Configurazione passo passo di Contabo VPS VPN (Ubuntu 24.04 / 22.04) - Guida 2026

Vuoi una VPN di cui sei proprietario. Nessun audit annuale "no-logs", nessun IP condiviso con 4.000 sconosciuti, nessun raddoppio del prezzo alla fine della promozione. Questa guida ti permette di far funzionare WireGuard su un VPS Contabo in 20 minuti, dalla registrazione al primo curl ifconfig.me che restituisce l'IP del tuo VPS tedesco.

Ancora senza server? Vedi le opzioni dopo i passaggi

Perché scegliere Contabo rispetto a Hetzner, OVH o DigitalOcean

La scelta del provider VPS per una VPN self-host non è banale e condiziona il rapporto prezzo-prestazioni-giurisdizione che otterrai per i prossimi 3-5 anni. Confrontando le specifiche pubblicate di Contabo, Hetzner Cloud e OVH, il verdetto si riduce a tre assi: prezzo, prestazioni, giurisdizione.

Sul prezzo, Contabo Cloud VPS 4 a 5,50 €/mese (verificato il 17 ott. 2026) per 4 vCPU / 8 GB RAM / 200 Mbps+ è imbattibile in Europa. Hetzner CX23 ha un equivalente a 5,99 €/mese ma solo 2 vCPU e 4 GB RAM, metà dello spazio se vuoi ospitare Nextcloud, Pi-hole o Vaultwarden insieme alla VPN. OVH VPS-1 a 4,49 €/mese offre 2 vCPU / 4 GB; verifica le specifiche aggiornate su ovhcloud.com.

Sulle prestazioni, entrambi gli host pubblicizzano una larghezza di banda ampia per una VPN personale (Contabo un collegamento a 200 Mbit/s, Hetzner una porta gigabit condivisa). Per una VPN self-host, anche un collegamento a 200 Mbit/s è più che sufficiente per saturare la maggior parte delle connessioni domestiche, quindi il throughput massimo raramente è il fattore decisivo - giurisdizione e prezzo solitamente contano di più. Esegui iperf3 tu stesso dalla tua connessione se hai bisogno di numeri esatti.

Sulla giurisdizione, Contabo ha il suo principale DC a Norimberga (Germania), Hetzner a Falkenstein (anch'essa in Germania), OVH a Roubaix o Strasburgo (Francia). Germania e Francia hanno quadri GDPR comparabili e entrambe sono al di fuori del CLOUD Act statunitense. Differenza pratica: la società madre di Contabo è puramente tedesca (GmbH Monaco), Hetzner lo stesso (GmbH Gunzenhausen), OVHcloud è quotata alla borsa di Parigi dal 2021, il che aggiunge un livello di pressione degli azionisti che le altre due non hanno. Per una VPN orientata alla privacy, preferiamo leggermente le GmbH tedesche non quotate.

Il differenziatore finale è il supporto. Nessuno dei tre garantisce un tempo di risposta sui piani base. Per una VPN personale dove puoi risolvere la maggior parte dei problemi da solo tramite SSH, il supporto conta poco - tranne il giorno in cui il tuo VPS non si riavvia dopo un aggiornamento del kernel e hai bisogno di accesso alla console di recupero. Verifica che il pannello del tuo provider offra una console di recupero prima di averne bisogno.

Non è chiaro quale provider si adatti al proprio caso? Il comparatore VPS interattivo pone cinque domande (uso, budget, regione, RAM, banda) e indica una prima scelta e un'alternativa tra Contabo, Hetzner, OVH, Vultr e DigitalOcean.

Passo 1 - Ordina il VPS Contabo

Vai su contabo.com tramite il nostro link /go/contabo-vps-2y e scegli:

• Piano: Cloud VPS 4 (4 vCPU, 8 GB RAM, 100 GB SSD, porta da 200 Mbit/s, traffico illimitato / fair-use)
• Quale piano per una VPN: la velocità della porta limita il tunnel. Il Cloud VPS 4 ha una porta da 200 Mbit/s. Se la tua linea supera i 200 Mbit/s e vuoi tutta la sua velocità nella VPN, Contabo offre il Cloud VPS 6 con porta da 300 Mbit/s (7,50 €/mese) e il Cloud VPS 8 con porta da 600 Mbit/s (14 €/mese), contabo.com, 19 ott. 2026. I passaggi sono gli stessi per tutti e tre.
• Prezzo: 5,50 €/mese IVA esclusa, indicato da Contabo "per i primi 24 mesi" (contabo.com, 19 ott. 2026)
• OS: Ubuntu 24.04 LTS o 22.04 LTS: i pacchetti WireGuard, qrencode e iptables-persistent sono nei repository standard di entrambe. Una differenza conta al passo 2: su 24.04 il servizio SSH si chiama ssh, non sshd.
• Datacenter: Norimberga (DE) - migliore latenza Francia/Europa + giurisdizione GDPR tedesca
• Password di root: genera una password forte, memorizzala temporaneamente nel tuo gestore di password (elimina dopo aver creato un utente non-root)
• Add-on: deseleziona tutto (i backup di Contabo non sono necessari, facciamo il backup noi stessi)

Totale ~66 € IVA esclusa per il primo anno (5,50 €/mese, contabo.com, 19 ott. 2026). All'attivazione ricevi un'email con l'IP pubblico e la password di root. L'attivazione non è sempre immediata: può richiedere da pochi minuti a qualche ora.

