# Come imposto WireGuard su un VPS? > Imposti una VPN WireGuard su un VPS in 7 passaggi su Debian 13 o Ubuntu 24.04. Ember, 1 vCPU e 1 GB di RAM, la fa girare a partire da $3.74 al mese. - URL: https://gloamport.com/it/guides/how-to-set-up-wireguard-on-a-vps/ - Ultimo aggiornamento: 2026-11-10 - Editore: Gloamport (https://gloamport.com) Un server WireGuard completo su un VPS 1 GB, con i comandi esatti per Debian 13 e Ubuntu 24.04. **Risposta rapida — Come imposto WireGuard su un VPS?** Per impostare WireGuard su un VPS, installi il pacchetto wireguard su Debian 13 o Ubuntu 24.04, generi una coppia di chiavi con wg genkey, scriva /etc/wireguard/wg0.conf con un ListenPort, e lo avvii con wg-quick up wg0. Un piano Gloamport Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, lo fa girare per $3.74 al mese con durata di 12 mesi. ## Che cosa serve per impostare WireGuard su un VPS? | Elemento | Valore usato in questa guida | | --- | --- | | Piano | Ember: 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic | | Prezzo | $3.74 al mese con durata di 12 mesi, $7.48 al mese con durata di 1 mese | | Sistema | Debian 13 o Ubuntu 24.04 | | Pacchetto | `wireguard` (installa `wg` e `wg-quick`) | | File di configurazione | `/etc/wireguard/wg0.conf` | | Porta UDP | 51820 (la porta usata nel quickstart di WireGuard) | | Sottorete del tunnel | 10.8.0.0/24 (un intervallo privato scelto per questa guida) | *Prezzi verificati il 10 novembre 2026.* I comandi vengono dal quickstart di WireGuard, dalla pagina man di wg-quick e dalla documentazione del kernel, verificati il 2026-11-10. ## Quale piano Gloamport gestisce un server WireGuard? Ember basta per un server WireGuard: Gloamport lo elenca per "Una VPN WireGuard per alcuni dispositivi". Ha 1 vCPU, 1 GB di RAM e 1 TB di traffico al mese, e WireGuard usa poco dei primi due. Secondo l'indagine di Gloamport su 10 novembre 2026, il prezzo mensile mediano di un VPS comparabile da 1 vCPU e 1 GB tra 32 host era $10.55. Non sosteniamo di essere i più economici a ogni taglia; il punto è che un server VPN non richiede un piano grande. Virtualizzazione KVM completa: il suo kernel, le sue regole del firewall e la sua cifratura del disco, se la configura. Per il lato dell'account, veda [Come acquisto un VPS con Monero (XMR)?](https://gloamport.com/it/buy-vps-with-monero/ "Come si compra un VPS con Monero (XMR)?"). ## Come imposto WireGuard su un VPS, passo dopo passo? Sette passaggi da un login root nuovo a un tunnel funzionante. 1. **Acceda e installi WireGuard** — Apra una sessione SSH come root sul nuovo VPS ed esegua apt update poi apt install wireguard. Il pacchetto fornisce wg e wg-quick. 2. **Generi le chiavi del server** — Imposti umask 077, poi crei una chiave privata e ricavi da essa la chiave pubblica. La chiave privata non lascia mai il server. 3. **Generi le chiavi del client** — Faccia lo stesso sul Suo portatile o telefono. Ogni dispositivo ha la propria coppia di chiavi; si scambiano solo le chiavi pubbliche. 4. **Scriva wg0.conf sul server** — Dia al server un indirizzo dentro la sottorete del tunnel, una ListenPort, la sua chiave privata, e un [Peer] per dispositivo con la chiave pubblica di quel dispositivo e un solo indirizzo del tunnel. 5. **Scriva la configurazione del client** — Punti Endpoint all'indirizzo IPv4 e alla porta del VPS, imposti AllowedIPs, e aggiunga PersistentKeepalive = 25 se il client si trova dietro NAT. 6. **Avvii l'interfaccia** — Esegua wg-quick up wg0 su entrambe le estremità, poi systemctl enable --now wg-quick@wg0 sul server così si riavvia dopo un riavvio. 7. **Verifichi l'handshake** — Esegua wg show. Una riga "latest handshake" sotto il peer significa che le chiavi coincidono e la porta UDP è raggiungibile. ## Come genero le chiavi e scrivo la configurazione del server? Generi le chiavi con `wg genkey` e `wg pubkey`, con `umask 077` impostato prima così il file della chiave privata è leggibile solo da root. Il quickstart di WireGuard dà lo stesso comando in una riga usato sotto. *Installi e generi la coppia di chiavi del server* ```bash apt update apt install wireguard umask 077 wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub cat /etc/wireguard/server.pub ``` */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Come scrivo la configurazione del client e avvio il tunnel? Scriva un secondo file sul client con la sua chiave privata, la chiave pubblica del server e l'indirizzo del VPS, poi lo avvii con `wg-quick up`. La riga `AllowedIPs` decide quale traffico entra nel tunnel: `10.8.0.0/24` invia solo il traffico del tunnel, `0.0.0.0/0, ::/0` invia tutto. *wg0.conf sul portatile (tunnel completo)* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 0.0.0.0/0, ::/0 PersistentKeepalive = 25 ``` *Lo avvii e verifichi l'handshake* ```bash # on the VPS wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show # on the laptop wg-quick up wg0 ``` ## Come instrado tutto il mio traffico attraverso il VPS? Per usare il VPS come uscita per tutto il traffico, attivi