Keenetic e WireGuard: server e client sullo stesso router — guida passo passo

Introduzione

Configurerai il router Keenetic in modo che funzioni contemporaneamente come server WireGuard per i tuoi dispositivi e come client WireGuard verso una VPN esterna o una rete remota. Così avrai una rete VPN personale per accedere da remoto alla rete domestica, e allo stesso tempo il router (e i dispositivi selezionati) potranno accedere a internet tramite il tunnel VPN remoto. Questa è una guida pratica e dettagliata per principianti, con sezioni per utenti più esperti. Otterrai risultati funzionanti senza lasciare spazio all'incertezza.

Per chi è questa guida: per i possessori di Keenetic con KeeneticOS 3.7+ (valida anche per la 4.x) che vogliono configurare un server WireGuard e collegare il router come client WireGuard sullo stesso dispositivo. Non servono conoscenze pregresse: ogni passo è spiegato.

Cosa sapere in anticipo: nozioni base sugli indirizzi IP, cosa è una VPN e la differenza tra UDP e TCP (in breve: WireGuard funziona su UDP). Se non sei sicuro — nessun problema, spiegheremo i concetti chiave con termini semplici.

Tempo necessario: 45–120 minuti per la configurazione principale e i test. Se è necessario ricostruire le tabelle di routing e lo split-tunnel, aggiungi 20–30 minuti.

Preparazione preliminare

Per evitare problemi e velocizzare il processo, prepara tutto il necessario in anticipo.

Strumenti e accessi necessari

• Router Keenetic con supporto a KeeneticOS 3.7+ e pacchetto WireGuard (generalmente modelli di fascia media e alta; la maggior parte dei modelli 2020–2026 è supportata).
• Accesso all'interfaccia web di Keenetic (solitamente all'indirizzo my.keenetic.net o tramite IP, ad esempio 192.168.1.1).
• Accesso all'account del provider o alle impostazioni del modem, se serve il port forwarding o controllare un indirizzo IP "bianco" (pubblico).
• Smartphone o portatile con client WireGuard (ad esempio l'app ufficiale WireGuard per iOS/Android/Windows/macOS/Linux) per testare.

Requisiti di sistema e rete

• Indirizzo IPv4 pubblico sul WAN del Keenetic o almeno la possibilità di inoltrare la porta UDP 51820 al Keenetic (se questo è dietro un altro NAT).
• Intervallo libero per la rete VPN del server WireGuard, per esempio 10.10.10.0/24 (deve essere diverso dalla tua rete locale, ad esempio 192.168.1.0/24).
• Indirizzo aggiuntivo per il client WireGuard, ad esempio 10.20.20.2/32, se il lato remoto assegna /32 (pratica comune per tunnel).

Cosa scaricare/installare

• Pacchetto WireGuard in KeeneticOS (lo installeremo dalla sezione componenti).
• Client WireGuard per telefono o portatile per i test.

Creazione di backup

1. Accedi all'interfaccia web di Keenetic.
2. Vai alla sezione «Sistema» → «Configurazione» (o «Backup»).
3. Clicca «Salva configurazione» e scarica il file sul computer.

⚠️ Attenzione: Prima di aggiornare componenti o modificare il routing crea sempre un backup. Così potrai tornare indietro rapidamente se qualcosa va storto.

Consiglio: Rinomina il file di backup con data e breve descrizione, per esempio backup-keenetic-2026-05-setup-wg.cfg, così lo trovi facilmente in seguito.

Concetti base

WireGuard è un protocollo VPN leggero che funziona su UDP con chiavi crittografiche moderne. Crea un'interfaccia di rete virtuale e cripta il traffico tra due o più nodi chiamati "peer". L'autenticazione si basa su coppie di chiavi: privata (segreta) e pubblica (per l'altro lato).

