3X-UI, Hiddify o Marzban nel 2026: come scegliere e configurare una VPN self-hosted — guida passo dopo passo

Introduzione

In questa guida pratica sceglierai passo dopo passo il pannello VPN più adatto per il tuo server self-hosted nel 2026, confronterai 3X-UI, Hiddify e Marzban, configurerai un VPS, installerai il pannello, creerai utenti e testerai la connessione su telefono e computer. Affronteremo i problemi più comuni, offrendo istruzioni chiare senza gergo superfluo, e alla fine avrai una VPN funzionante con configurazioni moderne e un’interfaccia di amministrazione semplice da usare.

La guida è pensata per principianti ma include sezioni avanzate: imparerai non solo a cliccare pulsanti, ma anche a capire il perché di ogni impostazione e come evitare problemi. Se necessario, potrai scalare la soluzione per la famiglia, il team o una piccola impresa, ottimizzando la rete per streaming, conferenze e gaming.

È utile avere conoscenze base dei comandi Linux, come connettersi via SSH e la differenza tra TCP e UDP in termini di utilizzo. Ma anche se non hai mai configurato una VPN, seguendo i passaggi tutto andrà liscio.

Tempo previsto: 2–4 ore per la prima installazione, comprensive di acquisto VPS, installazione pannello, creazione utenti e test clienti. Se hai esperienza con Linux e Docker, puoi completare in 60–90 minuti.

Preparazione preliminare

Prima di iniziare, assicurati di avere accesso a un server cloud o host fisico con indirizzo IPv4 pubblico. Per la massima compatibilità nel 2026, usa la versione LTS aggiornata di Ubuntu Server o Debian. Sceglieremo un pannello per la dimostrazione, ma mostreremo anche come installare tutti e tre per fare un confronto.

Strumenti e accessi necessari

• Server cloud (VPS) o dedicato con IPv4 pubblico.
• Client SSH sul tuo computer (integrato su macOS e Linux; su Windows puoi usare il terminale integrato o qualsiasi altro terminale).
• Diritti di amministratore sul server (root o utente con sudo).
• Preferibile un nome di dominio per ottenere certificati TLS e semplificare la connessione dei client.

Requisiti di sistema

• Sistema operativo: Ubuntu Server 22.04/24.04 LTS o Debian 12.
• CPU: 1–2 vCPU sufficienti per famiglia o piccolo team.
• RAM: 1–2 GB per 3X-UI, 2–4 GB per Hiddify e Marzban con pannelli, metriche e margine.
• Disco: 10–20 GB SSD.
• Rete: canale stabile da almeno 100 Mbps, porte aperte 22/SSH, 80/HTTP, 443/HTTPS, e porte UDP per WireGuard se previsto.

Cosa installare

• Aggiornamenti di sistema e strumenti base (htop, curl, tar, unzip, jq opzionale).
• Docker e plugin docker compose (dai repository del sistema operativo).
• UFW o altro firewall per protezione base.
• Fail2ban per ridurre il rischio di attacchi brute force su SSH.

Backup

Se stai migrare da una VPN già in funzione, esporta in anticipo le configurazioni utenti e le chiavi. Per nuove installazioni, crea una cartella locale sul tuo laptop dove archivierai i file di esportazione, le chiavi tls create manualmente e il file docker-compose.yml.

⚠️ Attenzione: Verifica le leggi nel tuo Paese sull’uso delle VPN. Questa guida è a scopo educativo. Sei responsabile della conformità legale e dell’uso della VPN.

Concetti base

Prima di scegliere il pannello, è importante capire alcuni termini semplicemente.

• VPN self-hosted — VPN che gestisci su un tuo server, con pieno controllo su tutto: dai log agli aggiornamenti.
• Pannello di controllo — interfaccia web per creare utenti, assegnare configurazioni, attivare/disattivare protocolli, limiti di traffico ecc.
• Xray/Reality/Trojan/VMess/VLESS — protocolli popolari e tecniche di offuscamento del traffico per bypassare blocchi e aumentare la privacy. Nel 2026 VLESS-REALITY e Trojan rimangono scelte pratiche.
• TLS/HTTPS — cifratura del traffico con certificato per nome a dominio, fondamentale per sicurezza e funzionamento fluido delle app.
• WireGuard — protocollo VPN super leggero a livello kernel, ideale per velocità e stabilità. Nei pannelli può essere un modulo separato o installato in parallelo.
• Docker — i container semplificano installazione e aggiornamenti evitando conflitti di dipendenze.
• UFW/Firewall — scudo base per connessioni in ingresso, apre solo le porte necessarie.

