Android 15 e 16: Always‑on e Per‑app VPN — guida pratica con configurazione su Pixel

Introduzione

In questa guida passo passo configurerai una VPN stabile e sicura su Android 15 o Android 16, attiverai la modalità Always-on, limiterai il traffico solo tramite VPN (modalità blocco), imposterai regole Per-app, cioè indirizzerai la VPN solo per app selezionate o escludendone alcune. Vedremo due affidabili client Android — WireGuard e OpenVPN — e anche IKEv2 per il client integrato. Avrai un risultato sempre funzionante, che si attiva automaticamente dopo il riavvio e non consente traffico fuori dalla VPN. Nel frattempo, imparerai a verificare l’assenza di perdite DNS e IPv6 e a diagnosticare problemi in caso di malfunzionamenti.

Per chi è questa guida. Per utenti principianti che cercano istruzioni chiare da zero e per utenti avanzati — abbiamo incluso sezioni dedicate all’ottimizzazione MTU, split tunneling, profili aziendali e una breve panoramica delle modifiche API VPN in Android 15/16. Se configuri VPN su un telefono aziendale, troverai utili le sezioni su Managed Profile e politiche Always-on tramite gestione dispositivo. Se sei sviluppatore di client VPN, scoprirai suggerimenti pratici su cosa considerare con targetSdk 35/36.

Cosa sapere prima. Nulla di complicato. Spiegheremo tutto in modo semplice, senza saltare passaggi ovvi. Se hai mai installato un app dal Google Play o aperto le Impostazioni Android, riuscirai facilmente. Indicheremo esattamente dove cliccare, cosa inserire e come verificare.

Quanto tempo serve. La configurazione base di WireGuard con Always-on e blocco traffico senza VPN richiede 20–30 minuti. Per le regole Per-app e i test servono altri 20–30 minuti. Le ottimizzazioni avanzate e scenari aziendali richiedono dai 15 ai 30 minuti in base agli obiettivi.

Preparazione preliminare

Prima di iniziare assicurati di avere tutto il necessario. Risparmierai tempo e ridurrai errori.

Strumenti e accessi necessari

• Smartphone con Android 15 o 16. Per la guida useremo l’interfaccia di Google Pixel con Android puro. Forniremo anche indicazioni alternative per Samsung (One UI) e Xiaomi/POCO/Redmi (HyperOS/MIUI).
• Connessione internet sullo smartphone (Wi-Fi o rete mobile).
• Accesso al server VPN e configurazioni. Puoi usare configurazioni WireGuard o OpenVPN già esistenti, o parametri per IKEv2.
• Possibilità di installare app da Google Play (WireGuard, OpenVPN Connect, OpenVPN for Android) se serve.

Requisiti di sistema

• Android 15 o 16. Se hai Android 14, molte istruzioni restano valide, con possibili differenze nei nomi dei menu.
• Batteria almeno al 30%. Consigliato collegare il caricabatterie prima di iniziare.
• Spazio libero di 50–100 MB per installare i client e conservare le configurazioni.

Cosa scaricare e installare

• WireGuard (client ufficiale). Per file .conf e importazione QR.
• OpenVPN Connect (ufficiale) o OpenVPN for Android (con configurazioni avanzate). Per file .ovpn.
• Se vuoi usare IKEv2, nessuna app extra: sfrutti le impostazioni integrate Android, ma ti servono parametri server e certificati.

Backup

Non serve un backup del sistema. È però consigliabile conservare i file di configurazione VPN in un luogo sicuro, ad esempio un gestore password o cloud cifrato. Se importi file da altro dispositivo, verifica che non siano nella galleria foto o cartelle pubbliche senza cifratura.

Consiglio: Se usi uno smartphone aziendale, consulta l’IT per abilitare Always-on e blocco senza VPN. Alcune politiche aziendali gestiscono queste opzioni centralmente, rendendole inaccessibili all’utente.

Concetti base

Termini chiave spiegati semplice

• VPN — un tunnel protetto per il tuo traffico internet. Cripta i dati e li manda attraverso un server, così operatori e reti terze non vedono contenuti o destinazioni.
• Always-on VPN — modalità in cui la VPN si attiva automaticamente al riavvio e resta sempre attiva.
• Blocco senza VPN (Lockdown) — opzione che impedisce qualsiasi traffico internet se la VPN è disconnessa. Protegge da perdite accidentali.
• Per-app VPN — modalità in cui selezioni app il cui traffico passa per la VPN o viene escluso dal tunnel.
• Split tunneling — termine tecnico per separare il traffico: parte attraverso VPN, parte diretto. È in sostanza Per-app o regole più avanzate.
• Config o profilo — file con parametri per il client VPN, ad esempio .conf per WireGuard, .ovpn per OpenVPN, configurazioni e certificati per IKEv2.

