WireGuard vs OpenVPN: quale scegliere nel 2026?

Risposta diretta

WireGuard o OpenVPN? Per la maggior parte delle persone che ospitano una VPN su un VPS personale nel 2026: usa WireGuard. È in genere più veloce (kernel space, meno sovraccarico per pacchetto), più leggero per design sui dispositivi mobili, riprende dopo un cambio di rete senza un nuovo handshake (OpenVPN rifà un handshake TLS completo) e ha una superficie di attacco più ridotta (~4.000 righe vs ~100.000 righe di codice, protocollo verificato formalmente). Nuovo al protocollo? Vedi cos'è WireGuard per le basi.

Scegli OpenVPN invece se: (a) sei spesso su reti aziendali o alberghiere che bloccano l'uscita UDP - OpenVPN su TCP/443 bypassa la maggior parte di questi firewall; (b) hai bisogno di supportare dispositivi legacy antecedenti al 2018 che non hanno client WireGuard; o (c) i tuoi requisiti di conformità richiedono log di connessione dettagliati.

Il verdetto breve per caso d'uso:

Raccomandazioni basate sulle caratteristiche documentate di ciascun protocollo (kernel vs userspace, handshake, trasporto) e fonti pubbliche. Per i dati sulla tua connessione, esegui la procedura riproducibile iperf3. Metodologia completa →

Hai digitato "wireguard vs openvpn" in un motore di ricerca e sei finito in un mare di schede tecniche e tabelle di benchmark. Non è quello che ti serve per prendere una decisione. Questa guida è diversa: saltiamo i numeri grezzi (c'è una guida separata ai benchmark riproducibili per quelli) e ci concentriamo sulla domanda pratica - per il tuo caso d'uso specifico, quale protocollo dovresti effettivamente usare?

Risposta breve per gli impazienti: WireGuard per quasi tutto. OpenVPN per due casi limite specifici. Spiegheremo perché e quando si applicano le eccezioni.

La tabella decisionale in 30 secondi

Se il tuo caso d'uso rientra nelle righe 4, 5 o 6, leggi attentamente la sezione OpenVPN. Altrimenti, scegli WireGuard.

Cosa fa WireGuard in modo diverso

WireGuard è stato scritto da zero nel 2016 da Jason Donenfeld con un obiettivo: fare meno, ma farlo bene. Il risultato è circa 4.000 righe di codice C che vivono all'interno del kernel Linux stesso. Confrontalo con le ~100.000 righe di OpenVPN che girano in userland (conteggio grezzo dei file .c di src/openvpn nel repository GitHub ufficiale al 7 ottobre 2026).

Questa differenza architettonica ha quattro conseguenze pratiche:

1. Velocità - WireGuard è significativamente più veloce. Poiché WireGuard gira in kernel space, non c'è cambio di contesto tra kernel e userland per ogni pacchetto. Su un collegamento veloce questo significa di solito più throughput con meno CPU rispetto a OpenVPN. Il divario si riduce su collegamenti più lenti, dove il limite è la larghezza di banda e non la CPU. Misura il tuo collegamento con iperf3 invece di fidarti di una cifra da titolo.

2. Batteria - WireGuard consuma meno sui dispositivi mobili. WireGuard non invia nulla quando non c'è traffico e cifra in un breve percorso di codice nel kernel, mentre il demone userland di OpenVPN gestisce ogni pacchetto fuori dal kernel. Questo design dovrebbe costare meno CPU, e quindi meno batteria, su un telefono. Non abbiamo misurato la differenza e non citiamo una percentuale: dipende dal dispositivo, dal sistema operativo e dall'app client.

3. Riconnessione - WireGuard è quasi istantaneo. WireGuard è stateless. Non c'è "sessione" da stabilire o ristabilire. Quando il tuo telefono passa dal Wi-Fi della metro al 4G, WireGuard continua a inviare dal nuovo indirizzo e il tunnel riprende senza rinegoziazione. OpenVPN deve rifare un handshake TLS completo, che richiede sensibilmente più tempo e spesso attiva una fastidiosa notifica di disconnessione.

4. Superficie di sicurezza - WireGuard ha una superficie di attacco minore. 4.000 righe contro 100.000 righe. WireGuard utilizza una suite crittografica fissa e moderna - Curve25519 per lo scambio di chiavi, ChaCha20-Poly1305 per la crittografia, BLAKE2s per l'hashing. Non puoi configurarlo male per usare un cifrario debole, perché non c'è scelta di cifrario. È intenzionale.

