Il confronto viene richiesto di continuo ed è impostato in modo sottilmente sbagliato, ed è per questo che le risposte che si trovano sono insoddisfacenti. WireGuard è un protocollo: un modo per spostare pacchetti cifrati tra due macchine che si conoscono già. Nebula è una rete: identità, scoperta, policy e trasporto forniti insieme. Chiedere quale sia migliore è quasi come chiedere se un binario sia migliore di una ferrovia.
La domanda utile è quella che sta sotto: volete mantenere a mano la configurazione dei peer man mano che la flotta cresce, o delegarla a un sistema?
In entrambi i casi, una macchina ha bisogno di un IP pubblico raggiungibile da ogni nodo: il lighthouse di Nebula o l'hub WireGuard. Un Contabo Cloud VPS 4 a 5,50 €/mese (link affiliato) ricopre questo ruolo con il proprio IPv4, e il nostro generatore di configurazioni WireGuard gratuito scrive le configurazioni dell'hub e dei peer se restate su WireGuard puro. Se preferite un provider statunitense con garanzia di rimborso di 30 giorni, Ultahost VPS Basic costa 5,52 $ al mese con un impegno di 24 mesi (1 GB di RAM, IPv4 dedicato, rilevato il 21 ottobre 2026), sufficiente per un server WireGuard per pochi dispositivi. Il generatore è gratuito fino a 10 dispositivi; oltre, WireGuard Pro (il nostro prodotto, 9 EUR una tantum, nessun abbonamento) alza il limite a 250 e aggiunge un unico ZIP con ogni .conf client e il relativo codice QR in PNG, comodo per configurare un intero ufficio o una famiglia in un colpo solo.
Cosa vi dà davvero ciascuno
WireGuard vi dà un tunnel e si ferma lì. Generate una coppia di chiavi per macchina, elencate la chiave pubblica di ogni peer e i suoi AllowedIPs, e questo è tutto il modello. Nessuna scoperta, nessuna nozione di gruppo, nessun linguaggio di policy. Quel minimalismo è voluto ed è ciò che rende WireGuard verificabile: circa 4.000 righe di codice kernel e una suite crittografica moderna e fissa, senza negoziazioni da sbagliare.
Nebula vi dà un'autorità di certificazione che gestite voi stessi. Ogni host possiede un certificato che porta la sua identità e i suoi gruppi, laptop, db, ci, firmato dalla vostra CA. I nodi lighthouse tengono traccia di chi è dove, così i peer possono trovarsi. E ogni host ha un firewall nella propria configurazione, scritto in termini di quei gruppi anziché di indirizzi IP.
La curva che decide
Questa è la parte da interiorizzare, perché è il vero motivo per cui si migra, e non ha nulla a che fare con la velocità.
Una mesh WireGuard completa richiede una voce peer su ogni macchina per ogni altra macchina. La configurazione cresce quindi con il quadrato della flotta:
| Macchine | Coppie di peer da mantenere |
|---|---|
| 3 | 3 |
| 5 | 10 |
| 10 | 45 |
| 20 | 190 |
Aggiungere una macchina a una mesh di 20 nodi significa modificare venti configurazioni esistenti. Niente di tecnicamente difficile; è semplicemente il tipo di lavoro che gli esseri umani, dopo un po', smettono di fare correttamente. Nebula, Tailscale e Headscale esistono tutti per eliminare quella matrice, differiscono nel come, non nel perché.
Se invece usate una topologia a hub, in cui tutto si collega a un solo server, WireGuard puro resta gestibile a tempo indeterminato. Il quadrato morde solo su una mesh completa.
Dove WireGuard puro è la risposta giusta
- Poche macchine, composizione stabile. Tre portatili e un VPS sono un lavoro per WireGuard, e ricorrere a un overlay sarebbe un sovraccarico senza ritorno.
- Volete la superficie d'attacco più piccola possibile. Nient'altro in questo ambito sta in 4.000 righe.
- La velocità del kernel conta e i vostri host sono Linux. I trasporti in userspace pagano un cambio di contesto per pacchetto; su un link da 10 Gb saturo si vede.
- Collegamenti site-to-site che non cambiano mai. Due router, un tunnel, nessun problema di scoperta da risolvere.
Dove Nebula si guadagna i suoi pezzi in più
- La composizione cambia spesso. Le macchine entrano ed escono senza che nessuno modifichi i peer.
- Vi serve una policy, non solo connettività. "Solo gli host in
cipossono raggiungere la porta 5432 sugli host indb" è una riga di configurazione in Nebula e un pezzo di infrastruttura a parte con il solo WireGuard. - Volete che l'applicazione delle regole sopravviva a un piano di controllo compromesso. Il firewall di Nebula vive su ogni host, quindi nulla di centrale può aprire una porta in silenzio.
- Reti miste e scomode. I lighthouse gestiscono l'attraversamento del NAT che altrimenti dovreste risolvere collegamento per collegamento.
Una VPN cambia il vostro IP. Non cambia il vostro browser.
Un tunnel sostituisce l'indirizzo che un servizio vede. Non cambia nulla di ciò che il vostro browser annuncia da solo (font, schermo, fuso orario, stack grafico) e quella combinazione è spesso abbastanza stabile da riconoscervi da una sessione all'altra, con o senza tunnel.
Misurate l'impronta digitale del vostro browser: passivo, nessuna domanda, nessun account, nessuna email.
Il riepilogo onesto
WireGuard puro non è un Nebula minore; è una cosa più piccola che fa meno di proposito, e lo fa molto bene. Sceglietelo finché la vostra flotta è piccola o la vostra topologia è a hub. Scegliete Nebula quando la matrice dei peer diventa un peso, o quando vi servono identità e policy e non solo tunnel, e accettate in cambio di gestire ora un'autorità di certificazione.
Se volete la mesh ma preferite non gestire una CA, la terza via è una mesh basata su WireGuard con un server di coordinamento: è ciò che Headscale fa con il problema di Nebula e il piano dati di WireGuard.
★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · porta da 200 Mbit/s
Ospita la tua VPN sul tuo VPS → ContaboAccesso root completo · IPv4 pubblico · scegli la tua regione→
