Servizi di rete del NAS (VPN, DNS e DHCP)

26 min · 7 sezioni

Queste tre funzioni trasformano il NAS nel centro della rete di casa tua: entri da fuori come se fossi in salotto (VPN), i tuoi dispositivi si chiamano per nome invece che per IP (DNS) ed è il NAS —non il router— ad assegnare gli indirizzi (DHCP).

Si configurano nel Pannello di controllo, ognuna nella sua schermata: VPN, DNS e DHCP. Quella della VPN ha tre schede: WireGuard, il server VPN del NAS stesso, e Tailscale e NetBird, che mettono il NAS nella tua rete di quei servizi senza aprire nessuna porta (sezione 1.8).

Sono ordinati per rischio, ed è anche l'ordine in cui conviene attivarli. La VPN non può rompere nulla di ciò che funziona già; il DHCP sì. Se ne attiverai uno solo, che sia la VPN. Se attiverai il DHCP, leggi per intero la sezione 3 —e in particolare «Se resti senza rete»— prima di toccare qualsiasi cosa.

0. Prima di cominciare

Non importa quale dei tre userai: tieni questo a portata di mano e annotato su carta o sul telefono (non in un documento che vive nel NAS o che ha bisogno di internet per aprirsi).

• IP fisso del NAS. Prenotazione DHCP nel router o IP statico in Pannello di controllo → Rete (anche IPv6, con il suo prefisso: 2001:db8:1::10/64 e il suo gateway). Un NAS che cambia IP rompe l'inoltro delle porte della VPN, i record del DNS e il suo stesso DHCP.
• IP del router e la sua password di amministrazione (di solito è sull'adesivo del dispositivo). Ti servirà per aprire la porta della VPN e per disattivare il suo DHCP.
• Accesso fisico al NAS (tastiera e monitor) o SSH già funzionante. La console mostra l'IP del dispositivo e il comando lgm dà accesso al menu di recupero.
• Fallo con calma e senza gente connessa. Cambiare il DHCP nel mezzo di una videochiamata altrui ha conseguenze sociali.
• Non fare mai queste modifiche da remoto, da fuori casa: se qualcosa va storto, la stessa connessione con cui stai amministrando il NAS è la prima cosa che cade.

1. VPN (WireGuard)

Con la VPN attiva, il tuo telefono o il tuo portatile entrano nella rete di casa da qualsiasi posto: il pannello del NAS, le cartelle della casa, la stampante o le telecamere rispondono con il loro IP locale proprio come se fossi sul divano. E senza pubblicare un solo servizio su internet: il router ha aperta solo una porta UDP che non risponde assolutamente nulla a chi non ha la chiave giusta.

Rispetto a pubblicare il NAS con il proxy inverso, la VPN è l'opzione più sicura e quella che richiede meno manutenzione. Il suo difetto: bisogna installare un client su ogni dispositivo, quindi non serve per condividere con gente estranea alla tua casa.

1.1 Aprire la porta nel router

Un unico inoltro di porta:

Due errori classici: scegliere TCP (WireGuard è UDP e solo UDP; con TCP non tornerà indietro nemmeno un pacchetto) e inoltrare verso un IP del NAS che poi cambia.

Questo inoltro è l'unica cosa manuale: il firewall del NAS lo gestisce il pannello stesso. Attivando la VPN si aggiunge da sola la regola udp 51820 (compare in Sicurezza → Firewall come «VPN WireGuard (gestita da LGM-OS)») e disattivandola si ritira. Non aggiungerla a mano: la regola che crei tu avrà un altro identificatore, il pannello non la riconoscerà e la porta resterà aperta per sempre anche se spegni la VPN.

IP dinamico: il tuo IP pubblico cambia ogni pochi giorni, e il client deve sapere dove chiamare. Configura un dominio dinamico (DDNS) seguendo il passaggio 3 della guida all'accesso esterno e usa quel nome (micasa.duckdns.org) come server della VPN invece dell'IP.

