VPN su iPhone: configurazione nel 2026

VPN su iPhone: configurazione nel 2026

Se vi hanno inviato un file di configurazione o un link a un server VPN e semplicemente lo aprite sull'iPhone sperando che tutto funzioni da solo — non funzionerà. La configurazione VPN su iPhone richiede alcuni passaggi consapevoli, e sono diversi per WireGuard, IKEv2 e protocolli come VLESS. In questo articolo analizzeremo ogni formato singolarmente, mostrerò le voci di menu reali di iOS e spiegherò cosa fare se dopo la connessione internet ancora non c'è.

Non confronterò appositamente i servizi tra loro — presumo che la configurazione sia già nelle vostre mani, e il compito ora è puramente tecnico: importarla correttamente e farla funzionare in modo stabile, incluso l'accesso a YouTube, Instagram, Telegram e Twitter/X in presenza di blocchi attivi del provider.

Cos'è la configurazione VPN e in che formato viene fornita

La configurazione è semplicemente un insieme di parametri grazie ai quali il vostro telefono capisce dove connettersi e come cifrare il traffico. Indirizzo del server, porta, chiavi pubblica e privata, a volte una password o un UUID. Tutto questo può essere scritto in testo, incorporato in un codice QR o impacchettato in un file — la sostanza non cambia.

Il formato del file vi dice direttamente quale applicazione serve. Il file .conf è una configurazione WireGuard, un normale file di testo con le sezioni [Interface] e [Peer]. Il file .ovpn è un profilo OpenVPN, anch'esso testuale, ma con una sintassi diversa e spesso con certificati incorporati. Il file .mobileconfig è un profilo iOS, che il sistema installa come impostazione del dispositivo, solitamente usato per IKEv2. E un link del tipo vless://uuid@server:port?params è uno schema URI per i protocolli della famiglia XRay, che non si apre in un file manager, ma si incolla direttamente nell'app client.

File .conf, .ovpn, mobileconfig e link vless://

In pratica è più semplice con .conf — l'app WireGuard proporrà subito di importare il file o scansionare il QR. Con .ovpn bisognerà installare un client OpenVPN separato, perché iOS non lo supporta nativamente. Con .mobileconfig non serve installare nulla — il profilo si apre direttamente nelle Impostazioni. E il link vless:// va copiato negli appunti e incollato in un'app come Streisand o V2Box.

In cosa differiscono i profili per protocolli diversi

WireGuard e IKEv2 sono protocolli VPN classici, progettati per velocità e stabilità, ma non per il camuffamento. I sistemi DPI (Deep Packet Inspection), usati dai provider per analizzare il traffico, li riconoscono piuttosto facilmente dalle intestazioni caratteristiche dei pacchetti. VLESS, Shadowsocks e AmneziaWG sono stati progettati fin dall'inizio in modo che il traffico assomigli a normale HTTPS — è proprio questa la loro principale differenza a livello di configurazione: compaiono campi aggiuntivi come flow, security, sni, che non esistono in WireGuard.

Dove procurarsi la configurazione: servizio, server proprio, amico

Le fonti sono tre: un servizio VPN commerciale fornisce un file già pronto o un link nell'area personale, voi stessi mettete su un server (ad esempio tramite Amnezia o un vostro VPS) e generate la config, oppure semplicemente ve la manda un conoscente. La differenza sta solo nel fatto che i servizi di solito danno istruzioni e assistenza tecnica, mentre una config fatta in casa andrà debuggata da soli — ed è proprio per questi casi che più avanti tornerà utile la sezione sulla diagnostica.

Configurazione di WireGuard su iPhone: passo dopo passo

WireGuard è il protocollo più semplice da importare su iOS, perché l'app ufficiale è fatta con cura e comprende tutti e tre i modi di aggiungere un tunnel. Vediamoli in ordine.

Installazione dell'app WireGuard dall'App Store

Cercate nell'App Store l'app "WireGuard", sviluppatore WireGuard Development Team. È gratuita, pesa meno di 20 MB. Dopo l'installazione apritela — vedrete uno schermo vuoto con l'elenco dei tunnel e un grande più in alto a destra.