Come funziona: i client su telefono o PC si connettono al tuo server usando i protocolli configurati e navigano utilizzando il tuo IP. Il pannello gestisce configurazioni e utenti, mentre Xray/WireGuard si occupano di cifratura e routing.

Importante: server stabile e aggiornato è cruciale. Serve monitoraggio disponibilità. Un dominio con TLS corretto riduce problemi di connessione e aumenta fiducia nei certificati.

Passo 1: scelta del pannello tramite checklist

Obiettivo del passo

Determinare quale pannello — 3X-UI, Hiddify o Marzban — risponde meglio alle tue esigenze e fissare il piano su carta.

Istruzioni

1. Definisci l’obiettivo: VPN personale, per famiglia, team fino a 20 persone o con accessi commerciali.
2. Indica le priorità: velocità e semplicità, routing flessibile e offuscamento anti-blocco, integrazioni e gestione fatturazione.
3. Scegli almeno un protocollo: VLESS-REALITY per aggirare blocchi, Trojan per stabilità, e WireGuard per gaming e alta velocità.
4. Confronta i pannelli: 3X-UI è leggero e rapido, ideale per configurazioni minime VLESS/Trojan; Hiddify è un «coltellino svizzero» con preset di bypass, auto-configurazione, perfetto se non vuoi scervellarti sulle impostazioni; Marzban è avanzato, con sistema utenti flessibile e integrazioni, ottimo per scalare.
5. Scegli: se sei un principiante e vuoi il minimo sforzo, parti da 3X-UI. Se operi in ambiente «ostile» ai bypass e servono preset pronti, scegli Hiddify. Se prevedi decine o centinaia di utenti, prendi Marzban.
6. Annota il piano: «Pannello: … Protocolli: … Dominio: … Porte: … Numero utenti: …». È il tuo schema.

Consiglio: In caso di dubbi, inizia con 3X-UI per un successo rapido in 30–60 minuti, poi installa Hiddify e Marzban su porte test in parallelo per confrontare.

✅ Controllo: Hai scelto un pannello e definito i protocolli. Piano chiaro e scritto.

Problemi comuni e soluzioni

• Difficoltà a scegliere pannello. Soluzione: parti da 3X-UI e cerca poi se serve.
• Dubbio sui protocolli. Soluzione: VLESS-REALITY e WireGuard coprono quasi tutti gli scenari 2026.

Passo 2: Configurare VPS e preparare Linux

Obiettivo del passo

Preparare server pronto per installare pannelli, utente sudo, sistema aggiornato e porte necessarie aperte.

Istruzioni

1. Crea VPS in regione vicina a te o utenti. Usa Ubuntu 22.04/24.04 o Debian 12.
2. Registra indirizzo IPv4 pubblico, login root e password o chiave.
3. Connettiti via SSH: su macOS/Linux digita ssh root@IP, su Windows usa SSH in terminale. Sostituisci IP con indirizzo server.
4. Crea amministratore: adduser vpnadmin. Inserisci password e dettagli.
5. Assegna permessi: usermod -aG sudo vpnadmin.
6. Abilita sincronizzazione oraria: timedatectl set-ntp true e imposta fuso: timedatectl set-timezone UTC (o il tuo).
7. Aggiorna sistema: apt update && apt upgrade -y.
8. Installa strumenti base: apt install -y curl htop unzip tar jq.
9. Rafforza sicurezza SSH: modifica /etc/ssh/sshd_config, cambia Port in 2222, PasswordAuthentication no (se usi chiavi), PermitRootLogin no. Salva.
10. Aggiungi regole firewall UFW: apt install -y ufw, poi ufw default deny incoming, ufw default allow outgoing, ufw allow 2222/tcp, ufw allow 80/tcp, ufw allow 443/tcp. Per WireGuard, aggiungi ufw allow 51820/udp.
11. Abilita UFW: ufw enable, conferma Y. Riconnettiti ssh -p 2222 vpnadmin@IP con nuova porta.
12. Installa Fail2ban: apt install -y fail2ban, verifica servizio attivo con systemctl status fail2ban.