Cosa è importante sapere prima di iniziare

• Il client VPN deve restare attivo in memoria per non perdere la connessione. Android 15/16 gestisce bene i processi in background, ma indicheremo come garantirne la stabilità.
• Always-on è a livello sistema, ma il tunnel lo gestisce l’app. Se l’app viene chiusa forzatamente o perde la rete, il tunnel si interrompe, ma si riattiverà automaticamente se configurato correttamente.
• Il funzionamento Per-app dipende anche dal client. Vedremo il metodo integrato di sistema, dove disponibile, e le opzioni dentro WireGuard/OpenVPN.

⚠️ Attenzione: PPTP e L2TP senza IPsec sono obsoleti e insicuri su Android moderni. Usa WireGuard, OpenVPN o IKEv2/IPsec. Importante per velocità e sicurezza.

Passo 1: Aggiorniamo Android e prepariamo il dispositivo

Obiettivo della fase

Verificare la versione Android, aggiornare il sistema e predisporre il telefono per installazione e funzionamento stabile della VPN.

Istruzioni dettagliate

1. Apri Impostazioni sul tuo smartphone.
2. Scorri fino a Sistema o Info sul telefono, a seconda del modello.
3. Trova la voce Versione Android. Verifica che sia 15 o 16.
4. Torna indietro, vai in Sistema → Aggiornamento di sistema. Premi Controlla aggiornamenti. Installa tutte le patch di sicurezza disponibili. Attendi il completamento.
5. Riavvia il telefono se richiesto dopo l’aggiornamento.
6. Apri Impostazioni → App → Accesso speciale → Accesso illimitato ai dati. Trova il client VPN futuro (WireGuard o OpenVPN), oppure torna qui dopo l’installazione. Attiva il toggle per consentire accesso illimitato ai dati.
7. Apri Impostazioni → Batteria → Risparmio energetico. Disattiva modalità aggressive che limitano il lavoro in background o aggiungi l’app VPN alle eccezioni. Su Pixel: Impostazioni → App → Tutte le app → WireGuard → Batteria → Illimitato. Su Samsung: Impostazioni → App → WireGuard → Batteria → Consenti attività in background. Su Xiaomi: Impostazioni → Batteria → Risparmio batteria app → WireGuard → Nessuna restrizione.
8. Se usi un launcher con ottimizzazioni, disabilita task killer per il client VPN.

Consiglio: Metti subito una scorciatoia del client VPN sulla schermata principale per riavviare il tunnel con un tap.

Risultato atteso

Dispositivo aggiornato, lavoro in background per il client VPN non limitato, preparazione completata.

✅ Verifica: Apri Impostazioni → App → WireGuard (o client usato) → Batteria. Deve mostrare Nessuna restrizione o Illimitato.

Problemi comuni e soluzioni

• Aggiornamenti non disponibili. Motivo: il produttore non ha ancora rilasciato la patch. Soluzione: riprova più tardi, continua con la versione attuale.
• Manca menu batteria necessario. Motivo: interfaccia diversa. Soluzione: cerca equivalente digitando Batteria o Background nelle impostazioni.

Passo 2: Installiamo il client VPN e importiamo la configurazione

Obiettivo fase

Installare il client scelto, importare la configurazione e assicurarsi che il tunnel base si connetta.

Istruzioni per WireGuard

1. Apri Google Play e cerca WireGuard. Installa l’app.
2. Avvia WireGuard. Nella schermata principale, tocca il simbolo più.
3. Scegli Importa da file o archivio se hai un .conf, oppure Scansiona QR se il provider ti dà un QR code.
4. Individua il file .conf nel gestore file e selezionalo. Se richiesti permessi, concedili.
5. Assegna un nome chiaro al profilo, per esempio WG-Casa o WG-Lavoro.
6. Salva. Comparirà un interruttore accanto al profilo. Attivalo. Conferma la creazione della connessione VPN nella finestra di sistema premendo OK.

Istruzioni per OpenVPN

1. Installa OpenVPN Connect o OpenVPN for Android da Google Play.
2. Avvia l’app. Premi Importa.
3. Scegli Importa da file, seleziona il .ovpn. Se servono certificati o login, l’app li chiederà. Inseriscili e salva il profilo.
4. Premi Connetti. Conferma la creazione della VPN nella finestra di sistema.