Se sei dietro CGNAT (il tuo operatore non ti dà un IP pubblico tuo) l'inoltro non funzionerà, e con lui nemmeno la VPN. Verificalo confrontando curl -s https://api.ipify.org con l'IP WAN che mostra il router: se non coincidono, o se quello del router comincia per 100.64.–100.127., c'è CGNAT. Soluzione: chiedere un IP pubblico all'operatore (di solito è gratis), o entrare con Tailscale o NetBird (sezione 1.8), che non hanno bisogno di nessuna porta aperta.

1.2 Creare il profilo di ogni dispositivo

In Pannello di controllo → VPN: attiva il server e aggiungi un dispositivo («peer») per ogni telefono, tablet o computer che si collegherà.

• Un profilo per dispositivo, sempre. Non riutilizzare lo stesso sul telefono e sul portatile: entrambi avrebbero lo stesso indirizzo dentro il tunnel e si pesterebbero i piedi. Inoltre, profili separati permettono di revocare solo quello del telefono che hai perso.
• Quale traffico passa dal tunnel (ciò che WireGuard chiama AllowedIPs):
• Solo la rete di casa (per esempio 192.168.1.0/24): navighi con i dati del tuo operatore e solo ciò che va al NAS o alla stampante entra dal tunnel. Consuma meno batteria e non rallenta il resto.
• Tutto il traffico (0.0.0.0/0): oltre ad arrivare a casa, esci su internet dalla tua connessione domestica. È ciò che vuoi nel wifi di un hotel o di un aeroporto, e anche se usi il DNS del NAS quando sei fuori.
• Il profilo include la chiave privata del dispositivo. Al NAS non serve a nulla dopo avertela consegnata: se perdi il profilo, se ne genera un altro; non si «recupera».

1.3 Installare il client

Scarica sempre dallo store ufficiale o da wireguard.com. Negli store ci sono cloni con nomi simili che chiedono permessi che non c'entrano nulla.

1.4 Telefono: inquadrare il codice QR

1. Nel pannello, apri il profilo del dispositivo e premi Mostra codice QR.
2. Sul telefono, apri WireGuard e tocca il pulsante + (in basso a destra).
3. Scegli Scansiona da codice QR e concedi il permesso per la fotocamera.
4. Inquadra lo schermo del computer. Riconoscendolo chiede un nome per il tunnel (Casa, per esempio). Accetta.
5. Attiva l'interruttore del tunnel. La prima volta, Android o iOS chiederanno di autorizzare una «configurazione VPN»: è normale, accettala.

⚠️ Quel QR è la chiave della tua rete. Contiene in chiaro la chiave privata del dispositivo: chi lo fotografa può entrare in casa tua da qualsiasi parte del mondo. Non condividerlo, non incollarlo in una chat e non lasciarlo in uno screenshot. Se un telefono si perde o lo cambi, elimina il suo profilo nel pannello: quella chiave smette di valere all'istante.

1.5 Computer: importare il file di configurazione

1. Nel pannello, Scarica configurazione salva un file .conf (per esempio portatile.conf).
2. Windows / macOS: apri WireGuard → Importa tunnel da file → scegli il .conf → Attiva.
3. Linux:

sudo install -m 600 portatile.conf /etc/wireguard/casa.conf
sudo wg-quick up casa                       # collegarsi adesso
sudo systemctl enable --now wg-quick@casa   # ...e a ogni avvio

1. Elimina il .conf dalla cartella dei download quando lo hai importato: è sensibile quanto il QR.

1.6 Verificare che il tunnel funzioni davvero

Prova da fuori casa. Con il telefono sui dati mobili e il wifi spento; se lo provi dal tuo wifi può fallire anche se è tutto a posto (molti router non sanno reinoltrare verso l'interno una connessione che esce dalla loro stessa rete: si chiama hairpin NAT).

Nel client, con il tunnel attivo, guarda l'ultimo handshake (latest handshake): se mostra un'ora recente e i contatori dei dati salgono, il tunnel è su. Poi, la prova vera:

ping 192.168.1.50            # l'IP locale del NAS, dal dispositivo connesso

e apri https://192.168.1.50:5001 nel browser: deve comparire il pannello. Se inoltre usi il tunnel completo, https://api.ipify.org deve restituire l'IP pubblico di casa tua, non quello del tuo operatore mobile.

