Per-app VPN Windows: setup
Su Windows 10 e 11 si può instradare nel tunnel VPN solo il traffico di specifiche applicazioni grazie al nodo AppTriggerList nel ProfileXML. Combinato con TrafficFilterList si ottiene un controllo granulare ideale per scenari Always-on con isolamento applicativo.
AppTriggerList e TrafficFilterList
AppTriggerList specifica quali eseguibili o pacchetti UWP attivano automaticamente la VPN. TrafficFilterList consente di filtrare ulteriormente per IP, porta o protocollo. Insieme realizzano un per-app VPN nativo senza software di terze parti.
Procedura passo-passo
- Crea un ProfileXML con sezione NativeProfile (IKEv2 o SSTP) e relativi parametri server.
- Aggiungi blocco
%ProgramFiles%\App\app.exe - Includi un
per limitare il tunnel a IP/porte aziendali. - Distribuisci il profilo via PowerShell (Add-VpnConnection -ProfileXML) o tramite Intune Configuration Profile.
- Riavvia il servizio RasMan per applicare i cambiamenti.
- Lancia l'eseguibile listato: la VPN si attiva automaticamente in background.
- Verifica con Get-VpnConnectionTrigger e con netstat che le connessioni passino nel tunnel.
Intune e templated ProfileXML
Intune semplifica la distribuzione di ProfileXML complessi tramite VPN Configuration Policy. Definisci connection name, server, AppTriggerList, TrafficFilterList in un template e applicalo a gruppi di utenti. Le modifiche si propagano via MDM senza dover toccare manualmente ogni client. Combina con Conditional Access per zero-trust completo.
UWP vs Win32 trigger
AppTriggerList supporta sia eseguibili Win32 (full path) sia UWP packages (PFN - Package Family Name). Per UWP usa Get-AppxPackage per trovare il PFN, es. Microsoft.Office.Outlook_8wekyb3d8bbwe. Per Win32 il path può includere variabili ambiente. Mixare i due in un solo profilo consente di coprire tutte le app aziendali indipendentemente dalla loro natura.
Troubleshooting con tracing
Per debug avanzato Windows VPN: abilita tracing con netsh trace start scenario=netconnection per registrare eventi. Apri il .etl risultante con Microsoft Message Analyzer o convertilo in testo con netsh trace convert. Eventi RasMan dettagliati aiutano a identificare perché un trigger non scatta.
Distribuzione ProfileXML via Intune
Intune permette di distribuire ProfileXML come Configuration Profile: vai in Devices > Configuration > Create profile > Windows > Custom OMA-URI. Inserisci OMA-URI specifico (./Vendor/MSFT/VPNv2/...) e payload XML. Test su pilot group prima di rollout massivo. Monitor compliance e troubleshoot via Intune logs.
Debug con netsh wlan
Strumenti debug Windows VPN: netsh wlan show interfaces (stato rete), netsh interface show interface (interfacce VPN), Get-VpnConnection -AllUserConnection (profili installati), ipconfig /all (assegnazione IP tunnel). Per analisi packet-level, Wireshark sull'interfaccia tunnel mostra traffico effettivo. Indispensabili per diagnosi setup complessi.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- App non triggera VPN: verifica path con variabili ambiente corrette (%ProgramFiles% espanso); usa AppID corretto per app UWP.
- Tunnel su, traffico no: regole TrafficFilterList troppo strette: prova senza filtri per isolare il problema.
- Errore 720: stack TCP/IP danneggiato: prova netsh int ip reset e reinstallazione miniport WAN.
- Conflitti con Always-on tunnel: device tunnel sempre attivo può collidere con user tunnel per-app: usa metriche routing diverse.
Domande frequenti
D: Serve Windows Enterprise?
R: Sebbene molti scenari funzionino su Pro, alcune feature MDM richiedono Enterprise/Intune.
D: Posso vedere quali app stanno usando la VPN?
R: Si tramite Get-NetTCPConnection filtrando per OwningProcess o tramite NetEventSession.
D: Convive con split tunneling?
R: Si, per-app è una forma più granulare di split tunneling.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.