Importazione del file .conf o del codice QR

Premete il più — compaiono tre opzioni: "Crea da file o archivio", "Crea da codice QR", "Crea senza modello". Se avete un file .conf, scegliete la prima voce e indicate il file tramite File o AirDrop. Se il provider ha fornito un codice QR (spesso lo fanno proprio per i client mobili, per non dover inviare il file) — scegliete la scansione, inquadrate con la fotocamera, e tutti i campi si compileranno automaticamente in un paio di secondi. È il metodo più veloce, e di solito lo consiglio proprio quando la configurazione viene fornita in forma di QR.

Creazione manuale del tunnel dai parametri

Se avete tra le mani solo un testo con le chiavi — scegliete "Crea senza modello". Nel campo Interface inserite la chiave privata, l'indirizzo (ad esempio 10.0.0.2/32) e i server DNS. Nella sezione Peer — la chiave pubblica del server, l'endpoint (indirizzo IP e porta, solitamente 51820) e gli allowed IPs, il più delle volte 0.0.0.0/0, affinché tutto il traffico passi attraverso il tunnel. Un errore di battitura in una qualsiasi delle chiavi — e il tunnel semplicemente non si attiverà, quindi copiate i valori, non digitateli a mano.

Attivazione e verifica della connessione

Dopo aver creato il tunnel, spostate l'interruttore accanto al suo nome. iOS chiederà il permesso di aggiungere configurazioni VPN — accettate, è una richiesta di sistema che compare una sola volta. Lo stato dovrebbe passare ad "Attivo", e nella barra di stato comparirà l'icona VPN. Per verificare che il traffico passi davvero attraverso il tunnel, potete aprire un qualsiasi sito che risulta bloccato senza VPN — se si apre, va tutto bene.

WireGuard è veloce e leggero, ma ha un punto debole: non si camuffa da traffico normale. Se il provider applica il filtraggio DPI, il tunnel può essere tagliato a livello di protocollo, anche se il server stesso funziona correttamente. Di questo parleremo nella sezione sull'aggiramento del DPI.

Configurazione tramite il VPN integrato di iOS (IKEv2) e profili .mobileconfig

iOS ha un client VPN integrato che non richiede affatto l'installazione di un'app di terze parti. È comodo quando non volete installare software in più, ma è adatto solo ai protocolli IKEv2 e L2TP.

Impostazioni → Generali → VPN e gestione dispositivo

Andate in Impostazioni, poi Generali, quindi la voce "VPN e gestione dispositivo" (nelle vecchie versioni di iOS si chiamava semplicemente "VPN"). Lì ci sarà la sezione VPN con il pulsante "Aggiungi configurazione VPN".

Inserimento manuale del server, ID e chiave condivisa per IKEv2

Nel modulo che appare, selezionate il tipo IKEv2. Poi compilate: descrizione (un nome qualsiasi a vostra scelta), server (indirizzo o dominio), ID remoto (di solito coincide con l'indirizzo del server), l'ID locale può essere lasciato vuoto. Nell'autenticazione selezionate «Chiave condivisa» e incollate la PSK che vi è stata fornita insieme alla configurazione. Salvate — il profilo apparirà nell'elenco e dovrà essere attivato tramite l'interruttore.

Installazione del profilo .mobileconfig senza applicazioni di terze parti

Se vi hanno fornito un file .mobileconfig già pronto, è ancora più semplice. Aprite il file (tramite email, Safari o File), e iOS proporrà automaticamente di installare il profilo di configurazione. Andate in Impostazioni — in alto apparirà la voce «Profilo scaricato». Toccatela, inserite il codice di accesso del dispositivo, confermate l'installazione. Tutti i parametri IKEv2 (server, chiavi, DNS) verranno impostati automaticamente.

Ma qui c'è un punto importante: il profilo .mobileconfig non è semplicemente un insieme di impostazioni VPN, è una configurazione di sistema a tutti gli effetti, che teoricamente può modificare anche altri parametri del dispositivo — DNS, proxy, certificati, restrizioni. Installate profili solo da fonti di cui vi fidate. In caso di dubbio, controllate il contenuto del profilo prima dell'installazione (iOS mostra l'elenco di ciò che verrà modificato) e non installate profili di persone sconosciute «per sicurezza».