Istruzioni per IKEv2 (client Android integrato)

1. Apri Impostazioni → Rete e Internet → VPN.
2. Premi il simbolo più o Aggiungi VPN.
3. Seleziona come tipo IKEv2/IPSec PSK o IKEv2/IPSec RSA a seconda del server.
4. Inserisci Nome, Indirizzo server, Identificatore, Chiave precondivisa (se PSK), scegli Certificato utente (se RSA). Salva.
5. Tocca il profilo creato → Connetti. Inserisci credenziali se richiesto.

Consiglio: Se sei indeciso, inizia con WireGuard. È semplice, efficiente in batteria e stabile su Android.

⚠️ Attenzione: Prima di importare configurazioni, verifica la fonte sia affidabile. Mai usare chiavi pubbliche condivise o login generici: rischi intercettazioni e sospensioni servizi.

Risultato atteso

Puoi connetterti manualmente alla VPN e vedi lo stato Connesso. Nella barra di stato appare l’icona a chiave.

✅ Verifica: Apri il browser e cerca "Il mio IP". Assicurati che l’indirizzo esterno sia quello del server VPN.

Problemi comuni e soluzioni

• Connessione non si avvia. Motivo: indirizzo o chiave errati. Soluzione: ricontrolla config, verifica internet, riavvia telefono.
• OpenVPN richiede login che non conosci. Motivo: server configurato con credenziali. Soluzione: chiedi al provider o usa profilo con certificato.
• WireGuard si connette ma traffico assente. Motivo: AllowedIPs errati, manca la rotta 0.0.0.0/0. Soluzione: correggi config server o client.

Consiglio per la scelta del server

Vorresti risultato prevedibile senza IP condivisi o problemi con altri utenti del server? Dai un’occhiata a vpn.how, soluzione ideale per chi cerca stabilità e controllo: server VPN personale con IP dedicato, supporto WireGuard, OpenVPN, IKEv2, L2TP, SSTP (scegli protocollo a seconda delle esigenze e compatibilità), sedi a Mosca, San Pietroburgo, Amsterdam, Francoforte, Londra, New York, San Jose, Chicago, Singapore, Sydney, Madrid, Helsinki, Stoccolma, Varsavia, Copenhagen, Stavanger, pagamenti con carte russe (Tinkoff, Ozon), tramite SBP e USDT/BTC, tariffe da 490 ₽ al giorno e 2490 ₽ al mese con sconti per periodi lunghi, attivazione server in 5 minuti dopo pagamento, politica no-log. Nel pannello vpn.how trovi configurazioni pronte per WireGuard, OpenVPN e IKEv2: scarichi profilo, lo importi nel client, semplificando tutto e azzerando gli errori.

Passo 3: Attiviamo Always-on VPN e blocco senza VPN

Obiettivo fase

Garantire l’avvio automatico della VPN e bloccare traffico in caso di disconnessione. Questo è il livello base di sicurezza su Android 15/16.

Istruzioni per Google Pixel (Android 15/16)

1. Apri Impostazioni → Rete e Internet → VPN.
2. Trova l’app VPN installata nella lista. Tocca l’icona ingranaggio a destra o il nome per aprire le impostazioni del profilo.
3. Attiva l’interruttore Always-on VPN (VPN sempre attiva).
4. Attiva l’interruttore Blocca connessioni senza VPN (a volte chiamato Lockdown o Blocco VPN). Conferma l’avviso che senza VPN il traffico sarà bloccato.
5. Esci dalle impostazioni e riavvia il telefono per verificare che il profilo si avvii automaticamente.

Istruzioni per Samsung (One UI)

1. Apri Impostazioni → Connessioni → Impostazioni connessione avanzate → VPN.
2. Tocca l’icona ingranaggio del profilo desiderato.
3. Attiva Sempre attivo.
4. Attiva Blocca senza VPN, se presente. Conferma.
5. Riavvia per testare l’avvio automatico.

Istruzioni per Xiaomi/POCO/Redmi (HyperOS/MIUI)

1. Apri Impostazioni → Connessioni e condivisione → VPN.
2. Tocca il profilo o l’icona opzioni.
3. Attiva Always-on o voce simile. Il nome può variare.
4. Cerca e abilita Blocca traffico senza VPN, se disponibile.
5. Riavvia il telefono e verifica l’icona chiave dopo aver attivato Wi-Fi o rete mobile.