• Server WireGuard — nodo che "ascolta" su una porta UDP fissa e di solito ha un "indirizzo permanente" nella sottorete VPN, ad esempio 10.10.10.1.
• Client WireGuard — si connette al server, ha un indirizzo nella stessa sottorete, per esempio 10.10.10.2; imposta AllowedIPs — le reti da instradare tramite il tunnel.
• AllowedIPs — impostazione chiave per il routing. Da server indica quali indirizzi "dietro il client" sono accessibili tramite quel peer; da client indica quali reti vanno convogliate nel tunnel.
• Split-tunnel — parte del traffico passa attraverso la VPN, il resto direttamente su internet. Si realizza configurando AllowedIPs e regole di routing/politiche.
• Porta 51820/UDP — standard predefinito per WireGuard. Può essere cambiata se serve.

È importante capire che il nostro Keenetic ascolterà contemporaneamente connessioni in ingresso come server e stabilirà connessioni in uscita come client. Non è un conflitto se configuriamo correttamente porte, chiavi e rotte.

Passo 1: Aggiorniamo il firmware e installiamo il componente WireGuard

Obiettivo: Assicurarsi che KeeneticOS sia aggiornato e che il modulo WireGuard sia installato.

1. Accedi all'interfaccia web di Keenetic.
2. Vai su «Sistema» → «Aggiornamento OS» (o «Aggiornamenti»).
3. Clicca «Verifica aggiornamenti». Se c'è una versione nuova, installala. Attendi il riavvio (3–5 minuti).
4. Vai su «Sistema» → «Componenti» (o «Gestione componenti»).
5. Trova e attiva/installa i componenti «WireGuard VPN» e, se disponibile, «Strumenti WireGuard».
6. Salva e attendi l’installazione. Il router potrebbe riavviarsi.

Consiglio: Se temi di perdere la connessione internet durante l'aggiornamento, eseguilo in un momento di poca attività. L’operazione dura 5–10 minuti con il riavvio incluso.

✅ Controllo: Nel menu «Componenti» lo stato del pacchetto WireGuard deve essere «Installato». Comparirà una sezione per configurare le connessioni WireGuard.

Problemi comuni e soluzioni:

• Pacchetto non si installa — verifica lo spazio libero sulla memoria. Rimuovi componenti inutilizzati, riavvia e riprova.
• Non si aggiorna OS — passa temporaneamente a un canale internet di riserva, controlla data/ora del dispositivo.

Passo 2: Verifichiamo l’IP pubblico e la disponibilità della porta UDP

Obiettivo: Assicurarsi che il router sia raggiungibile dall’esterno sulla porta UDP di WireGuard.

1. Nel menu «Internet» apri lo stato della connessione WAN.
2. Controlla l'indirizzo IPv4 esterno. Se inizia con 10.x.x.x, 100.64.x.x, 172.16–31.x.x, 192.168.x.x significa che è un indirizzo privato, probabilmente hai CG-NAT.
3. Se è CG-NAT, contatta il provider per avere un IP "bianco" (statico o dinamico) o configura il port forwarding sul dispositivo a monte, se il Keenetic è dietro un altro router.
4. Pianifica le porte: il server di default ascolta su UDP 51820. Se questa è occupata, scegli un’altra, ad esempio 51821.

⚠️ Nota: Senza un IP pubblico (o un port forwarding corretto) i client remoti non potranno connettersi al server WireGuard. Non è un errore di WireGuard, ma una limitazione di rete.

Consiglio: Se il provider non fornisce un IPv4 pubblico ma c’è IPv6, si può usare WireGuard su IPv6, ma questa guida si concentra su IPv4, più diffuso.

✅ Controllo: Hai annotato il tuo IP IPv4 esterno e la porta UDP da usare per il server.

Passo 3: Pianifichiamo indirizzi e regole di routing

Obiettivo: Definire gli spazi di indirizzi e il comportamento del traffico per evitare conflitti.

1. Identifica la rete locale LAN, per esempio 192.168.1.0/24. Prendi nota dell’IP del Keenetic in LAN (di solito 192.168.1.1).
2. Scegli una subnet per il server WireGuard, ad esempio 10.10.10.0/24. IP server: 10.10.10.1/24.
3. Riserva indirizzi per i client del server: 10.10.10.2, 10.10.10.3 e così via.
4. Definisci l’indirizzo del tunnel per il client WireGuard del Keenetic verso la VPN esterna: per esempio 10.20.20.2/32 (assegnato dal server remoto o manualmente, a seconda del caso).
5. Decidi chi passerà attraverso la VPN esterna: tutto il router (tunnel completo), solo dispositivi selezionati (split-tunnel), o solo determinate subnet/servizi.