⚠️ Attenzione: Se disabiliti l’autenticazione con password SSH, assicurati che le chiavi funzionino; altrimenti perdi accesso. Prima di riavviare sshd, verifica di avere sessione aperta e accesso con chiave.

Consiglio: Annota le porte aperte per facilitare configurazioni pannelli e risoluzione problemi.

✅ Controllo: Accesso SSH sulla porta 2222 con utente vpnadmin abilitato a sudo. UFW attivo con porte corrette aperte. Ora e fuso orario corretti.

Problemi comuni e soluzioni

• Accesso perso dopo cambio porta SSH. Soluzione: usa console VPS provider, riporta porta a 22 o correggi regole UFW.
• UFW blocca accesso web. Soluzione: verifica porte 80/443 aperte e nessun deny sopra allow.

Passo 3: Installazione Docker e protezione di base

Obiettivo del passo

Preparare ambiente per installazione container pannelli, semplificando aggiornamenti e rollback.

Istruzioni

1. Installa Docker dai repository: sudo apt install -y docker.io docker-compose-plugin.
2. Aggiungi vpnadmin al gruppo docker: sudo usermod -aG docker vpnadmin, poi esci e rientra per applicare.
3. Controlla versioni: docker --version e docker compose version devono restituire info senza errori.
4. Crea cartella lavoro: mkdir -p ~/vpn-panels && cd ~/vpn-panels.
5. Crea sottocartelle per ogni pannello: mkdir 3xui hiddify marzban.
6. Prepara cartella per TLS e dominio: mkdir -p ~/vpn-panels/certs e decidi dominio, esempio vpn.example.com. Registra dominio e configura A record presso registrar. Qui non scriviamo indirizzi specifici.
7. Verifica che porte 80 e 443 siano libere: sudo ss -tulpn | grep -E ':80|:443' non deve mostrare servizi se pannello non attivo.

Consiglio: Se prevedi più pannelli sullo stesso server, assegna a ciascuno un dominio e porte dedicate per evitare conflitti su 80/443.

✅ Controllo: Docker installato, docker e docker compose funzionanti. Cartelle pannelli e certificati create. Porte 80/443 libere.

Problemi comuni e soluzioni

• Comando docker non trovato. Soluzione: rientra nella sessione o esegui newgrp docker, verifica installazione docker.io.
• Porte 80/443 occupate. Soluzione: ferma servizi inutili o modifica configurazione reverse proxy su porte alternative.

Passo 4: Deploy 3X-UI — partenza rapida

Obiettivo del passo

Installare pannello leggero 3X-UI, creare rapidamente prima configurazione VLESS-REALITY o Trojan e verificare connessione.

Istruzioni

1. Vai nella cartella del pannello: cd ~/vpn-panels/3xui.
2. Crea docker-compose.yml con configurazione minima: definisci servizio 3xui con immagine pannello, web admin su porta (es. 2053), volumi per config e log, restart always. Usa immagine mhsanaei/3x-ui:latest.
3. Crea file .env con variabili: XUI_PORT=2053, XUI_USERNAME=admin, XUI_PASSWORD=password_sicura (almeno 14 caratteri).
4. Avvia pannello: docker compose up -d. Verifica che container sia healthy: docker ps.
5. Apri porta in UFW: sudo ufw allow 2053/tcp.
6. Connettiti all’interfaccia web tramite browser usando IP o dominio con porta 2053 e protocollo indicato. Inserisci login e password da .env.
7. Crea primo istanza: seleziona protocollo VLESS-REALITY o Trojan (stabile e ben supportato nel 2026). Usa porta 443 per TLS e dominio puntato al server. Attiva ottenimento certificato automatico.
8. Salva configurazione e genera certificato TLS. Attendi stato "emesso" e "collegato con successo".
9. Crea utente: definisci login, limite traffico (es. 200 GB/mese), durata, uno o più dispositivi. Salva.
10. Scarica o copia link configurazione client: codice QR o URI.