Divulgazione: /go/contabo-vps-2y è un link sponsorizzato. Se acquisti il VPS, guadagniamo una commissione a costo zero per te. Il nostro prezzo non è influenzato. Consigliamo Contabo sulla base delle specifiche pubblicate e della sua reputazione pubblica, non di una commissione.

Passo 2 - Primo SSH e rinforzo

Nel tuo terminale locale:

ssh root@YOUR.PUBLIC.IP
# Accetta l'impronta digitale, incolla la password di root

Una volta connesso, aggiorna prima:

apt update && apt upgrade -y
apt install -y curl wget unzip fail2ban

Crea un utente non-root (SSH root sarà disabilitato):

adduser eric
# Segui le istruzioni (password forte, nome completo opzionale)
usermod -aG sudo eric

Copia la tua chiave pubblica SSH dal tuo MacBook locale (in un altro terminale):

ssh-copy-id eric@YOUR.PUBLIC.IP
# Se ssh-copy-id manca: cat ~/.ssh/id_ed25519.pub | ssh root@IP "mkdir -p /home/eric/.ssh && cat >> /home/eric/.ssh/authorized_keys && chown -R eric:eric /home/eric/.ssh && chmod 700 /home/eric/.ssh && chmod 600 /home/eric/.ssh/authorized_keys"

Testa il login non-root in un nuovo terminale senza chiudere il primo:

ssh eric@YOUR.PUBLIC.IP
# Dovrebbe accedere solo con la passphrase della chiave SSH

Se funziona, disabilita l'SSH root e l'autenticazione con password in /etc/ssh/sshd_config (dalla shell root):

cat > /etc/ssh/sshd_config.d/00-hardening.conf <<'EOF'
PermitRootLogin no
PasswordAuthentication no
EOF
sshd -t && systemctl restart ssh
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '
# expected: permitrootlogin no / passwordauthentication no

Perché un file a parte invece di modificare sshd_config: Ubuntu legge prima /etc/ssh/sshd_config.d/*.conf (la riga Include in cima a sshd_config) e tiene il primo valore trovato, quindi un file lasciato dall'immagine cloud può mantenere l'accesso con password senza avvisare. Un file chiamato 00-... viene letto prima degli altri. E systemctl restart sshd fallisce su 24.04 con "Unit sshd.service not found" (verificato su un VPS Contabo con Ubuntu 24.04.5 il 30/10/2026); systemctl restart ssh funziona su 24.04 e su 22.04.

Ora la porta 22 rimane aperta ma solo con chiave SSH e solo per eric. Nessun rischio di brute-force su root.

Passo 3 - Firewall UFW

# Ancora come root
apt install -y ufw
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp comment 'SSH'
ufw allow 51820/udp comment 'WireGuard'
ufw enable
# Rispondi y
ufw status verbose

UFW è ora attivo. Esci dalla sessione root e continua come eric con sudo.

Passo 4 - Installa WireGuard

# Come eric con sudo
sudo apt install -y wireguard qrencode iptables-persistent

Genera le chiavi del server:

sudo bash -c 'umask 077 && wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub'
sudo cat /etc/wireguard/server.pub
# Nota la chiave pubblica, ti servirà per i client

Identifica l'interfaccia pubblica (potrebbe essere eth0, ens3, ens18, ecc.):

ip route | awk '/default/ {print $5}'
# Su Contabo solitamente eth0 o ens18

Passo 5 - Configura /etc/wireguard/wg0.conf

Modifica (adatta eth0 se diverso sopra):

sudo nano /etc/wireguard/wg0.conf

Incolla questo (sostituisci SERVER_PRIVATE_KEY con il contenuto di /etc/wireguard/server.key):

[Interface]
PrivateKey = SERVER_PRIVATE_KEY
Address = 10.66.66.1/24
ListenPort = 51820
MTU = 1420

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Abilita ip_forward:

sudo bash -c 'echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf'
sudo sysctl -p
# Verifica: sysctl net.ipv4.ip_forward (dovrebbe dire 1)

Avvia WireGuard:

sudo systemctl enable --now wg-quick@wg0
sudo wg show
# Dovrebbe mostrare l'interfaccia wg0, chiave pubblica, porta di ascolto

Passo 6 - Crea il primo peer (client)

Sul server, genera una chiave client:

sudo mkdir -p /etc/wireguard/clients
sudo bash -c 'umask 077 && wg genkey | tee /etc/wireguard/clients/mac.key | wg pubkey > /etc/wireguard/clients/mac.pub'
sudo cat /etc/wireguard/clients/mac.pub
# Nota questa chiave pubblica

