Technology
Jul 29, 2026
2 min read
19 views
Architettura di rete: bypassare CGNAT e accesso sicuro tramite WireGuard e VPS Un tunnel sicuro verso casa: come ho risolto la mancanza di un IP pubblico statico
La maggior parte delle moderne connessioni Internet da parte degli ISP presentano un problema fastidioso per gli appassionati di rete: Carrier-Grade NAT (CGNAT). Ciò significa che non hai un IP pubblico statico direttamente sul tuo router di casa e il tuo ISP si preoccupa meno delle tue esigenze di accesso esterno, dovendo condividere lo stesso IP pubblico con un gruppo di altri abbonati.
In uno scenario del genere le classiche regole del port forwarding falliscono fin dall'inizio e l'accesso dall'esterno ai propri server diventa una grande sfida. La soluzione che abbiamo implementato combina un server privato virtuale (VPS) nel cloud (che ha un IP pubblico fisso) con un server TrueNAS Scale on-premise, collegati tra loro da una rete privata virtuale super veloce e crittografata utilizzando WireGuard.
Come funziona l'architettura in dettaglio
Per rompere la barriera imposta da CGNAT senza dipendere con limitazioni da servizi commerciali di terze parti di tipo DDNS, si è pensato che il flusso di dati funzioni secondo un'iniziativa inside-out:
Nodo sul VPS (Anchor Point): Il VPS noleggiato funge da punto centrale visibile su Internet, avendo un IP pubblico statico.
Su di esso viene eseguita l'istanza principale di WireGuard che ascolta le connessioni e instrada il traffico in entrata dall'esterno. Tunnel persistente della rete locale: il server TrueNAS Scale domestico (che si trova dietro il CGNAT) avvia e mantiene costantemente attivo un tunnel crittografato verso il VPS. Poiché la connessione va dall'interno verso l'esterno, il router domestico lo consente senza problemi stabilendo un percorso permanente.
Instradamento e inoltro del traffico: quando voglio accedere ai servizi domestici dall'esterno, il traffico raggiunge prima l'IP pubblico del VPS. Attraverso regole di routing e iptables finemente configurati sul server cloud, i pacchetti vengono instradati attraverso il tunnel WireGuard direttamente al tuo TrueNAS domestico o ad altri contenitori e servizi sulla tua rete locale.
Vantaggi di questa implementazione
Bypassando completamente le limitazioni del provider: non dipendo più dal tipo di IP assegnato dal mio ISP di casa e ho eliminato qualsiasi frustrazione CGNAT. Sicurezza di livello militare: WireGuard utilizza la crittografia all'avanguardia (ChaCha20 per la crittografia, Curve25519 per lo scambio di chiavi), fornendo una connessione protetta contro le intercettazioni con un sovraccarico minimo sulle risorse di sistema.
Controllo e indipendenza totali: l'intero sistema viene configurato manualmente esattamente in base alle mie esigenze, fornendo stabilità a lungo termine e accesso immediato da qualsiasi luogo alle risorse e ai dati ospitati a casa.
In uno scenario del genere le classiche regole del port forwarding falliscono fin dall'inizio e l'accesso dall'esterno ai propri server diventa una grande sfida. La soluzione che abbiamo implementato combina un server privato virtuale (VPS) nel cloud (che ha un IP pubblico fisso) con un server TrueNAS Scale on-premise, collegati tra loro da una rete privata virtuale super veloce e crittografata utilizzando WireGuard.
Come funziona l'architettura in dettaglio
Per rompere la barriera imposta da CGNAT senza dipendere con limitazioni da servizi commerciali di terze parti di tipo DDNS, si è pensato che il flusso di dati funzioni secondo un'iniziativa inside-out:
Nodo sul VPS (Anchor Point): Il VPS noleggiato funge da punto centrale visibile su Internet, avendo un IP pubblico statico.
Su di esso viene eseguita l'istanza principale di WireGuard che ascolta le connessioni e instrada il traffico in entrata dall'esterno. Tunnel persistente della rete locale: il server TrueNAS Scale domestico (che si trova dietro il CGNAT) avvia e mantiene costantemente attivo un tunnel crittografato verso il VPS. Poiché la connessione va dall'interno verso l'esterno, il router domestico lo consente senza problemi stabilendo un percorso permanente.
Instradamento e inoltro del traffico: quando voglio accedere ai servizi domestici dall'esterno, il traffico raggiunge prima l'IP pubblico del VPS. Attraverso regole di routing e iptables finemente configurati sul server cloud, i pacchetti vengono instradati attraverso il tunnel WireGuard direttamente al tuo TrueNAS domestico o ad altri contenitori e servizi sulla tua rete locale.
Vantaggi di questa implementazione
Bypassando completamente le limitazioni del provider: non dipendo più dal tipo di IP assegnato dal mio ISP di casa e ho eliminato qualsiasi frustrazione CGNAT. Sicurezza di livello militare: WireGuard utilizza la crittografia all'avanguardia (ChaCha20 per la crittografia, Curve25519 per lo scambio di chiavi), fornendo una connessione protetta contro le intercettazioni con un sovraccarico minimo sulle risorse di sistema.
Controllo e indipendenza totali: l'intero sistema viene configurato manualmente esattamente in base alle mie esigenze, fornendo stabilità a lungo termine e accesso immediato da qualsiasi luogo alle risorse e ai dati ospitati a casa.