Dal NAS stesso, la vista dall'interno:

sudo wg show

Per ogni dispositivo vedrai latest handshake (quanto tempo fa ha parlato) e transfer (quanti dati sono passati). Un peer che non ha mai fatto handshake non si è mai collegato: il problema è nel router o nel profilo, non nel NAS.

1.7 Se la VPN non si collega

Diagnostica nel NAS:

sudo systemctl status wg-quick@wg0
sudo wg show
sudo ss -lunp | grep 51820        # è in ascolto?
sudo journalctl -u wg-quick@wg0 -n 50

1.8 Senza aprire porte: Tailscale e NetBird

Se non puoi aprire una porta nel router —sei dietro CGNAT, o il router non è tuo—, le altre due schede di Pannello di controllo → VPN ti portano nello stesso posto per un'altra strada: il NAS entra nella tua rete di Tailscale o di NetBird, e ci arrivi da qualsiasi tuo dispositivo che abbia la sua applicazione collegata, ovunque tu sia. Serve un account su quel servizio; il router non si tocca.

1. Installalo. Non è incluso: Installa Tailscale (o Installa NetBird) lo scarica dal suo repository ufficiale in un paio di minuti.
2. Metti il NAS nella tua rete.
• Tailscale: incolla una chiave di autenticazione —si crea nella sua console, in *Settings → Keys*— o premi Collega senza chiave: compare un link, con il suo codice QR, per entrare con il tuo account Tailscale. La schermata si aggiorna da sola appena lo fai. Se la tua rete chiede di approvare ogni dispositivo nuovo, approva il NAS nella console di Tailscale.
• NetBird: incolla una chiave di registrazione (setup key), che si crea nel suo pannello, in Setup Keys. Se hai il tuo server NetBird, scrivi il suo indirizzo in Server proprio; vuoto, si usa il cloud di NetBird.
3. Entra. Collegato, la schermata mostra l'indirizzo del NAS in quella rete e come si apre il pannello: https://<quell-indirizzo>:5001, da qualsiasi tuo dispositivo con l'applicazione collegata. Quell'indirizzo compare anche in Pannello di controllo → Indirizzi ed è incluso nell'invito di LGM Connect.

Ciò che entra da Tailscale o NetBird conta come di casa nel firewall, e il blocco per paese non lo filtra: sono i tuoi dispositivi, ovunque siano.

• Il pannello in qualsiasi browser, con NetBird. Per aprirlo senza installare nulla, il proxy inverso si monta nel pannello di NetBird, non nel NAS: crea lì un servizio di Reverse Proxy che punti a questo dispositivo in https, porta 5001, con «Skip TLS Verification» attivato. Con il NAS collegato, la schermata te lo ricorda con il link. Questo pubblica il pannello su internet: leggi prima l'[elenco di sicurezza](external-access.md#6-sicurezza-leggilo-prima-di-toccare-il-router).
• Spegni (l'interruttore in alto): il NAS resta nella tua rete, ma non lo si raggiunge da lì finché non lo accendi.
• Esci dalla rete: toglie il NAS dalla tua rete. Per rimetterlo serve una chiave nuova o accedere di nuovo.
• Disinstalla: il NAS esce dalla tua rete e si toglie il programma con tutto ciò che conservava.
• Uno alla volta. Tailscale e NetBird assegnano gli stessi indirizzi (100.x): con entrambi accesi, uno può lasciare senza connessione l'altro. La schermata lo avvisa.

2. Server DNS

Il DNS traduce i nomi in indirizzi. Con quello del NAS attivo ottieni tre cose:

• Nomi per i tuoi aggeggi: nas.casa invece di 192.168.1.50, stampante.casa, telecamera.casa. Basta memorizzare IP o cercarli su un foglio.
• Cache: le richieste ripetute ricevono risposta dal NAS, senza uscire su internet.
• Un unico posto dove cambiare le cose: se il NAS cambia IP, lo correggi in un record e tutta la casa lo viene a sapere.

Funziona allo stesso modo attraverso la VPN: collegato da fuori, nas.casa continua a risolvere.

