Guide
Un protocollo VPN definisce come il tuo dispositivo e il server costruiscono il tunnel cifrato. WireGuard è il più veloce e semplice, OpenVPN il più maturo e flessibile, IKEv2/IPsec il migliore nel sopravvivere ai cambi di rete sul telefono, e Xray/VLESS su TLS fa sembrare il traffico del tunnel normale HTTPS. Ognuno sacrifica qualcosa in cambio del suo punto di forza.
Tutti e quattro i protocolli usano crittografia moderna e mai violata. Differiscono per velocità, dimensione del codice, comportamento su reti instabili e per quanto il loro traffico è riconoscibile dall'esterno — non per la tenuta della cifratura.
WireGuard supera OpenVPN sullo stesso hardware perché gira nel kernel con un handshake snello. L'età compra a OpenVPN configurabilità e diffusione sulle piattaforme, non throughput puro.
WireGuard, OpenVPN e IKEv2 producono tutti traffico che una rete può classificare come tunnel VPN. Xray/VLESS dentro TLS vero è progettato per essere indistinguibile da una normale sessione HTTPS.
Un protocollo è l'accordo tra la tua app e il server: come si scambiano le chiavi, come i pacchetti vengono cifrati e impacchettati, come si riprende una connessione caduta. Il tuo abbonamento di solito ne include diversi; l'app ne sceglie uno per connessione, e cambiare è una voce di menu, non un impegno.
La scelta si fa sentire in tre punti. Il throughput e il consumo di batteria differiscono perché i protocolli costano quantità diverse di CPU per pacchetto. La stabilità differisce quando ti sposti tra reti o stai dietro firewall severi. E la visibilità differisce: alcuni tunnel sono banali da classificare come traffico VPN per gli apparati di rete, altri sono costruiti per evitare la classificazione. Nessun protocollo vince su tutti e tre i fronti, ed è per questo che il menu esiste.
WireGuard è la risposta di default nel 2026. Circa quattromila righe di codice kernel contro le centinaia di migliaia degli stack più vecchi, un'unica suite di cifratura moderna (ChaCha20-Poly1305) invece di una matrice di negoziazione, e un handshake che si completa in una sola andata e ritorno. In pratica significa throughput vicino alla velocità della linea su hardware comune, riconnessioni rapide e consumi di batteria contenuti sui telefoni.
Paga con due tratti di progetto. Primo: un server WireGuard standard assegna a ogni peer un indirizzo fisso dentro il tunnel, quindi il fornitore deve aggiungere un proprio strato — rotazione degli indirizzi interni, cancellazione dello stato del peer alla disconnessione — per evitare un identificatore stabile per utente; che ciò avvenga è una proprietà del fornitore, non del protocollo. Secondo: WireGuard viaggia su UDP con un pattern di handshake riconoscibile, quindi gli apparati di rete che vogliono identificare il traffico VPN lo individuano con facilità, e le reti che scartano l'UDP sconosciuto lo rompono del tutto.
OpenVPN è in produzione dai primi anni Duemila, e quell'età è il suo capitale: due decenni di scrutinio, supporto praticamente su ogni piattaforma e router, e opzioni di configurazione per quasi ogni topologia di rete. Gira su UDP per la velocità o su TCP per la raggiungibilità, e su TCP porta 443 usa almeno la porta che i firewall chiudono di rado — anche se il suo handshake TLS differisce comunque da quello di un browser, quindi la classificazione resta possibile.
Il costo è il peso. OpenVPN elabora i pacchetti in user space, attraversando il confine del kernel a ogni pacchetto, e il suo throughput sullo stesso hardware è tipicamente una frazione di quello di WireGuard, con riconnessioni che si misurano in secondi anziché istantanee. Il codice e la sua dipendenza da OpenSSL sono di ordini di grandezza più grandi, il che significa una superficie di audit maggiore. Resta lo strumento giusto sui router datati, nelle configurazioni aziendali che richiedono certificati e sulle reti dove l'UDP è inutilizzabile.
Il tratto distintivo di IKEv2 è MOBIKE, un'estensione standard che permette a un tunnel già stabilito di sopravvivere a un cambio di indirizzo di rete. Esci dalla copertura Wi-Fi e passi all'LTE: la sessione migra senza un nuovo handshake — esattamente l'evento che interrompe gli altri protocolli a metà chiamata. Il supporto nativo in iOS e Android, con la cifratura gestita dallo stack IPsec del sistema operativo, tiene bassi i consumi e lo rende un default frequente nelle app mobili.
Le sue debolezze sono ambientali. IKEv2 ha bisogno delle porte UDP 500 e 4500, che le reti restrittive — Wi-Fi d'albergo, firewall aziendali — spesso bloccano, e non ha un proprio fallback su TCP. Anche la configurazione è meno trasparente di quella di WireGuard: i parametri IPsec vengono negoziati, e un server configurato male può accordarsi su impostazioni più deboli del previsto. Scelta forte sul telefono, fragile sulle reti ostili.
VLESS è un protocollo di trasporto leggero del progetto Xray: framing minimo, nessuna cifratura propria incorporata, progettato per girare dentro una sessione TLS reale. Poiché lo strato di cifratura è TLS standard — lo stesso protocollo che usa ogni sito web — una connessione VLESS sulla porta 443 presenta un normale handshake con certificato seguito da un flusso cifrato opaco, che è esattamente l'aspetto di qualsiasi sessione HTTPS vista da fuori.
Questo conta sulle reti che classificano e strozzano o scartano i protocolli VPN riconoscibili. Dove l'handshake di WireGuard o le stranezze TLS di OpenVPN tradiscono il tunnel, un endpoint Xray ben configurato non offre a un classificatore alcun pattern distintivo oltre la statistica. I costi: più parti in movimento sul server, throughput limitato dall'elaborazione TLS invece che dal networking nel kernel, e un ecosistema di client piccolo rispetto ai protocolli mainstream. Aurora usa WireGuard per la velocità di tutti i giorni e Xray/VLESS sui propri nodi per le reti dove i tunnel standard sono inaffidabili.
Parti da WireGuard e cambia solo quando qualcosa di specifico si rompe. La mappa pratica:
Un kill switch blocca tutto il traffico internet nell'istante in cui il tunnel VPN cade, così le app non possono ripiegare in silenzio sulla tua connessione normale. Senza, anche una disconnessione di due secondi espone il tuo vero indirizzo IP. E anche con il tunnel attivo, le richieste DNS, il WebRTC nel browser e il traffico IPv6 possono passargli accanto. Ogni fuga ha un test semplice e un rimedio.
Mettere il tunnel VPN sul router protegge in un colpo solo ogni dispositivo della rete — compresi TV, console e smart speaker che non possono installare app. I compromessi sono reali: il throughput è limitato dalla CPU del router, tutta la casa esce da un solo paese, e il debug diventa più difficile. Questa guida spiega le configurazioni e come decidere.
In viaggio, una VPN cifra il tuo traffico sul Wi-Fi di hotel e aeroporti, fa sembrare che i tuoi account si connettano da un paese familiare e raggiunge i servizi che all'estero si comportano diversamente. Non è una panacea: le piattaforme di streaming riconoscono gli indirizzi dei server, e le regole locali variano da paese a paese. L'unica regola che conta più di tutte: configura e testa tutto prima di partire.
Garanzia di rimborso di 14 giorni. Fino a 7 dispositivi con un solo abbonamento.
Proteggi i miei dispositivi