Consiglio: Se è la tua prima configurazione, inizia semplice: instrada un solo PC di prova e un solo sito di prova attraverso la VPN remota. Così è più facile fare debug.

✅ Controllo: Hai annotato su carta o in appunti tutti gli intervalli, indirizzi IP e chi deve usare quale tunnel.

Passo 4: Configuriamo il server WireGuard su Keenetic

Obiettivo: Attivare il server WireGuard su Keenetic, generare le chiavi, assegnare subnet e porta.

1. Apri la sezione «VPN server» → «WireGuard» (in alcune versioni «Applicazioni» → «Server WireGuard» o «VPN» → «WireGuard»).
2. Clicca «Aggiungi server» o «Crea profilo». Dagli un nome, ad esempio «wg-home».
3. Scegli «Genera chiavi» o «Crea coppia chiavi». Il sistema mostrerà la chiave pubblica e privata. Salva la chiave pubblica del server e tieni la privata solo sul dispositivo.
4. Inserisci l’indirizzo dell’interfaccia: 10.10.10.1/24 (o quello scelto).
5. Imposta la porta di ascolto: 51820/UDP (o altra se hai cambiato).
6. Salva il profilo del server e attiva l’interruttore «Abilita» o «Attiva».

Consiglio: In alcune versioni l’interfaccia mostra QR code per i client. Lo tratteremo nel passo dedicato ai client; adesso ci interessa attivare il server.

✅ Controllo: Il server WireGuard è attivo, vedi l’interfaccia wg-home con l’indirizzo 10.10.10.1/24 e la porta impostata, stato «Attivo».

Problemi comuni e soluzioni:

• Profilo non si salva — verifica che i componenti WireGuard siano installati.
• Conflitto indirizzi — se 10.10.10.0/24 si sovrappone a qualcosa sulla rete o client, scegli un intervallo diverso, tipo 10.66.66.0/24.

Passo 5: Apriamo la porta e configuriamo l’accesso al server

Obiettivo: Rendere il server raggiungibile da internet attraverso port forwarding e, se serve, regole firewall.

1. Se il Keenetic è connesso direttamente a internet con un IPv4 pubblico, in genere non serve aprire porte: il server è raggiungibile sull’interfaccia esterna.
2. Se davanti al Keenetic c’è un altro router/modem con NAT, configura su quello il port forwarding UDP 51820 verso l’IP WAN di Keenetic. Protocollo UDP, porta 51820 → 51820.
3. In Keenetic vai su «Sicurezza» → «Firewall» → regole in ingresso. Permetti traffico UDP in ingresso sulla porta 51820 verso l’interfaccia del server (o verso il router, a seconda della versione). Se esiste un’opzione «Allow WireGuard incoming», attivala.
4. Salva le modifiche.

⚠️ Importante: Apri solo la porta e protocollo necessari (UDP 51820). Non lasciare porte inutili aperte.

Consiglio: Se il provider blocca porte UDP non standard, prova a cambiare porta a 53/UDP o 443/UDP, ma occhio ai potenziali conflitti con DNS/HTTPS proxy e politiche provider. In genere 51820 funziona bene.

✅ Controllo: La porta 51820/UDP è accessibile da internet: se hai un secondo canale internet o mobile, prova a connetterti dall’esterno con un client WireGuard (per ora senza AllowedIPs, che aggiungeremo dopo). Alla configurazione il server deve risultare «In ascolto».

Passo 6: Aggiungiamo client al server (smartphone, portatili)

Obiettivo: Creare peer per i dispositivi, assegnare indirizzi e parametri di connessione.

