VPNSmith
Strumento gratuito - porta WireGuard

Verifica porta WireGuard

Gli scanner di porte online non possono testare WireGuard: non risponde a chi non conosce, quindi ogni scansione dice "open|filtered". Questo strumento risponde alle domande vere: il router può inoltrare una porta, quale riga di firewall la apre e quale comando dimostra che un client passa.

Dietro CGNAT? Un VPS con IPv4 pubblico proprio non richiede port forwarding: vedi l'offerta Contabo

Funziona nel browser. L'IP pubblico viene chiesto all'API gratuita ipify solo se clicchi il pulsante; nulla viene inviato a noi o salvato.

Predefinita 51820. Solo UDP: WireGuard non ha una modalità TCP.

Dove gira il server?

Cerca "IP WAN", "indirizzo IPv4" o "IP internet" nella pagina di stato della connessione del router.

Il tuo IP pubblico visto da internet

L'indirizzo locale della macchina con WireGuard, idealmente con prenotazione DHCP.

Un nome DNS o un IP per la riga Endpoint. Vuoto = l'IP rilevato, o un segnaposto.

Firewall del server

Un port forwarding può raggiungere questo server?

Inserisci l'indirizzo WAN del router e rileva il tuo IP pubblico: il confronto dice se un inoltro può funzionare. Nel frattempo le regole qui sotto presumono di sì.

Regola di port forwarding sul router

ProtocolloPorta esternaIP internoPorta interna
UDP51820192.168.1.1051820
Aprire la porta nel firewall del server
sudo ufw allow 51820/udp comment 'WireGuard'
sudo ufw status numbered
Righe ListenPort ed Endpoint coerenti
# Server: /etc/wireguard/wg0.conf
[Interface]
ListenPort = 51820

# Every client: [Peer] section pointing at the server
[Peer]
Endpoint = <server public IP or DNS name>:51820
L'unico test che prova che la porta è aperta
# 1. Is WireGuard listening on the port you think?
sudo wg show wg0 listen-port
sudo ss -ulnp | grep ':51820 '
# 2. Watch the port while a client connects from OUTSIDE (phone on mobile data, Wi-Fi off)
sudo tcpdump -ni any udp port 51820
#    Packets arrive  -> router and firewall are fine; check keys and AllowedIPs.
#    Nothing arrives -> blocked before the server: port forward, ISP box, CGNAT or cloud firewall.
# 3. Final proof
sudo wg show wg0 latest-handshakes

Perché non un test di porte online? WireGuard è silenzioso per progetto: non risponde ai pacchetti che non sono un handshake valido di una chiave nota. Uno scanner UDP segnala quindi "open|filtered" sia per una porta aperta sia per una bloccata. Solo tcpdump sul server, o un handshake dall'esterno, fanno la differenza.

Preferisci fare a meno delle regole del router?

Su un VPS con IPv4 pubblico, la porta che apri è quella che vede internet: una riga di firewall, nessun router. Il VPS base di Contabo include un IPv4 pubblico e accesso root completo.

Link di affiliazione: potremmo ricevere una commissione senza costi aggiuntivi per te. Lo strumento resta gratuito in ogni caso.

Vedi il VPS Contabo

Cosa dice l'indirizzo WAN del tuo router

Apri la pagina di stato del router e leggi l'indirizzo IPv4 lato internet (WAN). Quel solo numero decide se un port forwarding può funzionare.

Indirizzo WANSignificatoPort forwarding
Da 100.64.0.0 a 100.127.255.255NAT dell'operatore (RFC 6598): il provider condivide un IP pubblico tra clientiImpossibile dal tuo lato
10.x, 172.16-31.x, 192.168.xPrivato (RFC 1918): davanti c'è un altro router o il modem del providerNecessario su entrambi
169.254.x.xLink-local: la WAN non ha un indirizzo realeSistemare prima la connessione
Pubblico, uguale all'IP rilevatoIl router ha l'indirizzo pubblicoFunziona
Pubblico, diverso dall'IP rilevatoUn altro NAT, oppure stai testando tramite VPN o proxyVerificare prima di inoltrare
Guida completa: porte WireGuard, cambiare ListenPort, UDP 443 e inoltro →Dietro CGNAT: tutte le soluzioni a confronto (IPv6, IP pubblico dal provider, relay VPS) →

Domande frequenti

Come verifico se la mia porta WireGuard è aperta?
Non con uno scanner di porte online. WireGuard scarta senza rispondere ogni pacchetto che non sia un handshake valido di un peer noto, quindi una scansione UDP mostra "open|filtered" sia che il tunnel ascolti sia che no. Il test affidabile ha tre passi: verificare che il server ascolti (wg show wg0 listen-port, ss -ulnp), avviare tcpdump -ni any udp port 51820 sul server, poi collegare un client dall'esterno (telefono con dati mobili, Wi-Fi spento). Pacchetti in tcpdump provano che la porta è raggiungibile; un handshake recente in wg show prova che il tunnel funziona.
Quale porta usa WireGuard?
UDP 51820 per impostazione predefinita, fissata da ListenPort nella sezione [Interface] di wg0.conf. WireGuard non usa mai TCP. Puoi scegliere qualsiasi porta UDP libera da 1 a 65535, purché firewall del server, inoltro del router e riga Endpoint di ogni client usino lo stesso numero.
Come capisco se sono dietro CGNAT?
Confronta l'indirizzo WAN mostrato dal router con il tuo IP pubblico visto da internet. Se il WAN inizia tra 100.64 e 100.127, il provider usa il NAT dell'operatore. Se è pubblico ma diverso dal tuo IP pubblico, c'è un altro livello di NAT davanti. In entrambi i casi un inoltro sul router non riceve mai traffico da internet. Lo strumento qui sopra fa il confronto per te.
Si può avere un server WireGuard dietro CGNAT?
Non come server raggiungibile direttamente. Le vie d'uscita abituali: chiedere un IPv4 pubblico al provider (alcuni lo danno gratis o a pagamento), usare IPv6 se il provider fornisce un prefisso instradato e anche i client hanno IPv6, oppure mettere davanti un piccolo VPS con IPv4 pubblico a cui casa tua si collega in uscita. La via del VPS funziona su qualsiasi rete perché entrambi i lati aprono solo connessioni in uscita.
Un VPS ha bisogno di port forwarding per WireGuard?
No. Un VPS di solito ha l'IPv4 pubblico direttamente sulla sua interfaccia di rete, quindi non c'è un router da attraversare. Basta consentire la porta UDP nel firewall del server e, se il provider ne ha uno, nel suo firewall cloud.