Server VPN gratuito su Oracle Cloud Free Tier: configurazione passo passo 2026

Introduzione

In questa guida passo passo imposterai il tuo server VPN gratuito su Oracle Cloud Free Tier e collegherai il telefono e il computer. Seguiremo tutto il percorso: dalla registrazione su Oracle all’installazione di WireGuard, la configurazione dei client, i test e la risoluzione dei problemi comuni. Otterrai così una VPN personale con IP pubblico dedicato, da usare per navigare in sicurezza, proteggerti nelle reti Wi‑Fi pubbliche e aggirare le restrizioni.

Questa guida è rivolta ai principianti ma include sezioni avanzate: configurazione IPv6, protezione extra del server, protocolli alternativi (OpenVPN, IKEv2), automazione e backup. Non serve essere amministratori di sistema: basta seguire attentamente le istruzioni ed eseguire i comandi esattamente come indicato.

Prerequisiti: competenze base nell’uso del browser, copia/incolla di comandi nel terminale, comprensione di login e password. Non è necessario esperienza in Linux, tutti i comandi sono completi.

Durata stimata: 60–120 minuti. La maggior parte del tempo serve per la registrazione iniziale, l’attesa delle conferme e la configurazione della rete.

Preparazione preliminare

Prima di iniziare assicurati di avere tutto il necessario.

Strumenti e accessi richiesti

• Un’email personale e accesso alla casella.
• Uno smartphone per le conferme.
• Documenti/carta di credito per la verifica dell’account Oracle (obbligatorio per attivare il Free Tier; nessun addebito scegliendo Always Free).
• Computer con browser e connessione internet stabile.
• Client SSH: su Windows usa OpenSSH integrato in PowerShell o qualsiasi terminale; su macOS/Linux il terminale di sistema.

Requisiti di sistema

• Regione Oracle Cloud supportata con capacità disponibile per Free Tier.
• Client: telefono iOS o Android e/o PC Windows/macOS/Linux per connettersi alla VPN.

Cosa scaricare o installare

• App WireGuard per telefono e computer (la scaricherai più avanti dopo aver creato le configurazioni).
• Opzionale: generatore di codici QR sul server (installeremo il pacchetto qrencode con un comando).

Backup

Al momento non serve fare backup. Dopo la configurazione salverai le chiavi e le configurazioni dei client. Ti mostreremo un modo semplice per conservarle in sicurezza.

Concetti base

Termini chiave

• VPN — un tunnel sicuro tra il tuo dispositivo e il server. Cripta il traffico e nasconde il vero IP.
• WireGuard — protocollo VPN moderno, veloce e sicuro basato su UDP. Facile da usare, funziona su telefoni e PC.
• Oracle Cloud Free Tier — livello gratuito del cloud Oracle. Permette di eseguire piccole macchine virtuali continuamente senza costi.
• VCN — rete cloud virtuale in Oracle, simile a una rete privata dove risiedono i tuoi server.
• NSG/Elenco sicurezza — regole firewall nel cloud che definiscono quali porte sono aperte verso l’esterno.
• IP pubblico — indirizzo esterno del server usato dai client per connettersi alla VPN.

Come funziona

Crei una macchina virtuale (server) su Oracle, le assegni un IP pubblico, configuri WireGuard e apri la porta UDP 51820 nelle policy di rete. Poi telefono e PC ricevono le configurazioni con le chiavi e si connettono al server. Tutto il traffico passa nel tunnel VPN, viene criptato e naviga su internet con l’IP del server.

Cosa sapere in anticipo

• Serve avere due livelli di firewall: uno di sistema sul server e uno nel cloud (NSG/elenco sicurezza). Entrambi devono consentire le porte necessarie.
• Free Tier ha risorse limitate. Scegli un setup leggero (WireGuard) e pochi servizi essenziali.
• Per la sicurezza usa chiavi SSH invece di password, aggiorna il sistema e non aprire porte inutili.

Passo 1: Registrazione su Oracle Cloud Free Tier e preparazione account

Obiettivo

Creare un account Oracle Cloud, attivare accesso al Free Tier ed effettuare il login alla console.

