WireGuard per PMI: come configurare una VPN sicura, quando serve davvero e quanto costa

WireGuard è un protocollo VPN moderno, leggero e veloce. Permette a un dipendente di lavorare da casa come se fosse in ufficio e di collegare due sedi come se fossero una rete sola. Per una PMI oggi è quasi sempre la scelta giusta: si configura in poche righe, consuma poco, regge bene anche su rete mobile e ha una base di codice piccola, quindi più facile da controllare. Ma semplice non vuol dire a prova di errore. La parte difficile non è il protocollo: è decidere chi deve vedere cosa, dove mettere il server e come gestire le chiavi nel tempo. Qui spiego cosa serve davvero, come lo configuro in sicurezza e quali errori trovo più spesso nelle reti delle aziende che mi chiamano.

Cos'è WireGuard e perché lo preferisco a OpenVPN e IPsec

WireGuard è integrato nel kernel Linux dalla versione 5.6 e ha client ufficiali per Windows, macOS, iOS e Android. Usa UDP, con porta predefinita 51820 che si può cambiare. La crittografia è fissa e moderna (Curve25519 per lo scambio chiavi, ChaCha20-Poly1305 per il traffico): non c'è negoziazione di cifrari, quindi nessuno può forzare una configurazione debole.

La differenza pratica più grande rispetto a OpenVPN e IPsec è il modello di autenticazione. Non esistono utente e password: ogni dispositivo ha una coppia di chiavi, e il server conosce solo le chiavi pubbliche dei dispositivi autorizzati. Se la chiave non è in lista, il server non risponde nemmeno. Dall'esterno la porta sembra chiusa.

I limiti vanno detti. WireGuard non ha una gestione utenti integrata, assegna indirizzi statici a ogni dispositivo, non tiene un registro delle sessioni e non ha autenticazione a due fattori nativa. Per una PMI con dieci o venti dispositivi si gestisce a mano con ordine. Oltre, serve uno strumento di gestione sopra, oppure una disciplina ferrea.

Quando serve davvero a una PMI, e quando no

Gli scenari in cui consiglio WireGuard sono questi:

• Smart working con accesso al gestionale, al server dei documenti o al NAS che stanno in ufficio.
• Collegamento tra sedi: magazzino e uffici, due negozi, studio principale e sede distaccata.
• Accesso di un fornitore a un macchinario, a un centralino o a un server, limitato a quella sola risorsa.
• Amministrazione remota di server, firewall e NAS senza esporre porte di gestione su internet.

Quando non serve: se l'azienda lavora già tutta su Microsoft 365 o Google Workspace e in ufficio non c'è nulla da raggiungere, la VPN aggiunge solo attrito. In quel caso il lavoro vero è su account, autenticazione forte e dispositivi.

Le alternative che trovo in giro e che sconsiglio: desktop remoto esposto direttamente su internet, port forwarding verso il NAS, e app di accesso remoto con un servizio terzo in mezzo. Le ultime sono comode, ma il traffico passa da un'azienda esterna, c'è un canone e il controllo non è tuo.

Cosa serve prima di cominciare

1. Un punto di ingresso raggiungibile. Un IP pubblico statico o, in alternativa, un DNS dinamico. Attenzione: molte linee in fibra e tutte le 4G/5G usano CGNAT, cioè l'IP pubblico è condiviso e non raggiungibile dall'esterno. In quel caso o chiedi all'operatore un IP pubblico, oppure il server WireGuard va su un piccolo VPS e la sede si collega a quello.
2. Dove far girare il server. Tre opzioni: il firewall dell'azienda, se lo supporta nativamente (molti modelli recenti sì); un piccolo server Linux in ufficio; un VPS. La scelta dipende da chi lo gestirà dopo.
3. Un piano degli indirizzi. La rete della VPN non deve sovrapporsi né a quella dell'ufficio né a quelle tipiche di casa. Se l'ufficio usa 192.168.1.0/24, la stessa rete che hanno quasi tutti i router domestici, la VPN funzionerà male per metà dei dipendenti. Spesso il primo lavoro è proprio rinumerare l'ufficio.
4. Un inventario. Chi deve entrare, da quali dispositivi, per raggiungere cosa. Senza questa lista si finisce per dare accesso a tutto a tutti.
5. Un DNS interno, se in ufficio i servizi si chiamano per nome e non per indirizzo.

