La VPN sul router sposta il tunnel dai singoli dispositivi al punto di ingresso a internet: dietro di esso finisce tutta la casa — telefoni, laptop, TV, set-top box e dispositivi smart. Vediamo quando conviene, quale router scegliere e come installare una VPN personale su OpenWrt.
Il materiale è pensato per chi è disposto ad accedere all’interfaccia web del router e configurare tutto una volta sola. Se vi serve la VPN solo per la TV, in fondo trovate un percorso più semplice tramite le app per Apple TV e Android TV.
Perché la VPN sul router
L’app sul telefono protegge un solo telefono. Il router con VPN protegge tutto ciò che è connesso alla rete domestica, e lo fa in modo trasparente per i dispositivi stessi: loro vedono un normale Wi-Fi, mentre cifratura e instradamento avvengono sul router.
- TV, console, media player e dispositivi smart senza client VPN ottengono lo stesso IP del telefono.
- Su laptop e telefoni non si consuma batteria e non serve controllare se il tunnel è attivo.
- Ospiti e nuovi dispositivi sono protetti subito dopo la connessione al Wi-Fi.
- Le impostazioni vivono in un solo posto, non in decine di app.
C’è anche un prezzo da pagare: la velocità è limitata dal processore del router, e qualsiasi problema al tunnel coinvolge subito tutta la casa. Per questo è importante scegliere bene l’hardware e decidere in anticipo cosa fare in caso di interruzione della connessione.
Quale router scegliere
MeduzaVPN fornisce un pacchetto pronto per OpenWrt — il firmware open che si installa su centinaia di modelli di router. Il pacchetto è compilato per tre piattaforme su cui lo testiamo, mentre per le altre sono disponibili build statiche del demone.
| Piattaforma | Formato | Dispositivi tipici | Velocità attesa |
|---|---|---|---|
| x86/64 | Pacchetto pronto | Mini PC, macchine virtuali, router industriali su Intel/AMD | Centinaia di Mbit/s e oltre |
| MediaTek Filogic | Pacchetto pronto | Router Wi-Fi 6 moderni su MT7981/MT7986 | Centinaia di Mbit/s |
| MT7621 | Pacchetto pronto | Router di massa del 2018–2023 | Decine di Mbit/s |
| arm64, armv7, mips | Build statica del demone | Altre piattaforme OpenWrt, installazione manuale | Dipende dal processore |
Memoria e storage
Il requisito chiave è lo spazio di storage. Il pacchetto con le dipendenze richiede 40–46 MB. Un router con 16 MB di flash non è adatto: dopo l’installazione del firmware stesso restano solo pochi megabyte. Cercate modelli con 128 MB o più, oppure configurate extroot su un’unità USB se il router ha una porta. È preferibile avere almeno 256 MB di RAM, altrimenti con molte connessioni il demone e l’interfaccia web competeranno per le risorse.
Prima di acquistare, verificate la tabella hardware di OpenWrt: contano non solo il processore e la quantità di memoria, ma anche il fatto che il modello sia supportato dal ramo di firmware attuale. I rami obsoleti potrebbero non avere le dipendenze necessarie.
Installazione del pacchetto su OpenWrt
Si presuppone che OpenWrt sia già installato e che il router acceda a internet. L’installazione del pacchetto richiede pochi minuti.
- Aprite la pagina VPN per router e scaricate il pacchetto per la vostra piattaforma.
- Verificate che lo spazio libero non sia inferiore a 50 MB: la sezione «Sistema → Software» in LuCI mostra lo spazio residuo.
- Caricate il pacchetto tramite la stessa sezione di LuCI oppure via SSH con il comando di installazione di opkg.
- Attendete l’installazione delle dipendenze; al primo avvio il demone creerà le proprie impostazioni.
- Aprite la nuova pagina MeduzaVPN nel menu di LuCI ed effettuate l’accesso tramite codice QR.
- Scegliete la posizione e il protocollo, attivate la connessione e verificate l’IP da un qualsiasi dispositivo della rete.
Build statiche per altre piattaforme
Se il vostro router funziona su arm64, armv7 o mips, usate la build statica del demone. Non dipende dalle librerie del firmware e viene eseguita come un servizio normale. In questo caso la pagina in LuCI non è disponibile: l’accesso e la scelta della posizione avvengono tramite comandi via SSH, e i parametri sono conservati in un file di configurazione. Questo percorso è pensato per chi ha dimestichezza con la console.
