VPN sul router: OpenWrt, tutta la casa protetta, TV e set-top box

Perché la VPN sul router

L’app sul telefono protegge un solo telefono. Il router con VPN protegge tutto ciò che è connesso alla rete domestica, e lo fa in modo trasparente per i dispositivi stessi: loro vedono un normale Wi-Fi, mentre cifratura e instradamento avvengono sul router.

• TV, console, media player e dispositivi smart senza client VPN ottengono lo stesso IP del telefono.
• Su laptop e telefoni non si consuma batteria e non serve controllare se il tunnel è attivo.
• Ospiti e nuovi dispositivi sono protetti subito dopo la connessione al Wi-Fi.
• Le impostazioni vivono in un solo posto, non in decine di app.

C’è anche un prezzo da pagare: la velocità è limitata dal processore del router, e qualsiasi problema al tunnel coinvolge subito tutta la casa. Per questo è importante scegliere bene l’hardware e decidere in anticipo cosa fare in caso di interruzione della connessione.

Quale router scegliere

MeduzaVPN fornisce un pacchetto pronto per OpenWrt — il firmware open che si installa su centinaia di modelli di router. Il pacchetto è compilato per tre piattaforme su cui lo testiamo, mentre per le altre sono disponibili build statiche del demone.

Memoria e storage

Il requisito chiave è lo spazio di storage. Il pacchetto con le dipendenze richiede 40–46 MB. Un router con 16 MB di flash non è adatto: dopo l’installazione del firmware stesso restano solo pochi megabyte. Cercate modelli con 128 MB o più, oppure configurate extroot su un’unità USB se il router ha una porta. È preferibile avere almeno 256 MB di RAM, altrimenti con molte connessioni il demone e l’interfaccia web competeranno per le risorse.

Prima di acquistare, verificate la tabella hardware di OpenWrt: contano non solo il processore e la quantità di memoria, ma anche il fatto che il modello sia supportato dal ramo di firmware attuale. I rami obsoleti potrebbero non avere le dipendenze necessarie.

Installazione del pacchetto su OpenWrt

Si presuppone che OpenWrt sia già installato e che il router acceda a internet. L’installazione del pacchetto richiede pochi minuti.

1. Aprite la pagina VPN per router e scaricate il pacchetto per la vostra piattaforma.
2. Verificate che lo spazio libero non sia inferiore a 50 MB: la sezione «Sistema → Software» in LuCI mostra lo spazio residuo.
3. Caricate il pacchetto tramite la stessa sezione di LuCI oppure via SSH con il comando di installazione di opkg.
4. Attendete l’installazione delle dipendenze; al primo avvio il demone creerà le proprie impostazioni.
5. Aprite la nuova pagina MeduzaVPN nel menu di LuCI ed effettuate l’accesso tramite codice QR.
6. Scegliete la posizione e il protocollo, attivate la connessione e verificate l’IP da un qualsiasi dispositivo della rete.

Build statiche per altre piattaforme

Se il vostro router funziona su arm64, armv7 o mips, usate la build statica del demone. Non dipende dalle librerie del firmware e viene eseguita come un servizio normale. In questo caso la pagina in LuCI non è disponibile: l’accesso e la scelta della posizione avvengono tramite comandi via SSH, e i parametri sono conservati in un file di configurazione. Questo percorso è pensato per chi ha dimestichezza con la console.

Accesso tramite codice QR e pagina in LuCI

Il router non ha una tastiera comoda, e conservarvi la password dell’account non è una buona idea. Per questo l’accesso è organizzato come sulla TV: la pagina MeduzaVPN in LuCI mostra un codice QR, che si scansiona con il telefono su cui è installata l’app, oppure si apre il link nel browser e si conferma l’accesso. Il router riceve una propria chiave di accesso, che si può revocare dall’account in qualsiasi momento.

Sulla stessa pagina sono disponibili:

• lo stato della connessione, la posizione attuale e l’IP esterno;
• la scelta tra oltre 60 posizioni e il cambio di protocollo — MeduzaVPN ULTRA, WireGuard, VLESS e altri;
• l’attivazione del kill switch;
• la scelta di quali dispositivi o sottoreti passano dal tunnel;
• il registro degli ultimi eventi di connessione.

