Come configurare un server VPN personale su Yandex Cloud: guida passo passo senza problemi con i regolatori

Introduzione

Hai tra le mani una guida pratica e dettagliata per mettere in piedi in autonomia un server VPN personale su Yandex Cloud, con un focus su legalità e assenza di problemi con i regolatori. Al termine avrai un VPN personale su Ubuntu nel cloud, configurato con i protocolli WireGuard e IKEv2, con regole di sicurezza impostate correttamente, IP pubblico statico, configurazioni per dispositivi Windows, macOS, Linux, iOS e Android, oltre a procedure chiare per i test e checklist di controllo. Affronteremo dettagli spesso trascurati dai principianti: configurazione corretta di rete/indirizzamento/NAT, gruppi di sicurezza sicuri, restrizione degli accessi, gestione di log minimi necessari evitando eccessi per mantenere la privacy senza attirare attenzioni indesiderate da parte di provider e regolatori.

La guida è pensata per utenti alle prime armi, in grado di usare un browser e replicare con attenzione i comandi da terminale. Alcuni passaggi offrono opzioni avanzate per chi desidera approfondire. Seguiremo il principio: un passo – un risultato chiaro. Ogni fase include obiettivi, istruzioni dettagliate, punti chiave, avvertimenti, consigli e cosa verificare per evitare errori.

Cosa serve sapere prima di iniziare? Non è richiesta esperienza in amministrazione di sistemi, ma è importante copiare i comandi con attenzione e leggere bene le note. Spiegheremo in dettaglio i termini principali. Quanto tempo serve? Mediamente 60–120 minuti: 20–30 per preparare il progetto su Yandex Cloud, 20–40 per configurare la macchina virtuale e la sicurezza, 20–40 per installare e testare i protocolli VPN, il resto per generare le configurazioni client e fare i primi test.

⚠️ Attenzione: Lo scopo è avere un accesso personale o aziendale per proteggere la connessione in reti pubbliche e lavorare in remoto sulle proprie risorse. Non diffondere il VPN pubblicamente, non vendere accessi e non usarlo per aggirare blocchi verso risorse vietate. Questa è la chiave per "nessun problema con il regolatore".

Preparazione preliminare

Strumenti e accessi necessari

• Account Yandex con fatturazione attiva su Yandex Cloud.
• Carta bancaria per il pagamento delle risorse cloud o saldo prepagato.
• Computer con browser Chrome, Firefox o Safari.
• Terminale con client SSH: su Windows OpenSSH integrato o PuTTY; su macOS/Linux Terminal.
• Editor di testo per salvare chiavi e configurazioni: Notepad++, VS Code, Sublime.
• Smartphone o altro dispositivo per testare la connessione.

Requisiti di sistema

• Configurazione minima VM: 1 vCPU, 1–2 GB RAM, 10–20 GB SSD. Sufficiente per 5–20 connessioni simultanee.
• Sistema operativo: Ubuntu 22.04 LTS (consigliato) o Ubuntu 24.04 LTS.
• IP pubblico statico (per evitare che l’indirizzo del server cambi e dover aggiornare ogni giorno le configurazioni).

Cosa installare preventivamente

• Per Windows: se vuoi, installa PuTTY, ma è più semplice usare ssh integrato in PowerShell (Windows 10+), il comando ssh è presente di default.
• Client VPN: WireGuard (Windows/macOS/iOS/Android), strongSwan o client IKEv2 integrati in iOS/macOS/Windows, e OpenVPN se serve.

Backup e credenziali

• Crea una cartella separata per i materiali del progetto: chiavi WireGuard, configurazioni IKEv2, screenshot dei parametri cloud.
• Salva login/password Yandex, attiva l’autenticazione a due fattori.
• Fai backup locale delle chiavi e dei config generati su USB protetto da password.

✅ Verifica: Hai accesso a Yandex Cloud, client SSH pronto e almeno un client VPN installato sul dispositivo di test (per esempio WireGuard).

