Come configurare una VPN (Windows Linux Android Ios) AmmassiIT

Tempo di lettura: 7 minuti

Configurare una VPN richiede tre passi chiave: scegliere il tipo di VPN e il provider, creare il profilo di connessione con le credenziali fornite, quindi verificare sicurezza e perdite DNS/IP con test dedicati, sia su desktop sia su mobile.

Scelta e preparazione

Scegli tra VPN commerciale (più semplice), server proprio su cloud/router (più controllo) o VPN aziendale (parametri forniti dall’IT); prendi nota di protocollo, server, username/password, certificati e chiave pre‑condivisa se richiesti.
Preferisci protocolli moderni come WireGuard o IKEv2/IPsec per velocità e stabilità; OpenVPN resta uno standard affidabile, soprattutto in reti restrittive.

Windows 11/10 (client nativo)

Vai su Impostazioni → Rete e Internet → VPN → Aggiungi connessione; scegli “Windows (integrato)”, inserisci nome, indirizzo server, tipo (IKEv2, L2TP/IPsec con chiave, SSTP) e credenziali.
Per L2TP/IPsec apri Opzioni avanzate e inserisci la chiave pre‑condivisa; salva, poi Connetti dalla stessa pagina o dall’icona di rete nella barra delle applicazioni.

macOS

Preferenze di Sistema → Rete → “+” → Interfaccia VPN; seleziona IKEv2, L2TP over IPsec o Cisco IPSec, inserisci server, Remote ID (se richiesto), account e autenticazione (password/certificato/PSK).
Spunta “Invia tutto il traffico tramite VPN” se vuoi tunnel completo; applica e Connetti.

Linux

Con NetworkManager: Impostazioni → Rete → “+” VPN → importa file .conf/.ovpn (WireGuard/OpenVPN) o compila campi IKEv2; installa plugin: network-manager-openvpn, -strongswan, -wireguard.
CLI esempi:
- WireGuard: copia wg0.conf in /etc/wireguard, poi sudo wg-quick up wg0.
- OpenVPN: sudo openvpn –config client.ovpn.

iOS/iPadOS

Impostazioni → VPN → Aggiungi configurazione; scegli IKEv2, IPSec o L2TP, inserisci server, remote ID, utente e segreto/Cert; per provider commerciali usa l’app ufficiale che installa profili automaticamente.
Abilita “Connetti su richiesta” per resilienza in mobilità.

Android

Impostazioni → Rete e Internet → VPN → “+”; scegli IKEv2/IPsec o PPTP/L2TP (evita PPTP), inserisci server, tipo di autenticazione, utente e PSK/cert; per WireGuard/OpenVPN usa le app dedicate e importa il file di configurazione/QR.
Attiva “VPN sempre attiva” e “Blocca conn. senza VPN” per un kill‑switch di sistema.

Router/Edge (opzionale)

Se il router supporta WireGuard/OpenVPN/IKEv2, importa il profilo server o client per coprire tutta la rete; verifica NAT, porte (UDP 51820 WireGuard, UDP 500/4500 IKEv2, UDP/TCP 1194 OpenVPN) e abilita DNS over TLS/HTTPS o DNS su tunnel.
Su cloud (Proton, Tailscale, Outline, Algo, Streisand) o VPS proprio: genera chiavi, limita l’accesso per IP, abilita firewall e aggiornamenti automatici.

Sicurezza e test

Attiva kill‑switch e blocco traffico fuori tunnel nelle app; disabilita WebRTC nel browser o limita a “default: disabled” per evitare leak IP.
Testa su ipleak.net e doileak.com: controlla IP, DNS e IPv6; se IPv6 non è instradato, disabilitalo o configura supporto sul tunnel.
Usa DNS del provider o DoH/DoT personalizzato; abilita split‑tunneling solo se necessario e documenta le rotte esentate.

Buone pratiche

Evita PPTP e L2TP senza IPsec; preferisci WireGuard/IKEv2 per mobile e OpenVPN TCP 443 in reti censurate.
Rigenera periodicamente chiavi, usa MFA sull’account del provider, aggiorna client/server e limita profili con permessi minimi necessari.

