PiVPN 2026: ospita WireGuard o OpenVPN con un solo comando

Ospitare da sé una VPN significava modificare a mano i file di configurazione e sperare di aver impostato bene chiavi, instradamento e firewall. PiVPN elimina quasi tutto questo: è un installer a comando unico che configura WireGuard o OpenVPN su un Raspberry Pi o su qualsiasi VPS Debian/Ubuntu, poi gestisce i tuoi dispositivi client con pochi semplici comandi. Questa guida spiega come funziona, l'installazione, i limiti onesti e dove si colloca rispetto alle VPN mesh.

Raspberry Pi in casa o VPS? In casa PiVPN richiede un router su cui inoltrare una porta UDP, cosa che il CGNAT impedisce. Su un VPS la questione sparisce: un Contabo Cloud VPS 4 (link di affiliazione) offre un IPv4 pubblico fisso a 5,50 € al mese con vincolo di 24 mesi, e l'installazione qui sotto è la stessa. Se preferisci un provider statunitense con 30 giorni soddisfatti o rimborsati, il VPS Basic di Ultahost costa 5,52 $ al mese su 24 mesi (1 GB di RAM, IPv4 dedicato, letto il 21 ottobre 2026), sufficiente per un server WireGuard con pochi dispositivi. Un'altra opzione: HostPapa Unmanaged VPS Lite (link affiliato) a 2,95 $ al mese con un impegno di 3 anni, poi a tariffa normale (1 core, 1 GB di RAM, 25 GB NVMe, accesso root via SSH, rimborso entro 30 giorni, rilevato il 28 ottobre 2026).

Che cos'è PiVPN, e che cosa non è?

PiVPN è un wrapper/installer, non un nuovo protocollo. Configura per te il vero software VPN, ben verificato:

• Scegli WireGuard (consigliato nel 2026) o OpenVPN durante l'installazione.
• Gestisce chiavi, configurazione del server, instradamento e regole del firewall con impostazioni predefinite sensate.
• Gestisci i client con pivpn add, pivpn -qr (codice QR per i telefoni) e pivpn -l per elencare i profili.

Ti dà un classico server VPN singolo: ogni dispositivo si connette a quella macchina. Questa semplicità è il suo punto di forza. Se preferisci scrivere a mano il wg0.conf invece di affidarti ai valori predefiniti dell'installer, i nostri modelli di configurazione WireGuard pronti all'uso coprono lo stesso setup a server singolo, più le varianti split-tunnel, kill-switch e multi-peer da incollare e adattare.

Meglio PiVPN su un Raspberry Pi o su un VPS?

La risposta breve: un Pi se vuoi rientrare nella tua rete di casa, un VPS se vuoi un punto di uscita veloce. Risolvono problemi diversi, ed è comune usarli entrambi.

• Raspberry Pi a casa → un tunnel verso la tua rete domestica; dipende dalla velocità di upload di casa e da un IP pubblico stabile o da un DNS dinamico. Vedi la nostra guida all'auto-ospitazione su Raspberry Pi 5.
• VPS cloud → un punto di uscita privato veloce e sempre acceso con un IP pubblico fisso, per pochi euro al mese: ideale per l'accesso remoto in viaggio. Un Contabo Cloud VPS 4 a €5,50/mese gestisce comodamente il traffico di una VPN personale.

Come si installa PiVPN con un solo comando?

Su un host Debian/Ubuntu appena installato:

# review the script before running it (open the URL in a browser first)
curl -L https://install.pivpn.io | bash

L'installer guidato chiede il protocollo (scegli WireGuard), l'interfaccia di rete, un IP statico, il provider DNS e l'endpoint pubblico (IP o dominio). Al termine, aggiungi il tuo primo client:

pivpn add            # create a client profile
pivpn -qr            # show a QR code to import on a phone

Apri e leggi sempre uno script di installazione prima di passarlo a bash. Per l'hardening di base del VPS, valido anche qui, vedi la guida all'installazione del VPS Contabo, e per la scelta del protocollo, WireGuard vs OpenVPN.

PiVPN è gratuito?

Sì, del tutto. PiVPN è software open-source installato su una macchina che controlli già, senza account, senza livelli di licenza e senza costi per dispositivo. L'unica cosa che paghi è la macchina su cui gira: niente del tutto se riusi un Raspberry Pi che possiedi già, oppure il costo mensile di un piccolo VPS se vuoi un IP pubblico fisso e un punto di uscita sempre acceso.

Questo è tutto il modello di costo, ed è ciò che distingue un tunnel auto-ospitato da un abbonamento a una VPN commerciale: stai comprando hardware o hosting, non un servizio. Quello che non ottieni è l'anonimato dell'IP condiviso di un provider commerciale: il tuo tunnel esce da un indirizzo che appartiene solo a te.

Come si aggiungono e rimuovono i client PiVPN?

