Per-app VPN Android: setup
Android supporta da anni la modalita per-app VPN attraverso l'API VPNService, che consente di indicare quali app (whitelist) o quali app escludere (blacklist) dal tunnel. Con Android Enterprise e MDM la configurazione e centralizzata e applicabile su scala flotta.
Modalita supportate
Le modalita disponibili sono Always-on per app, Lockdown (blocca traffico se VPN giu) e Per-app VPN gestito tramite MDM. Le app stesse possono usare addAllowedApplication o addDisallowedApplication via VPNService quando configurate dal sistema.
Procedura passo-passo
- Configura il dispositivo in modalita Work Profile o Fully Managed tramite Android Enterprise.
- Da Intune/Workspace ONE/JumpCloud crea profilo VPN scegliendo client (Cisco AnyConnect, F5, OpenVPN, WireGuard).
- Imposta Always-on VPN su true e configura Lockdown se vuoi bloccare traffico clear.
- Aggiungi nella whitelist i package name delle app aziendali (com.azienda.app1, com.azienda.app2).
- Distribuisci il profilo agli utenti tramite MDM.
- L'utente vede l'icona VPN persistente in barra di stato; il traffico delle altre app esce diretto.
- Verifica nei log del client VPN che solo i bundle inseriti generino traffico nel tunnel.
Work Profile e Personal
Android Enterprise distingue Work Profile (container separato sul dispositivo personale) e Fully Managed (dispositivo interamente aziendale). Per BYOD, Work Profile è l'ideale: VPN per-app si applica solo alle app del profilo lavoro, mantenendo app personali intoccate. L'utente vede una icona briefcase per identificare app gestite.
Considerazioni performance
VPN always-on con lockdown su Android può impattare batteria più di iOS: il sistema deve verificare costantemente lo stato VPN per applicare il lockdown. Imposta keepalive ragionevole, scegli WireGuard quando possibile per minimo overhead, e abilita Doze mode. Monitora consumo batteria via Battery Historian.
Vendor lock-in: scegliere bene il client
Cisco AnyConnect, GlobalProtect, FortiClient sono client VPN enterprise comuni su Android, ma la qualità varia molto: alcuni hanno bug ricorrenti, altri richiedono permessi invasivi. WireGuard ufficiale e leggero e open source: per scenari nuovi consideralo prima dei pesanti client legacy.
Knox e Samsung
Samsung Knox estende Android Enterprise con framework di sicurezza enterprise più robusto: container Workspace separato, attestation hardware, VPN per-container. Per ambienti con flotta principalmente Samsung, Knox semplifica setup di MDM avanzato e migliora attestation device posture. Configurazione via Knox Suite o tramite EMM compatibile.
VPN profile via QR code
WireGuard Android supporta import tramite QR code generato dal server con qrencode. Comodo per onboarding rapido: utente apre app, scansiona QR, profilo importato. Per ambienti aziendali via MDM è meglio per controllo, ma per piccoli team o use case BYOD funziona benissimo.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Whitelist non rispettata: alcuni client (versioni vecchie) ignorano l'API: aggiorna client e SDK target alla versione richiesta dal MDM.
- Lockdown blocca DNS: ricordati di consentire DNS interno della VPN, altrimenti tutte le app falliscono risoluzione.
- Notifiche persistenti: Android mostra notifica permanente VPN: e by design e non può essere rimossa per ragioni di sicurezza.
- App escluse comunque tracciate: alcuni servizi Google bypassano VPN per ottimizzazioni: documenta agli utenti il comportamento atteso.
Domande frequenti
D: Posso usare WireGuard ufficiale?
R: Si, WireGuard per Android supporta allow/disallow lista nelle impostazioni interne dell'app.
D: Funziona su Android personale (non MDM)?
R: Si in parte: l'utente può abilitare always-on manualmente in Impostazioni > Rete > VPN.
D: Differenze con iOS?
R: Android espone configurazione manuale anche senza MDM; iOS richiede MDM per per-app VPN.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.