WireGuard ha rivoluzionato le VPN con una filosofia opposta a IPsec/OpenVPN: poche migliaia di righe di codice (contro centinaia di migliaia), crittografia moderna e non configurabile-male, prestazioni quasi native perché vive nel kernel. Una coppia di chiavi per peer, e il tunnel c'è.
Sopra WireGuard sono nate le mesh VPN che risolvono la parte scomoda (chi conosce l'IP di chi, il NAT traversal): Tailscale – i tuoi dispositivi formano una rete privata cifrata peer-to-peer, si raggiungono ovunque siano, con identità e ACL centralizzati; Headscale e Netbird ne sono le alternative self-hostabili, per chi non vuole dipendere da un coordinatore altrui.
È oggi la risposta giusta per la maggior parte del self-hosting: il NAS, Home Assistant, la GUI di Proxmox non hanno bisogno di essere su internet – hanno bisogno di essere raggiungibili da te. Niente porte aperte, niente IP esposto, niente origine da proteggere: il servizio semplicemente non è pubblico.