Cosa fa OpenVPN in modo diverso

OpenVPN è in produzione dal 2002. Non è un protocollo peggiore - ha una filosofia di design diversa e un diverso set di punti di forza.

Supporto TCP e flessibilità della porta 443. Questa è la caratteristica killer di OpenVPN per scenari specifici. Puoi configurare OpenVPN per ascoltare sulla porta TCP 443, facendo sembrare il tunnel crittografato un normale HTTPS a un firewall. WireGuard è solo UDP. Sebbene ci siano soluzioni alternative (wstunnel, Cloak), aggiungono complessità. Se sei spesso su reti aziendali, Wi-Fi Marriott o hotspot aerei, OpenVPN TCP/443 funziona dove WireGuard è bloccato silenziosamente.

Compatibilità con dispositivi legacy. I client OpenVPN esistono praticamente per ogni piattaforma mai realizzata: Windows XP fino a 11, macOS da 10.10 in poi, Android 4+, iOS, pfSense, DD-WRT, Synology DSM 5+, vecchi router Cisco. Se devi dare accesso al tunnel a una macchina del 2014, OpenVPN è probabilmente l'unica opzione.

Logging e conformità. OpenVPN produce log dettagliati e strutturati di ogni evento di connessione. WireGuard intenzionalmente non registra quasi nulla - per design. Se il tuo modello di minaccia richiede una traccia di audit (NIS2, ISO 27001, visibilità interna del sysadmin), OpenVPN è più facile da strumentare senza dover intervenire su journalctl.

Confronto fianco a fianco

WireGuard vince - velocità nella pratica

Il vantaggio di velocità non è solo una curiosità da benchmark. Ecco dove si manifesta nell'uso quotidiano reale:

Streaming e download: Se usi la tua VPN per accedere a una libreria di streaming o scaricare grandi file, il minor sovraccarico di WireGuard conta soprattutto quando lo streaming si avvicina a ciò che la tua linea può trasportare. Uno streaming HD a 25 Mbps su una linea da 100 Mbps? Entrambi vanno bene. Uno streaming 4K che riempie quasi la linea? Il protocollo con meno sovraccarico lascia più margine.

Gaming: La latenza conta più del throughput nei giochi. WireGuard aggiunge in genere meno tempo di andata e ritorno rispetto a OpenVPN UDP, e OpenVPN TCP è il caso peggiore: TCP dentro TCP produce picchi di jitter appena il collegamento perde un pacchetto. Esegui ping attraverso ciascun tunnel per vedere la differenza sul tuo percorso.

VoIP e videochiamate: Stessa storia. Il jitter costante e basso di WireGuard rende Zoom, Teams e Google Meet normali attraverso il tunnel. OpenVPN UDP è accettabile. OpenVPN TCP introduce artefatti audio percepibili in caso di perdita di pacchetti.

OpenVPN vince - quando l'UDP è bloccato

Questo è l'unico scenario in cui OpenVPN è genuinamente migliore, non solo comparabile.

Molte reti aziendali, alcune catene alberghiere e certi ISP nazionali (in paesi con ispezione approfondita dei pacchetti) bloccano l'UDP in uscita tranne che per il DNS (porta 53). WireGuard fallisce silenziosamente in questo ambiente - vedrai il tunnel connettersi sul lato client, ma nessun pacchetto raggiungerà effettivamente il server. Questo non è ovvio da debugare, specialmente per utenti non tecnici.

OpenVPN configurato sulla porta TCP 443 sembra una connessione HTTPS standard al firewall. La maggior parte dei firewall L4 lo lascia passare. Anche molti dispositivi DPI (Fortinet, Palo Alto) necessitano di configurazione esplicita per rilevarlo e bloccarlo, cosa che la maggior parte non ha impostato.

Raccomandazione pratica: se ospiti su un VPS Contabo, attiva entrambi:

• WireGuard su UDP 51820 - il tuo driver giornaliero predefinito
• OpenVPN su TCP 443 - il tuo backup quando il Wi-Fi blocca l'UDP

Eseguire entrambi sullo stesso VPS non costa nulla in più e richiede 15 minuti in più per configurare. La guida WireGuard + DPI bypass copre la configurazione combinata.