Consiglio: Crea subito un secondo amministratore con password diversa e poi disattiva login standard incorporato se supportato, per maggiore sicurezza.

Risultato atteso

Pannello accessibile su porta 2053, certificato TLS emesso, utente creato con configurazione VLESS-REALITY o Trojan. Pronto per test su telefono.

✅ Controllo: Usa app client su smartphone per scansionare QR dalla dashboard e connetterti. Stato diventa "Connesso" e pannello mostra sessione attiva.

Problemi e soluzioni

• Certificato non emesso. Motivo: dominio non punta all’IP o porta 80 chiusa. Soluzione: verifica A record e UFW su 80/443 e riprova emissione.
• Pannello non raggiungibile. Motivo: porta 2053 chiusa. Soluzione: ufw allow 2053/tcp, controlla log container con docker logs.
• Client non si connette. Motivo: porta sbagliata o orario server errato. Soluzione: verifica timedatectl status e configurazione porta.

Passo 5: Deploy Hiddify — preset bypass e comodità

Obiettivo del passo

Installare pannello Hiddify in container, ottenere preset pronti per aggirare blocchi e gestire centralmente configurazioni per più utenti e dispositivi.

Istruzioni

1. Entra nella cartella pannello: cd ~/vpn-panels/hiddify.
2. Crea docker-compose.yml con servizio pannello su immagine hiddify/hiddify-manager:latest, admin su porta (es. 2087), volumi per config, restart always.
3. Crea .env con dati admin e dominio: HIDDIFY_PORT=2087, ADMIN_USERNAME=admin, ADMIN_PASSWORD=password_sicura, DOMAIN=vpn.dominio.
4. Avvia pannello: docker compose up -d. Attendi container funzionante: docker ps.
5. Apri porta admin: sudo ufw allow 2087/tcp.
6. Accedi via web, segui setup iniziale. Attiva modalità bypass: abilita VLESS-REALITY, se serve Trojan e offuscazioni aggiuntive. Imposta dominio e attiva ottenimento certificati.
7. Salva configurazione. Aspetta stato verde per ogni componente.
8. Crea utente o gruppi, definisci durata e limiti. Genera configurazioni nei formati preferiti, incluso QR.
9. Facoltativo: attiva metriche e monitoraggio traffico direttamente in pannello per tenere sotto controllo consumi.

Consiglio: Usa su Hiddify domini o sottodomini diversi per protocolli distinti, questo migliora flessibilità e resilienza ai filtraggi.

Risultato atteso

Hiddify operativo su porta 2087, certificato emesso, preset bypass impostato, utente creato con configurazioni client pronte.

✅ Controllo: Connettiti da telefono e computer con diversi protocolli (es. VLESS-REALITY e Trojan) e verifica che pannello riporti sessioni attive e contatori traffico che crescono.

Problemi e soluzioni

• Alcuni preset non partono. Motivo: conflitti porte o container bloccati. Soluzione: controlla docker ps, log e cambia porte se 80/443 occupate.
• Certificati non emessi. Motivo: dominio non risolve. Soluzione: verifica DNS presso registrar.

Passo 6: Deploy Marzban — scala e controllo

Obiettivo del passo

Installare Marzban in container, configurare utenti con limiti e scadenze diverse, abilitare protocolli e assicurarsi che il pannello supporti la crescita.

