Per-app VPN iOS: setup
Per-app VPN su iOS consente di instradare nel tunnel VPN solo il traffico generato da specifiche app aziendali, lasciando le altre app accedere direttamente a Internet. È utile per separare uso personale e professionale su iPhone/iPad in scenario BYOD o COPE.
Requisiti e MDM
Per configurare per-app VPN su iOS serve un MDM (Jamf, Intune, Mosyle, Kandji) e un client VPN supportato (Cisco AnyConnect, F5, Palo Alto GlobalProtect, oppure provider IKEv2 nativo). Le app interessate devono essere distribuite via MDM perché solo così possono essere associate al profilo VPN.
Procedura passo-passo
- Configura un payload VPN nel MDM con tipo IKEv2 o app personalizzata.
- Spunta Connessione per app e aggiungi i bundle identifier delle app aziendali.
- Distribuisci le app via VPP/ABM in modalita Managed.
- Distribuisci il profilo di configurazione con MDM ai dispositivi target.
- L'utente apre l'app gestita: iOS attiva automaticamente la VPN solo per quel traffico.
- Verifica con Impostazioni > VPN che lo stato passi a Connesso quando l'app gestita e in primo piano.
- Aggiungi domini Safari per Per-App VPN se serve estendere a navigazione web di Safari.
On Demand rules
Il payload VPN iOS supporta OnDemandRules con condizioni complesse: connetti se SSID Wi-Fi sconosciuto, disconnetti se in rete corporate, attiva solo per domini specifici. Esempio: {Action: Connect, SSIDMatch: [Wi-Fi-Aziendale], URLStringProbe: https://intranet.azienda.it/probe}. Le OnDemand combinate con per-app forniscono controllo finissimo.
Apple Configurator e profili manuali
Per piccoli ambienti senza MDM, Apple Configurator 2 permette di creare profili .mobileconfig e installarli via cavo USB. Non scala ma e utile per testing o per fleet di pochi device. Il file XML del profilo e leggibile e modificabile: utile per capire come MDM commerciali compongono i payload.
Privacy BYOD e separazione dati
Per-app VPN su iOS rispetta la separazione personale/aziendale grazie a User Enrollment (iOS 13+). Il MDM gestisce solo app e dati aziendali, lasciando intoccati account personali, foto, messaggi. Combinato con per-app VPN, il dipendente accetta meno intrusivita aziendale sul dispositivo personale.
Network Extension framework
iOS espone Network Extension framework per developer che vogliono creare client VPN custom: NEVPNManager, NETunnelProviderManager per VPN system-wide, NEAppProxyProvider per per-app proxy. Le app VPN nell'App Store devono usarli; non è possibile fare VPN system-wide senza framework. Per progetti enterprise distribuibili via TestFlight o B2B B2B App Store.
iCloud Private Relay
Apple iCloud Private Relay (per utenti iCloud+) cifra il traffico Safari e DNS attraverso due relay, simile a multi-hop VPN ma limitato a Safari. Non sostituisce una VPN tradizionale ma offre baseline privacy. Coesiste con VPN aziendale che continua a funzionare per altre app.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- VPN non si attiva: verifica che l'app sia distribuita come Managed: app installate dall'utente non triggerano per-app VPN.
- Profilo non installato: controlla che il MDM abbia consenso supervised se necessario per VPN obbligatoria.
- Safari non passa nel tunnel: Safari richiede regole Safari Domains specifiche nel payload VPN.
- Disconnessioni frequenti: imposta OnDemand rules per riattivare la VPN quando l'app gestita torna in foreground.
Domande frequenti
D: Funziona senza MDM?
R: No: e una funzione enterprise legata strettamente alla distribuzione managed delle app.
D: E sicura per BYOD?
R: Si, perché traffico personale resta fuori dal tunnel aziendale, preservando privacy dell'utente.
D: Posso usarla con WireGuard?
R: Il client WireGuard iOS supporta per-app via configurazione profile; alcuni MDM la espongono in modo limitato.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.