VPN Windows

Per usare una VPN su Windows conviene scegliere un protocollo moderno (WireGuard o IKEv2/IPsec), creare il profilo nelle Impostazioni o usare l’app del provider, quindi verificare eventuali perdite DNS/IP dopo la connessione per assicurare privacy e integrità del tunnel.

Scelta del protocollo

WireGuard offre prestazioni elevate e configurazioni semplici tramite file .conf o app dedicate del provider, risultando ideale per mobilità e gaming leggero grazie alla bassa latenza.
IKEv2/IPsec è integrato in Windows, stabile su reti mobili e rapido nel riaggancio, mentre OpenVPN resta lo standard affidabile per reti restrittive quando incapsulato su TCP 443.

Configurazione nativa (Windows 10/11)

Vai in Impostazioni → Rete e Internet → VPN → Aggiungi connessione, seleziona “Windows (integrato)”, inserisci nome, indirizzo server, tipo (preferibilmente IKEv2 o L2TP/IPsec) e credenziali fornite dal servizio o dall’IT, quindi salva e connetti dalla stessa schermata.
Per L2TP/IPsec apri Opzioni avanzate e inserisci la chiave precondivisa (PSK); evita PPTP perché non è più considerato sicuro per l’uso moderno.

Uso di app del provider

Le app ufficiali installano driver e profili automaticamente per WireGuard/OpenVPN, includendo kill‑switch, split‑tunneling e cambio DNS, semplificando la gestione dei server e l’aggiornamento dei parametri.
Attiva il kill‑switch e “connetti all’avvio” per protezione continua, specie su portatili e reti Wi‑Fi pubbliche.

Verifica sicurezza e DNS

Dopo la connessione, controlla IP pubblico e risoluzione DNS con servizi di leak test per assicurarti che tutto il traffico passi nel tunnel e che IPv6 non esca fuori banda.
Se il provider non instrada IPv6, disabilitalo temporaneamente sull’interfaccia di rete di Windows o usa DNS over HTTPS/DoT per ridurre l’esposizione del resolver.

Ottimizzazioni e troubleshooting

Se incontri blocchi in reti aziendali o hotel, prova OpenVPN TCP 443 o IKEv2 su porte standard per eludere filtri troppo rigidi senza violare policy locali.
Per prestazioni, preferisci UDP (WireGuard/OpenVPN‑UDP) e server geograficamente vicini; disattiva temporaneamente la scansione HTTPS del tuo antivirus se interferisce con la negoziazione TLS del tunnel.

Note per contesti aziendali

Per VPN aziendali, chiedi al reparto IT i parametri ufficiali (server, metodo di autenticazione, certificati, MFA) e rispetta le policy su split‑tunneling e inoltro del traffico, che potrebbero essere limitati per conformità.
Integra il client con le credenziali aziendali e, se previsto, con l’app di MFA; verifica l’accesso alle risorse interne e all’RDP solo tramite il tunnel autorizzato.

VPN Linux

Su Linux la soluzione più moderna e semplice è WireGuard; in alternativa OpenVPN offre massima compatibilità e IKEv2/strongSwan è ottimo su reti mobili e per scenari enterprise. Qui trovi istruzioni pratiche per ciascun protocollo con approccio grafico (NetworkManager) e da riga di comando.

Preparazione ambiente

Installa i plugin di NetworkManager per il tuo protocollo: WireGuard, OpenVPN e IPsec/IKEv2 sono disponibili nei repo principali delle distro; assicurati di avere i moduli kernel aggiornati per prestazioni e stabilità.
Tieni pronti file di configurazione o parametri: server, porta, chiavi/certificati, algoritmo e DNS del provider o interni all’azienda.