Durata della batteria sui dispositivi mobili - WireGuard vince chiaramente

Questo è il fattore decisivo per la maggior parte delle persone che usano una VPN sul loro telefono.

L'implementazione in kernel-space di WireGuard e il suo silenzio a riposo sono vantaggi di design su un telefono. Non abbiamo eseguito un test di batteria controllato, quindi qui non diamo alcuna percentuale: il consumo dipende dal dispositivo, dalla versione del sistema operativo, dall'app client e da quanto spesso cambia la rete. Se la batteria è il tuo fattore decisivo, usa ciascun protocollo per una giornata normale sul tuo telefono e confronta.

Anche la storia della riconnessione è importante per i dispositivi mobili: ogni volta che vai sottoterra (metro), esci da un edificio o cambi tra reti Wi-Fi, WireGuard si riconnette senza problemi. La rinnegoziazione TLS di OpenVPN significa che noterai un'interruzione percepibile. Quando sei sul telefono tutto il giorno, questo accade dozzine di volte.

Sicurezza: cosa dicono effettivamente gli audit

I due protocolli sono stati esaminati in modi diversi. Ecco cosa dicono le fonti pubbliche:

WireGuard:

• Verifica formale del protocollo: prove simboliche (Tamarin, ProVerif) e prove computazionali (modello eCK, CryptoVerif), elencate su wireguard.com/formal-verification. Riguarda il design del protocollo, non ogni implementazione.
• Inclusione nel kernel Linux (dal kernel 5.6, marzo 2020): revisionato da Linus Torvalds e dai manutentori netdev.
• Superficie di attacco: ~4.000 righe di C, nessun percorso crittografico opzionale.

OpenVPN:

• Audit di OpenVPN 2.4 (2017): uno di QuarksLab, commissionato da OSTIF, e uno di Cryptography Engineering, finanziato da Private Internet Access. OSTIF ha segnalato 1 vulnerabilità critica/alta e 1 media (CVE-2017-7478 e CVE-2017-7479, entrambe di denial of service), corrette nella versione 2.4.2.
• Dipendenza da OpenSSL: Heartbleed (2014) ha colpito OpenVPN perché distribuisce OpenSSL. Questa classe di rischio esiste finché OpenVPN dipende da una grande libreria esterna.
• Crittografia configurabile: OpenVPN moderno predefinito su AES-256-GCM. Ma seguire un vecchio tutorial può lasciarti su Blowfish-128-CBC, che è debole. WireGuard rende questo impossibile per design.

Verdetto onesto: entrambi sono affidabili. Il vantaggio di WireGuard è la semplicità architettonica e l'impossibilità di essere configurato male. Il vantaggio di OpenVPN è l'esposizione in produzione di due decenni e cicli di patch attivi. Per una VPN personale auto-ospitata, entrambi vanno bene - ma la superficie di attacco più piccola di WireGuard e i primitivi moderni gli danno un leggero vantaggio.

Compatibilità: l'unica area in cui OpenVPN è in vantaggio

WireGuard richiede:

• Kernel Linux 5.6+ (integrato) o 3.10+ (modulo DKMS)
• Windows 10 v1903+ (client ufficiale)
• macOS 12+ (client ufficiale App Store)
• Android 5.0+ / iOS 15+ (app ufficiali)

Se hai bisogno di supportare dispositivi più vecchi, OpenVPN ti copre. I client esistono per:

• Windows 7/8/8.1 (tramite build della community)
• macOS Catalina (10.15) e precedenti
• Android 4.0+
• Synology DSM 5, 6, 7
• pfSense / OPNsense (integrato)
• Router DD-WRT, Tomato

Per la maggior parte delle persone che impostano una VPN nel 2026, i requisiti di compatibilità di WireGuard non sono un ostacolo. Ma se qualcuno nella tua famiglia o nel tuo team utilizza hardware vecchio, tienilo a mente.

Complessità di configurazione - WireGuard vince

Una configurazione server minima di WireGuard è di circa 10 righe. Una configurazione server minima di OpenVPN è di circa 30 righe, più una PKI (infrastruttura a chiave pubblica) con CA, certificato server, parametri DH e certificati per client. La configurazione iniziale è veramente più difficile.