Istruzioni

1. Vai sul sito Oracle Cloud e inizia la registrazione scegliendo Free Tier. Inserisci paese, email e password.
2. Conferma l’email con il codice ricevuto.
3. Completa il profilo: nome, indirizzo, telefono. Scegli una regione di default. Consiglio: puoi poi cambiarla durante la creazione delle risorse; scegli quella con maggiore disponibilità Free Tier.
4. Collega una carta di credito per la verifica. È una procedura standard senza addebiti con Always Free.
5. Attendi la conferma e accedi alla Oracle Cloud Console.
6. In alto a destra verifica che la regione selezionata (es. Frankfurt, Amsterdam, London) sia valida. Se non c’è capacità prova un’altra regione.
7. Crea un compartment separato per il VPN: apri il menu Navigazione, vai su Identity and Security > Compartments, clicca Create Compartment. Chiamalo vpn e salva.
8. Controlla le quote Free Tier: vai su Governance and Administration > Limits, Quotas and Usage. Trova Compute e assicurati che siano disponibili forme Always Free (Ampere A1 o E2 Micro).

⚠️ Nota: Se quando crei un’istanza ricevi un messaggio che non c’è capacità, cambia regione. È frequente nei posti più popolari. Non arrenderti al primo tentativo.

Risultato atteso

Sei dentro la console Oracle Cloud, hai creato il compartment vpn, scelto la regione giusta e il Free Tier è disponibile.

Problemi comuni e soluzioni

• Nessuna conferma email — controlla spam e reinvia il codice.
• Carta non verificata — prova un’altra carta o aspetta qualche ora.
• Free Tier non disponibile — completa la verifica del profilo e riprova da console.

✅ Verifica: Nel menu in alto vedi account attivo, regione selezionata, e nella lista compartment c’è vpn.

Passo 2: Creazione rete VCN, subnet, rotte e regole di sicurezza

Obiettivo

Configurare la rete virtuale per garantire che il server sia accessibile da internet e possa uscire in rete.

Istruzioni

1. Apri Networking e scegli Virtual Cloud Networks. Clicca Create VCN.
2. Seleziona Create VCN with Internet Connectivity (il wizard creerà gateway internet e tabella rotte automaticamente).
3. Imposta nome: vcn-vpn, scegli compartment vpn, lascia CIDR predefinito 10.0.0.0/16. Clicca Create.
4. Dentro il VCN crea una subnet pubblica: vai su Subnets, Create Subnet, chiamala subnet-public, tipo Public, CIDR 10.0.0.0/24. Scegli Availability Domain o Regional (consigliato Regional).
5. Verifica che alla VCN sia collegato un Internet Gateway e che la Route Table abbia 0.0.0.0/0 instradato a questo gateway.
6. Crea un Network Security Group (NSG) per il VPN: vai su Network Security Groups, clicca Create. Nominalo nsg-vpn.
7. Aggiungi regole NSG: Ingress UDP 51820 da 0.0.0.0/0 (per WireGuard). Ingress TCP 22 dal tuo IP o da 0.0.0.0/0 per SSH (meglio limitare al tuo IP). Ingress UDP 500, 4500 (per futuro IKEv2). Ingress UDP 1194 (per futuro OpenVPN). Egress: Allow All 0.0.0.0/0.
8. Se usi Security Lists invece di NSG, apri quelle della subnet e aggiungi le stesse regole.
9. Salva modifiche. Controlla che la Public Subnet usi le rotte e NSG necessari.

Consiglio: Preferisci NSG invece delle security lists: così puoi assegnare regole diverse ai singoli istanze senza cambiare tutta la subnet.

⚠️ Attenzione: Non aprire porte inutili. Per WireGuard basterà UDP 51820 e SSH 22. Le altre porte si aggiungono in seguito se serve.

Risultato atteso

Hai un VCN con subnet pubblica, internet gateway, tabella rotte e NSG che autorizza UDP 51820 e SSH 22.

Problemi comuni e soluzioni

• Internet non funziona dalla subnet — controlla che 0.0.0.0/0 punti a Internet Gateway.
• Porta bloccata — verifica che la regola sia presente in NSG e che NSG sia associato all’istanza nel passo 3.

✅ Verifica: Nel riepilogo VCN vedi Internet Gateway, Route Table con 0.0.0.0/0 e NSG con regole corrette.