Istruzioni

1. Vai nella cartella pannello: cd ~/vpn-panels/marzban.
2. Crea docker-compose.yml con immagini: core marzban/gozargah:latest (usa nome gozargah/marzban:latest), plus reverse proxy su 80/443 e storage configurazioni. Mappa porta admin, es. 2096.
3. Crea .env con ADMIN_USERNAME, ADMIN_PASSWORD, MARZBAN_PORT=2096, DOMAIN=vpn.dominio.
4. Avvia pannello: docker compose up -d. Verifica con docker ps.
5. Apri porta admin: sudo ufw allow 2096/tcp.
6. Accedi web, crea primo admin, configura dominio e abilita emissione certificati.
7. Aggiungi protocolli: VLESS-REALITY e Trojan. Imposta porte e domini, assicurati che non ci siano conflitti con altri pannelli.
8. Crea piani tariffari: es. "Standard" - 200 GB, 2 dispositivi, 30 giorni; "Premium" - 500 GB, 5 dispositivi, 90 giorni.
9. Crea utenti e associa ai piani. Salva configurazioni e QR per client.

Consiglio: Marzban è comodo per gestire gruppi utenti e integrazioni con fatturazione esterna. Se usi ora solo per te, tieni a mente questa possibilità ma scegli una struttura nomi chiara.

Risultato atteso

Pannello accessibile su porta 2096, certificati emessi, protocolli abilitati, piani tariffari creati e utenti operativi.

✅ Controllo: Connetti utente di prova, verifica conteggio traffico secondo piano e corretta visualizzazione scadenza.

Problemi e soluzioni

• Pannello non emette certificati. Motivo: dominio non puntato. Soluzione: registra A record e ripeti procedura.
• Conflitto porte con altri pannelli. Soluzione: modifica porte admin e servizi in docker-compose.yml e aggiorna UFW.

Verifica finale

Checklist

• Accesso SSH su porta non standard funzionante.
• UFW attivo e con porte necessarie aperte.
• Almeno un pannello (o tutti e tre su porte diverse) accessibile da internet.
• Certificati emessi e validi.
• Creato almeno un utente e caricato su client.
• Connessione funzionante da telefono e PC.

Come testare

1. Connettiti da smartphone sia in Wi-Fi sia in rete mobile — deve funzionare in entrambi i casi.
2. Verifica velocità con qualsiasi servizio popolare — dati dipendono da piano server e localizzazione.
3. Apri servizi esigenti in routing (video, streaming, videochiamata) e assicurati stabilità.
4. Nel pannello osserva crescita contatori traffico e visualizzazione sessioni.

Indicatori di successo

• Tempo di connessione inferiore a 3 secondi.
• Connessione stabile per 30–60 minuti senza cadute.
• Larghezza banda in linea con attese per regione e piano.

Errori tipici e soluzioni

• Pannello non apre: porta non permessa in UFW. Soluzione: aggiungi ufw allow porta/tcp e controlla docker ps.
• Certificato non emesso: record DNS errato. Soluzione: verifica A record a IP server e apri porta 80.
• Client non si collega: orario server sbagliato. Soluzione: attiva NTP e imposta fuso corretto.
• Bassa velocità: canale stretto o server sovraccarico. Soluzione: cambia regione server, migliora piano o usa WireGuard per utenti interessati.
• Cadute in rete mobile: filtraggio aggressivo. Soluzione: usa VLESS-REALITY con dominio studiato e attiva mascheramenti aggiuntivi su Hiddify.
• Conflitti porte con più pannelli: duplicazione 80/443. Soluzione: usa reverse proxy comune e sottodomini diversi o separa porte servizi.
• Perso password admin: non annotata. Soluzione: ricrea account via variabili d’ambiente e riavvia container.

Opzioni aggiuntive

Impostazioni avanzate

• Reverse proxy e unico punto di accesso: installa proxy leggero e configura sottodomini per ogni pannello per non esporre porte admin su numeri non standard.
• WireGuard parallelo: installa wireguard-tools e crea interfaccia wg0 su porta 51820/udp per velocità e bassa latenza in gaming. Gli utenti potranno scegliere protocollo secondo necessità.
• Rotazione domini: prepara sottodomini multipli per switch dinamico e aggirare blocchi locali.
• Backup: esporta regolarmente configurazioni utenti e salva docker-compose.yml e .env in luogo sicuro.

Ottimizzazioni

• MTU e MSS: nelle reti mobili riduci MTU sul tunnel o attiva ottimizzazione MSS per evitare frammentazioni.
• QoS: se server in infrastruttura propria, imposta priorità traffico per videochiamate.
• Aggiornamenti programmati: aggiorna Xray e pannelli fuori orario lavorativo, facendo prima snapshot disco o backup configurazioni.