1. In «VPN server» → «WireGuard» apri il profilo «wg-home».
2. Clicca «Aggiungi client» o «Aggiungi peer». Dagli un nome, ad esempio «iphone-ivan».
3. Genera una coppia di chiavi per il client (o importa quella pubblica se già ce l’hai). Keenetic solitamente crea automaticamente la configurazione.
4. Assegna un indirizzo client, ad esempio 10.10.10.2/32. Le reti consentite lato server per quel client: 10.10.10.2/32 e, se serve, la tua LAN 192.168.1.0/24 (se il client deve accedere ai dispositivi di casa). Questo si imposta con AllowedIPs sul server (l’interfaccia può mostrarlo come "Indirizzi consentiti del peer").
5. Se l’interfaccia supporta il QR code, aprilo. Sull’app WireGuard del cellulare premi «+», «Scansiona QR code» e punta la fotocamera. Per PC o laptop esporta il file .conf.
6. Salva il peer. Ripeti per altri client (per esempio «laptop-anna», «ipad-oleg» con indirizzi 10.10.10.3/32, 10.10.10.4/32).

Consiglio: In configurazione client AllowedIPs determina quale traffico passa nel tunnel. Per accesso solo alla rete di casa indica 10.10.10.0/24 e 192.168.1.0/24. Se vuoi tutto il traffico attraverso la VPN di casa, usa 0.0.0.0/0.

✅ Controllo: Connetti lo smartphone in rete mobile e attiva il tunnel WireGuard. Nell’interfaccia di Keenetic vedi il peer attivo con contatori byte che aumentano. Dal telefono apri l’interfaccia web di un dispositivo di casa (ad esempio 192.168.1.1): se si apre, l’accesso funziona.

Problemi comuni e soluzioni:

• Non si connette da fuori — verifica il port forwarding e l’IP pubblico.
• Connessione attiva ma nessun accesso alla LAN — aggiungi 192.168.1.0/24 in AllowedIPs del client e lato server per quel peer; controlla il firewall e abilita il routing tra wg-home e LAN.
• La connessione cade — verifica le impostazioni Keepalive (ad esempio PersistentKeepalive 25 lato client) per mantenere la mappatura NAT.

Passo 7: Configuriamo Keenetic come client WireGuard verso VPN esterna

Obiettivo: Collegare il router (e eventualmente dispositivi selezionati) a un server WireGuard remoto, per esempio secondo ufficio o VPS.

1. Apri «Internet» → «Altre connessioni» (o «Client VPN» → «WireGuard»).
2. Clicca «Aggiungi connessione WireGuard». Chiamala «wg-upstream».
3. Genera una coppia chiavi per il client (Keenetic) o inserisci la chiave privata se l'hai già. Salva la chiave pubblica del Keenetic — servirà sul lato remoto come peer.
4. Imposta l’indirizzo dell’interfaccia tunnel sul Keenetic: ad esempio 10.20.20.2/32 (o lascialo vuoto se l’esterno assegna via config/script; più semplice impostarlo manualmente).
5. Configura i parametri del peer (server remoto): PublicKey (chiave pubblica del server VPN remoto), Endpoint (dominio o IP:porta, es. vpn.example.com:51820), AllowedIPs (reti da instradare nel tunnel). Per tunnel completo usa 0.0.0.0/0. Per split-tunnel elenca subnet, per esempio 203.0.113.0/24 o reti dell’ufficio remoto 10.50.0.0/16.
6. Abilita PersistentKeepalive 25 secondi, se Keenetic è dietro NAT.
7. Salva e attiva «wg-upstream».

Consiglio: Se usi un VPN commerciale o il tuo VPS, meglio avere un file .conf pronto da importare nel Keenetic (se il firmware supporta l’import). Altrimenti inserisci manualmente i parametri, facendo attenzione a chiavi e indirizzi.

✅ Controllo: Nel dettaglio di «wg-upstream» vedi la spia verde «Connesso», l’indirizzo 10.20.20.2/32 e contatori traffico che aumentano. Il ping verso l’indirizzo remoto passa (verifica con diagnostica router).

Problemi comuni e soluzioni:

• Nessun handshake — controlla chiavi pubbliche/private e la correttezza dei caratteri. Un errore rompe l’autenticazione.
• Nessun routing — verifica AllowedIPs. Se è vuoto, il traffico non passerà nel tunnel.

Passo 8: Configuriamo routing e split-tunnel

Obiettivo: Definire dove va il traffico: parte tramite VPN esterna, parte diretto; il server WireGuard locale deve essere sempre accessibile.