WireGuard (consigliato)

GUI: Impostazioni → Rete → “+” VPN → WireGuard → importa il file .conf o incolla le sezioni [Interface]/[Peer], quindi attiva il profilo; abilita “Connetti automaticamente” se serve persistenza.
CLI: copia wg0.conf in /etc/wireguard, poi esegui sudo wg-quick up wg0; verifica con wg e ip a che l’interfaccia wg0 sia attiva e con route corretta.

OpenVPN

GUI: Impostazioni → Rete → “+” VPN → OpenVPN → importa il file .ovpn; se richiesti, aggiungi certificati .crt/.key e credenziali; abilita kill‑switch a livello app o firewall.
CLI: sudo openvpn –config client.ovpn; per servizio persistente crea un unit systemd o usa /etc/openvpn/client@.service.

IKEv2/IPsec (strongSwan)

GUI: Impostazioni → Rete → “+” VPN → IPsec/IKEv2; inserisci server, Remote ID, metodo di autenticazione (EAP‑MSCHAPv2, certificato, PSK) e DNS; salva e connetti.
CLI base: configura /etc/ipsec.conf e /etc/ipsec.secrets, poi sudo systemctl enable –now strongswan; verifica con ipsec statusall.

Sicurezza e leak test

Attiva un kill‑switch con firewall: con nftables o ufw limita l’uscita a sola interfaccia VPN, blocca traffico non instradato e DNS esterni; assicurati che i DNS usati puntino al resolver del provider o a DoH/DoT sul tunnel.
Verifica perdite IP/DNS/IPv6 e WebRTC dal browser; se il provider non instrada IPv6, disabilita IPv6 o instradalo sul tunnel per evitare leak.

Ottimizzazioni

WireGuard: usa server vicini, MTU adeguata (es. 1420) e keepalive su reti NAT mobili; per reti filtrate, prova server su porte “mimetiche” come 443/udp.
OpenVPN: preferisci UDP per velocità; in reti restrittive usa TCP 443 con tls-crypt per confondere l’ispezione; riduci cipher a AES‑GCM hardware‑accelerato.
IKEv2: ottimo per roaming e ripresa veloce; controlla NAT‑Traversal e lifetimes delle SA per stabilità.

Automazione e avvio

Abilita “autoconnect” nei profili NetworkManager o crea unit systemd per alzare l’interfaccia all’avvio; usa systemd‑resolved o resolvconf per applicare DNS della VPN in modo consistente.
Su laptop, configura reconnect automatico e metriche di routing per evitare traffico fuori tunnel al cambio rete.

Errori comuni e fix rapidi

Connessione si ferma su handshake: controlla porta aperta sul firewall/NAT e correttezza delle chiavi/certificati; sincronizza l’orologio (NTP) per evitare errori TLS/IKE.
DNS leak: imposta DNS esplicitamente nel profilo o in NetworkManager e blocca richieste fuori dall’interfaccia VPN con regole firewall.
Prestazioni basse: cambia server, protocollo (WireGuard > IKEv2 > OpenVPN‑UDP > OpenVPN‑TCP), verifica CPU e offload, regola MTU e disabilita ispezione SSL dell’antivirus se presente su workstation.

VPN Android

Su Android la via più semplice è usare l’app ufficiale del provider (WireGuard o OpenVPN) o il client integrato per IKEv2/L2TP; dopo la connessione, abilita “VPN sempre attiva” e “Blocca connessioni senza VPN” per un kill‑switch di sistema e verifica eventuali leak DNS/IP con test online.

Scelta del protocollo

WireGuard è veloce, stabile e leggero su mobile; molte app ufficiali consentono import tramite file .conf o QR, con riaggancio rapido in mobilità.
IKEv2/IPsec è supportato nativamente da Android su molti device e riaggancia bene tra Wi‑Fi e rete cellulare; OpenVPN resta ottimo in reti restrittive con profili .ovpn.