2.1 Attivare il servizio

In Pannello di controllo → DNS scegli i server di inoltro (dove chiede il NAS ciò che non sa: quelli del tuo operatore, 1.1.1.1, 9.9.9.9…), il dominio locale e i record locali. Al salvataggio, il pannello scrive la configurazione e avvia il servizio.

La porta 53 deve essere libera. Un'installazione normale di Debian 12 non la occupa, ma molte immagini di macchine virtuali e cloud hanno systemd-resolved acceso, e allora il server DNS non si avvia. Verificalo e liberala:

sudo ss -lunp | grep ':53'          # chi ascolta sulla 53?
sudo systemctl disable --now systemd-resolved

Se disattivi systemd-resolved, assicurati che il NAS stesso conservi un DNS valido o resterà senza risolvere i nomi (e senza potersi aggiornare):

ls -l /etc/resolv.conf              # se è un link a ../run/systemd/resolve/...:
sudo rm /etc/resolv.conf
# Il primo è il dnsmasq del NAS stesso; il secondo è la rete di sicurezza perché il
# dispositivo continui a risolvere mentre il servizio è fermo.
printf 'nameserver 127.0.0.1\nnameserver 1.1.1.1\n' | sudo tee /etc/resolv.conf

2.2 I record locali

Un record è una coppia nome → IP:

Sul dominio che scegli:

• Non usare .local: è riservato a mDNS/Bonjour (Apple, stampanti, Chromecast) e usarlo per il DNS normale produce guasti intermittenti molto difficili da diagnosticare.
• Buone opzioni: .casa, .lan o .home.arpa (quest'ultimo è quello riservato ufficialmente per le reti domestiche).
• Se hai un tuo dominio, un sottodominio interno (interno.miodominio.com) è la cosa più pulita e ti permette inoltre di usare certificati validi dentro casa.

I dispositivi che ricevono il loro IP dal DHCP del NAS possono registrarsi da soli con il nome che annunciano, quindi i due pezzi si completano.

2.3 Puntare i dispositivi al NAS

Tre modi, dal meno al più laborioso:

1. Con il DHCP del NAS attivo: non bisogna fare nulla, il DHCP stesso consegna il NAS come server DNS a tutta la casa.
2. Dal router (la cosa più pratica se non userai il DHCP del NAS): nella configurazione DHCP del router, cambia il «server DNS» che consegna e metti l'IP del NAS. I dispositivi lo prenderanno quando rinnovano la loro concessione (o quando si ricollegano).
3. Dispositivo per dispositivo, utile per provare senza toccare nessuno:
• Windows: Impostazioni → Rete e Internet → Wi-Fi/Ethernet → Modifica l'assegnazione dei server DNS → Manuale → IPv4 → DNS preferito: l'IP del NAS.
• macOS: Impostazioni di Sistema → Rete → Dettagli → DNS → +.
• Linux: nmcli con mod "<connessione>" ipv4.dns 192.168.1.50 ipv4.ignore-auto-dns yes e nmcli con up "<connessione>".
• Android/iPhone: nelle opzioni della rete wifi, configurazione IP → statica.

Lascia sempre un DNS di riserva. Se il NAS è l'unico DNS di casa e si spegne o si riavvia per aggiornarsi, tutti restano «senza internet» (ciò che fallisce non è la connessione: sono i nomi). Mettere come secondario il router o 1.1.1.1 evita l'interruzione, in cambio del fatto che qualche dispositivo a volte risolva tramite il secondario e non trovi i nomi locali. È il compromesso normale: riserva sì, e accetta che nas.casa possa fallire per il tempo in cui il NAS è spento.

2.4 Verificare che funzioni

# Linux / macOS
dig @192.168.1.50 nas.casa +short       # deve restituire l'IP locale
dig @192.168.1.50 www.google.com +short # deve restituire qualcosa: l'inoltro funziona

# Windows
nslookup nas.casa 192.168.1.50

E per sapere quale DNS sta usando davvero un dispositivo: ipconfig /all su Windows o resolvectl status / cat /etc/resolv.conf su Linux.

2.5 Se il DNS non funziona

sudo systemctl status dnsmasq
sudo journalctl -u dnsmasq -n 50
sudo dnsmasq --test                 # la configurazione è valida?

