Setup VPN Personale con WireGuard e Split Tunneling contro i Blocchi IP

I blocchi indiscriminati a livello di instradamento BGP e DNS imposti da piattaforme automatizzate possono causare gravi disservizi a servizi cloud legittimi, siti web aziendali e piattaforme CDN. Come approfondito nella nostra guida completa ai blocchi di Piracy Shield, i falsi positivi possono isolare risorse di rete indispensabili per il proprio lavoro quotidiano.

In questa guida vedremo come allestire una VPN personale con WireGuard per garantire continuità operativa, instradando selettivamente soltanto il traffico verso le destinazioni colpite senza appesantire la connessione ordinaria.

Perché lo split tunneling è la soluzione migliore

Far transitare l’intero flusso dati attraverso un server remoto riduce la banda disponibile e aumenta la latenza. Lo split tunneling (instradamento selettivo) risolve questo compromesso: la navigazione standard rimane sul provider locale, mentre solo le rotte IP verso host censurati o servizi cloud bloccati per errore attraversano il tunnel cifrato.

Il vantaggio di realizzare una VPN personale con WireGuard rispetto a servizi commerciali risiede nel controllo totale dell’indirizzo IP di uscita, scongiurando liste di blocco generiche e garantendo prestazioni di altissimo livello grazie alla leggerezza crittografica del protocollo.

Requisiti preliminari

  • Un piccolo server VPS Linux (Debian 12 o Ubuntu 22.04/24.04 LTS) situato in territorio europeo ma fuori dai nodi di filtraggio nazionali (es. Francoforte, Amsterdam o Parigi).
  • Accesso root via SSH.
  • Un client WireGuard installato sul proprio PC (Windows, macOS o Linux) o smartphone.

Passo 1: Installazione e configurazione del server

Accedi alla tua VPS via SSH e aggiorna i pacchetti di sistema prima di procedere all’installazione dei moduli:

sudo apt update && sudo apt upgrade -y
sudo apt install wireguard iptables -y

Abilita l’IP forwarding sul kernel modificando il file /etc/sysctl.conf:

net.ipv4.ip_forward = 1
sysctl -p

Genera le chiavi crittografiche per il server:

umask 077
wg genkey | tee server_private.key | wg pubkey > server_public.key
wg genkey | tee client_private.key | wg pubkey > client_public.key

Crea il file /etc/wireguard/wg0.conf sul server:

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <server_private.key>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <client_public.key>
AllowedIPs = 10.0.0.2/32

Avvia e abilita il servizio:

sudo systemctl enable --now wg-quick@wg0

Passo 2: Configurazione del client con Split Tunneling

Dopo aver generato i certificati, la configurazione della VPN personale con WireGuard deve prevedere regole di instradamento granulari. Sul dispositivo client crea il file client.conf:

[Interface]
PrivateKey = <client_private.key>
Address = 10.0.0.2/24
DNS = 1.1.1.1, 9.9.9.9

[Peer]
PublicKey = <server_public.key>
Endpoint = IP_PUBBLICO_VPS:51820
# Split tunneling: elenca solo gli IP o le subnet da de-isolare
AllowedIPs = 10.0.0.0/24, 198.51.100.14/32, 203.0.113.0/24

Come funziona AllowedIPs nello split tunneling

In una configurazione full-tunnel classica, il campo AllowedIPs è impostato a 0.0.0.0/0, inviando tutto il traffico sul server. Impostando invece subnet specifiche (come le subnet dei servizi erroneamente oscurati), il sistema operativo modifica la tabella di routing locale in modo chirurgico: solo i pacchetti indirizzati a quegli indirizzi useranno l’interfaccia wg0.

Passo 3: Verifica del corretto instradamento

Una volta attivata l’interfaccia sul client, verifica che la connettività primaria mantenga il tuo IP originale:

curl https://api.ipify.org

Esegui quindi un traceroute verso l’IP sbloccato per accertarti che il primo salto sia 10.0.0.1 (il gateway WireGuard):

traceroute 198.51.100.14

Se il traffico attraversa il tunnel WireGuard, il blocco locale applicato dal provider viene bypassato con successo alla radice.

Conclusioni

Mantenere attiva una VPN personale con WireGuard sul proprio router o dispositivo di lavoro rappresenta la contromisura ideale per mitigare le interruzioni di servizio esterne, proteggendo la propria operatività senza rinunciare alle massime prestazioni di rete.

Articoli simili