Passo 3: Creazione server virtuale Always Free con Ubuntu

Obiettivo

Lanciare un’istanza virtuale gratuita su Oracle Cloud con IP pubblico e accesso SSH.

Istruzioni

1. Apri Compute, Instances. Clicca Create Instance.
2. Nome: vpn-wg, Compartment: vpn.
3. Image: seleziona Ubuntu 22.04 LTS (se scegli Ampere A1 verifica che sia immagine ARM64). Puoi usare anche Ubuntu 24.04 LTS, se disponibile e conosciuta.
4. Shape: clicca Change shape. Cerca le opzioni Always Free: VM.Standard.A1.Flex (Ampere A1) o VM.Standard.E2.1.Micro. Per A1 scegli 1 OCPU e 1–2 GB RAM, per E2.micro è automatico. Segna Always Free eligible.
5. Networking: seleziona VCN vcn-vpn e subnet subnet-public. Spunta Assign a public IPv4 address. Consiglio: riserva l’IP pubblico come Reserved Public IP dopo la creazione per mantenerlo fisso al riavvio.
6. Network Security Groups: usa nsg-vpn.
7. SSH keys: genera la coppia sul tuo PC (se non ce l’hai già): su Windows PowerShell esegui ssh-keygen, idem macOS/Linux. Carica la chiave pubblica nel form o incolla il contenuto di ~/.ssh/id_rsa.pub o ~/.ssh/id_ed25519.pub.
8. Boot volume: lascia il default di 50 GB o riduci a 20 GB (non influisce sul Free Tier, evita di occupare spazio inutilmente).
9. Clicca Create. Attendi che lo stato sia Running.
10. Copia l’indirizzo IPv4 pubblico dall’istanza, es: 129.146.XX.XX.
11. Connettiti in SSH: su Windows apri PowerShell e digita ssh ubuntu@INDIRIZZO_IP. Su macOS/Linux stesso comando. Se usi una chiave diversa, specifica percorso con ssh -i ~/.ssh/id_ed25519 ubuntu@INDIRIZZO_IP.

Consiglio: se non riesci a connetterti via SSH, temporaneamente apri la porta 22 in NSG da qualsiasi origine, collegati e poi limita nuovamente al tuo IP.

Risultato atteso

L’istanza è pronta, attiva, con IP pubblico e puoi accedere via SSH come utente ubuntu.

Problemi comuni e soluzioni

• Access denied (publickey) — verifica di aver caricato la chiave pubblica corretta e di usare la corrispondente chiave privata per la connessione.
• Connection timed out — assicurati che l’istanza sia Running, abbia IP pubblico, porta 22 sia aperta in NSG/security list e che il provider non blocchi il traffico in uscita sulla porta 22/TCP.
• Nessuna forma Always Free — cambia regione e riprova.

✅ Verifica: Il comando uname -a mostra il kernel Linux, ip a elenca interfacce e indirizzi di rete.

Passo 4: Protezione base e preparazione sistema

Obiettivo

Aggiornare l’OS, configurare utente, rafforzare SSH, installare firewall semplice e abilitare forwarding pacchetti.

Istruzioni

1. Aggiorna il sistema: sudo apt update && sudo apt -y upgrade. Attendi completamento.
2. Crea un utente per l’amministrazione (opzionale ma consigliato): sudo adduser admin, imposta password, poi sudo usermod -aG sudo admin.
3. Copia la cartella SSH nel nuovo utente: da ubuntu, esegui sudo rsync -a ~/.ssh /home/admin/ && sudo chown -R admin:admin /home/admin/.ssh.
4. Opzionale: disabilita l’accesso con password, permetti solo chiavi. Apri il file SSH config: sudo nano /etc/ssh/sshd_config, imposta PasswordAuthentication no, PermitRootLogin no, salva e ricarica SSH: sudo systemctl reload ssh.
5. Installa UFW (firewall semplice): sudo apt -y install ufw. Consenti SSH: sudo ufw allow 22/tcp.
6. Per ora non attivare UFW. Aggiungeremo la regola per WireGuard dopo e lo attiveremo per non perdere l’accesso.
7. Abilita forwarding IP: apri sudo nano /etc/sysctl.conf, decommenta o aggiungi net.ipv4.ip_forward=1 e se serve net.ipv6.conf.all.forwarding=1. Applica con sudo sysctl -p.
8. Controlla che il sistema riconosca architettura ARM64 (Ampere A1) o AMD64 (E2.micro) con uname -m, risultato aarch64 o x86_64.

