AmneziaWG e WireGuard: qual è la differenza e quale versione scaricare

AmneziaWG contro WireGuard — cosa scegliere? In realtà è lo stesso identico protocollo VPN, e la differenza tra i due è una sola: AmneziaWG maschera il traffico, perciò i filtri degli operatori non lo riconoscono. NvoVPN funziona su AmneziaWG per impostazione predefinita, e nella tua area personale genera il file di configurazione in entrambi i formati. Di seguito — come scegliere e cosa scaricare in quattro passaggi, la tabella delle differenze e le risposte su compatibilità, velocità e router. Se sei in Russia — leggi assolutamente il blocco «Sei in Russia?».

1. 1

   Capisci la differenza in una frase

   AmneziaWG è lo stesso WireGuard, ma i suoi pacchetti sono mascherati all'esterno. Cifratura, chiavi e velocità sono le stesse, e le apparecchiature degli operatori (DPI — analisi approfondita del traffico) non vi riconoscono una VPN e non li bloccano.

2. 2

   Prendi il file nella tua area personale

   Apri l'area personale → «Connessione» → «Manuale». Scegli un server, assegna un nome al dispositivo e fai clic su «Crea». Comparirà il file .conf per AmneziaWG, e accanto la variante per WireGuard normale, il codice QR e il testo. Un file, un dispositivo.

3. 3

   Scegli la variante giusta per il dispositivo

   Telefono e computer — l'app NvoVPN, che funziona già su AmneziaWG. Router o client con supporto AmneziaWG — il file AmneziaWG. Router o client che sa usare solo WireGuard — la variante WireGuard, che funziona dove la VPN non è bloccata. In Russia e ovunque la VPN venga bloccata — solo AmneziaWG.

4. 4

   Verifica che la VPN funzioni

   Connettiti e apri la pagina «Qual è il mio IP». Dovrebbe comparire l'indirizzo del server NvoVPN, non quello del tuo provider. L'indirizzo non è cambiato — la connessione non si è stabilita: in una rete con blocchi sostituisci la variante WireGuard con il file AmneziaWG.

In breve: la tabella delle differenze

Cos'è WireGuard e perché si vede

WireGuard è nato come risposta ai pesanti OpenVPN e IPsec: circa quattromila righe di codice contro centinaia di migliaia, crittografia moderna senza scelta di cifrari, integrato nel kernel Linux dalla versione 5.6 (2020). Funziona solo su UDP, la connessione si stabilisce con un solo handshake, e il passaggio tra Wi-Fi e rete mobile avviene senza che te ne accorga. Per questo la maggior parte dei servizi VPN è passata a lui.

La semplicità ha un prezzo. Gli autori scrivono apertamente che WireGuard non si occupa di mascheramento — questo «deve avvenire a un livello superiore». Ogni pacchetto dell'handshake ha una dimensione fissa (148 byte la richiesta, 92 byte la risposta) e primi byte fissi. Le apparecchiature DPI riconoscono questa sequenza all'istante — e in molte reti semplicemente non la lasciano passare.

Cosa aggiunge AmneziaWG

AmneziaWG è un fork open source di WireGuard realizzato dal team Amnezia. Il nucleo crittografico non è stato toccato: chiavi, cifrari e handshake Noise sono gli stessi. È cambiato l'aspetto esterno dei pacchetti. Nella configurazione sono alcuni parametri:

• Jc, Jmin, Jmax — prima dell'handshake il client invia Jc pacchetti «spazzatura» di lunghezza casuale tra Jmin e Jmax. Lo schema caratteristico «148 → 92» scompare.
• S1–S4 — ai pacchetti di servizio (richiesta, risposta, cookie, dati) viene aggiunto un prefisso casuale: la loro dimensione non è più quella di riferimento.
• H1–H4 — i numeri standard dei tipi di messaggio di WireGuard vengono sostituiti con valori propri, e il filtro non trova intestazioni familiari.
• Nelle versioni più recenti del protocollo sono stati aggiunti pacchetti esca che imitano altri protocolli, e una protezione dall'analisi statistica. L'app NvoVPN usa la versione attuale e inserisce i parametri da sola.

Il risultato: per il DPI il flusso appare come traffico UDP anonimo, senza firme. Dove il WireGuard normale non si connette affatto, AmneziaWG passa. Se il filtro è più aggressivo e blocca qualsiasi UDP non familiare, l'app NvoVPN passa alla modalità stealth VLESS/Reality.

Compatibilità, velocità e batteria

Un client AmneziaWG con i parametri di mascheramento a zero è completamente compatibile con un server WireGuard normale — e viceversa. Ma non appena i parametri sono attivi, le due parti smettono di capire i pacchetti l'una dell'altra: un client AmneziaWG non si connetterà a un server WireGuard normale, né un client WireGuard a un server AmneziaWG. Per questo ogni configurazione nella tua area personale ha due varianti. Non puoi mescolarle, ma puoi usarle entrambe su dispositivi diversi.

I pacchetti spazzatura vengono inviati solo nel momento in cui si stabilisce la connessione, e il riempimento aggiunge decine di byte ai pacchetti. Secondo misurazioni indipendenti, la differenza rispetto al WireGuard «puro» è di pochi punti percentuali; il massimo teorico di overhead dal riempimento è circa un decimo. Su telefono e portatile è impossibile notarla; il consumo della batteria è lo stesso di WireGuard.

Cosa scegliere in NvoVPN

• Telefono, computer — l'app NvoVPN: AmneziaWG con passaggio automatico alla modalità stealth, niente da scegliere.
• Router Keenetic, OpenWrt, GL.iNet — il file AmneziaWG dalla tua area personale, come nelle guide «VPN sul router» e «VPN su Keenetic».
• ASUS, MikroTik, TP-Link e altri client solo WireGuard — la variante WireGuard della stessa configurazione. Funziona dove il protocollo non viene bloccato: ASUS, MikroTik, TP-Link.
• Linux — amneziawg-tools, come nella guida per Linux; il normale wireguard-tools solo nelle reti senza filtri.

Domande frequenti

AmneziaWG è meno sicuro, visto che gli hanno aggiunto qualcosa? No. Le aggiunte riguardano solo l'aspetto esterno dei pacchetti; la cifratura e lo scambio delle chiavi sono quelli originali di WireGuard.

Si può riconoscere e bloccare AmneziaWG? Nessun protocollo offre una garanzia totale: i filtri imparano, e gli sviluppatori rispondono con nuove versioni. In pratica AmneziaWG passa dove WireGuard è bloccato; per il caso più difficile c'è la modalità stealth.

Perché nell'app non c'è la scelta tra «WireGuard o AmneziaWG»? Perché AmneziaWG non è peggiore sotto nessun aspetto, e nelle reti con filtri è l'unica opzione che funziona. La scelta serve solo per router e client di terze parti, ed è disponibile nella tua area personale.

Dove scarico un client AmneziaWG? Per telefono e computer — l'app NvoVPN, AmneziaWG è già dentro. Client separati per Windows, macOS, Android, iOS e Linux li pubblica il team Amnezia su GitHub — per loro va bene il file AmneziaWG dalla tua area personale.

Si può installare AmneziaWG su un router? Sì — su Keenetic (KeeneticOS 4.3.4 e successivi), OpenWrt con i pacchetti amneziawg e GL.iNet. Nel dettaglio — nella guida sui router.

Leggi anche: Perché la VPN smette di funzionare e come funziona la modalità stealth · Come configurare una VPN sul router · Come configurare una VPN su Linux