Nozioni di base

Termini chiave spiegati in modo semplice

• VPN — tunnel criptato tra il tuo dispositivo e il server che protegge il traffico.
• WireGuard — protocollo VPN moderno, veloce, basato su UDP e crittografia Curve25519. Facile da configurare, stabile, spesso invisibile ai DPI.
• IKEv2/IPsec — protocollo stabile e molto supportato, con accelerazioni hardware e client nativo in iOS, macOS e Windows.
• Security Group (gruppo di sicurezza) — insieme di regole che definiscono il traffico in entrata e uscita dalla tua VM.
• VPC/Sottorete — rete privata virtuale nel cloud e intervallo di indirizzi dove risiederà la tua VM.
• IP statico — indirizzo pubblico fisso del server per facilitare le connessioni.
• NAT (MASQUERADE) — traduzione degli indirizzi che permette ai client di accedere a internet tramite il server.

Cosa è importante capire prima di iniziare

• L’uso personale e l’accesso limitato riducono i rischi con i regolatori.
• Non trasformare la VPN in un servizio pubblico. Non pubblicare configurazioni online. Limita il numero di dispositivi. Elimina chiavi inutilizzate.
• Configura sempre il firewall: apri solo le porte e protocolli necessari.
• Monitora costi e carico della VM. Ferma, snapshotta o elimina risorse non serventi.

⚠️ Attenzione: La legalità dipende dall’obiettivo: accesso protetto alle tue risorse e internet sicuro in reti pubbliche. Fornire il servizio a terzi senza rispettare le regole può causare problemi.

Passo 1: Registrazione e fatturazione in Yandex Cloud

Obiettivo della fase

Creare un account cloud con profilo di pagamento per poter distribuire risorse e assegnare IP statico.

Istruzioni passo passo

1. Apri la console di Yandex Cloud e accedi con il tuo account Yandex.
2. Vai nella sezione "Fatturazione". Clicca su "Crea account di pagamento". Inserisci paese e valuta.
3. Aggiungi metodo di pagamento: carta bancaria o prepagato. Conferma l’addebito di test se richiesto.
4. Crea una cartella (folder) per il progetto: nome consigliato "vpn-project".
5. Controlla le quote: sono disponibili risorse per una VM, un IP pubblico e una VPC.

Note importanti

• Nome cartella sceglilo in modo significativo: sarà il contenitore di VM, reti, IP.
• Permessi sulla cartella: se lavori in team, assegna solo i ruoli minimi necessari.

Consiglio: Attiva notifiche spese. Imposta budget/limiti per evitare di dimenticare VM accese.

Risultato previsto

Profilo di pagamento attivo, cartella progetto creata, pronto per gestire rete e VM.

Problemi e soluzioni comuni

• Carta non collegabile → verifica 3-D Secure, saldo, prova un’altra carta; ripeti.
• Quote limitate → richiedi aumento limiti o riduci temporaneamente risorse VM (istanza minima).

✅ Verifica: In "Fatturazione" vedi account attivo, in "Cartelle" è presente "vpn-project".

Passo 2: Creazione rete, sottoreti e IP statico

Obiettivo della fase

Preparare la rete privata virtuale, sottorete e assegnare un IP esterno statico per mantenere sempre lo stesso indirizzo server.

Istruzioni passo passo

1. Vai in "VPC" e clicca "Crea rete". Nominala "vpn-vpc".
2. Crea una sottorete dentro "vpn-vpc": nome "vpn-subnet-a", zona più vicina a te (es. ru-central1-a), CIDR 10.0.0.0/24.
3. Apri "Indirizzi IP pubblici". Clicca "Riserva indirizzo". Nominalo "vpn-public-ip". Tipo — statico.
4. Crea un gruppo sicurezza "vpn-sg". Aggiungi regole per traffico in entrata: SSH 22 (limita al tuo IP), WireGuard UDP 51820, IKEv2 UDP 500 e 4500, ICMP diagnostica, se serve OpenVPN TCP 443/1194. In uscita — "consenti tutto".

Note importanti

• Limita SSH: nella regola indica "tuo IP esterno/32". Puoi scoprire il tuo IP con la ricerca "my IP".
• Apri solo porte necessarie. Per iniziare bastano 51820/UDP e 22/TCP.

Consiglio: Se sei indeciso, inizia con WireGuard (51820/UDP). È più veloce e semplice di IKEv2. Le porte IKEv2 aprile dopo, se servono.

Risultato previsto

Disponibili VPC, sottorete, IP statico e gruppo di sicurezza con regole corrette. Pronti a creare la VM.