Consiglio: se non sei sicuro con i config, fai una copia prima di modificarli: sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.

Risultato atteso

Sistema aggiornato, utente amministratore creato (facoltativo), SSH reso più sicuro, forwarding IP attivato.

Problemi comuni e soluzioni

• Hai perso accesso SSH dopo modifiche — usa la console seriale Oracle per ricollegarti, ripristina il backup del config: sudo mv /etc/ssh/sshd_config.bak /etc/ssh/sshd_config && sudo systemctl restart ssh.
• Forwarding non attivato — verifica con sysctl net.ipv4.ip_forward, deve restituire 1.

✅ Verifica: Il comando sysctl net.ipv4.ip_forward restituisce net.ipv4.ip_forward = 1, la sessione SSH funziona.

Passo 5: Installazione e configurazione WireGuard

Obiettivo

Installare server WireGuard, aprire porte necessarie, configurare NAT e impostare la configurazione base per i client.

Istruzioni

1. Installa WireGuard: sudo apt -y install wireguard qrencode. Il pacchetto qrencode serve per generare codici QR delle configurazioni.
2. Genera le chiavi del server: sudo umask 077; wg genkey | sudo tee /etc/wireguard/server.key | wg pubkey | sudo tee /etc/wireguard/server.pub. Visualizza la chiave pubblica con sudo cat /etc/wireguard/server.pub. Salvala in un luogo sicuro per debug.
3. Scegli la rete VPN: consigliamo 10.6.0.0/24 per IPv4 e fd42:42:42::/64 per IPv6 (opzionale). L’indirizzo server nel tunnel sarà 10.6.0.1 e fd42:42:42::1.
4. Crea il file di configurazione server: sudo nano /etc/wireguard/wg0.conf. Inserisci:
   [Interface]
   Address = 10.6.0.1/24
   ListenPort = 51820
   PrivateKey = CONTENUTO_DI_/etc/wireguard/server.key
   PostUp = iptables -t nat -A POSTROUTING -s 10.6.0.0/24 -o eth0 -j MASQUERADE; iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT
   PostDown = iptables -t nat -D POSTROUTING -s 10.6.0.0/24 -o eth0 -j MASQUERADE; iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT. Se non usi eth0, trova l’interfaccia corretta con ip route get 1.1.1.1 e sostituiscila (es. ens3).
5. Apri la porta su UFW: sudo ufw allow 51820/udp. Attiva UFW: sudo ufw --force enable. Controlla con sudo ufw status verbose, dovresti vedere le regole per 22/tcp e 51820/udp.
6. Permetti il routing in UFW: modifica sudo nano /etc/ufw/sysctl.conf assicurandoti che net/ipv4/ip_forward=1 sia abilitato. Aggiungi le regole NAT in /etc/ufw/before.rules prima del blocco COMMIT della tabella *nat con:
   *nat
   :POSTROUTING ACCEPT [0:0]
   -A POSTROUTING -s 10.6.0.0/24 -o eth0 -j MASQUERADE
   COMMIT. Sostituisci eth0 se necessario. Ricarica UFW con sudo ufw reload.
7. Avvia WireGuard: sudo systemctl enable --now wg-quick@wg0. Verifica lo stato con sudo systemctl status wg-quick@wg0 dovrebbe risultare Active.
8. Controlla lo stato: sudo wg show. Dovresti vedere l’interfaccia wg0 e la porta 51820 in ascolto.

Consiglio: Se preferisci nftables a iptables, modifica PostUp/PostDown per usarlo, ma assicurati che UFW non entri in conflitto. All’inizio è più semplice mantenere iptables come indicato.

⚠️ Attenzione: Non condividere mai la chiave privata del server (/etc/wireguard/server.key). Garantisce il controllo totale del tunnel.

Risultato atteso

WireGuard è avviato, la porta 51820 è aperta in UFW e NSG, il NAT è configurato e wg0 è attivo.