Opzione A: Tunnel completo per tutti

1. In «wg-upstream» imposta AllowedIPs a 0.0.0.0/0.
2. Attiva «Usa come gateway predefinito» (se disponibile). Altrimenti crea una regola di routing: «Tutto il traffico LAN → interfaccia wg-upstream».
3. Escludi dalle regole il dominio o indirizzo del server remoto, se serve per far partire il tunnel all’avvio (di solito non serve, ma utile in config complesse).

Opzione B: Split-tunnel per dispositivi selezionati

1. Crea un gruppo dispositivi o seleziona singoli dispositivi in «Elenco dispositivi».
2. Vai a «Internet» → «Regole di routing» (o «Policy routing», «Network rules», «Traffic classification» — dipende dalla versione KeeneticOS).
3. Aggiungi una regola: Sorgente = dispositivi scelti, Destinazione = Internet, Canale/Router preferito = wg-upstream.
4. Crea una regola inversa di default: altri dispositivi → gateway predefinito (WAN).

Protezione da loop di routing

1. Assicurati che il traffico verso il tuo server WireGuard locale (wg-home) non passi per «wg-upstream». Per questo escludi dalla politica l’indirizzo IP esterno dove il server ascolta e le subnet locali 10.10.10.0/24, 192.168.1.0/24.
2. Verifica che le richieste DNS dai client server siano risolte correttamente. Se usi tunnel completo sui device client, imposta il DNS nel profilo client tramite un DNS tunnelato.

Consiglio: Dai nomi chiari alle regole: «Routing: laptop-ivan via wg-upstream», «Eccezioni: subnet locali via WAN». Ti ringrazierai tra un mese.

✅ Controllo: Il dispositivo scelto mostra l’IP esterno della VPN remota (verifica su qualsiasi servizio di verifica IP), gli altri usano il normale IP del provider. L’accesso al server wg-home e alla LAN è mantenuto.

Problemi comuni e soluzioni:

• Tutto il traffico passa nel tunnel anche se non dovrebbe — controlla la regola di default. Nessuna regola sovrapposta o in ordine errato.
• Accesso LAN perso — aggiungi eccezioni o verifica AllowedIPs client in modo che non blocchino la subnet locale.

Passo 9: Configuriamo DNS e sicurezza

Obiettivo: Definire esattamente quali DNS usano client e router per evitare perdite e problemi di risoluzione nomi.

1. In «Sistema» → «DNS» imposta i «DNS preferiti». Se vuoi che i dispositivi bypassati da wg-upstream usino DNS attraverso il tunnel, metti un DNS raggiungibile lato remoto (ad esempio 10.20.20.1) e associane l’uso tramite policy a dispositivi specifici.
2. Per i client del server wg-home nel profilo client WireGuard specifica il DNS (se esporti la config), per esempio 192.168.1.1 o 10.10.10.1, se Keenetic fa da proxy DNS.
3. Nel firewall controlla che sia permesso il forwarding tra interfaccia wg-home e LAN sulle porte necessarie. Di default Keenetic spesso permette, ma in alcune policy serve abilitazione manuale.
4. Disabilita servizi di gestione inutili da WAN. In «Sistema» → «Accesso» lascia gestione solo da LAN o tramite VPN.

Consiglio: Per uno split-tunnel pulito sui client server, usa DNS raggiungibili dalla tua rete locale (es. 192.168.1.1). Così i nomi dei dispositivi interni si risolvono correttamente.

✅ Controllo: Dal client server il ping per nome verso risorse locali funziona (se hai DNS locale), i domini esterni sono risolti bene, non ci sono perdite DNS (usa siti di test DNS leak con dispositivi che passano da wg-upstream).

Problemi comuni e soluzioni:

• I siti non si aprono — verifica MTU (vedi sezione opzioni avanzate). A volte serve un MTU minore, per esempio 1420.
• Perdite DNS fuori dal tunnel — fissa la policy DNS a livello dispositivo/regole e disabilita il DNS automatico per i client, se l’interfaccia lo permette.