Configurazione rapida

WireGuard: installa l’app “WireGuard”, tocca “+” → “Crea da file o archivio” o scansione QR → attiva il tunnel; abilita “Attiva all’avvio” se serve persistenza.
OpenVPN: installa “OpenVPN Connect” o l’app del provider, importa il file .ovpn, salva credenziali/certificati e avvia; abilita kill‑switch dall’app se disponibile.
IKEv2: Impostazioni → Rete e Internet → VPN → “+” → tipo IKEv2/IPsec, inserisci server, ID remoto, utente e metodo (EAP/certificato/PSK), salva e connetti.

Sicurezza e privacy

In Impostazioni VPN, abilita “VPN sempre attiva” e “Blocca connessioni senza VPN” per impedire traffico fuori tunnel durante i cambi rete.
Disabilita WebRTC nel browser o usa un browser con protezione integrata per evitare esposizione dell’IP locale; imposta DNS del provider o DoH nel browser.

Test e troubleshooting

Verifica IP pubblico, DNS e IPv6 dopo la connessione con servizi di leak test; se il provider non instrada IPv6, disattivalo nell’app o nelle impostazioni avanzate.
Se la rete blocca la VPN, prova server/porte alternative: WireGuard su 51820/UDP o 443/UDP, OpenVPN TCP 443, o IKEv2 con NAT‑Traversal attivo.

Ottimizzazioni mobile

Usa server geograficamente vicini per ridurre latenza e consumi; attiva “auto‑connect su reti non fidate” nell’app del provider.
Evita PPTP e L2TP senza IPsec; prediligi WireGuard o IKEv2 per efficienza energetica e stabilità in movimento.

VPN Ios

Su iOS la configurazione migliore è usare l’app del provider (WireGuard/OpenVPN) oppure creare un profilo IKEv2 nativo dalle Impostazioni; dopo la connessione, abilita “Connetti su richiesta” e imposta un DNS affidabile per evitare leak. Di seguito i passaggi consigliati e le opzioni per privacy e stabilità.

Scelta del protocollo

WireGuard: molto veloce e parsimonioso di batteria; l’app ufficiale consente import tramite file .conf o QR e il riaggancio è rapido durante i cambi rete.
IKEv2/IPsec: integrato in iOS, stabile in mobilità e supporta “Connetti su richiesta”; ottimo con server aziendali (certificati o EAP).
OpenVPN: ideale per reti restrittive; usa l’app OpenVPN Connect o quella del provider per importare .ovpn e attivare kill‑switch.

Configurazione rapida

WireGuard (app): scarica “WireGuard”, tocca “+” → “Crea da file/archivio” o QR → consenti Aggiungi configurazione VPN → attiva il tunnel; abilita “On-Demand” se disponibile nell’app.
OpenVPN (app): installa “OpenVPN Connect”, importa .ovpn, accetta l’installazione del profilo VPN, salva credenziali/certificati e connetti; abilita “Seamless Tunnel”/kill‑switch nell’app.
IKEv2 (nativo): Impostazioni → VPN → Aggiungi configurazione → IKEv2; inserisci Server, Remote ID, autenticazione (utente+password, certificato o PSK), quindi salva e attiva.

Sicurezza e privacy

Abilita “Connetti su richiesta/On-Demand” per evitare traffico fuori tunnel quando l’iPhone cambia rete; nelle app dei provider attiva il kill‑switch ove disponibile.
Imposta DNS del provider o usa DoH nel browser compatibile; limita WebRTC nel browser per ridurre il rischio di leak IP locali.

Test e troubleshooting

Dopo la connessione, verifica IP pubblico e DNS con un test di leak; se IPv6 non è instradato dal provider, usa un profilo che lo blocchi o disabilitalo nelle opzioni dell’app.
Se la rete filtra il traffico, prova WireGuard sulla porta 443/UDP, OpenVPN TCP 443 o IKEv2 con NAT‑Traversal; cambia server vicino per ridurre latenza.

Buone pratiche

Evita PPTP e L2TP senza IPsec; prediligi WireGuard o IKEv2 per velocità, stabilità e autonomia.
Mantieni aggiornati i profili e le app VPN; per ambienti aziendali, usa certificati gestiti e MFA come richiesto dall’IT, con split‑tunneling solo se approvato.

@RR