VPN sul router: coprire tutta la casa

Ci sono dispositivi che non accettano un’app e basta. La Smart TV di marca meno diffusa, la console, il decoder, il vecchio lettore multimediale collegato al televisore in salotto. Puoi avere la VPN configurata alla perfezione su telefono e computer e ritrovarti comunque bloccato proprio sullo schermo grande, che è quello per cui l’avevi presa.

Una VPN configurata sul router risolve il problema a monte. Invece di installare qualcosa su ogni apparecchio, sposti il tunnel sul dispositivo che gestisce tutta la rete di casa: da quel momento qualsiasi cosa si colleghi a quel Wi-Fi esce dal paese che hai scelto, senza sapere nulla di VPN. Il televisore non se ne accorge, e non deve.

Il prezzo da pagare è che la configurazione è più tecnica di un’app e meno flessibile da cambiare al volo.

Quando conviene e quando no

Conviene se hai molti dispositivi da coprire, se ne hai almeno uno senza app disponibile, oppure se sei stanco di accendere e spegnere la connessione su ogni apparecchio. Conviene anche se in casa c’è chi non ha voglia di imparare a usare un’app.

Non conviene se ti serve cambiare paese spesso, perché ogni cambio richiede di rientrare nel pannello del router. Non conviene se la tua connessione è già lenta, per il motivo spiegato più sotto nel primo criterio d’acquisto. E non conviene se in casa qualcuno lavora con servizi che rifiutano gli accessi da indirizzi non familiari, a meno che il router non permetta di escludere singoli dispositivi.

Il caso che porta più italiani a mettere mano al router è il salotto. RaiPlay è gratuito e chiede solo la registrazione di un account, ma sui televisori Samsung e LG gira dentro Tizen e webOS, due sistemi che nei loro negozi non hanno applicazioni VPN: sul telefono l’app parte, sullo schermo grande no, e non esiste impostazione del televisore che cambi la situazione. Il router è l’unico punto della catena su cui puoi intervenire senza comprare altro hardware. Che cosa succede poi lato Rai, quando la richiesta arriva da un indirizzo italiano, è nella scheda su RaiPlay dall’estero, e vale allo stesso modo per Mediaset Infinity e per la diretta di La7, che sui televisori passano dalle stesse app di sistema.

Passo 1 — Verifica cosa supporta il tuo router

La condizione necessaria è che il firmware abbia una funzione di client VPN, cioè che il router possa collegarsi lui stesso a un server esterno. Non basta che ci sia scritto VPN nel pannello: molti modelli hanno solo la funzione di server VPN, che serve a raggiungere la rete di casa da fuori e fa il lavoro opposto a quello che ti interessa. Cerca una voce che parli di client VPN, di OpenVPN client o di WireGuard client, con i campi per caricare un file di configurazione e inserire delle credenziali: se non c’è, nessuna impostazione la fa comparire.

Il modem dell’operatore: TIM, Vodafone, Fastweb, WindTre, Iliad

I modem router dati in comodato hanno un firmware ridotto, che l’operatore controlla e aggiorna: nella configurazione standard il client VPN non c’è, e vale per le famiglie più diffuse nelle case italiane, dai TIM Hub alle Vodafone Station, dal FASTGate di Fastweb agli apparecchi di WindTre e alla Iliadbox. Non è un difetto dei modelli, è una scelta di prodotto.

Da qui escono due strade, e quale ti resti dipende dal tuo apparecchio più che dall’operatore.

• La modalità bridge, quando il pannello la espone, spegne le funzioni di router del modem e lo riduce a semplice porta d’ingresso della linea: da lì in poi comanda il tuo router, senza doppio NAT. La voce si chiama in modi diversi a seconda del firmware e in diversi modelli non è raggiungibile dall’utente, quindi va cercata nel pannello o chiesta all’assistenza dell’operatore prima di comprare qualcosa.
• Il modem di tua proprietà. In Italia hai il diritto di usare un tuo apparecchio al posto di quello in comodato: le credenziali della linea e i parametri di configurazione l’operatore è tenuto a fornirteli. È la via più pulita, ma tocca anche il telefono fisso e l’assistenza, quindi va valutata con calma.