Verifica finale

Checklist:

• Server WireGuard (wg-home) attivo e almeno un dispositivo esterno connesso (smartphone).
• Keenetic connesso come client (wg-upstream) al server WireGuard remoto.
• Routing funzionante: dispositivi selezionati passano per wg-upstream, gli altri per internet normale.
• Accesso da client server alla LAN (se previsto) funzionante.
• Porta UDP 51820 aperta dall’esterno (se server la usa).
• DNS risolti correttamente, senza perdite.

Come testare:

1. Attiva il profilo wg-home sul telefono in rete mobile. Apri l’interfaccia web del Keenetic a 192.168.1.1.
2. Dal dispositivo che deve usare wg-upstream, visita un sito di verifica IP e controlla che sia l’indirizzo VPN remoto.
3. Con un altro dispositivo verifica che l’IP sia quello del provider usuale.
4. Ping 10.10.10.1 e 10.20.20.1 (o IP del server remoto) – pacchetti stabili e latenza costante.

Segnali di successo: Handshake WireGuard stabili, senza disconnessioni ogni 20–30 secondi, siti che si aprono velocemente, IP e routing corrispondono all’atteso, interfacce wg-home e wg-upstream con contatori byte in crescita.

Errori comuni e soluzioni

• Problema: Client non si collega al server. Motivo: Porta chiusa o CG-NAT. Soluzione: Apri/inoltra UDP 51820, richiedi IP pubblico al provider o usa un tunnel esterno per accedere.
• Problema: Tunnel attivo ma niente accesso alla LAN. Motivo: AllowedIPs errati o firewall bloccante. Soluzione: Aggiungi 192.168.1.0/24 in AllowedIPs client, abilita forwarding tra wg-home e LAN.
• Problema: Tutto il traffico va nel tunnel VPN anche se serve lo split. Motivo: AllowedIPs 0.0.0.0/0 e regola predefinita. Soluzione: Restringi AllowedIPs a subnet specifiche, configura policy routing per device scelti.
• Problema: Velocità WireGuard bassa. Motivo: MTU, CPU debole del router, banda saturata. Soluzione: Imposta MTU 1420–1280 su interfacce WG; disabilita DPI/antivirus se causa carico; verifica CPU e scegli server vicino.
• Problema: Connessione cade in idle. Motivo: Timeout NAT. Soluzione: Imposta PersistentKeepalive 25 sul client.
• Problema: Conflitto indirizzi, accesso a risorse perso. Motivo: Sovrapposizione subnet 10.x.x.x. Soluzione: Cambia subnet wg-home con una unica, es. 10.66.66.0/24.
• Problema: Nulla funziona dopo cambiamenti. Motivo: Errore nella politica di routing. Soluzione: Ripristina backup e applica modifiche una per volta.

Opzioni avanzate

MTU e performance

• Se siti si bloccano o il caricamento è lento, imposta MTU 1420 per interfacce wg-home e wg-upstream. A volte 1380–1280 aiuta.
• Disabilita pacchetti di analisi traffico inutili se CPU del router è al limite (80–100%) durante la crittografia.

Policy per applicazioni e porte

• Crea regole: «Servizi streaming» → diretto, «Risorse lavoro» → via wg-upstream. Utile per split-tunnel flessibile.

Accesso bidirezionale tra sedi

• Se wg-upstream è il server ufficio, aggiungi nelle AllowedIPs le subnet reciproche e abilita forwarding. Così dispositivi di casa e ufficio si vedono.

CLI per utenti esperti

Su KeeneticOS è disponibile CLI via SSH. Comandi variano per versione. Puoi: creare interfaccia WireGuard, impostare private-key, address, listen-port; aggiungere peer con public-key, allowed-ips, endpoint; e definire policy di routing. Usa l'help integrato e applica cambi gradualmente. Se non sei sicuro, configura tramite interfaccia web.

Log e monitoraggio

• In «Sistema» → «Log» attiva log VPN esteso, utile per diagnosticare rotture e timeout NAT.

Consiglio: Imposta riavvio automatico giornaliero di wg-upstream di notte, se il server remoto è instabile. Spesso migliora l’affidabilità.

