Shadowsocks vs VPN nel 2026: un confronto tecnico onesto

"Shadowsocks è una VPN, giusto?" - la domanda emerge spesso nei forum di self-hosting. Risposta breve: no. Shadowsocks è un proxy SOCKS5 crittografato, creato nel 2012 da "clowwindy" per bypassare il Grande Firewall della Cina. La sua filosofia è l'opposto di WireGuard: produrre traffico indistinguibile dal rumore casuale per sfuggire al radar DPI, mentre WireGuard produce traffico ultra-pulito, identificabile ma crittograficamente impeccabile.

I due strumenti non sono concorrenti diretti - rispondono a esigenze diverse. Questo confronto esamina entrambi su 8 dimensioni concrete (protocollo, prestazioni, censura, mobile, ecosistema, sicurezza, costo operativo, curva di apprendimento) con un'analisi onesta e un modo per misurare le prestazioni sul tuo setup.

Non hai ancora scelto il server? La nostra guida Miglior VPS per V2Ray e Xray confronta i provider su ciò che decide quanto dura un server anti-censura: posizione del datacenter, reputazione dell'IP, traffico incluso e rapidità nel sostituire un IP bloccato.

Architettura del protocollo: la differenza fondamentale

WireGuard opera al livello 3 (rete). Una volta che l'interfaccia wg0 è attiva, tutto il traffico IP della macchina può essere instradato al suo interno: DNS, ICMP, applicazioni, servizi di sistema. È una VPN nel senso classico: trasparente per le app, kill switch tramite tabelle di routing, singolo IP esposto all'esterno. Protocollo: UDP, crittografia ChaCha20-Poly1305, handshake Noise IK.

Shadowsocks opera al livello 7 (applicazione). È un proxy SOCKS5 + crittografia sopra. Le app devono esplicitamente puntare a 127.0.0.1:1080 (porta locale SS-client) per passare attraverso di esso. Conseguenza: Firefox via SS = crittografato; ping a 8.8.8.8 = testo chiaro diretto. Protocollo: TCP (UDP opzionale tramite plugin), crittografia AEAD ChaCha20-Poly1305 o AES-256-GCM.

Questa differenza di astrazione ha conseguenze pratiche:

Per un uso personale "sempre attivo" dove vuoi che tutto esca tramite il VPS, WireGuard. Per un uso mirato anti-censura (Firefox in Cina, Telegram in Iran) senza instradare tutto il traffico, Shadowsocks.

Prestazioni: cosa determina davvero il throughput

Non pubblichiamo numeri di benchmark inventati. Il throughput dipende interamente dal tuo percorso di rete - regione e CPU del server, il tuo ISP, la distanza, il carico - quindi qualsiasi cifra che citassimo ingannerebbe più di quanto aiuti. Ciò che è stabile è l'ordine e il perché:

• WireGuard semplice è l'opzione più veloce. Gira in kernel-space con batching dei pacchetti su UDP, quindi aggiunge la minima latenza e la minima penalità di throughput. È ben documentato nel whitepaper di WireGuard.
• Shadowsocks-rust semplice resta appena dietro. È un demone userspace, quindi porta un po' più di overhead di un modulo kernel, ma l'implementazione in Rust è molto ottimizzata e il divario è piccolo su un vCPU moderno.
• Il livello di offuscamento è il vero costo, non il protocollo sottostante. Nel momento in cui avvolgi l'uno o l'altro in TLS+WebSocket (v2ray-plugin per Shadowsocks, wstunnel per WireGuard), l'handshake TLS e il framing aggiuntivi dominano - ed entrambe le opzioni convergono verso un throughput simile. Anche la CPU sale quando si aggiunge cifratura più livello TLS.

Per la maggior parte dei casi d'uso umano (navigazione, video HD, videochiamate), tutte queste opzioni sono ben al di sopra di quanto necessario. La distinzione di prestazioni diventa critica solo per lo streaming continuo in 4K, il gaming competitivo (<30 ms ping) o i grandi trasferimenti cloud.

Misura il tuo percorso. Gli unici numeri affidabili sono quelli del tuo setup. Avvia il server, esegui iperf3 -c <server> per il throughput TCP grezzo e un curl di un file grande per un download reale, con e senza ciascun tunnel. Questo ti dice esattamente cosa offrono la tua regione, il tuo ISP e il tuo piano VPS - nessuna tabella generica può farlo.