3. Server DHCP

Il DHCP è chi assegna a ogni dispositivo il suo indirizzo IP, la maschera, il gateway e il DNS. Oggi lo fa il tuo router. Se lo passi al NAS guadagni prenotazioni per MAC ben gestite, nomi automatici insieme al DNS e un elenco chiaro di cosa è connesso a casa tua.

### ⚠️ Leggi questo prima di attivarlo In una rete può esserci un solo server DHCP. Prima di attivare quello del NAS devi disattivare quello del router. Se sono accesi entrambi, ogni dispositivo che si collega chiede a gran voce e si tiene la prima risposta che arriva —a volte quella del router, a volte quella del NAS—, quindi alcuni dispositivi funzioneranno e altri no, cambiando da un giorno all'altro. Non è «una configurazione un po' sporca»: è un guasto intermittente che fa impazzire chiunque. E il rischio dall'altra parte: con il DHCP del router spento, se quello del NAS non funziona nessuno ottiene un IP e l'intera casa resta senza rete, compreso il computer con cui volevi sistemarlo. Per questo la sezione importante di questa guida è «Se resti senza rete».

3.1 Preparazione (cinque minuti che ti risparmiano un pomeriggio)

• [ ] Salva questa pagina sul telefono (o stampala). Se resti senza rete non potrai consultarla, ed è proprio quando ti serve.
• [ ] Annota su carta: IP del router, IP del NAS, maschera (quasi sempre 255.255.255.0) e l'intervallo che assegnerà il NAS.
• [ ] Annota la password del router. Se vive in un gestore di password nel cloud e resti senza internet, non l'avrai.
• [ ] Copia le prenotazioni per MAC che ha già il router (stampante, telecamere, console…). Se non le trasferisci al NAS, quei dispositivi cambieranno IP e smetteranno di rispondere dove ti aspettavi.
• [ ] Tieni tastiera e monitor collegati al NAS, o SSH funzionante da un dispositivo con IP fisso impostato a mano.
• [ ] Scegli l'intervallo con attenzione: non deve includere l'IP del router né quello del NAS né quello di nessun dispositivo con IP fisso. Un esempio sano in una rete 192.168.1.0/24:

| Elemento | Valore | |---|---| | Router (gateway) | 192.168.1.1 | | NAS | 192.168.1.50 | | Dispositivi con IP fisso | 192.168.1.2 – 192.168.1.99 | | Intervallo del DHCP | 192.168.1.100 – 192.168.1.200 | | DNS consegnato | 192.168.1.50 (il NAS) e, facoltativo, 1.1.1.1 | | Concessione (lease) | 2 h mentre provi; 12–24 h dopo |

Una concessione breve durante la migrazione fa sì che i dispositivi raccolgano le modifiche in pochi minuti invece che in giorni. Quando tutto funziona, alzala: con concessioni lunghe, se il NAS si spegne i dispositivi conservano il loro IP per molte ore e non te ne accorgi a tue spese.

3.2 L'ordine giusto (non cambiarlo)

1. Configura il DHCP in Pannello di controllo → DHCP: intervallo, maschera, gateway (l'IP del router, non quello del NAS), DNS e concessione. Salva senza attivare.
2. Entra nel router e disattiva il suo DHCP. Di solito è in LAN → DHCP → «Server DHCP: disattivato». I dispositivi già accesi conservano il loro IP finché la loro concessione non scade, quindi hai ancora la rete.
3. Attiva il DHCP del NAS dal pannello.
4. Prova con un solo dispositivo prima di toccare altro:

ipconfig /release
ipconfig /renew
ipconfig /all          # "Server DHCP" deve essere l'IP del NAS

sudo nmcli con down "<connessione>" && sudo nmcli con up "<connessione>"   # Linux
nmcli device show <interfaccia> | grep -E 'IP4.ADDRESS|IP4.GATEWAY|IP4.DNS'

Su un telefono basta spegnere e riaccendere il wifi.

1. Guarda l'elenco delle concessioni nel pannello: devono comparire man mano i dispositivi con il loro nome e il loro MAC mentre rinnovano.
2. Solo quando la prova va bene, alza la concessione a 12–24 h e trasferisci le altre prenotazioni.

