PiVPN vs Tailscale (2026): la vera domanda è se puoi aprire una porta

Cerca questo confronto e troverai lunghe tabelle di funzionalità. La maggior parte di esse seppellisce l'unico fatto che decide l'esito per la maggioranza delle persone, e non ha nulla a che vedere con le funzionalità: puoi aprire una porta in ingresso sulla tua connessione internet?

Se sì, entrambi gli strumenti funzionano e la scelta dipende da ciò che vuoi. Se no, il confronto è finito prima di cominciare.

Un'eccezione: dietro CGNAT puoi comunque tenere PiVPN facendolo girare su un piccolo VPS con un proprio IPv4 pubblico, come un Contabo Cloud VPS 4 (link affiliato) da 5,50 € al mese con durata di 24 mesi, con il Pi di casa che vi si collega come client (dettagli più sotto). Se preferisci un provider statunitense con garanzia di rimborso di 30 giorni, Ultahost VPS Basic costa 5,52 $ al mese con durata di 24 mesi (1 GB di RAM, IPv4 dedicato, letto il 21 ottobre 2026), sufficiente per un server WireGuard per pochi dispositivi.

Il vincolo che decide tutto

PiVPN costruisce un server. I client si collegano dall'esterno, il che richiede una porta raggiungibile da internet, il che a sua volta richiede un indirizzo pubblico tutto tuo.

Tailscale non accetta mai una connessione in ingresso. Entrambe le estremità aprono connessioni in uscita e un server di coordinamento le presenta l'una all'altra. Sul tuo router non va cambiato nulla.

Quindi la prima domanda non è "quale è migliore", ma cosa ti dà il tuo provider? Se l'indirizzo WAN del tuo router è compreso tra 100.64.0.0 e 100.127.255.255, sei dietro un NAT di livello operatore: non c'è nessuna porta da inoltrare e PiVPN non può essere raggiunto dall'esterno, comunque lo si configuri.

Due forme di rete diverse

Al di là della raggiungibilità, i due costruiscono cose davvero diverse.

PiVPN è hub-and-spoke. Tutto passa dal Pi. È esattamente ciò che vuoi quando lo scopo è essere a casa da altrove: navigare dal tuo IP di casa, raggiungere la stampante, usare un servizio che si fida solo del tuo indirizzo di casa.

Tailscale è una mesh. Il tuo portatile parla direttamente con il tuo telefono, che il Pi sia acceso o no. Nulla passa obbligatoriamente da un'unica macchina, quindi nulla si rompe quando quella macchina si riavvia, e nulla viene instradato attraverso la tua connessione di casa a meno che tu non lo chieda.

Nessuna delle due forme è migliore. Rispondono a frasi diverse: "voglio essere sulla mia rete di casa" contro "voglio che le mie macchine si raggiungano tra loro."

Cosa ti costa ciascuno

La terza opzione quando la porta non si può aprire

Dietro CGNAT la tabella qui sopra sembra dire che Tailscale sia l'unica scelta. Ce n'è una terza che mantiene la forma di PiVPN: spostare il server WireGuard dal Pi a un piccolo VPS con un proprio IPv4 pubblico. Il VPS ha una porta raggiungibile da ovunque, il tuo telefono e il tuo portatile vi si collegano esattamente come farebbero con PiVPN, e il Pi di casa vi si connette come un client in più con PersistentKeepalive = 25, così la tua LAN di casa resta raggiungibile attraverso di esso. Mantieni un hub classico che controlli completamente, nessun server di coordinamento conserva l'elenco dei tuoi dispositivi, e il CGNAT smette di contare perché nulla deve raggiungere la tua connessione di casa dall'esterno.

Prima di decidere, verifica se sei davvero dietro CGNAT. Il nostro WireGuard port checker gratuito confronta l'indirizzo WAN del tuo router con il tuo IP pubblico e te lo dice in pochi secondi; se i due sono diversi, o se l'indirizzo WAN rientra in 100.64.0.0/10, nessuna impostazione di PiVPN potrà aiutarti. La configurazione con relay è descritta passo per passo in WireGuard dietro CGNAT, e le configurazioni per il VPS, il Pi e ogni telefono escono dal generatore di configurazione WireGuard in un minuto, con le chiavi generate nel tuo browser. Il generatore è gratuito fino a 10 dispositivi; oltre, WireGuard Pro (il nostro prodotto, 9 EUR una tantum, nessun abbonamento) alza il limite a 250 e aggiunge un unico ZIP con il .conf di ogni client e il relativo codice QR in PNG, comodo per configurare un intero ufficio o una famiglia in un colpo solo.

Quanto costa: qualche euro al mese e un server in più da tenere aggiornato. Cosa cambia rispetto a PiVPN a casa: il traffico internet esce dall'indirizzo del VPS, non dal tuo IP di casa, a meno che tu non lo instradi ulteriormente attraverso il Pi, il che richiede più configurazione. Se lo scopo era proprio sembrare di essere a casa, ti serve comunque una connessione di casa raggiungibile, e questo ti riporta a Tailscale.

La raccomandazione onesta

Se sei indeciso, inizia con Tailscale. Funziona ovunque, compresi i casi in cui PiVPN semplicemente non può, e aggiungere un dispositivo richiede pochi secondi. Per la maggior parte delle persone che vogliono raggiungere le proprie macchine dall'esterno, è tutto ciò che serve.

Scegli PiVPN quando lo scopo è la tua connessione di casa in sé, sembrare di essere a casa, oppure rifiutare qualsiasi dipendenza esterna. Sono due motivi legittimi, e il secondo non è paranoia: è la differenza tra una rete che gestisci e una rete a cui sei abbonato.

E se vuoi la mesh senza l'azienda, la via di mezzo esiste: gestisci tu stesso il piano di controllo con Headscale, confrontato con Tailscale qui. Mantieni i client ufficiali e l'attraversamento del NAT, e la parte che conosce i tuoi dispositivi resta su una macchina di tua proprietà.