Resistenza alla censura: dove Shadowsocks brilla

Questo è il terreno storico di Shadowsocks. Il GFW cinese e lo SmartFilter iraniano usano strategie diverse:

GFW (Cina):

• Può identificare l'handshake di WireGuard e bloccarlo. Nessun bypass possibile senza offuscamento.
• Per Shadowsocks-2022 semplice: l'analisi statistica dell'entropia sui primi pacchetti può segnalare traffico interamente cifrato. Rapporti pubblici come GFW Report descrivono questo rilevamento, la cui frequenza varia.
• Per SS + v2ray-plugin (TLS+WS): molto difficile da bloccare senza danni collaterali massicci. Questo è il setup raccomandato dal GFW Report per il 2025-2026.

SmartFilter (Iran):

• WireGuard semplice: protocollo identificabile, segnalato come bloccato.
• Shadowsocks-2022 semplice: più difficile da identificare di WireGuard, con forte rallentamento segnalato durante le proteste.
• SS + v2ray-plugin: il più robusto dei tre, senza garanzie durante i blackout.

Russia (TSPU):

• Blocca WireGuard con riconoscimento progressivo dalla fine del 2024.
• Shadowsocks è ancora ampiamente utilizzato, ma TSPU si evolve ogni trimestre. Guarda ntc.party per lo stato delle tecniche.

Conclusione: se viaggi regolarmente nella Cina continentale, in Iran o in Russia, Shadowsocks + v2ray-plugin è più robusto di WireGuard semplice. Per approfondire, consulta la nostra guida al bypass DPI su Contabo.

Un'altra opzione pensata per lo stesso scopo è VLESS con REALITY. Invece di sembrare byte cifrati casuali, cioè ciò che l'analisi dell'entropia segnala, prende in prestito l'handshake TLS di un vero sito web. Il nostro generatore di configurazione VLESS REALITY gratuito scrive le configurazioni server e client nel browser, così puoi farlo girare accanto a Shadowsocks sullo stesso VPS e tenere quello che la tua rete lascia passare.

Negabilità plausibile

Argomento sensibile ma legittimo: se usi un tunnel in un paese dove è illegale, puoi negare di farlo se vieni ispezionato?

WireGuard: debole negabilità. Un semplice comando ip link show rivela l'interfaccia wg0. Il file /etc/wireguard/wg0.conf è esplicito. Su un telefono, l'app WireGuard è elencata. Se il tuo dispositivo viene esaminato, sei nei guai.

Shadowsocks: negabilità moderata. Il binario ss-local può essere rinominato, la configurazione in un file arbitrario. Su mobile, app come Outline (Google Jigsaw) o Shadowrocket sono sugli store. Non indetectabile, ma meno ovvio. Per una vera negabilità plausibile, guarda Tor con obfs4 o Snowflake.

Nota importante: in ogni caso, alla frontiera cinese o iraniana, mai avere l'app sul telefono che presenti alla dogana è la regola. Un telefono pulito + configurazione sul posto rimane la pratica dei residenti che prendono seriamente l'argomento.

Ecosistema client mobile

Questo è un punto pratico spesso trascurato. Compatibilità 2026:

Su iOS, l'ecosistema Shadowsocks è dominato da Shadowrocket (a pagamento, una tantum $2.99) che supporta SS, SS+v2ray-plugin, V2Ray, Trojan e offre un kill switch. Investimento ragionevole se pianifichi viaggi in Asia.

Su Android, v2rayNG (open source, F-Droid) gestisce tutti i protocolli SS + V2Ray. Outline (Jigsaw) è più semplice ma limitato solo a SS.

Per WireGuard, l'app ufficiale è universale ed eccellente. Difficile da battere in termini di UX. Chiara vittoria per l'uso quotidiano.

Sicurezza crittografica

Entrambi i protocolli utilizzano primitive moderne e sono considerati sicuri nel 2026.

WireGuard:

• ChaCha20-Poly1305 (crittografia autenticata AEAD)
• Curve25519 (scambio chiavi)
• BLAKE2s (hashing)
• HKDF (derivazione chiavi)
• Nessuna PFS per sessione (chiavi stabili finché non le ruoti), ma ricambio automatico periodico delle chiavi ogni 2 minuti o 60 GB.

Shadowsocks-2022 (SIP022):

• ChaCha20-Poly1305 o AES-256-GCM (AEAD)
• Chiave pre-condivisa (32 byte base64)
• Nessuno scambio chiavi asimmetrico - una debolezza teorica (impossibile fornire una segretezza in avanti rigorosa), ma in pratica la chiave condivisa statica va bene se casuale e ruotata ogni 6-12 mesi.

