Dal team HushVPS · Aggiornato 2026 · 9 min di lettura
L'espressione "nessun log" è la promessa più ripetuta nel settore VPN e la meno verificabile. Ogni fornitore commerciale la stampa, pochi pagano per un audit che cattura un singolo momento nel tempo, e tutti ti chiedono di credere al resto per fede. C'è un modo più pulito per ottenere la stessa protezione senza fidarsi del marketing di nessuno: gestisci tu stesso l'endpoint. Un VPS WireGuard senza log trasforma la politica da uno slogan a cui devi credere in una configurazione che puoi leggere, perché la macchina è tua e l'interruttore dei log è nelle tue mani. Questa guida percorre l'intero percorso ad alto livello — perché il self-hosting vince, come si assembla un box WireGuard, come mantenerlo genuinamente senza log e come costruirlo e gestirlo senza legare il server al tuo nome.
La maggior parte delle app VPN mainstream usa già WireGuard sotto il cofano, quindi la differenza tra noleggiare la loro uscita e costruire la tua non è il protocollo o la velocità. La differenza è chi detiene la fiducia. Quando un'azienda dice di non tenere log, non puoi ispezionare i suoi server, il suo hypervisor, il suo fornitore a monte o gli ordini legali a cui potrebbe essere silenziosamente soggetta. L'affermazione vive interamente fuori dal tuo controllo. Quando tu possiedi il box, la stessa affermazione si riduce a qualcosa che puoi controllare riga per riga: WireGuard non registra nulla su connessioni o contenuti del traffico a meno che tu non configuri esplicitamente qualcosa per farlo.
C'è un secondo vantaggio, più silenzioso: la forma del bersaglio. Gli IP di uscita di una VPN popolare sono famosi. Sono in blocklist, fingerprintati e condivisi con migliaia di sconosciuti il cui comportamento non puoi influenzare. Il tuo endpoint è un IP di server anonimo che usi solo tu. Questo è peggio per sparire nella folla e meglio per mantenere un'identità stabile e incontestata che possiedi completamente. Scegliere tra i due significa davvero scegliere per cosa ti stai ottimizzando: copertura della folla o controllo. Un endpoint self-hosted è decisamente incentrato sul controllo — dell'uscita, delle chiavi e dei log.
Gli ingredienti sono modesti. WireGuard è notoriamente leggero — un tunnel personale incide a malapena su CPU o RAM, e il vero vincolo è la banda mensile piuttosto che la potenza di calcolo. Ti servono tre cose:
Nulla qui richiede un pannello di controllo, uno script di installazione che chiama a casa o un'immagine preconfigurata. Il punto del self-hosting è che lo stack è solo ciò che ci metti tu, quindi parti da un OS semplice e aggiungi esattamente WireGuard e nient'altro.
L'intera filosofia di design di WireGuard è essere abbastanza piccolo da poter essere auditato, e la configurazione lo riflette. A livello concettuale, un tunnel funzionante è quattro mosse:
Ogni peer — il server e ogni client — ottiene la propria chiave privata e una chiave pubblica corrispondente. La chiave privata non lascia mai il dispositivo a cui appartiene. Genera la chiave del server sul server (o offline e copia solo ciò che devi), e genera la chiave di ogni client sul client. I peer WireGuard si autenticano a vicenda puramente tramite chiave pubblica, quindi non ci sono password, certificati o account da nessuna parte.
Il server ottiene un'interfaccia — convenzionalmente wg0 — con la sua chiave privata, una porta UDP in ascolto e un indirizzo interno per la sottorete del tunnel (qualcosa in un range privato come 10.8.0.0/24). Poi aggiungi un blocco [Peer] per ogni client, ognuno che nomina la chiave pubblica del client e l'indirizzo del tunnel che gli è permesso usare. Questa lista allowed-IPs è anche la lista di controllo degli accessi: un peer può inviare traffico solo dagli indirizzi che gli concedi.
Per far sì che il box agisca come uscita VPN piuttosto che come semplice mesh privato, attiva l'IP forwarding nel kernel e aggiungi una regola NAT così il traffico del tunnel viene mascherato fuori dall'interfaccia pubblica del server. Questo è il punto in cui le persone inciampano — senza forwarding e NAT, i client si connettono ma non possono raggiungere internet. Per il resto, mantieni il firewall stretto: apri solo la porta UDP di WireGuard al mondo e lascia tutto il resto chiuso.