Problemi comuni e soluzioni

• Servizio non parte — controlla permessi di server.key (600), sintassi di wg0.conf e nome interfaccia esterna nelle regole NAT.
• Porta chiusa — verifica con sudo ss -lunp | grep 51820, poi controlla NSG e stato UFW.
• Nessuna connessione internet nel tunnel — verifica le regole MASQUERADE, forwarding IP e tabella rotte.

✅ Verifica: Il comando sudo wg show mostra wg0 con ListenPort 51820, curl ifconfig.me sul server restituisce l’IP pubblico (test di connettività generica).

Passo 6: Aggiunta client, generazione configurazioni e connessione

Obiettivo

Creare configurazioni per telefono e computer, aggiungerli al server e connettersi alla VPN.

Istruzioni

1. Individua IP pubblico o hostname del server. Prendi IPv4 dalla scheda dell’istanza. Se hai riservato l’indirizzo, sarà stabile. Altrimenti riservalo in IP Addresses e associalo.
2. Genera le chiavi client #1 (es. per telefono): wg genkey | tee client1.key | wg pubkey | tee client1.pub. Salvale in un posto sicuro.
3. Assegna indirizzo client nella rete VPN: 10.6.0.2/32. Client successivo avrà 10.6.0.3/32 e così via.
4. Aggiungi client al config server: sudo nano /etc/wireguard/wg0.conf e aggiungi in fondo:
   [Peer]
   PublicKey = CONTENUTO client1.pub
   AllowedIPs = 10.6.0.2/32. Salva e applica:
   sudo wg syncconf wg0 <(sudo wg-quick strip wg0) o riavvia:
   sudo systemctl restart wg-quick@wg0.
5. Crea file config client: nano client1.conf. Inserisci:
   [Interface]
   PrivateKey = CONTENUTO client1.key
   Address = 10.6.0.2/32
   DNS = 1.1.1.1
   [Peer]
   PublicKey = CONTENUTO /etc/wireguard/server.pub
   AllowedIPs = 0.0.0.0/0
   Endpoint = IP_PUBBLICO:51820
   PersistentKeepalive = 25. Salva.
   Consiglio: Se vuoi solo accesso alla rete aziendale, specifica gli indirizzi necessari in AllowedIPs (es. 10.10.0.0/16) invece di 0.0.0.0/0.
6. Genera QR per telefono: qrencode -t ansiutf8 < client1.conf per vederlo in terminale o qrencode -o client1.png < client1.conf per salvarlo in PNG.
7. Installa l’app WireGuard sullo smartphone, aprila, clicca per aggiungere tunnel, scegli Scansiona QR code e inquadra il codice dal terminale o dal PNG. Salva il profilo.
8. Su PC installa il client WireGuard, scegli Importa da file e seleziona client1.conf. Attiva il tunnel con l’interruttore.
9. Aggiungi client #2 (es. laptop) nello stesso modo: genera chiavi client2.key/pub, indirizzo 10.6.0.3/32, inserisci [Peer] in wg0.conf, crea client2.conf e importa nell’app.

Consiglio: Per iOS e Android è più comodo usare QR; per Windows/macOS/Linux usa il file di configurazione.

Risultato atteso

I client si connettono correttamente al server WireGuard. Sul telefono e PC il pulsante Attiva apre il tunnel, il traffico passa via VPN.

Problemi comuni e soluzioni

• Handshake fallito — verifica chiavi, porta UDP 51820 in NSG e UFW, indirizzo Endpoint e connessione internet client.
• Connessione attiva senza internet — controlla NAT MASQUERADE, forwarding IP e che AllowedIPs sia 0.0.0.0/0 per tutto il traffico.
• Cadute intermittenti — imposta PersistentKeepalive = 25 nel client e assicurati che il provider non blocchi UDP.

✅ Verifica: Su server sudo wg show mostra il peer con last handshake recente e contatore transfer. Sul client apri un sito e verifica che l’IP corrisponda a quello del server.

Verifica finale

Checklist

• Istanza Oracle in stato Running con IP pubblico.
• VCN e subnet configurate, route 0.0.0.0/0 a Internet Gateway.
• NSG/security list apre UDP 51820 e SSH 22.
• WireGuard attivo, interfaccia wg0 funzionante.
• Client connessi, traffico instradato via VPN.