Verdetto sulla sicurezza: contro minacce "tecniche" (intercettazione passiva, MITM di rete), entrambi sono equivalenti nel 2026. Contro minacce "attive" (rivelazione dell'uso della VPN), Shadowsocks è più furtivo. Contro minacce "fisiche" (sequestro del dispositivo), nessuno è sufficiente - serve Tor + Tails.

Costo operativo su un VPS

Sul medesimo VPS Contabo Cloud VPS 4 (€5.50/mese, vedi offerta):

Carta bancaria rifiutata? Ultahost accetta anche Bitcoin e altre criptovalute, Alipay, WeChat Pay e Qiwi (pagina dei pagamenti, letta il 25 ottobre 2026). Link di affiliazione; controlla le sue condizioni per il tuo paese prima di ordinare.

Su un Cloud VPS 4 con 4 vCPU / 8 GB RAM, puoi ospitare entrambi contemporaneamente. Un setup ragionevole: WireGuard per l'uso quotidiano, Shadowsocks come fallback per reti ostili.

Curva di apprendimento

WireGuard: ~2 ore per un sysadmin per comprendere chiavi pub/priv, AllowedIPs, NAT per inoltro, kill switch tramite PostUp/PostDown. I documenti ufficiali sono buoni, la nostra guida self-host su Contabo copre tutto.

Shadowsocks-rust: ~1 ora per la configurazione base semplice. +2 ore per comprendere v2ray-plugin (TLS+WS), dominio, Caddy. Documenti ufficiali decenti, molti tutorial in cinese (da tradurre con DeepL).

Per un principiante completo: WireGuard è più semplice concettualmente, Shadowsocks è più semplice da installare "così com'è" senza offuscamento. Con offuscamento, sono equivalenti.

Quando scegliere una VPN commerciale invece

Onestà editoriale: self-hosting Shadowsocks o WireGuard richiede un VPS + manutenzione. Se vuoi solo una VPN per Netflix US, mascherare il tuo IP quotidiano o un uso sporadico non tecnico, una VPN commerciale è più efficace in termini di tempo.

La nostra scelta cross-sell: NordVPN offre WireGuard (NordLynx) + server offuscati (che ora girano sul suo protocollo NordWhisper). Nulla è garantito in Cina, dove il blocco cambia di continuo. Da 3,49 €/mese sul piano Basic biennale (prezzo verificato il 18/10/2026).

Quando il self-host vince:

• Uso permanente + necessità di un IP fisso, non condiviso.
• Alto volume di trasferimento (dipendi solo dalle condizioni di traffico del tuo VPS, non dalla politica di fair use di un abbonamento).
• Forte riservatezza (un provider commerciale può essere citato in giudizio; il tuo VPS è tuo).

Quando la commerciale vince:

• Elevata mobilità geografica (NordVPN ha server in decine di paesi, il tuo VPS Contabo ne ha 1).
• Nessun appetito per la manutenzione (nessun aggiornamento Ubuntu, nessun cert TLS, nessun fail2ban).
• Necessità di IP diversi regolarmente (sport, streaming geo-bloccato).

Usare entrambi è uno schema comune: self-host per l'uso quotidiano, commerciale per casi specifici.

Matrice decisionale finale

Ulteriori letture

• Self-host VPN su Contabo: guida completa WireGuard 2026
• V2Ray VMess/VLess: configurazione completa 2026
• wstunnel: TCP/UDP su WebSocket 2026
• Routing VPN personalizzato su Contabo: bypass DPI Iran / Cina

Fonti tecniche:

• Specifiche Shadowsocks 2022 (SIP022)
• Whitepaper WireGuard - Jason A. Donenfeld
• GFW Report - dati di blocco in tempo reale
• shadowsocks-rust GitHub
• v2ray-plugin GitHub

Pubblicato il 2026-06-03. Le prestazioni sono descritte qualitativamente di proposito - misura il tuo percorso con iperf3 e curl, poiché il throughput dipende dal tuo server, ISP e rotta. Tutte le tecniche anti-censura evolvono rapidamente: ciò che è vero nel Q2 2026 potrebbe cambiare entro il Q4. Verifica sempre con fonti locali prima di viaggi rischiosi.

Promemoria legale: l'uso di Shadowsocks o WireGuard è legale nell'UE, negli Stati Uniti, in Canada e nella maggior parte dei paesi. Illegale in Cina, Iran, Russia, UAE con sanzioni variabili. VPNSmith pubblica questo confronto a scopo educativo - sei tu il solo responsabile del tuo utilizzo.