Aggiungi il peer al server wg0.conf:

sudo bash -c 'cat >> /etc/wireguard/wg0.conf <<EOF

[Peer]
# MacBook
PublicKey = CLIENT_MAC_PUBKEY
AllowedIPs = 10.66.66.2/32
EOF'

Ricarica la configurazione senza spegnere:

sudo wg syncconf wg0 <(wg-quick strip wg0)

Genera il file client (trasferisci in modo sicuro su MacBook/iPhone):

sudo bash -c 'cat > /etc/wireguard/clients/mac.conf <<EOF
[Interface]
PrivateKey = $(cat /etc/wireguard/clients/mac.key)
Address = 10.66.66.2/24
DNS = 9.9.9.9, 149.112.112.112
MTU = 1420

[Peer]
PublicKey = $(cat /etc/wireguard/server.pub)
Endpoint = YOUR.PUBLIC.IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25
EOF'

Per iPhone / Android, codifica come QR:

sudo qrencode -t ansiutf8 < /etc/wireguard/clients/mac.conf

Scansiona questo QR dall'app WireGuard (App Store, Play Store) e il tunnel è configurato.

Per macOS / Linux desktop, scarica il .conf localmente:

# Sul tuo Mac
scp eric@YOUR.PUBLIC.IP:/etc/wireguard/clients/mac.conf ~/Downloads/
# Importa dall'app ufficiale WireGuard

Passo 7 - Test di perdite

Abilita il tunnel sul tuo client, poi in un browser:

1. ipleak.net: il tuo IP pubblico deve essere il VPS Contabo di Norimberga. Geo = Germania. Se vedi ancora l'IP del tuo ISP francese → il tunnel non sta instradando, controlla AllowedIPs del client. Quel campo fa più di quanto sembri: vedi che cosa decide davvero AllowedIPs.
2. dnsleaktest.com → pulsante "Extended test": il DNS restituito deve essere Quad9 (9.9.9.9) o il tuo VPS. Se vedi DNS Orange/SFR/Free → perdita DNS, controlla DNS = 9.9.9.9 nel .conf del client.
3. browserleaks.com/webrtc: nessun IP locale deve trapelare tramite WebRTC. Se trapela → disabilita WebRTC nel browser (uBlock Origin → "Prevent WebRTC from leaking").
4. curl ifconfig.me dal terminale del client: deve restituire l'IP del VPS.

Tutto verde: la tua VPN self-host funziona. Benvenuto.

Passo 8 - Backup e manutenzione

Il tunnel è attivo. Buone abitudini:

• Backup di /etc/wireguard/ settimanale: rsync -avz eric@VPS:/etc/wireguard/ ~/backup-wg/$(date +%F)/
• Aggiornamenti mensili: sudo apt update && sudo apt upgrade -y && sudo reboot (~30s di inattività, o usa unattended-upgrades)
• Monitoraggio: vedi la guida al monitoraggio con Prometheus + Grafana
• Kill switch lato client: vedi la guida al kill switch su Linux (iptables + systemd)
• Template per casi specifici: vedi i 8 template WireGuard pronti all'uso

Costo totale su 5 anni

Per confrontare onestamente con un servizio VPN commerciale:

E sul VPS Contabo puoi anche ospitare: un DNS Pi-hole, Nextcloud, Vaultwarden, un bot Discord, un'istanza personale di Mastodon. La VPN stessa utilizza pochissima CPU e RAM in uso personale normale.

Verdetto

WireGuard su Contabo Cloud VPS 4 a 5,50 €/mese (verificato il 17 ott. 2026) rimane la nostra scelta #1 per una VPN self-host. Configurazione in ~20 minuti, un collegamento pubblicizzato a 200 Mbit/s+, bassa latenza dall'Europa occidentale, giurisdizione GDPR tedesca. Il vero svantaggio: il supporto passa da ticket nel pannello my.contabo.com, senza chat dal vivo, non ideale durante un'interruzione urgente.

Sei già cliente Contabo? Dal 19 ottobre 2026 my.contabo.com è un nuovo pannello (nuova password, ticket, Sub-Users): spunta le novità con la nostra checklist del nuovo pannello Contabo.

Per iniziare: Contabo Cloud VPS 4 tramite il nostro link /go/contabo-vps-2y. Contabo non pubblicizza una garanzia di rimborso; i consumatori UE hanno 14 giorni di recesso secondo le sue condizioni.

La nostra recensione completa di Contabo VPS dettaglia punti di forza e debolezze in 5 categorie (prestazioni, prezzo, RAM/CPU, supporto, dashboard) con la suddivisione del punteggio.

Altri confronti tra VPS: Contabo vs Hostinger (prezzo d'ingresso contro prezzo di rinnovo) e Alternative a Contabo (quale VPS scegliere a seconda del motivo per cui lasci Contabo).