Accesso tramite codice QR e pagina in LuCI
Il router non ha una tastiera comoda, e conservarvi la password dell’account non è una buona idea. Per questo l’accesso è organizzato come sulla TV: la pagina MeduzaVPN in LuCI mostra un codice QR, che si scansiona con il telefono su cui è installata l’app, oppure si apre il link nel browser e si conferma l’accesso. Il router riceve una propria chiave di accesso, che si può revocare dall’account in qualsiasi momento.
Sulla stessa pagina sono disponibili:
- lo stato della connessione, la posizione attuale e l’IP esterno;
- la scelta tra oltre 60 posizioni e il cambio di protocollo — MeduzaVPN ULTRA, WireGuard, VLESS e altri;
- l’attivazione del kill switch;
- la scelta di quali dispositivi o sottoreti passano dal tunnel;
- il registro degli ultimi eventi di connessione.
Il router è semplicemente un altro dispositivo nell’account. Non consuma un abbonamento a parte e non occupa uno «slot»: non c’è alcun limite sul numero di dispositivi. Se condividete la VPN con la famiglia, guardate come funziona l’accesso condiviso.
Kill switch e suddivisione del traffico
Kill switch
In caso di interruzione del tunnel, il router può far passare il traffico direttamente, oppure bloccarlo fino al ripristino. La seconda modalità è il kill switch. Sul router agisce su tutti i dispositivi, quindi decidete in anticipo: se avete apparecchi per cui è importante un accesso a internet continuo (videosorveglianza, casa smart), potrebbe essere meglio farli passare fuori dal tunnel e attivare il blocco solo per il resto.
Suddivisione per dispositivo
In OpenWrt il traffico si divide facilmente per client. Una soluzione pratica è avere due reti Wi-Fi: una passa dalla VPN, l’altra va diretta. TV e set-top box si collegano alla prima, i dispositivi di lavoro con VPN aziendale alla seconda. È lo stesso principio dello split tunneling nelle app, solo che qui il confine è la rete e non l’elenco dei programmi.
DNS
Verificate che anche le richieste DNS passino dal tunnel. Se il router continua a interrogare il server DNS del provider, i siti vedranno l’IP della VPN, ma il provider vedrà l’elenco dei domini. Il pacchetto MeduzaVPN configura il DNS nel tunnel per impostazione predefinita, ma con modifiche manuali a dnsmasq vale la pena ricontrollare.
Limiti e cosa considerare
- Velocità. La cifratura viene eseguita dal processore del router. Su MT7621 il tetto pratico è di decine di megabit al secondo, su Filogic e x86 di centinaia. Per video in 4K è sufficiente, per una connessione gigabit no.
- Una sola posizione per tutti. Il router è collegato a un solo server. Se un dispositivo ha bisogno di Amsterdam e un altro di Tokyo, bisognerà o cambiare posizione o lasciare l’app sul singolo dispositivo.
- Condizioni dei servizi. Una VPN protegge la connessione e non sostituisce l’abbonamento a un servizio. Rispettate le condizioni d’uso di ciascun servizio.
- Cambio di protocollo in base alla rete. Se un protocollo è instabile nella vostra rete, sul router lo si nota subito in tutta la casa. Tenete a portata di mano la pagina di LuCI per cambiare protocollo — ad esempio da WireGuard a MeduzaVPN ULTRA.
- Aggiornamenti. Il pacchetto si aggiorna tramite opkg, come gli altri componenti di OpenWrt. Vale la pena controllare le nuove versioni ogni pochi mesi.
- Punto di guasto unico. Un errore nella configurazione del router lascia tutti senza internet. Salvate una copia di backup della configurazione prima di apportare modifiche.
