WireGuard tra Ubuntu 24.04 e NAS QNAP: configurare un tunnel VPN

Collega un server Ubuntu 24.04 a un NAS QNAP come client WireGuard, con chiavi separate, rotte limitate e controlli del tunnel.

Scenario e prerequisiti

Ubuntu 24.04 è il peer raggiungibile su UDP 51820; il NAS QNAP avvia la connessione come client di QVPN Service. Verifica che il modello e la versione QTS/QuTS supportino WireGuard nel client QVPN, che il nome DNS punti a Ubuntu e che router e firewall consentano UDP 51820. Gli indirizzi 10.77.20.1 e 10.77.20.2 sono esempi: scegli una rete non sovrapposta alle LAN e alle VPN già presenti. Il tunnel collega i due peer, non l’intera LAN del NAS.

Installare e creare le chiavi Ubuntu

Installa WireGuard e genera la coppia di chiavi in /etc/wireguard con directory privata. Il comando stampa soltanto la chiave pubblica, da copiare nel profilo QNAP; tieni segreta server.key. Prima di cambiare un firewall remoto assicurati di conservare l’accesso SSH e una console di recupero.

sudo apt update
sudo apt install wireguard
sudo install -d -m 700 /etc/wireguard
sudo sh -c 'umask 077; wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub'
sudo cat /etc/wireguard/server.pub

Configurare wg0 sul server

Crea /etc/wireguard/wg0.conf con l’esempio; sostituisci i due segnaposto Base64 con la chiave privata di Ubuntu e la chiave pubblica generata dal QNAP, senza parentesi angolari. AllowedIPs 10.77.20.2/32 nel peer server accetta e instrada soltanto l’indirizzo VPN del NAS. Proteggi il file perché contiene la chiave privata. Se vuoi raggiungere reti dietro il NAS, occorrono rotte, regole firewall e inoltro IP ulteriori: il semplice peer qui non basta.

[Interface]
Address = 10.77.20.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY_BASE64

[Peer]
PublicKey = QNAP_PUBLIC_KEY_BASE64
AllowedIPs = 10.77.20.2/32

Configurare il client QNAP

Apri QVPN Service > VPN Client > VPN Connection Profiles > Add > WireGuard. Genera una coppia di chiavi sul NAS; registra la sua chiave pubblica nel file del server. Imposta l’indirizzo del tunnel 10.77.20.2, la chiave pubblica del server, endpoint server.example.com:51820 e Allowed IPs 10.77.20.1/32 per inviare nel tunnel solo il traffico verso il server. Le etichette esatte possono variare secondo la versione. Evita 0.0.0.0/0 se non intendi instradare l’intero traffico del NAS nella VPN.

Aprire la porta e provare

Dopo aver verificato la regola SSH, apri UDP 51820 in UFW e nell’eventuale firewall esterno; inoltra la porta sul router solo se Ubuntu non ha IP pubblico diretto. Avvia wg-quick@wg0 e connetti il profilo QNAP. wg show indica handshake recente e contatori di traffico; ping è utile se consentito dai firewall ma un ping bloccato da solo non prova che il tunnel sia guasto. Se fallisce, confronta chiavi, endpoint, indirizzi e AllowedIPs su entrambi i lati.

sudo chmod 600 /etc/wireguard/wg0.conf
sudo ufw allow 51820/udp
sudo systemctl enable --now wg-quick@wg0
sudo wg show
ping -c 3 10.77.20.2

NAT e sicurezza

Se il QNAP si trova dietro NAT e perde la mappatura nei periodi di inattività, configura PersistentKeepalive = 25 sul peer QNAP se QVPN offre tale opzione. Non metterlo soltanto nella sezione server aspettandoti di mantenere aperto il NAT del client. Non pubblicare le chiavi private; aggiorna i sistemi, limita l’accesso ai servizi NAS e controlla periodicamente il tunnel. WireGuard cifra il traffico in transito, ma il backup richiede anche verifica, copie e ripristino.

Fonti

QNAP QVPN: https://www.qnap.com/en/how-to/tutorial/article/how-to-set-up-and-use-qvpn-service-and-qvpn-device-client ; WireGuard: https://www.wireguard.com/quickstart/ .