Attivazione di «Connetti su richiesta»

Nelle impostazioni del profilo IKEv2 c'è l'interruttore «Connetti su richiesta» — mantiene il tunnel attivo automaticamente quando ci si collega alla rete, senza dover attivare manualmente l'interruttore ogni volta. Comodo per l'uso quotidiano, ma tenete presente che così la VPN può attivarsi anche in background, consumando leggermente più batteria.

Configurazioni per aggirare il DPI: VLESS/XRay, Shadowsocks, Amnezia

Ed è qui che inizia la parte più pratica per chi ha già affrontato blocchi reali. Il normale WireGuard o IKEv2 funziona benissimo dal punto di vista tecnico, ma i provider in Russia utilizzano sempre più attivamente il DPI, che riconosce le firme dei protocolli VPN e le taglia — a volte non completamente, ma semplicemente riducendo la velocità a pochi kilobit al secondo, il che equivale di fatto a un blocco.

Perché i provider rallentano e bloccano una normale VPN

Roskomnadzor e gli operatori di telecomunicazioni utilizzano apparecchiature TSPU, che analizzano non solo gli indirizzi IP, ma anche la struttura stessa dei pacchetti. WireGuard ha un handshake riconoscibile, OpenVPN ha un handshake TLS caratteristico anche in modalità TCP. Non appena il sistema riconosce il pattern, la connessione viene interrotta oppure inizia a essere rallentata artificialmente. Proprio per questo una semplice configurazione vpn su iphone senza mascheramento aggiuntivo può cadere proprio nei momenti di picco dei blocchi, e non essere instabile di per sé.

Importazione del link vless:// in Streisand, V2Box, Shadowrocket

Per i protocolli della famiglia XRay (VLESS, VMess, Trojan) sull'App Store ci sono diversi client validi: Streisand (gratuito, open source), V2Box e Shadowrocket (a pagamento, ma presente sul mercato da tempo e stabile). Il processo è identico: copiate il link vless://, aprite l'applicazione, trovate il pulsante di importazione dagli appunti — di solito si trova nella schermata principale o nel menu di aggiunta profilo. Il link viene analizzato automaticamente e suddiviso nei parametri: indirizzo, porta, UUID, tipo di crittografia, SNI per il mascheramento come TLS. Dopo l'importazione basta selezionare il server nell'elenco e attivare l'interruttore, come in qualsiasi applicazione VPN.

Shadowsocks e AmneziaWG per il mascheramento del traffico

Shadowsocks è un protocollo proxy più datato ma collaudato, che cifra il traffico in modo che appaia come una sequenza casuale di byte, senza un handshake riconoscibile. I client per iOS sono Shadowrocket o Potatso Lite. La configurazione arriva tramite un link ss:// oppure un codice QR — l'importazione è analoga a VLESS.

AmneziaWG è una modifica di WireGuard sviluppata appositamente per aggirare il DPI: stesso protocollo in termini di velocità, ma con un handshake offuscato, più difficile da riconoscere tramite analisi delle firme. Si configura tramite l'applicazione Amnezia, la configurazione è definita dallo stesso file .conf del normale WireGuard, ma con parametri aggiuntivi Jc, Jmin, Jmax, che si occupano del mascheramento dei pacchetti.

Alcuni servizi, tra cui NvoVPN, forniscono un link di configurazione già pronto proprio per questi protocolli — questo solleva l'utente dalla necessità di impostare manualmente i parametri di mascheramento, il che è comodo se non volete addentrarvi nei dettagli delle configurazioni XRay.

Cosa scegliere per YouTube, Instagram, Telegram e Twitter/X

In pratica, per YouTube e Instagram, dove è importante una velocità stabile per i video, sono più adatti AmneziaWG o VLESS con mascheramento TLS — mantengono una velocità vicina a quella di WireGuard, ma vengono tagliati dal DPI meno spesso. Per Telegram di solito basta qualsiasi protocollo, incluso il normale WireGuard, perché il messenger stesso ha meccanismi integrati per aggirare i blocchi. Per Twitter/X, che viene periodicamente bloccato a livello di IP e DNS, conta meno il protocollo in sé e più il fatto che anche le richieste DNS passino attraverso il tunnel — verificate che nelle impostazioni del profilo sia indicato un DNS come 1.1.1.1 o 8.8.8.8, e non il DNS del provider.