Consiglio: Tieni un file testo "changelog" per annotare ogni modifica di porte, domini e parametri. Facilita rollback.

Consiglio: Per usi sensibili, dedica un server solo a WireGuard con pochi utenti per controllare meglio le prestazioni.

Consiglio: Con Marzban pianifica a priori struttura piani tariffari per evitare migrazioni manuali utenti.

Consiglio: In 3X-UI sperimenta diverse combinazioni di cifrature e offuscamenti su pochi utenti test prima di applicare a tutta la base.

Consiglio: In Hiddify non attivare tutti i preset subito; inizia con uno o due per facilitare individuazione problemi in caso di malfunzionamenti.

FAQ

Domanda: Come configurare velocemente una VPN se ho solo un’ora?
Risposta: Scegli 3X-UI, usa un solo dominio, VLESS-REALITY su 443, crea un utente e testa la connessione. I passaggi minimi prendono 45–60 minuti con VPS e dominio già pronti.

Domanda: Qual è il miglior protocollo nel 2026?
Risposta: Per aggirare filtri: VLESS-REALITY. Per velocità e gaming: WireGuard. Per compatibilità: Trojan. Combina secondo necessità.

Domanda: Serve un dominio?
Risposta: Consigliato. Facilita emissione TLS e migliora successo connessioni in reti complesse. Si può fare senza, ma rischio problemi cresce.

Domanda: Posso usare più pannelli sullo stesso server?
Risposta: Sì, separa porte admin e usa reverse proxy con sottodomini per evitare conflitti su 80/443.

Domanda: Come capire se il server regge il carico?
Risposta: Monitora CPU e RAM con htop, misura latenza e velocità nelle ore di punta, controlla log disconnessioni. Se limiti superati, scala verticalmente o orizzontalmente.

Domanda: Cosa scegliere per famiglia di 5–7 persone?
Risposta: 3X-UI o Hiddify con VLESS-REALITY e profilo WireGuard per gaming. Copre il 99% dei casi.

Domanda: Cosa scegliere per 50+ utenti?
Risposta: Marzban: gestione flessibile, piani, conteggio traffico e ottime basi per integrazioni.

Domanda: Cosa fare in caso di blocchi massivi?
Risposta: Prepara domini di riserva, attiva mascheramenti Hiddify extra, tieni profilo WireGuard come "piano B" e considera server in regioni diverse.

Domanda: Posso fare senza Docker?
Risposta: Sì, ma Docker rende aggiornamenti e rollback più semplici, senza conflitti di dipendenza.

Domanda: Dove conservare backup?
Risposta: Su supporto locale criptato e in cloud protetto senza accesso pubblico. Controlla periodicamente i restore.

Conclusione

Hai completato l’intero percorso: scelto pannello con checklist, preparato server, installato Docker, distribuito 3X-UI, Hiddify o Marzban, emesso certificati, creato utenti e testato connessioni su telefono e PC. Ora hai una VPN self-hosted funzionante, aggiornata al 2026 in protocolli e configurazioni.

Puoi approfondire l’automazione, aggiungere monitoraggio, pianificare backup e scalabilità. Se ti servono profili pronti per regioni diverse o gruppi utenti, amplia i pannelli o usa il più adatto su server multipli.

vpn.how offre server VPN personali con IP dedicato. Le località, i protocolli e i prezzi disponibili sono indicati sul sito e nel tuo account. I metodi di pagamento e il totale vengono mostrati al pagamento. Scegli un server

Riepilogo scelte:

• 3X-UI — complessità minima e avvio veloce. Perfetto per piccoli gruppi e "amici".
• Hiddify — preset comodi per bypass e logica pronta per ambienti complessi. Ottimo per principianti che vogliono un "coltellino svizzero" out-of-the-box.
• Marzban — scelta robusta per crescita, piani flessibili e controllo utenti su larga scala.

Scegli la strada più adatta a te e sviluppa l’infrastruttura passo passo. Con questa guida hai basi solide per ottenere risultati e mantenerli a lungo.