Avvia l'interfaccia, conferma che sopravviva a un riavvio abilitandola come servizio, e fornisci a ogni client una configurazione che nomina la chiave pubblica del server, il suo IP pubblico e porta, e un allowed-IPs di 0.0.0.0/0 se vuoi che quel client instradi tutto il suo traffico attraverso il tunnel. La documentazione di avvio rapido di WireGuard copre i comandi esatti; la forma sopra è ciò a cui quei comandi portano.
Questo è l'intero modello mentale. Non c'è uno zoo di demoni, nessuna configurazione tentacolare e — cosa critica — nulla nella configurazione predefinita che scrive un record di chi si è connesso o dove sono andati i loro pacchetti.
Ecco la parte che rende utile l'intero esercizio. WireGuard non registra connessioni o traffico per design — lo strumento wg mostra un timestamp di handshake live e contatori di trasferimento per ogni peer, ma quello stato vive in memoria e non viene scritto su disco come cronologia. Quindi "nessun log" sul tuo box non è qualcosa che attivi; è il default, e il tuo compito è semplicemente evitare di annullarlo silenziosamente. Alcune cose da tenere d'occhio:
PostUp che registrano l'attività dei peer o eseguono la contabilità delle connessioni. Se vuoi un endpoint veramente senza log, lasciali fuori. Ogni riga che registra chi si è connesso è una riga che dovresti difendere in seguito.Il motivo per cui questo è affidabile dove una promessa commerciale non lo è si riduce a incentivi e ispezionabilità. Non c'è reparto marketing, nessuna pressione degli azionisti e nessuna terza parte tra te e l'uscita che possa cambiare la politica senza dirtelo. La postura senza log è una proprietà di una macchina che amministri, non una promessa che hai esternalizzato. Si basa sulla stessa minimizzazione a livello di piattaforma alla base del nostro approccio VPS senza log — estesa a un carico di lavoro dove sei tu, non l'host, a possedere l'interruttore.
Una VPN senza log perde gran parte del suo valore se il modo in cui la costruisci e la gestisci collega il server a te. Il tunnel potrebbe essere pulito, ma se hai ordinato la VPS con un nome reale, pagato con una carta e ti connetti via SSH dal tuo IP di casa, i metadati attorno alla macchina raccontano la storia che il tunnel doveva nascondere. Chiudere questa lacuna è semplice:
Fatto in questo modo, entrambe le estremità del problema di fiducia sono chiuse. Il provider non scopre mai chi sei, la rete non vede mai che amministri la macchina e l'endpoint non conserva alcuna registrazione di ciò che è passato. Questa è una VPN veramente senza log, e ogni anello della catena è ispezionabile.
Una volta che hai una macchina che controlli completamente, il tunnel è raramente l'unica cosa che ci vive. La stessa macchina tende a diventare la tua porta d'ingresso privata per tutto il resto: un host di salto, un modo per raggiungere i servizi a casa o il punto di ingresso per uno stack più grande che preferiresti che nessun altro potesse leggere. Se è questa la direzione che stai prendendo, la nostra guida per eseguire un VPS self-hosting privato riprende esattamente da dove finisce questa, su infrastruttura che mantiene la stessa postura senza log e senza KYC. Un endpoint WireGuard è un ottimo primo servizio proprio perché insegna le abitudini — possedere le chiavi, possedere i log, mantenere puliti i metadati — che rendono privato anche tutto il resto che ospiti.
Una nota finale sull'ambito: la privacy non è la stessa cosa dell'illegalità. HushVPS è legale offshore e minimizza i dati, e gestire una VPN personale o per piccoli gruppi per te, la tua famiglia o poche persone fidate rientra pienamente nella nostra politica di utilizzo accettabile. Usare un tunnel per ripulire traffico di attacco, distribuire malware o danneggiare altri non lo è. Costruisci l'endpoint che ti è sempre stato permesso avere — uno dove la promessa senza log è tua da mantenere.
Senza nome, senza carta, senza KYC — ordina via Tor e detieni l'unica chiave di amministrazione. WireGuard è leggerissimo, quindi anche il più piccolo fantasma esegue un tunnel personale con spazio in abbondanza.
Continua a leggere: cosa conserva realmente una VPS senza log · come funziona l'ordine anonimo · piani e prezzi