Come testare

1. Su server: sudo wg show conferma ultimo handshake recentissimo.
2. Su client: verifica IP esterno corrisponde a quello Oracle.
3. Misura velocità: WireGuard tende a offrire ottime performance anche su Free Tier.

Indicatori di successo

• Connessione client stabile entro 1–2 secondi senza errori.
• Traffico server aumenta visitando pagine web.
• Funzionamento stabile per 10–15 minuti senza disconnessioni.

Errori comuni e soluzioni

• Problema: client non si connette. Causa: porta 51820 bloccata in NSG o UFW. Soluzione: verifica regole NSG e sudo ufw status, apri sudo ufw allow 51820/udp.
• Problema: c’è connessione ma niente internet. Causa: assenza di NAT o forwarding IP disabilitato. Soluzione: controlla sysctl net.ipv4.ip_forward e regole MASQUERADE; riavvia wg-quick.
• Problema: server non ascolta porta. Causa: errore di sintassi in wg0.conf. Soluzione: rivedi file, elimina spazi o caratteri errati, ricrea da modello base.
• Problema: dopo attivazione UFW perdi accesso SSH. Causa: porta 22 non autorizzata prima dell’abilitazione. Soluzione: con console istanza esegui sudo ufw allow 22/tcp && sudo ufw reload.
• Problema: connessione salta su rete mobile. Causa: NAT aggressivo provider che blocca UDP. Soluzione: usa PersistentKeepalive=25, prova porte alternative 53/udp o 443/udp modificando NSG e UFW.
• Problema: IP pubblico cambia casualmente. Causa: IP non riservato. Soluzione: crea un Reserved Public IP e assegnalo all’istanza.
• Problema: impossibilità di accesso in certi paesi. Causa: geoblocchi sulle risorse. Soluzione: cambia regione dell’istanza vicino alla tua audience.
• Problema: bassa velocità. Causa: regione distante, congestione canale, Wi-Fi debole. Soluzione: usa regione vicina, preferisci cavo o Wi-Fi 5 GHz, chiudi app che consumano banda in background.
• Problema: errori permessi chiavi. Causa: permessi errati. Soluzione: usa sudo chmod 600 /etc/wireguard/server.key con proprietario root.
• Problema: client non vede rete locale. Causa: rotte mancanti. Soluzione: aggiungi subnet locali in AllowedIPs del client e configura rotte sul server.

Funzionalità avanzate

Configurazioni di sicurezza avanzate

• Fail2ban per proteggere SSH: sudo apt -y install fail2ban, configura jail per sshd.
• Limita SSH per IP in NSG — lascia solo gli indirizzi di casa o ufficio.
• Cambia porta SSH: modifica /etc/ssh/sshd_config, aggiorna NSG/UFW.

IPv6

Se nella tua regione Oracle è disponibile IPv6, aggiungi nell’[Interface] server Address = fd42:42:42::1/64 e nei client gli indirizzi /128 personali. In AllowedIPs inserisci ::/0 per tunnel IPv6 completo. Verifica sysctl net.ipv6.conf.all.forwarding=1 e aggiungi NAT66 solo se serve, spesso basta il routing senza NAT.

Protocolli alternativi

• OpenVPN: maggiore compatibilità con dispositivi legacy, ma più pesante. Installa openvpn, genera profilo server, apri porta 1194/udp. Ricorda NAT e forwarding.
• IKEv2 (strongSwan): supporto nativo per iOS/macOS/Windows, alta qualità, ma configurazione certificati più complessa. Apri UDP 500 e 4500, configura strongSwan e profili client.

Offuscamento e bypass DPI

Se la tua rete applica DPI restrittivo, puoi spostare WireGuard sulla porta 443/udp o utilizzare offuscatori UDP. Alcuni client supportano la rinomina della porta o tunnel esterni.

DNS personalizzato e blocco ads

Installa un relay DNS leggero o Pi-hole sulla stessa istanza. Imposta il suo indirizzo DNS nei client. Considera l’uso di memoria.

Backup e chiavi

• Esporta /etc/wireguard e salva in luogo sicuro: sudo tar czf wg-backup.tgz /etc/wireguard.
• Conserva chiavi private client e server in password manager.

Automazione e infrastruttura as code

• cloud-init: aggiungi user-data alla creazione istanza per installare WireGuard automaticamente.
• Terraform: descrivi VCN, subnet, NSG, istanza e IP come codice. Facilita ripristini e migrazioni tra regioni.