Se nessuna delle due è praticabile, resta il secondo router a valle, spiegato più sotto: funziona anche senza modalità bridge, al prezzo di un doppio NAT.

Quali router sanno fare da client VPN

Tre categorie, in ordine di fatica crescente.

Router di consumo con client VPN di serie. Apparecchi da acquistare a parte, di fascia media o alta, che nel firmware originale hanno già la voce client VPN. Nessuna modifica, nessuna garanzia a rischio, aggiornamenti dal produttore.

Router da viaggio. Piccoli, alimentati via USB, pensati per creare una rete personale in albergo o in un appartamento in affitto, e spesso con un client VPN incluso. Coprono pochi dispositivi, ma risolvono il caso del televisore in una casa che non è tua.

Router che accettano firmware alternativi. Un firmware di terze parti aggiunge il client VPN a modelli che non l’avrebbero. I progetti di riferimento, quelli con una comunità attiva e un elenco pubblico dei modelli supportati, sono tre: OpenWrt, DD-WRT e FreshTomato, che continua la strada del vecchio Tomato. È l’opzione più potente e la più rischiosa: può invalidare la garanzia e, se l’installazione va storta, rendere inservibile l’apparecchio. Ha senso solo se il modello è esplicitamente supportato dal progetto e se sei disposto a perderlo.

Non esiste una marca che vada bene per definizione: gli stessi produttori vendono nella stessa serie modelli con il client VPN e modelli senza. I controlli da fare sul modello preciso che hai in mano, o nel carrello, sono tre.

1. Cerca le parole giuste nella scheda tecnica o nel manuale, che i produttori pubblicano in PDF sulla pagina del prodotto. Devono comparire client OpenVPN, client WireGuard o VPN client. Se trovi solo VPN server, server OpenVPN o VPN passthrough, quel router non fa al caso tuo: la prima voce serve a entrare in casa da fuori, la terza si limita a lasciar transitare un tunnel creato da un altro apparecchio.
2. Cerca il tuo modello nell’elenco delle guide del provider VPN. NordVPN e gli altri servizi pubblicano tutorial di configurazione per i router che hanno documentato, e quell’elenco è l’unica fonte che si aggiorna alla stessa velocità dei modelli in commercio. Se il tuo compare, hai anche i passaggi già scritti; se non compare, non è detto che non funzioni, ma la serata te la giochi da solo.
3. Se punti al firmware alternativo, verifica la revisione hardware, non solo il nome. OpenWrt tiene una tabella dell’hardware supportato, DD-WRT un database dei router, FreshTomato un elenco dei modelli compatibili: in tutti e tre lo stesso nome commerciale può esistere in versioni diverse, e la revisione stampata sull’etichetta sotto l’apparecchio è quella che decide se l’immagine giusta esiste.

Se devi comprarne uno

I criteri di scelta sono tre, e nessuno riguarda il numero di antenne.

1. Processore adeguato alla cifratura. È il collo di bottiglia reale: il router deve cifrare e decifrare tutto il traffico di casa. Sui modelli economici la velocità crolla molto prima di quella della linea, e su una diretta si vede prima che altrove: un film su Mediaset Infinity si riprende dopo qualche secondo di buffer, una partita su DAZN o su NOW no, perché il momento perso è perso. Se il motivo per cui stai leggendo questa pagina è la domenica pomeriggio, il modello dell’apparecchio conta più della scelta del provider.
2. Supporto a OpenVPN e, se possibile, a WireGuard. Il secondo è più leggero e pesa meno sul processore, ma non tutti i firmware lo prevedono. Verifica quale dei due protocolli il router supporta come client, non come server.
3. Possibilità di escludere singoli dispositivi. Serve il giorno in cui l’home banking o la console rifiutano l’indirizzo estero. Un firmware che permette di decidere quali dispositivi passano dal tunnel ti evita di dover spegnere tutto.