Problemi e soluzioni comuni

• IP statico non riservabile → verifica quote e zona; prova un’altra zona nel regione ru-central1.
• Regole non salvate → assicurati che non vi siano conflitti o regole duplicate e che protocolli/porte siano corrette.

✅ Verifica: In lista IP vedi "vpn-public-ip" con stato "riservato". In "Security Groups" trovi "vpn-sg" con regole attive.

Passo 3: Creazione macchina virtuale e sicurezza base

Obiettivo della fase

Distribuire VM Ubuntu LTS con IP statico assegnato, collegare gruppo sicurezza, preparare sistema e mettere in atto hardening di base.

Istruzioni passo passo

1. In "Compute Cloud" clicca "Crea VM". Nome: "vpn-vm".
2. Seleziona zona corrispondente alla sottorete: ru-central1-a.
3. Immagine: Ubuntu 22.04 LTS. Tipo piattaforma: standard. Configurazione: 1 vCPU, 2 GB RAM, 10–20 GB SSD.
4. Interfaccia rete: VPC "vpn-vpc", sottorete "vpn-subnet-a", IP pubblico — scegli "Usa esistente" e seleziona "vpn-public-ip". Aggiungi "vpn-sg" tra i gruppi di sicurezza.
5. Accesso: aggiungi la tua chiave SSH (se non ce l’hai, genera con ssh-keygen su macOS/Linux o PuTTYgen su Windows). Utente di default: ubuntu.
6. Crea VM e attendi stato "RUNNING".
7. Connettiti via SSH: su macOS/Linux esegui ssh ubuntu@IP_ESTERNO. Su Windows usa PowerShell con ssh ubuntu@IP_ESTERNO.
8. Aggiorna sistema: sudo apt update && sudo apt -y upgrade.
9. Installa strumenti base: sudo apt -y install ufw ca-certificates curl vim.
10. Limita accesso SSH in UFW: sudo ufw default deny incoming, sudo ufw default allow outgoing, sudo ufw allow 22/tcp, sudo ufw allow 51820/udp (per WireGuard), sudo ufw enable.
11. Attiva la chiusura automatica delle sessioni root e disabilita password SSH: verifica /etc/ssh/sshd_config. Assicurati che PasswordAuthentication no e PermitRootLogin prohibit-password. Poi sudo systemctl restart ssh.

Note importanti

• Chiavi SSH tienile private, non inviarle via messaggi o email non sicure.
• UFW blocca tutte le connessioni in ingresso tranne quelle autorizzate, aggiungendo un ulteriore livello di protezione oltre ai gruppi sicurezza cloud.

⚠️ Attenzione: Non aprire mai SSH con accesso via password o con sorgente 0.0.0.0/0 senza motivo. È la causa principale di attacchi riusciti.

Consiglio: Imposta subito il fuso orario: sudo timedatectl set-timezone Europe/Moscow o quello della tua zona, così i log avranno orari corretti.

Risultato previsto

VM Ubuntu LTS con IP pubblico statico, gruppi sicurezza collegati, sistema aggiornato, UFW configurato, SSH sicuro attivo.

Problemi e soluzioni comuni

• Non riesci a connetterti via SSH → controlla che il tuo IP sia autorizzato nel Security Group, verifica la chiave e l’utente "ubuntu".
• UFW blocca l’accesso → usa console web Yandex Cloud per aprire temporaneamente porte e correggere le regole.

✅ Verifica: ssh ubuntu@IP_ESTERNO funziona, sudo ufw status mostra "22/tcp" e "51820/udp ALLOW".

Passo 4: Installazione e configurazione WireGuard

Obiettivo della fase

Mettere in piedi un VPN veloce, stabile e semplice da gestire via WireGuard con routing sicuro e NAT.

