rapida — Come collego la mia rete domestica a un VPS con WireGuard (dietro CGNAT)?** Per collegare la rete domestica a un VPS con WireGuard dietro CGNAT, si esegua WireGuard sul VPS come hub e si lasci che la macchina di casa si colleghi in uscita con PersistentKeepalive = 25. Un piano Dusk di Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, ospita l'hub per $5.25 al mese con 12 mesi. ## Quale indirizzo usa ciascun lato in questa configurazione? | Macchina | Ruolo | Indirizzo del tunnel | Si collega in uscita a | | --- | --- | --- | --- | | VPS (Dusk) | Hub con indirizzo IPv4 pubblico | 10.8.0.1/24 | Nessuno; resta in ascolto su UDP 51820 | | Macchina di casa | Peer dietro CGNAT, con LAN 192.168.1.0/24 | 10.8.0.3/24 | Il VPS, ogni 25 secondi | | Laptop | Peer itinerante | 10.8.0.2/24 | Il VPS | Gli indirizzi sono esempi di intervalli privati. Prezzi: Dusk costa $5.25 al mese con 12 mesi e $10.50 con 1 mese. ## Perché CGNAT blocca una normale configurazione WireGuard? Dietro CGNAT il router di casa condivide un indirizzo IPv4 pubblico con altri clienti, quindi nulla dall'esterno può aprire una connessione verso casa. WireGuard richiede che un lato sia raggiungibile tramite indirizzo, e il VPS è quel lato: ha Un indirizzo IPv4 e un IPv6 /64 per VPS, su una porta da 1 Gbit/s. Il traffico di un piano conta solo i dati in uscita, e superarlo non genera mai da solo una fattura. La macchina di casa apre il tunnel verso l'esterno. La guida rapida di WireGuard descrive `PersistentKeepalive` proprio per questo caso: impostarlo su un peer dietro un firewall o un NAT, e 25 secondi è "un intervallo ragionevole che funziona con un'ampia varietà di firewall". La mappatura NAT resta quindi aperta e il VPS può inviare pacchetti indietro attraverso di essa. ## Quale piano Gloamport è adatto all'hub? Dusk è adatto a un hub che trasporta traffico tra alcune macchine. Gloamport lo elenca per "Una VPN più un relay Tor o un sito onion", con 1 vCPU, 2 GB di RAM e 2 TB di traffico mensile. Secondo l'indagine di Gloamport su 10 novembre 2026, il prezzo mediano di un VPS da 1 vCPU e 2 GB tra 32 host era $18.91 al mese. Se serve solo un tunnel per un piccolo servizio, Ember basta; la configurazione di base è in [Come configuro WireGuard su un VPS?](https://gloamport.com/it/guides/how-to-set-up-wireguard-on-a-vps/ "Come imposto WireGuard su un VPS?"). ## Come collego la mia rete domestica a un VPS con WireGuard, passo dopo passo? Sei passaggi. Prima il VPS, poi la macchina di casa. 1. **Configuro l'hub** — Installi WireGuard sul VPS e generi la sua coppia di chiavi, come nella guida di base. Apra la porta UDP 51820 nel firewall che gestisce lì. 2. **Abilito l'inoltro sul VPS** — I pacchetti dal laptop alla macchina di casa attraversano il VPS, quindi l'inoltro IPv4 deve essere attivo. net.ipv4.ip_forward vale 0 per impostazione predefinita. 3. **Dichiaro entrambi i peer sul VPS** — Aggiunga un [Peer] per la macchina di casa e uno per il laptop. Il peer di casa può anche trasportare la LAN domestica in AllowedIPs. 4. **Configuro la macchina di casa** — Installi WireGuard a casa, imposti Endpoint sull'indirizzo del VPS e aggiunga PersistentKeepalive = 25. Non serve alcun port forwarding sul router di casa. 5. **Configuro il laptop** — Gli assegni AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 in modo che il traffico del tunnel e quello di casa passino entrambi per il VPS. 6. **Provo dal laptop** — Esegua wg show sul VPS, poi ping 10.8.0.3 dal laptop. Un handshake recente per ogni peer significa che entrambi si sono collegati. ## Come scrivo la configurazione dell'hub? Il file dell'hub elenca ogni peer con la sua chiave pubblica e gli indirizzi che il VPS può inviargli. Dichiarare la LAN domestica sul peer di casa permette al VPS di instradare 192.168.1.0/24 nel tunnel. */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] # home machine PublicKey = AllowedIPs = 10.8.0.3/32, 192.168.1.0/24 [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Come configuro la macchina di casa e il laptop? La macchina di casa ha bisogno di `PersistentKeepalive` e di una rotta verso la sottorete del tunnel; il laptop ha bisogno di rotte verso entrambe le sottoreti. Si attivi ciascuna con `wg-quick up wg0`. Se si vuole che il laptop raggiunga altri dispositivi della LAN di casa, e