Due generazioni di VPN a confronto:
- OpenVPN – il veterano collaudato: gira in user-space, cifratura configurabilissima (TLS), attraversa NAT e firewall restrittivi mascherandosi come traffico TLS sulla 443 (utile in reti ostili), autenticazione ricca (certificati, utente/password, MFA). Contro: lento rispetto a WireGuard, configurazione verbosa, tanta superficie di codice
- WireGuard – il moderno: nel kernel, poche migliaia di righe (auditabile, meno bug), crittografia moderna e non configurabile-male, prestazioni molto superiori e handshake istantaneo. Contro: più "nudo" (niente attraversamento di firewall ostili di serie, gestione IP più manuale – che le mesh come Tailscale risolvono)
La scelta pratica: per un nuovo setup, WireGuard quasi sempre – più veloce, più semplice, più sicuro per costruzione; e con Tailscale/Headscale sopra, sparisce anche la complessità di configurazione. OpenVPN resta valido dove serve eludere reti restrittive (il mascheramento TLS sulla 443 supera firewall che bloccano WireGuard) o per compatibilità con sistemi legacy. Per il self-hosting quotidiano – raggiungere il NAS, Home Assistant, la GUI di Proxmox – WireGuard in mesh è la risposta che consiglierei senza esitare.