Istruzioni passo passo

1. Installa WireGuard: sudo apt -y install wireguard.
2. Genera chiavi server: wg genkey | sudo tee /etc/wireguard/server_private.key | wg pubkey | sudo tee /etc/wireguard/server_public.key >/dev/null. Controlla con: sudo cat /etc/wireguard/server_public.key.
3. Scegli indirizzo server nella rete privata del tunnel, esempio 10.66.66.1/24. Questo subnet non deve sovrapporsi alle tue reti locali.
4. Crea file di configurazione /etc/wireguard/wg0.conf: aggiungi blocco [Interface] con: Address = 10.66.66.1/24; ListenPort = 51820; PrivateKey = (contenuto di server_private.key); SaveConfig = true; PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE; PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE.
5. Abilita forwarding pacchetti: esegui echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-sysctl.conf, seguito da sudo sysctl --system.
6. Apri porta in UFW (se non già fatto): sudo ufw allow 51820/udp. Verifica che la Security Group consenta UDP 51820 da "qualsiasi" o da intervalli ristretti secondo necessità.
7. Crea primo client: genera coppia chiavi su server o sul dispositivo client. Su server: wg genkey | tee client1_private.key | wg pubkey | tee client1_public.key. Conserva chiavi in luogo sicuro.
8. Aggiungi peer in /etc/wireguard/wg0.conf: blocco [Peer] con PublicKey = (client1_public.key), AllowedIPs = 10.66.66.2/32.
9. Crea config client client1.conf: [Interface] Address = 10.66.66.2/32; DNS = 1.1.1.1, 8.8.8.8; PrivateKey = (client1_private.key). [Peer] PublicKey = (server_public.key); Endpoint = IP_ESTERNO:51820; AllowedIPs = 0.0.0.0/0, ::/0; PersistentKeepalive = 25.
10. Avvia WireGuard: sudo systemctl enable wg-quick@wg0 poi sudo systemctl start wg-quick@wg0. Controlla stato: sudo systemctl status wg-quick@wg0 e sudo wg show.

Note importanti

• AllowedIPs sul client con "0.0.0.0/0, ::/0" significa che tutto il traffico passa tramite VPN. Se vuoi solo rete privata, indica subnet specifiche.
• DNS usa server affidabili pubblici o privati per evitare problemi di risoluzione nomi.
• eth0 in PostUp/PostDown è l’interfaccia di rete predefinita. Verifica con ip a. Se ha nome diverso (es. ens32), modifica la configurazione.

Consiglio: Per facilitare la distribuzione di configurazioni su dispositivi mobili, installa sul server qrencode con: sudo apt -y install qrencode. Genera QR per client1.conf con qrencode -t ansiutf8 < client1.conf e scansiona con l’app WireGuard sul telefono.

Risultato previsto

WireGuard attivo, server in ascolto su 51820/UDP, primo client configurato e connesso. NAT attivo, traffico internet passa tramite VM.

Problemi e soluzioni comuni

• Client non si connette → verifica che UFW e Security Group abbiano porta 51820/UDP aperta; l’Endpoint punti all’IP statico e porta corretti.
• C’è connessione ma niente internet → verifica net.ipv4.ip_forward=1, presenza regola MASQUERADE, e corretto interface in PostUp/PostDown.
• Connessione che cade spesso → aggiungi PersistentKeepalive = 25 nella configurazione client.

✅ Verifica: sudo wg show sul server mostra peer con ultimo handshake, il client può pingare 1.1.1.1 e navigare.

Passo 5: Configurazione IKEv2 (strongSwan) come alternativa

Obiettivo della fase

Installare IKEv2/IPsec per client nativi iOS/macOS/Windows senza app esterne, usando certificato self-signed o ACME.

