Multi-hop WireGuard con due server tuoi: cosa ti dà davvero

Il multi-hop è una delle funzioni commercializzate con più efficacia dalle VPN a pagamento: due server invece di uno, così che nessuna estremità abbia il quadro completo. Il ragionamento regge, e vale la pena capirlo bene prima di replicare il montaggio su un'infrastruttura tua, perché ciò che lo rende prezioso non sopravvive al self-hosting.

Cosa fa la tecnica

Il tuo client si connette al server A. Il server A non raggiunge internet per tuo conto: inoltra il tuo traffico, ancora cifrato, al server B. È il server B a parlare con la destinazione.

Il beneficio dichiarato discende da chi sa cosa. Il server A vede il tuo indirizzo reale ma sa soltanto che stai parlando con B. Il server B vede la destinazione ma riceve traffico da A e non da te. Nessuno dei due ha entrambe le metà.

È davvero così che funziona, ed è la ragione per cui la funzione esiste.

Perché il self-hosting rompe l'argomento

Ecco la parte che l'entusiasmo di solito salta.

La separazione appena descritta ha senso solo se A e B sono gestiti in modo indipendente. I provider commerciali fanno leva proprio su questo: server diversi, a volte aziende diverse, giurisdizioni diverse, nessun operatore unico che detenga entrambi i log.

Se affitti tu stesso entrambe le istanze VPS, sul tuo account, pagate con la tua carta, il punto in comune sei tu. Chiunque sia in grado di costringere o compromettere il tuo hosting provider può vedere entrambe le estremità della catena, perché entrambe le estremità sono tue e sono collegate dalla stessa identità di fatturazione. La proprietà che rende il multi-hop degno di essere pagato in un contesto commerciale è esattamente quella che non puoi riprodurre da solo.

Avere chiaro questo punto conta più della configurazione, perché è ciò che decide se la configurazione valga la pena di essere fatta.

Un server tower in una stanza illuminata di blu, con il frontale perforato e i vani per i dischi visibili.

Cosa continua comunque a darti

Due benefici sopravvivono al self-hosting, ed entrambi sono operativi anziché promesse di anonimato.

Distribuzione tra giurisdizioni. Se l'hop A si trova in un paese e l'hop B in un altro, una richiesta legale notificata a un hosting provider produce una sola metà della rotta. È una proprietà reale ed è l'argomento più forte a favore del concatenare i propri server. Non è anonimato, è attrito.

Resilienza. Se un provider blocca un intervallo di porte, ti limita o subisce un disservizio, una catena ti lascia un posto verso cui reinstradare. I montaggi a hop singolo cadono completamente quando cade il loro unico provider.

Se nessuna delle due cose ti riguarda, un singolo hop ben configurato è la scelta ingegneristica migliore, ed è la raccomandazione onesta per la maggior parte di chi sta leggendo.

Come funziona davvero il routing

WireGuard non ha alcuna nozione di hop. Concatenare è interamente un esercizio di routing, e il manuale di wg-quick ne descrive i pezzi.

wg-quick deduce tutte le rotte dalla lista degli allowed IPs dei peer e le aggiunge automaticamente alla tabella di routing di sistema. Quando una di quelle rotte è una rotta di default, 0.0.0.0/0 oppure ::/0, usa ip-rule per gestire la sostituzione del gateway predefinito.

Questo comportamento è comodo con un tunnel ed è esattamente ciò che devi controllare con due. Ne discendono tre punti.

La macchina intermedia deve inoltrare, non terminare. L'hop A ha bisogno dell'IP forwarding attivo e di una rotta verso l'hop B. È un relay, non una destinazione.

Il secondo endpoint deve restare raggiungibile fuori dal primo tunnel. Se il tunnel dell'hop A cattura 0.0.0.0/0, i pacchetti destinati all'endpoint dell'hop B possono finire dentro il tunnel che dovrebbe trasportarli. È il classico loop di routing, ed è il motivo per cui il manuale documenta l'opzione Table: off disabilita completamente la creazione delle rotte, mentre auto, il valore predefinito, aggiunge le rotte e abilita la gestione speciale delle rotte di default. Prendere il controllo manuale di solito significa Table = off più rotte esplicite.