Come lo configuro in sicurezza, passo per passo

Le chiavi

Una coppia di chiavi per ogni dispositivo, mai una chiave condivisa tra più persone. La chiave privata va generata sul dispositivo stesso e non deve mai viaggiare: niente email, niente chat. Per smartphone e tablet uso il QR code generato sul momento e mai salvato. Dove il cliente lo richiede aggiungo anche una chiave pre-condivisa per peer, che è un ulteriore strato sopra lo scambio chiavi.

Il server

La configurazione del server è corta: indirizzo nella rete VPN, porta di ascolto, chiave privata, e un blocco per ogni dispositivo autorizzato con la sua chiave pubblica e il suo indirizzo. Ogni dispositivo riceve un singolo indirizzo (un /32), così so sempre chi è chi nei log del firewall.

AllowedIPs: la riga che decide la sicurezza

In WireGuard il campo AllowedIPs fa due cose insieme: dice quali reti instradare nel tunnel e filtra cosa può arrivare da quel peer. Lato client decide se la VPN è in modalità split tunnel (nel tunnel passa solo il traffico verso l'ufficio, la navigazione resta locale) o full tunnel (tutto il traffico passa dall'azienda). Lo split tunnel è la scelta normale per lo smart working. Il full tunnel ha senso per chi lavora spesso su Wi-Fi pubblici, ma carica la banda in upload dell'ufficio, che in Italia è spesso il collo di bottiglia.

Firewall e segmentazione

Dall'esterno apro solo la porta UDP scelta. Dentro, le regole del firewall decidono cosa raggiunge ogni gruppo di peer: l'impiegata amministrativa vede il server contabile, il tecnico esterno vede solo il macchinario che deve assistere, nessuno dei due vede le telecamere o il NAS dei backup. Per farlo serve una rete segmentata in VLAN. Una VPN che atterra in una rete piatta dà a chiunque entri la visibilità di tutto.

Dettagli che fanno la differenza

• PersistentKeepalive a 25 secondi sui client dietro NAT, altrimenti il tunnel sembra cadere quando è in pausa.
• DNS interno impostato nel profilo client, così i nomi dell'ufficio si risolvono anche da casa.
• MTU ridotta se ci sono problemi su rete mobile o su alcune linee in fibra.
• Inoltro abilitato solo verso le reti previste, non verso tutto.

I test

Prima di consegnare verifico tre cose: che l'handshake avvenga da rete mobile e da una rete domestica tipica; che ogni peer raggiunga quello che deve; e soprattutto che non raggiunga quello che non deve. Il terzo test è quello che quasi nessuno fa.

Un caso concreto: dal desktop remoto esposto a una VPN segmentata

Un'azienda metalmeccanica della provincia di Varese, una quindicina di dipendenti, mi ha chiamato per una rete lenta. Guardando il firewall ho trovato un port forwarding che esponeva il desktop remoto di due PC su internet, messo anni prima per far lavorare da casa due impiegate. I log mostravano tentativi di accesso continui da indirizzi esteri. La rete era piatta: uffici, macchinari a controllo numerico, telecamere e NAS tutti nella stessa sottorete.

Il lavoro è stato questo: ridisegno degli indirizzi con VLAN separate per uffici, produzione, telecamere e ospiti; WireGuard attivato sul firewall esistente, senza comprare nulla; una chiave per ogni portatile aziendale; accesso del fornitore del gestionale limitato a un solo server e attivato solo su richiesta; port forwarding chiuso. Due giornate di lavoro incluse le prove con le impiegate da casa. Risultato: la porta esposta non c'è più, i log sono puliti, e la lentezza di partenza era in buona parte dovuta al traffico delle telecamere che ora sta nella sua VLAN.