Superati i tre o quattro client, i guasti smettono di essere evidenti. Due dispositivi a cui è stato assegnato lo stesso indirizzo funzionano entrambi da soli, e il secondo che si connette scalza il primo: sembra un guasto intermittente del server, e non lo è. Abbiamo scritto wg-clients-audit per leggere una cartella di file .conf generati e segnalare proprio questo: indirizzi duplicati, una chiave privata riutilizzata su due dispositivi e intervalli AllowedIPs così ampi da inglobare la LAN del client stesso.

pivpn add copre il primo profilo; il resto dell'uso quotidiano sono altri tre comandi:

pivpn list           # every profile, and which are enabled
pivpn -qr <name>     # re-display a profile QR code
pivpn revoke <name>  # disable a lost or retired device

La revoca conta più di quanto si pensi. Un peer WireGuard resta valido finché non lo rimuovi, quindi un telefono perso o un portatile che ha lasciato l'azienda conserva una chiave funzionante finché qualcuno non esegue quel comando. I profili generati si trovano nella home dell'utente di installazione: tratta quei file come password, perché è esattamente ciò che sono.

Perché il mio PiVPN si connette ma non passa traffico?

Quasi tutti i casi del tipo "si è installato bene ma non riesco a connettermi dall'esterno" si riducono a una di due cause, e nessuna delle due è colpa di PiVPN. Se ti riguarda la seconda, la soluzione non è un'impostazione: è uno strumento diverso, e quel confronto è PiVPN vs Tailscale.

La porta non è raggiungibile. WireGuard ascolta in UDP, e un router domestico non la inoltra se non glielo dici tu. Ti serve una regola di port forwarding che mandi quella porta UDP all'indirizzo locale del Pi, e il Pi ha bisogno di un IP locale fisso perché la regola continui a puntare a lui. Se il tuo provider ti mette dietro CGNAT, nessuna regola aiuta: quel caso è trattato nella nostra guida a WireGuard dietro CGNAT. Prima di distribuire i profili, il nostro verificatore di porta WireGuard gratuito ti dice se un port forwarding può funzionare sulla tua linea (confronta l'indirizzo WAN del router con il tuo IP pubblico per individuare CGNAT e doppio NAT) e scrive la regola firewall per il Pi.

L'indirizzo pubblico è cambiato. La maggior parte delle connessioni residenziali ha un IP dinamico, quindi l'endpoint scritto in un profilo client smette di corrispondere dopo il rinnovo successivo. Un nome host DNS dinamico al posto di un IP grezzo lo risolve in modo permanente, e conviene configurarlo prima di distribuire i profili, non dopo.

Se il tunnel si attiva ma non passa traffico, la causa di solito è altrove: la nostra guida alla risoluzione dei problemi di handshake passa in rassegna le otto cause in ordine di probabilità.

Quali sono i limiti di PiVPN?

• Server singolo, non una mesh. Ogni client passa per quella macchina. Ottimo per un nodo di uscita personale; non pensato per collegare in mesh molti dispositivi e siti.
• La manutenzione è tua. Aggiornamenti, rotazione delle chiavi, firewall e uptime sono a tuo carico: tieni attivi gli aggiornamenti di sicurezza automatici.
• I limiti dell'hosting domestico. Su un Raspberry Pi, la velocità di upload limita il throughput e ti serve un IP pubblico stabile o un DNS dinamico.
• È un wrapper. La sicurezza viene da WireGuard/OpenVPN e dall'igiene del tuo host, non da PiVPN stesso.

PiVPN o Tailscale: quale scegliere?

Se ti serve una mesh invece di un server singolo, vedi la nostra guida all'auto-ospitazione di NetBird e la panoramica miglior VPN auto-ospitata 2026.

La tua VPN nasconde il tuo IP. Non nasconde il tuo browser.

Un tunnel WireGuard configurato correttamente sostituisce l'indirizzo che un sito vede. Non cambia nulla di ciò che il tuo browser dichiara da solo: caratteri, schermo, fuso orario, stack grafico. Quella combinazione è spesso abbastanza unica da seguirti da una sessione all'altra, con o senza tunnel.

Misura l'impronta del tuo browser, in modo passivo, senza domande, senza account, senza email. Ti dice quanti browser su N assomigliano al tuo, e quale attributo ti fa risaltare.

In sintesi

PiVPN è il modo più veloce e semplice per mettere in piedi il tuo server WireGuard o OpenVPN nel 2026: su un Raspberry Pi per l'accesso a casa, o su un VPS economico per un punto di uscita privato sempre acceso. Sceglilo quando vuoi un server personale pulito; passa a una VPN mesh quando ti servono molti nodi collegati. In entrambi i casi, il server e le chiavi sono tuoi.

Una volta acceso il server, il lavoro quotidiano è aggiungere e revocare peer: vedi gestire i client PiVPN per pivpn add, pivpn -qr, la revoca e cosa si rompe davvero quando si sbaglia.

Avvia un VPS Contabo per PiVPN →

Guida editoriale basata sul comportamento documentato dell'installer di PiVPN e sulle proprietà documentate di WireGuard e OpenVPN. La sicurezza dipende dai protocolli sottostanti e dall'igiene del tuo host, come diciamo chiaramente. I link commerciali portano l'attributo rel="sponsored nofollow"; può applicarsi una commissione di affiliazione senza costi aggiuntivi per te.