Configurare VPN su iOS: WireGuard, IKEv2 e OpenVPN

Una VPN aziendale permette all'iPhone di accedere alla rete interna dell'azienda da remoto in modo sicuro: file server, gestionali interni, stampanti, servizi protetti. iOS supporta nativamente i protocolli più diffusi (IKEv2, IPSec, L2TP) e tramite app dedicate anche WireGuard e OpenVPN. In questa guida vediamo come configurare ognuno, quando preferirlo e come integrarlo con il sistema di sicurezza aziendale.

Quale protocollo scegliere

• WireGuard: il più moderno, veloce, leggero e con minor consumo batteria. Consigliato per ogni nuovo deploy.
• IKEv2/IPSec: nativo iOS, ottimo handover Wi-Fi/cellulare. Buono per uso aziendale stabile.
• OpenVPN: maturo, ben supportato, ma più pesante e meno performante.
• L2TP/IPSec: legacy, sconsigliato per nuovi deploy (sicurezza debole).

Configurazione IKEv2 nativa

1. Apri Impostazioni, Generali, VPN e gestione dispositivi, VPN.
2. Tocca Aggiungi configurazione VPN.
3. Seleziona tipo IKEv2.
4. Inserisci descrizione (es. "VPN azienda").
5. Server: indirizzo IP o dominio del concentratore VPN (es. vpn.azienda.it).
6. Remote ID: il dominio del server (es. vpn.azienda.it).
7. Autenticazione utente: scegli "Username" o "Certificato".
8. Inserisci credenziali fornite dall'IT.
9. Tocca Fine e attiva il toggle VPN dalla schermata principale.

Configurazione WireGuard

1. Scarica WireGuard dall'App Store (gratis).
2. Apri WireGuard e tocca +.
3. Tre opzioni: crea da zero, importa file .conf, scansiona QR code.
4. Se l'IT ti fornisce un file di config, scegli "Crea da file o archivio" e seleziona il .conf.
5. Se ti fornisce un QR code (più comune), scegli "Crea da codice QR" e inquadralo.
6. Inserisci un nome al tunnel e salva.
7. Attiva il toggle del tunnel: WireGuard chiederà di installare un profilo VPN.
8. Conferma con FaceID/TouchID.

Configurazione OpenVPN

1. Scarica OpenVPN Connect dall'App Store.
2. Ottieni dall'IT il file .ovpn di configurazione.
3. Inviati il file via email o AirDrop.
4. Apri il file: iOS propone "Apri in OpenVPN".
5. Inserisci username/password aziendali.
6. Salva la configurazione e attivala.

VPN On-Demand

iOS può attivare automaticamente la VPN in base a regole:

• Solo per certi domini (split-DNS).
• Solo su reti Wi-Fi non aziendali.
• Sempre, tranne quando connessi al Wi-Fi aziendale.

Queste regole si configurano solo via profilo MDM o file .mobileconfig firmato. Chiedi all'IT.

Errori comuni e come risolverli

• "Server VPN non risponde": verifica connessione internet, IP server e firewall.
• VPN si connette ma non vedo i server interni: route mancanti. Verifica con IT che la subnet aziendale sia in "Allowed IPs".
• VPN si disconnette dopo pochi minuti: keepalive non configurato. Aggiungi PersistentKeepalive=25 in WireGuard config.
• VPN drena batteria: il polling continuo consuma. Usa VPN On-Demand per attivarla solo quando serve.
• Errore certificato: il certificato del server è scaduto o non fidato. Aggiorna profilo VPN.
• Wi-Fi aziendale non funziona con VPN attiva: probabile loop di routing. Disattiva VPN sul Wi-Fi aziendale.

VPN MDM per azienda

Per oltre 10 dispositivi conviene distribuire VPN via MDM (Jamf, Intune, Mosyle, Kandji). Vantaggi: configurazione push automatica, certificate-based authentication, rotazione chiavi, monitoring. Il dipendente non deve fare nulla manualmente.

Domande frequenti

D: VPN gratis tipo ProtonVPN funziona su iPhone?
R: Sì, sono VPN commerciali per privacy, non aziendali. Bene per Wi-Fi pubblici.

D: VPN influisce su Apple Music o iCloud?
R: Dipende dal Paese del server VPN. iCloud è geografico, può confondersi.

D: Posso avere più VPN configurate?
R: Sì, ne attivi una alla volta scegliendo da Impostazioni VPN.

D: VPN rallenta Internet?
R: WireGuard quasi non rallenta, OpenVPN può dimezzare la velocità.

VPN per nomadi digitali

Chi viaggia molto per lavoro spesso si trova su Wi-Fi pubblici (hotel, aeroporti, coworking): qui una VPN è essenziale, non solo per accedere alla rete aziendale ma anche per proteggere il traffico da sniffing. Combinazione consigliata: VPN aziendale WireGuard attiva sempre quando si è fuori dal Wi-Fi aziendale (regola On-Demand), iCloud Private Relay per la navigazione Safari, DNS-over-HTTPS verso 1.1.1.1 o NextDNS. Triplo layer di protezione che blocca quasi qualunque attacco passivo su rete pubblica.

VPN split-tunnel

Una configurazione avanzata utile è la VPN split-tunnel: solo il traffico verso la rete aziendale passa via VPN, il resto va diretto. Vantaggi: meno carico sul concentratore VPN aziendale, migliore performance per Netflix/Spotify/streaming personali, minor batteria. WireGuard supporta nativamente: configura "AllowedIPs" solo con le subnet aziendali (es. 10.0.0.0/8) invece di 0.0.0.0/0. Su iOS la configurazione è gestita tramite WireGuard app o tramite profilo MDM con dettaglio "Always-On VPN per dominio".

VPN e zero trust

L'industria IT sta abbandonando il concetto "rete aziendale = sicura, esterno = insicuro" a favore di Zero Trust: ogni accesso, ovunque sia, deve essere verificato. Soluzioni Zero Trust come Cloudflare Access, Twingate, Tailscale, Zscaler ZPA su iPhone offrono accesso granulare per applicazione invece che per rete: il dipendente vede solo le app autorizzate, ogni accesso passa per autenticazione + valutazione contesto (device compliance, geolocation, tempo). Sono più sicure e più semplici della VPN tradizionale. Per nuovi deploy aziendali nel 2026, valuta seriamente Zero Trust al posto della classica VPN site-to-site.

Hai bisogno di aiuto?

Se vuoi supporto iPhone/iPad aziendale dal team di G Tech Group, scrivici tramite il modulo di contatto.