Monitoraggio

• Installa prometheus-node-exporter o il leggero netdata per grafici di carico (considera risorse Free Tier).
• Controlla regolarmente systemctl status e i log con journalctl -u wg-quick@wg0.

Consiglio: Metti un promemoria mensile per aggiornare: sudo apt update && sudo apt -y upgrade.

Consiglio: Se usi più istanze in regioni diverse, applica regole NSG e template wg0.conf uniformi per facilitare la gestione.

Alternativa pronta quando manca il tempo

Se ti serve un VPN personale “pronto subito”, senza console e configurazioni manuali, valuta il servizio vpn.how. Non è un accesso condiviso ma un server dedicato con IP esclusivo. Supporta vari protocolli — WireGuard, OpenVPN, IKEv2, L2TP, SSTP — scegli quello più adatto. Ci sono sedi server a Mosca, San Pietroburgo, Amsterdam, Francoforte, Londra, New York, San Jose, Chicago, Singapore, Sydney, Madrid, Helsinki, Stoccolma, Varsavia, Copenaghen, Stavanger. Accetta carte russe (Tinkoff, Ozon), SBP, USDT/BTC. Prezzi da 490 ₽ al giorno e da 2490 ₽ al mese con sconti per periodi lunghi. Dopo il pagamento il server si avvia in 5 minuti, senza log. Onestamente: il DIY dà massimo controllo ma richiede ore di configurazione, monitoraggio e backup; la soluzione pronta è ideale se vuoi partire veloce e senza complicazioni.

FAQ

• Quale regione Oracle scegliere per migliore velocità? — La più vicina geograficamente. Testa ping e throughput. In Europa spesso vanno bene Francoforte e Amsterdam, negli USA New York o San Jose.
• Posso cambiare porta WireGuard? — Sì. Modifica ListenPort in wg0.conf, aggiorna NSG e UFW, cambia Endpoint nei client.
• Posso collegare più client simultaneamente? — Certamente. Genera chiavi diverse, assegna indirizzi unici /32, aggiungi un blocco [Peer] per ognuno nel server.
• Posso instradare solo parte del traffico via VPN? — Sì. In AllowedIPs del client metti solo i prefissi desiderati (ad esempio subnet aziendali). Il resto si collega direttamente.
• Cosa fare se scompare l’IP pubblico? — Controlla stato istanza. Riserva l’IP e associa per evitare cambi dopo riavvii.
• Come aggiungere DNS-over-HTTPS nel tunnel? — Installa un resolver locale che giri su DoH/DoT. Imposta il suo indirizzo nel campo DNS dei client.
• Ha senso usare IPv6? — Sì, se client e provider supportano IPv6. Migliora qualità connessione ma richiede configurazione firewall e routing.
• Come rimuovere un client? — Cancella la sezione [Peer] dal file wg0.conf e riavvia il servizio. Cancella config sul client.
• Quanti client regge il Free Tier? — Dipende dal carico. Solitamente regge stabilmente 5–20 client simultanei con traffico moderato.
• Come disinstallare completamente WireGuard? — Ferma il servizio con sudo systemctl disable --now wg-quick@wg0, elimina /etc/wireguard, rimuovi regole UFW e riavvia.

Conclusione

Hai completato il percorso completo — dalla registrazione su Oracle Cloud Free Tier al lancio di una VPN veloce e sicura con WireGuard. Abbiamo creato la rete virtuale e le regole di sicurezza, avviato un’istanza gratuita, installato e configurato WireGuard, creato le configurazioni e collegato i dispositivi. Ora hai una VPN personale con controllo completo a tutti i livelli: dalla rete cloud ai profili client. Potrai poi espandere il progetto aggiungendo IPv6, protocolli alternativi, DNS privato, monitoraggio e backup delle configurazioni. Per scalare considera automazioni con cloud-init o Terraform, per creare copie rapide in altre regioni e garantire alta disponibilità. Se ti serve una partenza rapida senza console, ricorda i servizi gestiti come vpn.how — fanno risparmiare tempo, mentre il fai-da-te offre massima flessibilità e autonomia. Buona fortuna e navigazione sicura!