3.3 Cosa significa ogni campo

3.4 Se resti senza rete

⛑️ Niente panico: non si è rotto nulla. Ha solo smesso di funzionare l'assegnazione degli indirizzi; il cavo, il wifi, il router e i tuoi dati sono intatti. Si sistema in due minuti.

Come si riconosce: i dispositivi dicono «nessuna connessione a internet» o «connesso, senza accesso alla rete», e il loro IP comincia per 169.254. (è l'indirizzo di emergenza che si inventa un dispositivo quando nessuno gli risponde) o direttamente non ne hanno nessuno.

Piano A — dai un IP a mano al tuo computer (funziona quasi sempre)

Con un IP impostato a mano non ti serve nessun DHCP: potrai aprire il router o il NAS e annullare la modifica. Usa un indirizzo libero fuori dall'intervallo che hai configurato, per esempio 192.168.1.90, con maschera 255.255.255.0, gateway 192.168.1.1 (il tuo router) e DNS 1.1.1.1.

Windows (rapido, in un prompt dei comandi come amministratore):

netsh interface ip show config                     # vedere il nome esatto dell'interfaccia
netsh interface ip set address name="Ethernet" static 192.168.1.90 255.255.255.0 192.168.1.1
netsh interface ip set dns     name="Ethernet" static 1.1.1.1

Dai menu: Impostazioni → Rete e Internet → Ethernet (o Wi-Fi) → Assegnazione IP → Modifica → Manuale → attiva IPv4 → compila quei quattro valori.

macOS: Impostazioni di Sistema → Rete → la tua connessione → Dettagli → TCP/IP → «Configura IPv4»: Manualmente → compila indirizzo, maschera e router.

Linux:

nmcli con mod "<connessione>" ipv4.method manual \
  ipv4.addresses 192.168.1.90/24 ipv4.gateway 192.168.1.1 ipv4.dns 1.1.1.1
nmcli con up "<connessione>"

Android: tieni premuta la rete wifi → Modifica rete → Opzioni avanzate → Impostazioni IP: Statico. iPhone: Impostazioni → Wi-Fi → (i) → Configura IP → Manuale.

Con la rete di nuovo disponibile, scegli la strada:

• Tornare indietro del tutto: entra nel router (http://192.168.1.1) e **riattiva il suo DHCP**. La casa torna alla normalità all'istante.
• Sistemare quello del NAS: entra nel pannello (https://192.168.1.50:5001) e correggi o disattiva il DHCP del NAS.

Quando tutto funziona, riporta il tuo computer in automatico, o tra un mese avrai un conflitto di IP di cui non saprai l'origine:

netsh interface ip set address name="Ethernet" dhcp
netsh interface ip set dns     name="Ethernet" dhcp

nmcli con mod "<connessione>" ipv4.method auto ipv4.addresses "" ipv4.gateway "" ipv4.dns ""
nmcli con up "<connessione>"

Piano B — dalla console del NAS (tastiera e monitor)

Se il NAS sta assegnando male gli indirizzi e vuoi fermarlo subito, senza dipendere dall'avere la rete:

sudo systemctl stop dnsmasq       # smette di assegnare IP (e di risolvere i nomi) subito
sudo systemctl disable dnsmasq    # ...e anche all'avvio

Poi riattiva il DHCP del router e ricomincia con calma. Attenzione: questo ferma anche il server DNS, perché sono lo stesso processo; è proprio ciò che vuoi in un'emergenza.

Quando l'hai sistemato, riaccendilo dal pannello e non con systemctl enable: così l'interfaccia e il servizio dicono la stessa cosa e il pannello riscrive la configurazione con i valori che stai vedendo sullo schermo.

Piano C — non riesco nemmeno a entrare nel router

Se non ricordi la password di amministrazione del router, resta il ripristino di fabbrica (pulsante reset con una graffetta, 10 secondi con il dispositivo acceso). Il suo DHCP torna attivo —che è ciò che cerchi— ma si cancellano anche il nome e la password del wifi, gli inoltri delle porte e qualsiasi tua impostazione: dovrai riconfigurare tutto, compresa la porta della VPN. È l'ultima risorsa, non la prima.