Il router è semplicemente un altro dispositivo nell’account. Non consuma un abbonamento a parte e non occupa uno «slot»: non c’è alcun limite sul numero di dispositivi. Se condividete la VPN con la famiglia, guardate come funziona l’accesso condiviso.

Kill switch e suddivisione del traffico

Kill switch

In caso di interruzione del tunnel, il router può far passare il traffico direttamente, oppure bloccarlo fino al ripristino. La seconda modalità è il kill switch. Sul router agisce su tutti i dispositivi, quindi decidete in anticipo: se avete apparecchi per cui è importante un accesso a internet continuo (videosorveglianza, casa smart), potrebbe essere meglio farli passare fuori dal tunnel e attivare il blocco solo per il resto.

Suddivisione per dispositivo

In OpenWrt il traffico si divide facilmente per client. Una soluzione pratica è avere due reti Wi-Fi: una passa dalla VPN, l’altra va diretta. TV e set-top box si collegano alla prima, i dispositivi di lavoro con VPN aziendale alla seconda. È lo stesso principio dello split tunneling nelle app, solo che qui il confine è la rete e non l’elenco dei programmi.

DNS

Verificate che anche le richieste DNS passino dal tunnel. Se il router continua a interrogare il server DNS del provider, i siti vedranno l’IP della VPN, ma il provider vedrà l’elenco dei domini. Il pacchetto MeduzaVPN configura il DNS nel tunnel per impostazione predefinita, ma con modifiche manuali a dnsmasq vale la pena ricontrollare.

Limiti e cosa considerare

• Velocità. La cifratura viene eseguita dal processore del router. Su MT7621 il tetto pratico è di decine di megabit al secondo, su Filogic e x86 di centinaia. Per video in 4K è sufficiente, per una connessione gigabit no.
• Una sola posizione per tutti. Il router è collegato a un solo server. Se un dispositivo ha bisogno di Amsterdam e un altro di Tokyo, bisognerà o cambiare posizione o lasciare l’app sul singolo dispositivo.
• Servizi geolocalizzati. Tutti i dispositivi ottengono l’IP della posizione scelta, e alcuni servizi inizieranno a mostrare un catalogo, una valuta e una lingua stranieri. Per questi casi usate la suddivisione del traffico.
• Cambio di protocollo in base alla rete. Il provider potrebbe iniziare a interferire con un protocollo; sul router lo si nota subito in tutta la casa. Tenete a portata di mano la pagina di LuCI per cambiare protocollo — ad esempio da WireGuard a MeduzaVPN ULTRA.
• Aggiornamenti. Il pacchetto si aggiorna tramite opkg, come gli altri componenti di OpenWrt. Vale la pena controllare le nuove versioni ogni pochi mesi.
• Punto di guasto unico. Un errore nella configurazione del router lascia tutti senza internet. Salvate una copia di backup della configurazione prima di apportare modifiche.

Alternative al router

Il router non serve sempre. Se l’obiettivo è solo la TV o il set-top box, è più semplice installare l’app direttamente sul dispositivo.

Per le TV, MeduzaVPN offre app per Apple TV, Android TV e Fire TV: accesso tramite codice dal telefono, scelta della posizione con il telecomando, lo stesso server personale. Molti combinano entrambi gli approcci: il router per i dispositivi senza client, le app per telefoni e laptop che escono di casa.

Conclusione

La VPN sul router con OpenWrt è un modo per proteggere tutta la casa con una sola connessione e mettere al sicuro i dispositivi privi di un proprio client. Le condizioni principali: 40–46 MB di storage, una piattaforma supportata e la consapevolezza di come si comporterà la rete in caso di interruzione del tunnel.

La VPN personale di MeduzaVPN sul router usa lo stesso server dedicato con IP proprio delle app, e l’account è unico per tutti i dispositivi. Sugli abbonamenti sono previsti 7 giorni gratuiti e il rimborso entro 15 giorni. Scegliere un piano.

Domande frequenti