WireGuard utilizza coppie di chiavi statiche (chiave pubblica/privata per peer, nessuna CA). Non c'è scadenza del certificato da gestire, nessuna manutenzione PKI. Quella semplicità è una caratteristica: meno da configurare male, meno da mantenere nel tempo.

Se ospiti su un Contabo Cloud VPS 4, puoi seguire la nostra guida passo-passo alla configurazione di WireGuard e avere un tunnel funzionante in meno di 20 minuti. La configurazione equivalente di OpenVPN richiede almeno un'ora per un principiante.

Verdetto per caso d'uso

Vuoi una VPN personale su un VPS economico → WireGuard

Configuralo una volta su un Contabo Cloud VPS 4 (~€5.50/mese), copia-incolla la configurazione sui tuoi dispositivi, fatto. La semplicità e le prestazioni di WireGuard lo rendono la scelta ovvia.

Se preferisci un provider statunitense con 30 giorni soddisfatti o rimborsati, il VPS Basic di Ultahost costa 5,52 $ al mese su 24 mesi (1 GB di RAM, IPv4 dedicato, letto il 21 ottobre 2026), sufficiente per un server WireGuard con pochi dispositivi.

Viaggi frequentemente e incontri reti aziendali / alberghiere → entrambi sullo stesso VPS

WireGuard come predefinito. OpenVPN TCP/443 come fallback per il bypass del firewall. Un VPS, due configurazioni, cinque minuti di configurazione extra. La guida al routing + DPI bypass spiega come fare.

Ti interessa la batteria mobile e la riconnessione senza interruzioni → WireGuard

Nessun confronto. La storia della riconnessione da sola, nessuna rinegoziazione contro un handshake TLS completo, cambia materialmente l'esperienza mobile quotidiana.

Hai dispositivi legacy da supportare → OpenVPN

Controlla prima la compatibilità del client WireGuard. Se il tuo vecchio dispositivo può eseguire WireGuard, fallo. In caso contrario, OpenVPN è il ripiego.

Non vuoi gestire un VPS per niente → Proton VPN

L'auto-ospitazione è potente ma richiede un VPS e un po' di manutenzione. Se è troppo complicato, un VPN commerciale affidabile con una politica di no-log verificata e supporto WireGuard (Proton VPN utilizza WireGuard sotto il cofano per i suoi server veloci) è un'opzione legittima e più semplice.

Una VPN cambia il tuo IP. Non cambia il tuo browser.

Un tunnel sostituisce l'indirizzo che un servizio vede. Non cambia nulla di ciò che il tuo browser dichiara da solo - caratteri, schermo, fuso orario, stack grafico - e quella combinazione basta spesso a riconoscerti da una sessione all'altra.

Misura la tua impronta del browser - misurazione passiva, senza domande, senza account, senza email.

Approfondimenti

• WireGuard vs OpenVPN: guida ai benchmark VPS 2026 - una procedura riproducibile con iperf3 per misurare la differenza di velocità da te
• Auto-ospita VPN su Contabo: guida passo-passo a WireGuard 2026 - la guida completa alla configurazione
• Guida al routing WireGuard + DPI bypass - eseguire WireGuard + OpenVPN TCP/443 sullo stesso VPS Contabo
• Miglior VPN auto-ospitata 2026 - confronto più ampio che include Tailscale, Headscale e Nebula per team che considerano più di WireGuard vs OpenVPN
• Generatore di configurazione WireGuard - ottieni un wg0.conf pronto da incollare senza impostare manualmente chiavi, subnet e regole PostUp; gratuito e senza account fino a 250 dispositivi, con uno ZIP di tutti i file client e dei loro codici QR.

Pubblicato il 2026-06-11. Basato sulle caratteristiche documentate di WireGuard 1.0.x e OpenVPN 2.6.x e fonti pubbliche; le prestazioni sono descritte come tendenze che seguono il design di ciascun protocollo, non come misurazioni interne. Per i dati sulla tua connessione, vedi la guida ai benchmark riproducibili VPS benchmark guide.

Divulgazione affiliati: questo articolo contiene link affiliati a Contabo e Proton VPN. Ci pagano una commissione se ti abboni - senza costi aggiuntivi per te. Le nostre raccomandazioni si basano sulle specifiche pubblicate e sulla documentazione, non su test interni.