Istruzioni passo passo

1. Apri porte in UFW e Security Group: sudo ufw allow 500,4500/udp.
2. Installa i pacchetti necessari: sudo apt -y install strongswan strongswan-pki.
3. Genera certificato root e certificato server. Crea directory: mkdir -p ~/pki/{cacerts,certs,private}. Crea CA: ipsec pki --gen --type rsa --size 4096 --outform pem > ~/pki/private/ca-key.pem; ipsec pki --self --ca --lifetime 3650 --in ~/pki/private/ca-key.pem --type rsa --dn "CN=VPN Root CA" --outform pem > ~/pki/cacerts/ca-cert.pem. Genera chiave server: ipsec pki --gen --type rsa --size 4096 --outform pem > ~/pki/private/server-key.pem. Firma certificato server: ipsec pki --pub --in ~/pki/private/server-key.pem --type rsa | ipsec pki --issue --lifetime 1825 --cacert ~/pki/cacerts/ca-cert.pem --cakey ~/pki/private/ca-key.pem --dn "CN=TUO_IP_PUBBLICO" --san TUO_IP_PUBBLICO --flag serverAuth --flag ikeIntermediate --outform pem > ~/pki/certs/server-cert.pem.
4. Copia certificati: sudo cp ~/pki/cacerts/ca-cert.pem /etc/ipsec.d/cacerts/; sudo cp ~/pki/certs/server-cert.pem /etc/ipsec.d/certs/; sudo cp ~/pki/private/server-key.pem /etc/ipsec.d/private/.
5. Configura strongSwan in /etc/ipsec.conf. Aggiungi profilo: config setup; conn ikev2-vpn auto=add; compress=no; type=tunnel; keyexchange=ikev2; fragmentation=yes; forceencaps=yes; ike=aes256-sha2_256-modp2048!; esp=aes256-sha2_256!; dpdaction=clear; dpddelay=300s; rekey=no; left=%any; leftid=TUO_IP_PUBBLICO; leftcert=server-cert.pem; leftsendcert=always; leftsubnet=0.0.0.0/0; right=%any; rightid=%any; rightauth=eap-mschapv2; eap_identity=%any; rightsourceip=10.77.0.0/24; rightsendcert=never.
6. Imposta segreto (credenziali) in /etc/ipsec.secrets: riga tipo : RSA server-key.pem e sotto utenti EAP: user1 : EAP "PASSWORD_COMPLESSA".
7. Attiva forwarding (se non già fatto) e configura MASQUERADE per eth0 come per WireGuard.
8. Riavvia servizio: sudo systemctl restart strongswan-starter. Controlla: sudo systemctl status strongswan-starter.
9. Copia su client il certificato root CA (ca-cert.pem) e installalo come affidabile. Su iOS/macOS tramite Profili/Portachiavi. Su Windows tramite "Gestione certificati — Autorità di certificazione radice affidabili".
10. Su client crea nuova connessione VPN IKEv2: server = tuo IP pubblico, ID remoto = stesso IP, autenticazione = username/password EAP, utente = user1, password = quella impostata.

Note importanti

• Certificati per IKEv2 sono obbligatori. Puoi usare Let’s Encrypt se hai dominio e porta 443/TCP aperta. Self-signed è più semplice ma richiede installazione CA sui client.
• Intervallo rightsourceip non deve sovrapporsi alla subnet di WireGuard.

Consiglio: Se aggiungi spesso dispositivi iOS, meglio creare un unico utente EAP con password molto lunga e poi limitare client via firewall, aggiungendo account individuali se serve.

Risultato previsto

Setup IKEv2 funzionante, client iOS/macOS/Windows si connettono senza app esterne, traffico instradato tramite server.

Problemi e soluzioni comuni

• Client non si connette → verifica porte UDP 500/4500, correttezza certificato (CN e SAN corrispondono all’IP), credenziali EAP.
• Connessione c’è ma niente internet → controlla NAT, forwarding e politiche di routing su Windows/macOS in caso di split-tunnel.

✅ Verifica: Nei log strongSwan (sudo journalctl -u strongswan-starter) si vedono SA stabilite, dispositivo ha IP 10.77.0.0/24 e naviga.

Passo 6: Configurazioni client e connessione da dispositivi

Obiettivo della fase

Creare e installare configurazioni client per le principali piattaforme e testare la connessione con instradamento corretto.

Istruzioni passo passo

1. Windows + WireGuard: Installa app WireGuard. Clicca "Add Tunnel" — "Add empty tunnel" o "Import from file". Inserisci contenuto client1.conf o importa il file. Salva. Attiva.
2. macOS + WireGuard: Installa WireGuard dall’App Store. Importa tunnel da file o scansiona QR mostrato nel terminale server. Attiva il tunnel.
3. Linux + WireGuard: Installa wireguard-tools. Copia client1.conf in /etc/wireguard/ (o ~/.config). Avvia: sudo wg-quick up client1. Per avvio automatico: sudo systemctl enable wg-quick@client1.
4. iOS + WireGuard: Installa app WireGuard. Clicca "Aggiungi tunnel" — "Scansiona codice QR" e inquadra QR di client1.conf. Attiva tunnel.
5. Android + WireGuard: Installa WireGuard. Clicca "+" — "Importa da file o archivio" o "Scansiona QR". Attiva tunnel.
6. iOS/macOS/Windows + IKEv2: Importa certificato root CA (se self-signed). Crea profilo IKEv2, imposta server = IP pubblico, autenticazione = user/password EAP. Salva e connetti.
7. Verifica routing: apri sito "my IP" e confronta l’indirizzo, deve corrispondere al tuo IP statico cloud se instradi tutto il traffico.