Se stai ancora valutando il servizio, nella recensione di NordVPN trovi come si comporta con i contenuti italiani e la guida all’installazione copre le configurazioni più semplici sugli altri dispositivi.

Passo 2 — Prendi i file e le credenziali giuste

Da qui in avanti serve un abbonamento già attivo: il router non ne crea uno e non fa da prova gratuita. Le configurazioni manuali sui router usano di solito OpenVPN, mentre i protocolli più recenti restano spesso disponibili solo dentro le app ufficiali. Dal pannello del tuo account scarichi il file di configurazione del server che ti interessa, uno per ogni località.

Il passaggio che blocca più persone è questo: le credenziali da inserire nel router non sono l’indirizzo email e la password con cui accedi al sito. Sono credenziali di servizio generate apposta, che trovi nella stessa area dell’account. Se il router rifiuta l’accesso ripetutamente, quasi sempre è per questo motivo.

Passo 3 — La configurazione, in ordine

1. Entra nel pannello del router dal browser, usando l’indirizzo locale stampato sull’etichetta dell’apparecchio.
2. Cerca la sezione VPN e scegli la modalità client, non server.
3. Carica il file di configurazione scaricato e inserisci le credenziali di servizio.
4. Salva, attiva la connessione e controlla che il pannello indichi lo stato collegato.
5. Da un dispositivo della rete, apri il browser e cerca qual è il mio indirizzo IP: deve risultare il paese scelto.

Se il router lo permette, imposta anche i server DNS suggeriti dal provider VPN. È il dettaglio che più spesso fa fallire il controllo di posizione anche quando l’indirizzo IP è corretto: se le richieste DNS continuano a passare dal server dell’operatore italiano di dove abiti, il servizio legge quella traccia e capisce dove sei.

Gli indirizzi si trovano nell’area account del provider, nella stessa pagina da cui hai scaricato i file di configurazione. Nel router vanno messi in uno di due punti, a seconda del firmware: nelle impostazioni della connessione a internet, dove di solito c’è una casella per sostituire i DNS automatici dell’operatore, oppure nelle impostazioni del DHCP, cioè fra i parametri che il router distribuisce ai dispositivi di casa. Se il pannello offre entrambe le caselle, riempile tutte e due e riavvia.

Le alternative se il router non collabora

Un secondo router dietro il primo. È la soluzione più usata in Italia, proprio per via dei modem degli operatori. Colleghi un router con client VPN a quello dell’operatore e crei una seconda rete Wi-Fi con un nome diverso: chi si collega a quella passa dalla VPN, chi resta sull’altra naviga normalmente. Il vantaggio è che scegli dispositivo per dispositivo semplicemente cambiando rete.

I passaggi, in ordine, sono cinque.

1. Collega i due apparecchi. Un cavo di rete dalla porta LAN del modem dell’operatore alla porta WAN (o Internet) del secondo router. Non LAN con LAN: sono due configurazioni diverse e quella sbagliata produce due reti che si disturbano a vicenda.
2. Cambia la rete del secondo router. I due apparecchi non devono usare lo stesso intervallo di indirizzi. Se il modem dell’operatore lavora su 192.168.1.x, imposta il secondo router su 192.168.2.x dal suo pannello, alla voce impostazioni LAN. Se non lo fai, il secondo router non riesce a distinguere la propria rete da quella a monte e non instrada niente.
3. Lascia un solo DHCP per rete. Ogni apparecchio deve assegnare gli indirizzi solo ai dispositivi collegati a lui: due server DHCP sullo stesso segmento sono la causa più comune di dispositivi che si scollegano a caso.
4. Configura la VPN sul secondo router seguendo i tre passaggi visti sopra: file di configurazione, credenziali di servizio, DNS del provider.
5. Verifica da entrambe le reti. Collegati alla rete nuova e controlla che l’indirizzo IP risulti italiano; poi collegati a quella del modem dell’operatore e controlla che risulti ancora quello di casa. Se entrambe danno lo stesso risultato, il cavo è nella porta sbagliata.