Agli hook il resto. PostUp e PreDown sono frammenti di script eseguiti da bash prima e dopo l'attivazione o la rimozione dell'interfaccia, usati comunemente per le regole di firewall, e %i viene sostituito dal nome dell'interfaccia. È lì che vanno le regole di forwarding e qualunque policy routing.

Il costo, detto chiaramente

Ogni pacchetto attraversa ora due macchine e viene cifrato e decifrato due volte. La latenza sale, e su una catena distesa su due continenti sale in modo evidente.

Hai anche raddoppiato la tua superficie operativa. Due server da aggiornare, due set di chiavi da ruotare, due punti in cui una configurazione sbagliata può far cadere il tuo traffico in silenzio o, peggio, farlo uscire fuori dal tunnel. La nostra guida su come prevenire le fughe di DNS con WireGuard qui vale il doppio.

Il riassunto onesto

Il multi-hop funziona, e la versione commerciale dell'argomento è coerente: due server gestiti in modo indipendente, nessuno dei quali detiene entrambe le metà.

Ospitali entrambi tu e diventi il collegamento fra i due, il che elimina la proprietà di anonimato lasciando due benefici reali: distribuzione tra giurisdizioni e resilienza. Per alcuni valgono la latenza, per altri no.

Se lo costruisci, il lavoro sta nel routing più che in WireGuard stesso: forwarding sull'hop intermedio, mantenere il secondo endpoint fuori dal primo tunnel e prendere il controllo manuale della tabella di routing invece di lasciare che due tunnel rivendichino entrambi la rotta di default.

Il comportamento di wg-quick qui descritto, inclusa la deduzione delle rotte dagli allowed IPs dei peer, l'uso di ip-rule in presenza di una rotta di default, l'opzione Table con i suoi valori off e auto e gli hook PostUp e PreDown, è tratto dalla pagina di manuale wg-quick(8), verificata al momento della stesura. Il ragionamento su cosa cambia con il self-hosting è analisi e non documentazione, e va soppesato rispetto al tuo modello di minaccia. I link commerciali riportano l'attributo rel="sponsored nofollow"; può essere applicata una commissione di affiliazione, senza costi aggiuntivi per te.

★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · 200+ Mbps garantiti

Ospita la tua VPN sul tuo VPS → ContaboAccesso root completo · IPv4 pubblico · scegli la tua regione→

Domande frequenti

Che cos'è il multi-hop VPN?

Il tuo traffico attraversa due server invece di uno. Il primo riceve la tua connessione cifrata e la inoltra al secondo, che è quello che raggiunge internet. Il sito di destinazione vede l'indirizzo del secondo server, e ogni hop dovrebbe conoscere solo una parte del quadro.

Il multi-hop serve se ospito io stesso entrambi i server?

Non nel modo in cui lo descrivono i provider commerciali. Il loro argomento è che il server di ingresso sa chi sei ma non dove stai andando, mentre il server di uscita conosce la destinazione ma non l'origine, e che i due sono gestiti separatamente. Se affitti e controlli tu stesso entrambe le istanze VPS, sei tu il punto in comune che le collega, quindi la separazione che dà valore alla tecnica non esiste.

Allora il multi-hop self-hosted è inutile?

No, ma i suoi benefici sono altri. Due hop in due giurisdizioni significano che una singola richiesta legale rivolta a un hosting provider non rivela l'intero percorso. Significano anche che il disservizio o il blocco di un provider non interrompe la tua rotta. Sono benefici reali, e sono operativi più che di anonimato.

Come instrada WireGuard il traffico attraverso due hop?

Tramite AllowedIPs e il routing. Il manuale di wg-quick spiega che deduce le rotte dagli allowed IPs dei peer e le aggiunge alla tabella di routing di sistema, e che quando una di quelle rotte è una rotta di default come 0.0.0.0/0 usa ip-rule per gestire la sostituzione del gateway predefinito. Concatenare significa che la macchina intermedia deve inoltrare anziché terminare, e che la rotta verso l'endpoint del secondo hop non deve essere inghiottita dal primo tunnel.

Quanto costa il multi-hop nella pratica?

Soprattutto latenza, perché ogni pacchetto attraversa due hop e viene cifrato e decifrato due volte. Raddoppi anche il numero di macchine che possono rompersi, e ognuna richiede patch, monitoraggio e rotazione delle chiavi. Se ne valga la pena dipende interamente da quale dei due benefici reali stai cercando.