Note importanti

• Modalità split-tunnel: se non vuoi instradare tutto il traffico via VPN, limita AllowedIPs in WireGuard e rotte IKEv2 solo alle subnet necessarie.
• Fughe DNS si evitano specificando DNS espliciti nelle configurazioni e testandole con servizi appositi. Usa DNS over HTTPS/QUIC se serve.

Consiglio: Per ogni dispositivo crea chiavi e profili separati. Così ritiri l’accesso a uno smartphone perso senza bloccare gli altri.

Risultato previsto

Almeno due dispositivi diversi connessi, mostrano lo stesso IP esterno (il tuo statico), navigano e accedono alle risorse.

Problemi e soluzioni comuni

• App WireGuard non attiva tunnel → controlla che chiavi siano corrette, senza spazi o errori.
• iOS rifiuta installazione CA self-signed → assicurati che il certificato sia marcato come attendibile nelle impostazioni profili.

✅ Verifica: Tunnel attivato sul client, sudo wg show sul server vede peer, siti web si aprono, ping a 1.1.1.1 funziona.

Verifica finale

Checklist

• VM attiva, IP statico assegnato.
• Gruppo di sicurezza e UFW configurati, porte non necessarie chiuse.
• WireGuard attivo, con almeno una configurazione client.
• IKEv2 funzionante se necessario, client connessi.
• NAT e forwarding abilitati, internet via VPN accessibile.
• Configurazioni e chiavi conservate in luogo sicuro, backup effettuato.

Come testare

1. Connettiti da internet mobile e Wi-Fi domestico. Verifica che entrambe le modalità funzionino.
2. Verifica velocità con un speed test popolare. Confronta prima e dopo. È normale che la crittografia riduca la velocità del 10–30%.
3. Controlla accesso a risorse aziendali o rete interna, se hai configurato split-tunnel.

Indicatori di successo

• Connessione stabile senza interruzioni cambiando rete.
• IP esterno client corrisponde all’IP statico della VM.
• Nessuna fuga DNS rilevata, accesso rapido ai siti.

✅ Verifica: 3 test incrociati — internet mobile, Wi-Fi domestico, Wi-Fi pubblico. In tutti il tunnel si connette e prestazioni sono accettabili.

Errori comuni e come risolverli

• Problema: Client WireGuard non si connette. Motivo: Porta 51820/UDP chiusa in Security Group o UFW. Soluzione: Apri porta in entrambi i firewall, riavvia wg-quick.
• Problema: Connessione attiva ma nessun accesso internet. Motivo: Mancanza NAT o forwarding ip_forward. Soluzione: Verifica sysctl e aggiungi MASQUERADE sull’interfaccia corretta (eth0/ens).
• Problema: IKEv2 rifiuta connessione. Motivo: CN/SAN certificato non coincidono o errore credenziali EAP. Soluzione: Riemetti certificato con CN e SAN uguali a IP o dominio, controlla login/password.
• Problema: SSH non raggiungibile dopo attivazione UFW. Motivo: Regola porta 22 mancante. Soluzione: Aggiungi regola via console web, riavvia UFW e testa di nuovo.
• Problema: Cambio interfaccia rete rompe NAT. Motivo: Interfaccia errata in PostUp/PostDown. Soluzione: Controlla nome interfaccia con ip a e correggi wg0.conf.
• Problema: Connessione lenta. Motivo: VM con CPU limitata o banda ristretta. Soluzione: Aumenta vCPU/RAM, scegli algoritmi meno esosi in IKEv2 mantenendo sicurezza, usa zona regione più vicina.
• Problema: Rischi con regolatori. Motivo: Diffusione pubblica dell’accesso. Soluzione: Mantieni VPN strettamente personale: non pubblicare configurazioni, limita peer, usa chiavi uniche per dispositivi, chiudi porte inutili.

Funzionalità aggiuntive

Configurazioni avanzate

• Fail2ban per proteggere SSH: sudo apt -y install fail2ban, abilita jail base per sshd.
• Automatizzazione creazione config: script per generare coppie chiavi, codici QR e aggiungere peer.
• Split-tunnel: indicare reti specifiche (es. 192.168.0.0/16) in AllowedIPs invece di 0.0.0.0/0.
• Politiche di routing basate su domini con blocchi DNS e DoH/DoQ su client.