Alternative al router
Il router non serve sempre. Se l’obiettivo è solo la TV o il set-top box, è più semplice installare l’app direttamente sul dispositivo.
| Criterio | VPN sul router | App sui dispositivi |
|---|---|---|
| Copertura | Tutti i dispositivi in rete, anche senza client | iPhone, Android, macOS, Windows, Linux, Apple TV, Android TV, Fire TV |
| Velocità | Limitata dal processore del router | Limitata dalla connessione e dal server |
| Posizioni | Una sola per tutti | Propria per ogni dispositivo |
| Configurazione | Richiede OpenWrt e l’interfaccia web | Installazione dallo store, accesso tramite codice o account |
| Fuori casa | Non funziona | Funziona su qualsiasi rete |
Per le TV, MeduzaVPN offre app per Apple TV, Android TV e Fire TV: accesso tramite codice dal telefono, scelta della posizione con il telecomando, lo stesso server personale. Molti combinano entrambi gli approcci: il router per i dispositivi senza client, le app per telefoni e laptop che escono di casa.
Conclusione
La VPN sul router con OpenWrt è un modo per proteggere tutta la casa con una sola connessione e mettere al sicuro i dispositivi privi di un proprio client. Le condizioni principali: 40–46 MB di storage, una piattaforma supportata e la consapevolezza di come si comporterà la rete in caso di interruzione del tunnel.
Con il piano PERSONAL, la VPN personale di MeduzaVPN sul router usa lo stesso server dedicato con IP proprio delle app, e l’account è unico per tutti i dispositivi. Sugli abbonamenti sono previsti 7 giorni gratuiti e il rimborso entro 15 giorni. Scegliere un piano.
Domande frequenti
Perché installare la VPN sul router se esistono app per tutti i dispositivi?
Il router protegge il traffico di tutti i dispositivi di casa con una sola connessione, compresi quelli senza un proprio client VPN: TV senza app, console di gioco, altoparlanti smart e dispositivi ospiti. Inoltre, su telefoni e laptop non si consuma batteria e non serve controllare lo stato del tunnel.
Su quali router funziona il pacchetto MeduzaVPN per OpenWrt?
I pacchetti pronti sono compilati per OpenWrt su x86/64, MediaTek Filogic e MT7621. Per altre piattaforme, su arm64, armv7 e mips, sono disponibili build statiche del demone da installare manualmente. Il requisito comune è 40–46 MB di spazio libero e un firmware OpenWrt di un ramo aggiornato.
Basta un router con 16 MB di memoria flash?
No. Il pacchetto con le dipendenze richiede circa 40–46 MB di spazio, mentre sui dispositivi con 16 MB di flash, dopo l’installazione del firmware stesso, restano solo pochi megabyte. Questi router vanno bene solo per configurazioni minime; per una VPN personale è meglio scegliere un modello con 128 MB o più, oppure aggiungere un’unità USB per extroot.
Come accedere all’account sul router se non ha browser né tastiera?
Nell’interfaccia web LuCI compare una pagina MeduzaVPN che mostra un codice QR. Lo si scansiona con il telefono su cui è installata l’app, oppure si apre il link sul sito e si conferma l’accesso: il router ottiene così l’accesso alla tua VPN personale senza inserire alcuna password sul dispositivo stesso.
Cosa succede a internet in casa se la VPN sul router si interrompe?
Lo determina il kill switch. Con il blocco di emergenza attivo, il router non lascia passare traffico al di fuori del tunnel e i dispositivi restano senza internet finché la connessione non si ripristina. Con il blocco disattivato, il traffico passerà direttamente tramite il provider. La scelta dipende da cosa conta di più: protezione continua o accesso continuo.
La velocità di internet di casa diminuirà?
Sì, la cifratura viene eseguita dal processore del router, che è più debole di quello di un telefono. Su MT7621 il limite pratico è di solito decine di megabit al secondo, su Filogic e x86 centinaia. Per lo streaming video questo è sufficiente, per scaricare file di grandi dimensioni su una connessione gigabit no.
Si può instradare sulla VPN solo la TV e non tutti i dispositivi?
Sì. In OpenWrt il traffico si può dividere per dispositivo o sottorete: parte dei client passa dal tunnel, parte va diretta. Un metodo semplice è creare una rete Wi-Fi o una VLAN separata per i dispositivi che necessitano della VPN. È l’equivalente dello split tunneling, ma a livello dell’intera rete domestica.
C’è un’alternativa se il router non è adatto?
Per TV e set-top box esistono app MeduzaVPN dedicate per Apple TV, Android TV e Fire TV con accesso tramite codice dal telefono. Per gli altri dispositivi ci sono le app per iPhone, Android, macOS, Windows e Linux. Un solo account funziona su tutti, senza limiti sul numero di dispositivi.