l'inoltro IPv4 e aggiunga una regola di masquerade sul server. La documentazione del kernel definisce `net.ipv4.ip_forward` come l'interruttore che inoltra i pacchetti tra interfacce, e il suo default è 0. Il target MASQUERADE è valido solo nella tabella nat, nella catena POSTROUTING. Li metta entrambi nella sezione `[Interface]` del file del server con `PostUp` e `PostDown`, che `wg-quick` esegue in bash, dove `%i` si espande nel nome dell'interfaccia. Trovi prima il nome dell'interfaccia pubblica con `ip route show default`, poi sostituisca `eth0` qui sotto. *Righe extra per la sezione [Interface] del server* ```ini PostUp = sysctl -w net.ipv4.ip_forward=1 PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE ``` > **Apra la porta UDP e protegga le chiavi** Consenta la porta UDP 51820 nel firewall che usa sul VPS, perché WireGuard risponde solo ai peer che conosce. Non incolli mai una chiave privata in una chat o in un ticket: se ne perdesse una, ne crei una nuova coppia e sostituisca la chiave pubblica dall'altra parte. ## Come so che il tunnel WireGuard funziona? Esegua `wg show` sul server: un peer con un "latest handshake" recente e contatori di trasferimento diversi da zero è connesso. Se l'handshake non compare mai, verifichi che entrambe le chiavi pubbliche siano dal lato giusto, che l'indirizzo Endpoint sia l'IPv4 del VPS e che la porta UDP 51820 sia aperta. Una volta funzionante, un Ember a 12 mesi a $3.74 al mese copre una VPN personale per alcuni dispositivi, come dice la descrizione del piano. Confronti questa strada con una commerciale in [Un VPN self-hosted su un VPS è meglio di un servizio VPN?](https://gloamport.com/it/self-hosted-vpn-vs-vpn-service/ "Una VPN self-hosted su un VPS è meglio di un servizio VPN?"). Se l'altra estremità è un server domestico dietro un CGNAT di operatore, prosegua con [Come collego la rete di casa a un VPS con WireGuard (dietro CGNAT)?](https://gloamport.com/it/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ "Come collego la mia rete domestica a un VPS con WireGuard (dietro CGNAT)?"). Poi blindi il VPS con [Come rafforzo SSH su un nuovo VPS?](https://gloamport.com/it/guides/how-to-harden-ssh-on-a-vps/ "Come rafforzo SSH su un nuovo VPS?"). **In sintesi** - Installi `wireguard` con apt su Debian 13 o Ubuntu 24.04. - Crei le chiavi con `umask 077` e `wg genkey | tee … | wg pubkey`. - Il file del server richiede Address, ListenPort, PrivateKey e un Peer per dispositivo. - Il file del client richiede la chiave pubblica del server, Endpoint e AllowedIPs. - `PersistentKeepalive = 25` mantiene aperta una mappatura NAT. - L'uso a tunnel completo richiede `net.ipv4.ip_forward=1` e una regola MASQUERADE. - Ember costa $3.74 al mese con durata di 12 mesi. ## WireGuard su un VPS: domande frequenti ### Quale porta usa WireGuard? WireGuard usa la porta UDP impostata da ListenPort nella configurazione. L'esempio del quickstart usa 51820, e questa guida fa lo stesso. Apra quella porta nel firewall. ### Ember è abbastanza grande per WireGuard? Gloamport elenca Ember (1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic) per una VPN WireGuard per alcuni dispositivi. Il limite di traffico di 1 TB al mese è la soglia da tenere d'occhio. ### Che cosa fa PersistentKeepalive? Invia un pacchetto ogni N secondi, così un dispositivo NAT mantiene aperta la mappatura. Il quickstart di WireGuard indica 25 secondi come intervallo ragionevole, e 0 lo disattiva. ### Come avvio WireGuard all'avvio? Esegua `systemctl enable --now wg-quick@wg0`. Il pacchetto wireguard-tools di Debian include l'unità `wg-quick@.service`. ### Posso aggiungere un secondo dispositivo più tardi? Sì. Generi una coppia di chiavi sul nuovo dispositivo, aggiunga un altro blocco `[Peer]` con la sua chiave pubblica e un nuovo indirizzo del tunnel come 10.8.0.3/32, poi ricarichi con `wg syncconf wg0 <(wg-quick strip wg0)`. ## Fonti 1. [Quickstart di WireGuard](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Pagina di manuale di wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [Elenco dei file del pacchetto wireguard-tools (trixie)](https://packages.debian.org/trixie/amd64/wireguard-tools/filelist) — Debian (checked 2026-11-10) 4. [Parametro sysctl IP: ip_forward](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) 5. [iptables-extensions(8): MASQUERADE](https://manpages.debian.org/trixie/iptables/iptables-extensions.8.en.html) — Debian (checked 2026-11-10) --- Gloamport: Gloamport è un fornitore di VPS che vende server Linux KVM senza KYC, ordinati con un numero di account e pagati in crypto, con Monero per primo; è gestito da DomaineGoat LLC, una società registrata a Panama. Un ordine chiede un piano, una moneta e, solo se lo si vuole, un indirizzo email: nessun nome, nessun indirizzo postale, nessun telefono e nessun documento d'identità. Con il periodo di 12 mesi, ogni piano costa almeno il 25% in meno di un piano di confronto indicato, tratto da un'indagine su 38 host VPS crypto senza KYC, letta il 10 novembre 2026.