Gestione dei client PiVPN: aggiungere, elencare, revocare e fare backup (2026)

La maggior parte delle guide su PiVPN si ferma all'installazione. È la parte che richiede dieci minuti e non torna mai più. La parte che si ripresenta davvero è tutto quello che viene dopo: un nuovo laptop ha bisogno di un profilo, un telefono viene rubato, qualcuno se ne va, ricostruisci la macchina.

Questa è la guida del giorno due. Se non l'hai ancora installato, parti da PiVPN nel 2026 e poi torna qui.

Tutto quello che segue è ciò che documenta il wiki di PiVPN. Dove un comando differisce tra la modalità WireGuard e quella OpenVPN, o dove esprimo un'opinione invece di citare la documentazione, lo dico.

I comandi che vale la pena memorizzare

Comando	Cosa fa
`pivpn add`	Chiede il nome di un client e crea il profilo
`pivpn list`	Elenca i nomi dei client e le relative chiavi
`pivpn remove`	Chiede quale client rimuovere, poi invalida la sua configurazione
`pivpn -qr`	Genera un codice QR di una configurazione, da scansionare su un telefono
`pivpn -bk`	Esegue il backup del server come archivio tar
`pivpn -d`	Esegue controlli diagnostici, ognuno dei quali dovrebbe riportare [OK]
`pivpn -wg`	Guida attraverso l'aggiornamento di WireGuard
`pivpn -h`	Stampa l'elenco completo delle opzioni

Quest'ultimo conta più di quanto sembri. PiVPN cambia, le guide invecchiano e le due modalità non espongono un insieme identico di comandi. pivpn -h sulla tua macchina batte qualsiasi tabella su internet, inclusa questa.

Una scheda Raspberry Pi Zero verde nuda fotografata su sfondo bianco, che mostra il logo del lampone, due porte micro USB, una porta mini HDMI, uno slot microSD e una fila di fori GPIO non popolati.

Aggiungere client: uno per dispositivo, sempre

pivpn add chiede un nome e crea il profilo. La meccanica è banale. La decisione che conta è quanti profili crei.

Assegna a ogni dispositivo il proprio profilo. Telefono, laptop, tablet, il laptop del partner: nomi separati, profili separati. Non costa nulla al momento della creazione ed è l'unica cosa che rende utile la revoca in seguito.

Il motivo è semplice. La revoca avviene per profilo. Se quattro dispositivi condividono un profilo e uno di essi viene rubato, la tua unica opzione è revocare quel profilo e tagliare fuori tutti e quattro, poi riscrivere i tre che ti restano, probabilmente di fretta e probabilmente male. Se ognuno avesse il proprio, ne revochi uno e nient'altro cambia.

Dai loro nomi che dicano cosa sono. pixel-8, laptop-lavoro, ipad-moglie. Tra sei mesi, client1 fino a client5 in pivpn list non ti diranno nulla, ed esiterai esattamente nel momento in cui devi agire in fretta.

Portare la configurazione su un telefono

È qui che si finisce per compromettere in silenzio una configurazione per il resto valida.

La configurazione di un client contiene una chiave privata. Inviarla per email, metterla in una chat o lasciarla in una cartella cloud condivisa consegna quella chiave a chiunque conservi quei messaggi. La configurazione non è una password che puoi ruotare a basso costo, è la credenziale stessa.

pivpn -qr esiste per questo. Rende la configurazione come un codice QR sul server, e l'app mobile di WireGuard lo scansiona direttamente dalla finestra del terminale. La chiave non diventa mai un file che viaggia da qualche parte.

Se devi spostare una configurazione come file, spostala tramite SSH sulla macchina che ne ha bisogno ed elimina la copia dopo. Non lasciarla ferma nella cartella Download.

Revocare: cosa fa e cosa non fa

pivpn remove chiede quale client rimuovere. Il wiki è esplicito sull'effetto: una volta rimossa, la configurazione del client indicato non permetterà più di connettersi.

Capisci con precisione cosa ti offre. Invalida la credenziale sul server. Non raggiunge il dispositivo che hai perso per cancellarne la configurazione. Chi possiede quel file continua a possederlo, semplicemente non può più usarlo contro il tuo server.

Questa distinzione conta per quello che farai dopo. Revocare il profilo è la prima mossa giusta ed è sufficiente a proteggere il tunnel. Non è un motivo per saltare il resto: se il dispositivo conteneva anche altre credenziali, revocare un profilo VPN non fa nulla per quelle.

Esegui prima pivpn list. Rimuovere il profilo sbagliato perché due dispositivi avevano nomi simili è un errore facile e fastidioso da annullare.

I backup, e l'errore che li rende inutili

pivpn -bk produce un archivio tar. L'istruzione del wiki è di copiare quell'archivio sul tuo computer, e l'istruzione è la metà importante.

Un backup che resta sul server non è un backup. Il guasto contro cui protegge, la scheda SD che muore o il VPS che viene cancellato, distrugge l'archivio insieme a tutto il resto. Copialo altrove. Usa scp verso la tua macchina o verso qualsiasi backup di cui ti fidi già.