Cosa fare se la configurazione non si connette

Analizziamo per sintomi — il problema di solito rientra in una di quattro categorie.

La VPN si attiva, ma non c'è internet

Questa è la situazione più frequente. L'interruttore è verde, l'icona VPN nella barra di stato è presente, ma i siti non si caricano. Per prima cosa controllate data e ora sul dispositivo — Impostazioni → Generali → Data e ora, attivate «Automatico». I protocolli crittografici (in particolare IKEv2 e VLESS con TLS) verificano l'ora durante l'handshake, e se l'orologio è sfasato anche solo di qualche minuto, i certificati vengono considerati non validi. Il secondo colpevole frequente è un DNS errato nella configurazione, che semplicemente non risolve i domini al di fuori della rete del provider.

Errore di importazione del file o chiave errata

Se il client WireGuard o XRay restituisce un errore subito durante l'importazione, quasi sempre si tratta di un file danneggiato o di una chiave con uno spazio in più. Aprite il file .conf in un editor di testo (ad esempio tramite l'app File con l'anteprima) e verificate che ogni riga della chiave sia un'unica riga continua, senza interruzioni che a volte vengono aggiunte durante l'invio tramite messenger. Se la chiave è stata copiata da una chat, è meglio richiederla di nuovo direttamente come file, non come testo.

Interruzioni continue e rallentamenti sulla rete mobile

Se su Wi-Fi tutto è stabile, ma sulla rete mobile il tunnel si interrompe di continuo — quasi sempre è il DPI dell'operatore di telefonia mobile, non un problema di configurazione. Gli operatori mobili in Russia spesso filtrano in modo più severo rispetto all'internet domestico. Qui aiuta passare a un protocollo con mascheramento (VLESS, Shadowsocks, AmneziaWG) invece del normale WireGuard, così come cambiare porta — se il server supporta non solo la porta standard 51820 ma anche la 443 (porta HTTPS), il traffico su quella porta viene bloccato meno spesso, perché sembra normale traffico web protetto.

Conflitto tra più profili VPN

Se in precedenza avete già provato altre applicazioni o profili VPN, questi potrebbero essere rimasti nel sistema e interferire con la nuova connessione — a volte iOS mantiene attivo un tunnel diverso da quello che avete appena attivato. Andate in Impostazioni → Generali → VPN e gestione dispositivo e controllate l'elenco di tutti i profili: dovrebbe essere attivo uno solo. Eliminate quelli superflui scorrendo verso sinistra o tramite il pulsante di modifica.

Vale la pena menzionare separatamente un paio di casi meno ovvi. Se il telefono è gestito da un profilo MDM aziendale (spesso sui dispositivi di lavoro), l'amministratore potrebbe aver vietato l'aggiunta di configurazioni VPN di terze parti — in questo caso Impostazioni semplicemente non permetterà di aggiungere un nuovo profilo, e questa restrizione può essere rimossa solo a livello dell'organizzazione, non dall'utente. Se avete una versione datata di iOS (inferiore alla 15), alcune app moderne come Streisand potrebbero non essere disponibili per l'installazione — in tal caso conviene cercare una versione più vecchia del client oppure aggiornare il sistema. E ancora: se condividete internet dall'iPhone tramite hotspot personale, la VPN attiva sul dispositivo che condivide la connessione a volte interrompe la connessione dei dispositivi collegati quando si cambia rete — in questo caso è più semplice attivare la VPN separatamente su ciascun dispositivo, anziché affidarsi all'hotspot.

Se avete seguito tutti i punti della checklist e la connessione rimane comunque instabile, molto probabilmente il problema non è nella configurazione in sé, ma nella qualità del server o nel suo blocco da parte del provider a livello di IP — in tal caso aiuta cambiare server o protocollo, non riconfigurare di nuovo lo stesso profilo.