Alternative fai-da-te in scenari produttivi

Configurare in autonomia è utile se sei pronto a dedicarti a diagnostica, monitoraggio e backup. Se serve una configurazione funzionante «subito» senza complicazioni con console e VPS, il servizio vpn.how si rivela molto efficiente: VPN personali con IP dedicato per ciascun client, supporto WireGuard, OpenVPN, IKEv2, L2TP, SSTP; server in Mosca, San Pietroburgo, Amsterdam, Francoforte, Londra, New York, San Jose, Chicago, Singapore, Sydney, Madrid, Helsinki, Stoccolma, Varsavia, Copenaghen e Stavanger; accetta carte RF (Tinkoff, Ozon), sistema SBP, USDT/BTC; tariffe da 490 ₽ al giorno e 2490 ₽ al mese con sconti; avvio automatico in 5 minuti dopo pagamento; senza log. Se serve un risultato garantito e il minimo sforzo, collegare Keenetic come client a uno di questi server è rapido, l’assistenza elimina la gestione manuale di monitoraggio e backup. Non è pubblicità, ma una raccomandazione pratica per chi ha poco tempo.

FAQ

Domanda: Posso creare più server WireGuard su un solo Keenetic con porte diverse? Risposta: Sì, se modello e firmware lo permettono. Più semplice creare più peer in uno stesso server e assegnare indirizzi nella stessa subnet. Server separati utili per isolamento.

Domanda: Meglio tunnel completo o split-tunnel? Risposta: Per uso domestico spesso lo split basta: servizi lavoro via VPN, il resto diretto. Tunnel completo comodo per privacy in reti pubbliche.

Domanda: Cosa fare se il provider limita UDP? Risposta: Prova cambiare porta a 53/UDP o 443/UDP. Se non funziona, usa protocollo TCP (ad esempio OpenVPN TCP) lato server e collega Keenetic con client corrispondente.

Domanda: Posso esporre stampanti o videocamere su internet via WireGuard? Risposta: Sì. Connettiti da fuori al server wg-home e accedi in LAN tramite gli indirizzi locali. Non aprire direttamente le porte verso internet.

Domanda: Come condividere in sicurezza la configurazione client? Risposta: Meglio mostrare il QR code personalmente o inviare il file .conf tramite canale criptato. Mai trasmettere la chiave privata del server.

Domanda: Come risolvere conflitti subnet 10.x.x.x? Risposta: Cambia la tua subnet VPN in una unica, ad esempio 10.66.66.0/24 o 10.8.0.0/24, e aggiorna AllowedIPs su tutti i client.

Domanda: WireGuard supporta IPv6? Risposta: Nelle versioni recenti di WireGuard e Keenetic sì. Ma la configurazione richiede attenzione a prefissi e policy. Questa guida si concentra su IPv4.

Domanda: Come limitare la velocità per client VPN? Risposta: Usa QoS o policy di priorità su Keenetic: imposta limiti sull’interfaccia wg-home o su dispositivi specifici.

Domanda: Posso bloccare l’accesso del client alla LAN lasciando solo internet? Risposta: Sì. Sul server non aggiungere 192.168.1.0/24 in AllowedIPs e disabilita forwarding tra wg-home e LAN per quel peer.

Domanda: Come fare un backup di riserva? Risposta: Tieni un secondo server remoto e un profilo wg-upstream aggiuntivo. Configura regola failover: se il primo cade usa il secondo.

Conclusioni

Abbiamo configurato Keenetic per farlo funzionare simultaneamente come server WireGuard per dispositivi esterni e client WireGuard verso un server remoto. Hai aggiornato il firmware, installato il componente, pianificato gli indirizzi, attivato il server wg-home, aperto la porta UDP, aggiunto client, configurato il client wg-upstream, realizzato routing e split-tunnel, impostato DNS e sicurezza, verificato il risultato e esaminato errori comuni. Ora puoi collegarti in sicurezza da ovunque a casa tua e instradare il traffico di dispositivi selezionati tramite una VPN esterna. In futuro potrai evolvere verso ottimizzazioni MTU, IPv6, backup multicanale e automazioni con CLI e API KeeneticOS. Congratulazioni: hai una infrastruttura VPN completa, gestibile ed espandibile in un solo dispositivo.

Consiglio: Abitua a testare sempre ogni modifica prima su regole o device di prova, poi sulla rete completa. Ti farà risparmiare tempo e stress.