Ottimizzazione

• Attiva systemd-timesyncd e monitoraggio ora. Orari precisi sono fondamentali per SA IKEv2.
• Usa VM di tipo piccolo per risparmiare e scala in caso di crescita utenti.
• Conserva i log al minimo, senza informazioni sensibili, solo quanto serve per diagnosi.

Ulteriori sviluppi

• Implementa un secondo server in altra zona per ridondanza: mantieni copie config, usa DNS failover.
• Aggiungi tunnel IPv6 se supportato da provider e client e configura ::/0 se necessario.

Consiglio: Se hai più dispositivi, usa un modello per le config WireGuard cambiando solo chiave e indirizzo client. Riduci così errori di digitazione.

FAQ

• Posso usare una sola VM per WireGuard e IKEv2 contemporaneamente? Sì, a patto di configurare correttamente porte e subnet senza sovrapposizioni.
• Serve un dominio per IKEv2? No, è possibile usare IP e CA self-signed, ma il dominio facilita certificati Let’s Encrypt e diminuisce avvisi sui client.
• Quanti dispositivi regge la VM minima? Di solito 5–20 senza problemi, dipende da protocollo, carico e crittografia.
• Come revocare accesso a telefono perso? Rimuovi peer da wg0.conf e riavvia wg-quick. Per IKEv2 cambia o elimina password utente.
• Come limitare traffico dati? Usa split-tunnel, escludendo streaming o instradando parzialmente il traffico se non necessario tutto via VPN.
• Come evitare che VPN sia rilevato da DPI? WireGuard su UDP è spesso trasparente. Puoi usare OpenVPN/IKEv2 su 443/TCP con certificati validi, ma ricorda: lo scopo è uso legale, non aggirare blocchi.
• Devo mantenere log? Tieni solo i log tecnici minimi per diagnosi e sicurezza; evita di memorizzare dati sensibili inutili.
• Cosa fare se cambia IP pubblico? Se statico non succede, altrimenti aggiorna Endpoint sui client o usa DNS dinamico e modificalo nelle configurazioni.
• Posso condividere accesso con amici? Tecnicamente sì con chiavi separate, ma per evitare problemi con i regolatori mantieni accesso strettamente personale e non pubblico.

Consiglio: Fai controlli trimestrali: elimina chiavi o profili inutilizzati, aggiorna password EAP e rivedi porte aperte.

Conclusione

Hai configurato un server VPN personale su Yandex Cloud con attenzione alla legalità e sicurezza: creato VPC e sottoreti, assegnato IP statico, distribuito VM Ubuntu, impostato gruppi sicurezza e UFW, attivato WireGuard e se serve IKEv2, preparato configurazioni client per tutte le piattaforme principali, verificato routing e assenza di fughe. Sai come scalare, risparmiare e mantenere log minimali ma sufficienti. La regola d’oro per "nessun problema con il regolatore" è tenere il VPN personale, non pubblico, non usarlo per accedere a risorse vietate e rispettare le regole dei provider.

Consiglio: Configurare da soli offre controllo e flessibilità, ma richiede tempo per installazione, monitoraggio, aggiornamenti e backup. Se serve "subito", senza console né stress, valuta il servizio vpn.how: un server VPN personale con IP dedicato (non condiviso), supporto WireGuard, OpenVPN, IKEv2, L2TP, SSTP, con server a Mosca, San Pietroburgo, Amsterdam, Francoforte, Londra, New York, San Jose, Chicago, Singapore, Sydney, Madrid, Helsinki, Stoccolma, Varsavia, Copenaghen e Stavanger; accetta carte russe (inclusi Tinkoff e Ozon), SBP e criptovalute USDT/BTC; tariffe a partire da 490 ₽ al giorno e 2490 ₽ al mese con sconti per periodi lunghi; avvio server in 5 minuti dopo pagamento e senza log. Come alternativa esperta al fai-da-te, è indicato se prioritaria è la velocità e risultati garantiti.

Dove andare avanti? Impara Terraform per infrastruttura come codice, aggiungi server secondario in altra zona, configura monitoraggio stato (uptime checker, avvisi spese), esplora approccio Zero Trust con chiavi a vita breve. Hai fatto tutto bene: il tuo server VPN personale ora funziona veloce, sicuro e in modo legale.