Piano D — mi serve internet per cercare informazioni

Condividi i dati del telefono via USB o wifi con il computer. Avrai internet per leggere questa guida mentre sistemi la rete di casa, anche se da lì non vedrai il NAS.

E per la prossima volta

• Torna all'ordine giusto e verifica ogni passaggio.
• L'errore più comune, con distacco, è il gateway: se metti l'IP del NAS invece di quello del router, i dispositivi prendono l'IP perfettamente e poi non navigano.
• Il secondo, il DNS vuoto: sembra tutto a posto e non si apre nessun sito.
• Il terzo, due DHCP accesi: guarda ipconfig /all su un paio di dispositivi; se su uno il «Server DHCP» è il router e su un altro il NAS, quello del router è ancora vivo.

3.5 Verifiche e diagnostica

sudo systemctl status dnsmasq
sudo journalctl -u dnsmasq -f        # si vede dal vivo: DHCPDISCOVER, DHCPOFFER, DHCPACK
cat /var/lib/misc/dnsmasq.leases     # concessioni consegnate (stesso elenco del pannello)
sudo ss -lunp | grep -E ':(53|67)'   # ascoltano DNS e DHCP?

Una sequenza sana nel registro è DHCPDISCOVER → DHCPOFFER → DHCPREQUEST → DHCPACK. Se vedi DISCOVER senza OFFER, quasi sempre è perché l'intervallo è esaurito o la richiesta arriva da un'interfaccia che il servizio non serve.

Dispositivi nuovi nella rete. Con il DHCP del NAS acceso, ogni volta che si collega un dispositivo mai visto prima, il pannello lo avvisa con il suo nome, il suo indirizzo e la sua scheda. La prima volta annota quelli già connessi senza avvisare di nessuno; un dispositivo che non si vede da più di un anno torna a contare come nuovo.

4. Come si incastrano i tre pezzi

                 Internet
                     │
            router (gateway)                   ← il DHCP del router: SPENTO
                     │
   ┌─────────────────┴───────────────────┐
   │            rete di casa             │
   │   PC   telefono  TV   stampante     │
   └─────────────────┬───────────────────┘
                     │  IP + DNS + gateway
                 NAS · dnsmasq  (DHCP 67 · DNS 53)
                     │
                 WireGuard (UDP 51820) ──► il tuo telefono, da fuori casa

Il NAS assegna gli indirizzi e, nella stessa consegna, si annuncia come server DNS; il DNS conosce i nomi di tutto ciò che il DHCP ha sistemato; e la VPN mette il tuo telefono dentro quella rete, con i suoi nomi e tutto, ovunque tu sia.

Si possono usare separatamente senza problemi: la VPN da sola è perfettamente utile, e anche il DNS senza il DHCP (basta che il router consegni l'IP del NAS come server dei nomi).

5. Promemoria dei comandi

# VPN
sudo wg show                            # peer, ultimo handshake e dati trasferiti
sudo systemctl status wg-quick@wg0
sudo journalctl -u wg-quick@wg0 -n 50

# DNS e DHCP (entrambi sono dnsmasq)
sudo systemctl status dnsmasq
sudo systemctl stop dnsmasq             # ⛑️ fermare DNS e DHCP in emergenza
sudo dnsmasq --test                     # validare la configurazione
sudo journalctl -u dnsmasq -f
cat /var/lib/misc/dnsmasq.leases

# Porte in uso
sudo ss -lunp | grep -E ':(53|67|51820)'

E i comandi lato client, che sono quelli che dicono davvero se la rete va bene:

ipconfig /all          # IP, server DHCP, DNS e gateway (Windows)
ipconfig /flushdns
nslookup nas.casa

ip addr show           # Linux
nmcli device show <interfaccia>
dig @192.168.1.50 nas.casa +short

Correlati

• Pubblicare il NAS su internet — l'alternativa alla VPN quando devi condividere con persone che non installeranno un client.
• Guida all'amministrazione — il resto del pannello.
• Ripristino di emergenza — cosa fare quando ciò che si guasta è l'intero dispositivo.