Poi trattalo come un segreto. Quell'archivio contiene le chiavi dei client. Chiunque lo legga può impersonare i tuoi dispositivi. Non deve stare in un repository pubblico, in un'unità condivisa o in una cartella cloud non cifrata.

Quando qualcosa non va, esegui prima la diagnostica

pivpn -d esegue una serie di controlli e il wiki ti dice di verificare che tutti riportino [OK]. Fallo prima di iniziare a modificare a mano i file di configurazione.

I problemi delle VPN auto-ospitate sono di solito noiosi: una porta non inoltrata, un IP dinamico che è cambiato, una regola del firewall, un servizio che non è ripartito dopo un riavvio. La diagnostica individua i casi noiosi in pochi secondi. Modificare a mano le configurazioni di WireGuard a mezzanotte perché è caduta una connessione è il modo in cui una configurazione funzionante diventa una rotta.

Se il tuo IP pubblico cambia, non è affatto un problema di PiVPN, e nessuna gestione dei client lo risolve. Vedi la nostra guida sul DNS dinamico per una VPN auto-ospitata per la forma di quella soluzione.

Quando il terminale smette di essere lo strumento giusto

PiVPN gestisce i peer dalla riga di comando, e per una manciata di dispositivi è davvero il modo più rapido di lavorare.

Se ti ritrovi ad aggiungere e revocare profili spesso, o ad affidare quel compito a qualcuno che non toccherà un terminale, un'interfaccia web è la risposta onesta invece di altri alias della shell. wg-easy copre questo compromesso. E se stai ancora scegliendo il tuo approccio, il nostro confronto tra VPN auto-ospitate mette PiVPN a fianco delle opzioni mesh.

Una breve routine operativa

Un profilo per dispositivo, con il nome del dispositivo.
Consegna tramite codice QR dove puoi, mai via chat o email.
pivpn list prima di revocare, così tagli quello giusto.
pivpn -bk fuori dalla macchina, conservato come un segreto.
pivpn -d prima di fare debug a mano.

Dove gira PiVPN conta quanto il modo in cui lo gestisci. Un Raspberry Pi a casa è limitato dalla tua velocità di upload e ha bisogno di un indirizzo stabile; un VPS ti offre un IP pubblico fisso e uptime sempre attivo per pochi euro al mese.

Esegui PiVPN su un Contabo Cloud VPS →

Fonti

Documentazione PiVPN (docs.pivpn.io), che rimanda gli utenti ai wiki per modalità per gli esempi di comandi
Wiki PiVPN WireGuard: pivpn add, pivpn list, pivpn remove, pivpn -qr, pivpn -bk, pivpn -d, pivpn -wg, pivpn -h

Guida editoriale basata sui comandi documentati del progetto PiVPN. I set di comandi differiscono tra le modalita WireGuard e OpenVPN e cambiano nel tempo: fa fede pivpn -h sul tuo server, non questa pagina. I link commerciali riportano l'attributo rel="sponsored nofollow"; puo essere applicata una commissione di affiliazione, senza costi aggiuntivi per te.

★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · 200+ Mbps garantiti

Ospita la tua VPN sul tuo VPS → ContaboAccesso root completo · IPv4 pubblico · scegli la tua regione→

Domande frequenti

Come aggiungo un client a PiVPN?

Esegui `pivpn add` sul server. Il wiki di PiVPN lo descrive come un comando che ti chiede il nome del client: sceglilo e premi invio. Assegna a ogni dispositivo il proprio profilo invece di condividerne uno, perché la revoca avviene per profilo: se un profilo condiviso viene compromesso devi tagliare fuori tutti i dispositivi in una volta sola.

Come vedo i client che ho già creato?

`pivpn list`. Il wiki lo descrive come un comando che ti fornisce un elenco dei nomi dei client e delle relative chiavi, una volta che ne hai più di qualcuno. È il comando da eseguire prima di aggiungere un duplicato o di revocare il dispositivo sbagliato.

Come porto una configurazione su un telefono?

`pivpn -qr` genera un codice QR di una configurazione sul server, che l'app mobile di WireGuard scansiona direttamente. Questo evita di inviare per email un file di configurazione o di copiare chiavi private tramite un'app di messaggistica, che è la parte in cui di solito si sbaglia.

Come rimuovo un client di cui non mi fido più?

`pivpn remove`, che chiede il nome del client da rimuovere. Il wiki afferma che, una volta rimossa, la configurazione del client non permetterà più di connettersi. Rimuovere il profilo non elimina la copia che resta sul dispositivo perso, quindi consideralo come tagliare la serratura piuttosto che recuperare la chiave.

Posso fare il backup del mio server PiVPN?

`pivpn -bk` crea un backup sotto forma di archivio tar, che il wiki ti dice di copiare fuori dal server sulla tua macchina. Un backup che resta sulla macchina che protegge non è un backup. Nota che contiene le chiavi dei client, quindi conservalo come un segreto.

Dove trovo l'elenco completo dei comandi?

`pivpn -h`. Il wiki lo indica per l'insieme completo delle opzioni, ed è la risposta onesta ogni volta che una guida, inclusa questa, potrebbe non essere aggiornata. Alcuni comandi differiscono anche tra la modalità WireGuard e quella OpenVPN, quindi verifica sulla tua installazione.