Pangolin vs Cloudflare Tunnel (2026): a chi appartiene il punto di uscita

Entrambi gli strumenti risolvono lo stesso problema fastidioso: hai qualcosa che gira a casa e vuoi raggiungerlo dall'esterno senza aprire una porta sul router (cosa che dietro CGNAT potrebbe anche essere impossibile).

E lo risolvono anche nello stesso modo: un daemon sulla tua macchina apre una connessione in uscita verso un endpoint pubblico, e il traffico torna indietro attraverso quel canale. Nulla resta in ascolto sul tuo IP di casa.

La differenza sta in una parola: di chi è l'endpoint pubblico.

Con Pangolin, quell'endpoint è un server che noleggi: va bene qualsiasi piccolo VPS con un IPv4 pubblico, per esempio un Contabo Cloud VPS (link affiliato), da 5,50 €/mese su 24 mesi (prezzo verificato il 17 ottobre 2026).

Risposta breve

Cloudflare Tunnel affida l'endpoint pubblico a Cloudflare. Niente da noleggiare, niente da aggiornare, e funziona in pochi minuti.

Pangolin mette quell'endpoint su una macchina che noleggi e gestisci tu, di solito un piccolo VPS. Tieni il percorso per te, ed erediti un server di cui occuparti.

Tutto lo scambio è qui. Il resto è una conseguenza.

Chi sta nel percorso?

Con Cloudflare Tunnel, i visitatori si connettono a Cloudflare, e Cloudflare si connette a te. Se Cloudflare termina il TLS per il tuo hostname (la configurazione standard), il tuo traffico viene decifrato sul loro edge prima di essere cifrato di nuovo lungo il tunnel. Non è un comportamento nascosto; è l'unico modo in cui cache e filtri possono funzionare.

Che conti o no dipende da cosa esponi. Un blog pubblico e un server di documenti non sono la stessa decisione, e vale la pena fare questa distinzione deliberatamente anziché per default.

Con Pangolin, l'endpoint è il tuo VPS. Il tuo provider ospita comunque la macchina, quindi dire "nessuno sta nel percorso" sarebbe eccessivo: ma il software che termina il tuo traffico è tuo, e la sua configurazione è tua.

Stare nel percorso significa anche fissarne le regole, e Cloudflare le pubblica come valori fissi. Tra Cloudflare e la tua origine, i limiti documentati includono un timeout ACK TCP di 90 secondi, un intervallo keep-alive TCP di 30 secondi e un timeout di inattività del proxy di 900 secondi, ciascuno con l'errore HTTP che produce quando viene superato (522 e 520). Tra il visitatore e Cloudflare, una connessione HTTP/1.1 o HTTP/2 inattiva viene chiusa a 400 secondi. La tabella di Cloudflare indica ognuno di questi come non configurabile, e rimanda gli utenti del tunnel alla configurazione dell'origine separata per modificare quel poco che si può modificare. Sul tuo endpoint li imposti tu, liberamente, e questo conta il giorno in cui esponi qualcosa di lunga durata, un websocket o un upload di grandi dimensioni, che non rientra nei default di qualcun altro.

L'endpoint pubblico vive sempre sulla macchina di qualcuno. La domanda a cui risponde un tunnel non è se ci sia un server nel percorso, ma di chi sia.

Quanto costa davvero ciascuno

Cloudflare Tunnel è disponibile nel piano gratuito, e molte persone lo usano per anni senza pagare. La formulazione onesta: gratuito descrive il prezzo, non l'accordo. Il tuo traffico transita su un'infrastruttura che non controlli, a condizioni che possono cambiare.

Pangolin non ha costi di licenza, ma non è nemmeno gratuito. Paghi il VPS e, cosa più costosa, ti fai carico della manutenzione: aggiornamenti, certificati, monitoraggio e un backup della configurazione.

Si confrontano le cifre mensili e ci si ferma lì. Il costo ricorrente che sorprende è il secondo.

Quale per un server di casa?

• Vuoi che funzioni stasera, senza niente da mantenere → Cloudflare Tunnel. Difficile argomentare il contrario.
• Stai esponendo qualcosa che non affideresti a una terza parte → tunnel self-hosted verso il tuo VPS.
• Sei dietro CGNAT e non hai un indirizzo pubblico → funzionano entrambi; è esattamente lo scopo per cui esistono.
• Vuoi capire come funziona → Pangolin ti insegna di più, perché assembli tu i pezzi.

Una nota sul VPS, perché è lì che il piano di solito incontra la realtà: l'endpoint ha bisogno di un indirizzo pubblico stabile, che una connessione domestica dietro CGNAT non può darti. Il taglio più piccolo di qualsiasi provider serio basta per un tunnel: non è un carico di lavoro che richiede core. Ciò che serve è che sia ancora acceso, e ancora aggiornato, tra otto mesi.

L'errore a cui invitano entrambi

Un tunnel non è autenticazione.

Elimina la porta aperta. Non decide chi può passare. Qualsiasi cosa esponi è raggiungibile da chiunque venga a conoscenza dell'hostname, e gli hostname trapelano, tra le altre vie attraverso i log di certificate transparency. Quest'ultima non è un'ipotesi. La Certificate Transparency, specificata nella RFC 6962 nel giugno 2013, pubblica i certificati TLS emessi in log append-only che chiunque può interrogare, e i principali browser oggi richiedono che i certificati vi compaiano per considerarli attendibili. Quindi, nel momento in cui il tuo tunnel ottiene un certificato da una CA pubblica, il suo hostname è pubblicato, ricercabile e permanente. Dare a un servizio un nome impossibile da indovinare qui non serve a niente.

Entrambi i progetti includono controlli di accesso proprio per questo motivo. Usali. Il tunnel non è mai stato il confine di sicurezza; era solo l'impianto che ha permesso al traffico di arrivare.

Quindi, quale?

Chiediti a chi vuoi affidare il punto di uscita.

Se la risposta è "non voglio gestire un server per questo", Cloudflare Tunnel è lo strumento giusto, e non c'è niente di cui vergognarsi: l'alternativa è una macchina da tenere in vita per anni.

Se la risposta è "il percorso deve essere mio", allora è Pangolin, e il prezzo è un VPS di cui ora sei responsabile della manutenzione.

Nessuno dei due risponde alla domanda che viene dopo: qualsiasi cosa tu abbia appena esposto ha comunque bisogno della propria autenticazione, dei propri aggiornamenti e del proprio backup. Il tunnel l'ha solo resa raggiungibile.