Il prezzo di questa architettura è il doppio NAT: il traffico attraversa due traduzioni di indirizzo invece di una. Per guardare video non cambia nulla, altrove si sente. Le console segnalano un tipo di NAT più chiuso e possono avere problemi con le partite online e la chat vocale, e i programmi che accettano connessioni in ingresso richiedono di aprire le porte su tutti e due gli apparecchi. Se in casa c’è chi gioca online, tienilo sulla rete del modem dell’operatore e lascia su quella VPN solo i dispositivi da salotto.

La condivisione dalla connessione del computer. Un portatile con la VPN attiva può condividere la connessione via hotspot. Funziona per una serata, non come sistema stabile: dipende dal computer acceso e la velocità ne risente.

L’app sui singoli dispositivi. Se gli apparecchi che ti interessano hanno tutti un’app disponibile, resta la strada più semplice e la più facile da cambiare. Prima di configurare il router vale la pena controllare se il tuo caso è già coperto: per i televisori la guida alla VPN su Smart TV elenca quali sistemi hanno un’app e quali no, e se guardi da una chiavetta la guida per Fire TV Stick risolve la cosa in dieci minuti, senza toccare la rete di casa.

Cosa cambia in casa

Da quando la VPN sta sul router, tutto il traffico della rete parte dal paese scelto. Le conseguenze pratiche sono tre: i siti locali ti mostreranno la lingua e i contenuti di quel paese, le consegne e le mappe suggeriranno risultati sbagliati, e i servizi che sorvegliano da dove arriva la connessione possono reagire.

L’home banking è il caso che dà più fastidio, ed è quello a cui pensare prima di premere salva. Le banche italiane usano l’indirizzo da cui arrivi come uno degli elementi del profilo di rischio dell’accesso: se il conto è abituato a vederti entrare da Berlino e da un giorno all’altro tutta la casa esce da un indirizzo italiano, l’operazione può richiedere una verifica in più o fermarsi in attesa di conferma. È il motivo per cui fra i criteri d’acquisto c’è la possibilità di escludere singoli dispositivi, o in alternativa per tenere il telefono della banca sulla rete normale quando devi disporre un bonifico. Come si comporta l’accesso al conto quando vivi stabilmente fuori è nella scheda sull’home banking dall’estero.

Se dopo la configurazione non funziona

I casi sono tre, e si riconoscono da cosa mostra il pannello del router.

Il pannello dice scollegato. La connessione non parte proprio. Riprova con un secondo file di configurazione, di un altro server dello stesso paese, e ricontrolla le credenziali di servizio, che non sono quelle del sito. È a posto quando lo stato passa a collegato e ci resta dopo un riavvio del router.

Il pannello dice collegato ma l’indirizzo è ancora quello di casa. Il tunnel è aperto e il traffico non ci passa: il problema è nella regola di instradamento, che deve coprire l’intera rete locale e non solo alcuni indirizzi. Controlla nel pannello quali dispositivi sono inclusi. È a posto quando il controllo dell’indirizzo IP dà il paese scelto da un dispositivo qualsiasi della rete, non solo da uno.

L’indirizzo risulta italiano ma il servizio blocca lo stesso. Prova un secondo server ricaricando un file di configurazione diverso, e verifica i DNS come descritto nel Passo 3. Se il blocco resta, non è più un problema di configurazione: i controlli in ordine di probabilità sono nella guida su cosa fare quando la VPN non funziona. Se il dubbio è sul provider, il confronto fra i servizi chiarisce quali offrono documentazione per l’uso sul router.

Per tornare indietro non serve resettare niente: nel pannello del router si disattiva il client VPN e la rete torna a uscire con l’indirizzo dell’operatore, mentre file di configurazione e credenziali restano salvati per la volta successiva. Se invece stai smontando tutto, l’ordine dei passaggi e il caso dell’abbonamento sono nella guida per disattivare la VPN.