La manutenzione nel tempo

Una VPN non si configura e si dimentica. Le cose da fare:

• Revoca immediata quando un dipendente lascia o un portatile viene perso. Serve un elenco delle chiavi con nome, dispositivo e data, altrimenti nessuno sa quale riga togliere.
• Aggiornamenti. Su Linux WireGuard è nel kernel, quindi si aggiorna con il sistema. Questo è un vantaggio, ma vuol dire anche che una vulnerabilità del kernel riguarda anche il server VPN. Sui firewall vale la stessa regola: firmware aggiornato.
• Monitoraggio degli handshake e del traffico per peer: un dispositivo che si collega alle tre di notte da un Paese estero merita una domanda.
• Backup della configurazione e delle chiavi del server, custodito fuori dal server stesso. Rientra nel piano di disaster recovery dell'azienda, non è un dettaglio a parte.
• Revisione semestrale di chi ha accesso e a cosa. Le autorizzazioni crescono sempre, non si riducono mai da sole.

Errori da evitare

• Una sola chiave condivisa fra tutti i dipendenti. Quando uno va via, bisogna rifare tutto.
• AllowedIPs impostato a 0.0.0.0/0 lato server per un singolo peer: significa accettare da quel dispositivo traffico verso qualsiasi destinazione.
• Chiavi private spedite via email o WhatsApp. Restano lì per anni.
• VPN che atterra in una rete piatta, senza VLAN né regole tra segmenti.
• Lasciare attivo il vecchio port forwarding verso il desktop remoto, per sicurezza, nel caso la VPN non funzioni. È esattamente il buco che si voleva chiudere.
• Password di amministrazione del firewall mai cambiata o pannello raggiungibile da internet.
• Nessuna procedura scritta di revoca.
• Pensare che la VPN sostituisca backup, antivirus e aggiornamenti. Protegge il canale, non il PC di casa da cui si entra.

Quanto costa una VPN WireGuard fatta bene

Il software è gratuito e open source. Il costo è il lavoro: analisi della rete, piano degli indirizzi, segmentazione, configurazione, distribuzione delle chiavi, test e documentazione. Nel mio listino rientra nella consulenza IT, da 500 a 2.500 €, in base al numero di sedi, al numero di dispositivi e a quanto va rivista la rete esistente. Una sede con pochi portatili sta nella parte bassa; due sedi con rinumerazione e VLAN nella parte alta.

Se la VPN è un pezzo di un intervento più ampio, con audit della sicurezza e vulnerability assessment, si entra nei lavori di cybersecurity, da 2.000 a 8.000 €. Il preventivo è sempre a prezzo fisso. Non rivendo hardware né licenze: se serve un firewall nuovo, lo compri tu dal fornitore che preferisci e la configurazione resta di tua proprietà, con documentazione leggibile da qualsiasi tecnico. Le urgenze hanno una maggiorazione del 50%. Trovi il quadro completo nella pagina dei servizi dello studio.

Domande frequenti

WireGuard è adatto ai dati di uno studio professionale?

Sì. La crittografia è moderna e non negoziabile al ribasso. La sicurezza reale dipende però da come gestisci le chiavi e da cosa può raggiungere chi entra. Un tunnel perfetto verso una rete piatta resta un rischio.

Serve per forza un IP pubblico?

Serve un punto raggiungibile da internet. Se la tua linea è sotto CGNAT, la soluzione è un IP pubblico richiesto all'operatore oppure un VPS che fa da punto di incontro tra sede e dipendenti.

Funziona su smartphone e tablet?

Sì, con le app ufficiali per iOS e Android. Il profilo si carica con un QR code generato sul momento. Vale la regola di sempre: un dispositivo, una chiave.

WireGuard sostituisce il firewall?

No. WireGuard decide chi può entrare nel tunnel. Il firewall decide cosa può fare chi è entrato. Servono entrambi.

Quanto tempo ci vuole?

Da mezza giornata a due giorni di lavoro, a seconda di quanto va sistemata la rete esistente. Poi c'è il tempo per distribuire le chiavi e fare le prove con ogni persona.

Se nella tua azienda c'è ancora un desktop remoto esposto, un port forwarding verso il NAS o una VPN configurata anni fa da chi non c'è più, conviene guardarla prima che lo faccia qualcun altro. Puoi richiedere un preventivo gratuito: rispondo entro 24 ore con un prezzo fisso. Per un primo confronto rapido ci sono i contatti dello studio, anche su WhatsApp. Lavoro di persona a Varese, Como, Milano e nel Nord Lombardia, da remoto in tutta Italia.