non solo la macchina di casa, la macchina di casa deve inoltrare essa stessa i pacchetti: si imposti anche lì `net.ipv4.ip_forward` a 1, per esempio con una riga `PostUp = sysctl -w net.ipv4.ip_forward=1`. */etc/wireguard/wg0.conf on the home machine* ```ini [Interface] Address = 10.8.0.3/24 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24 PersistentKeepalive = 25 ``` */etc/wireguard/wg0.conf on the laptop* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 PersistentKeepalive = 25 ``` *Avvii e provi* ```bash wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show ping -c 3 10.8.0.3 ``` > **Il tunnel raggiunge solo ciò che viene instradato** Il cryptokey routing invia un pacchetto al peer il cui AllowedIPs contiene la sua destinazione. Se un indirizzo LAN non risponde, si verifichi che la sottorete compaia in AllowedIPs del peer giusto, sul VPS e sul laptop. ## Cosa si può fare con il tunnel una volta attivo? Si può raggiungere un NAS di casa, una telecamera o un servizio self-hosted da ovunque senza aprire una porta in casa. Il laptop parla con 10.8.0.3 come se fosse nella stessa stanza, e nulla è esposto sul router di casa. Si tenga il VPS raggiungibile e in ordine: [Come proteggo SSH su un nuovo VPS?](https://gloamport.com/it/guides/how-to-harden-ssh-on-a-vps/ "Come rafforzo SSH su un nuovo VPS?") tratta il lato del login, e [Un VPN self-hosted su un VPS è meglio di un servizio VPN?](https://gloamport.com/it/self-hosted-vpn-vs-vpn-service/ "Una VPN self-hosted su un VPS è meglio di un servizio VPN?") valuta l'approccio nel complesso. Per l'hub, Dusk con il periodo di 12 mesi costa $5.25 al mese; i piani sono elencati nella [pagina dei prezzi](https://gloamport.com/it/pricing/ "Quanto costa un VPS Gloamport?"). **In sintesi** - Il CGNAT blocca le connessioni in entrata, quindi la macchina di casa si collega in uscita verso il VPS. - Il VPS gestisce l'hub con un indirizzo IPv4 pubblico e la porta UDP 51820 aperta. - `PersistentKeepalive = 25` mantiene aperta la mappatura NAT a casa. - L'inoltro IPv4 (`net.ipv4.ip_forward=1`) è necessario sul VPS, e in casa per raggiungere la LAN. - `AllowedIPs` di ogni peer decide quali sottoreti può raggiungere. - Dusk (1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic) costa $5.25 al mese con 12 mesi. ## Rete domestica verso VPS con WireGuard: domande frequenti ### Mi serve il port forwarding sul router di casa? No. La macchina di casa apre la connessione verso l'esterno, verso il VPS, quindi il router deve solo permettere l'UDP in uscita. Il keepalive mantiene aperto il percorso di ritorno. ### Cos'è il CGNAT? Il Carrier-grade NAT è una configurazione in cui il provider di connettività condivide un indirizzo IPv4 pubblico tra molti clienti. Non si possono ricevere connessioni in entrata non richieste, ed è per questo che il VPS fa da punto d'incontro. ### Il VPS può raggiungere l'intera LAN di casa? Sì, se il peer di casa elenca la LAN, come 192.168.1.0/24, nel suo `AllowedIPs` sul VPS e la macchina di casa inoltra i pacchetti con `net.ipv4.ip_forward` impostato a 1. ### Quale piano Gloamport dovrei scegliere per l'hub? Dusk, a $5.25 al mese con 12 mesi, va bene per un hub per alcune macchine. Ember basta se si collega un solo dispositivo. ### Il tunnel trasporta IPv6? Sì. Si aggiunga un indirizzo IPv6 a `Address` e un prefisso IPv6 a `AllowedIPs`; wg-quick accetta entrambe le famiglie, e il kernel ha un'impostazione separata per l'inoltro IPv6. ## Fonti 1. [Guida rapida WireGuard (keepalive persistente)](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Pagina di manuale di wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [IP sysctl: ip_forward e inoltro IPv6](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) --- Gloamport: Gloamport è un fornitore di VPS che vende server Linux KVM senza KYC, ordinati con un numero di account e pagati in crypto, con Monero per primo; è gestito da DomaineGoat LLC, una società registrata a Panama. Un ordine chiede un piano, una moneta e, solo se lo si vuole, un indirizzo email: nessun nome, nessun indirizzo postale, nessun telefono e nessun documento d'identità. Con il periodo di 12 mesi, ogni piano costa almeno il 25% in meno di un piano di confronto indicato, tratto da un'indagine su 38 host VPS crypto senza KYC, letta il 10 novembre 2026.