Consiglio: Se manca l’opzione Blocca senza VPN, controlla nelle impostazioni di sicurezza generali o opzioni avanzate del profilo. Alcuni produttori la nascondono in menu Supplementari.

Risultato atteso

Dopo il riavvio, l’icona VPN appare automaticamente. Ogni tentativo di connessione internet senza VPN viene bloccato dal sistema.

✅ Verifica: Disattiva la VPN dall’app. Prova a visitare un sito: deve apparire un errore fino a riattivare la VPN. Riapri il VPN e verifica che i siti si carichino.

Problemi comuni e soluzioni

• VPN non si avvia al riavvio. Motivo: restrizioni batteria o Always-on attivato sul profilo sbagliato. Soluzione: controlla fase 1 per batteria; assicurati chemo Always-on sia attivo sul profilo in uso.
• Manca opzione Blocca senza VPN. Motivo: interfaccia o policy dispositivo. Soluzione: usa client con kill-switch interno (OpenVPN for Android supporta blocco routing) o verifica Impostazioni → DNS privato, disabilitando configurazioni che ostacolano VPN.

Passo 4: Configuriamo Per-app VPN a livello di sistema e client

Obiettivo fase

Direttiva il traffico VPN per tutte le app, solo alcune, o tutte eccetto alcune. Utile per banking, giochi o app locali che non devono passare per VPN.

Configurazione Per-app di sistema su Android 15/16 (se presente sulla tua versione)

1. Vai in Impostazioni → Rete e Internet → VPN.
2. Tocca il nome VPN e apri Impostazioni avanzate. Alcuni dispositivi mostrano App che usano VPN o Eccezioni app.
3. Se presente, seleziona app da escludere o includere nella VPN. Salva.

Nota. La lista app Per-app di sistema dipende dal produttore e client VPN. Su Android puro spesso la funzione è affidata all’app stessa. Perciò vediamo poi metodo garantito tramite i client WireGuard e OpenVPN.

Per-app in WireGuard

1. Apri WireGuard → tocca profilo → icona matita (Modifica).
2. Scorri a Opzioni tunnel. Trova voce App che usano VPN o Allowed applications. Potrebbe essere in un sottomenu secondo versione.
3. Aggiungi app che DEVONO usare VPN se imposto lista consentite, o indica app escluse per l’opzione inversa. Salva.
4. Disattiva e riattiva il profilo per applicare le modifiche.

Per-app in OpenVPN for Android

1. Apri OpenVPN for Android → tieni premuto sul profilo → Modifica.
2. Vai in Comportamento o Routing (a volte App).
3. Apri Gestione app. Scegli Modalità solo selezionate usano VPN o Escludi selezionate da VPN. Spunta le app desiderate. Salva.
4. Riconnetti il profilo per applicare.

Consiglio: Se non sai quale modalità adottare, inizia con Escludi da VPN per banking e app locali soggette a geoblocchi o antitruffa.

Risultato atteso

Hai definito app da far passare tramite tunnel e quelle escluse. Sistema e client applicano regole in modo stabile.

✅ Verifica: Apri un’app esclusa e controlla IP esterno via browser integrato o pulsante Test connessione. Poi apri un’app forzata su VPN e verifica che l’IP corrisponda al server VPN.

Problemi comuni e soluzioni

• Per-app in WireGuard non disponibile. Motivo: versione client o build usata. Soluzione: aggiorna client o usa OpenVPN for Android che offre funzioni Per-app flessibili.
• App continua a usare VPN anche se esclusa. Motivo: cache routing o particolare gestione. Soluzione: disconnetti e riconnetti profilo, riavvia app, svuota cache e riprova.

Passo 5: Profili di lavoro e scenari multiutente

Obiettivo fase

Organizzare VPN per profili lavoro, utenti secondari o modalità bambini evitando conflitti di policy e interruzioni del tunnel.

Profilo lavoro (Managed Profile) e Always-on

1. Se il telefono è gestito IT tramite agente aziendale, apri Impostazioni lavoro o App di gestione dispositivo.
2. Vai su policy rete o VPN. Trova Always-on VPN per profilo lavoro.
3. Scegli app VPN gestita e abilita Blocca senza VPN nel profilo. Salva policy.
4. Sincronizza dispositivo con server di gestione. Attendi applicazione policy.

Se sei amministratore dispositivo, Device Policy Controller può impostare Always-on programmando la policy e abilitare blocco. Le impostazioni utente potrebbero risultare bloccate o solo in lettura.

Modalità multiutente

1. Apri Impostazioni → Sistema → Più utenti. Attiva se necessario.
2. Crea un secondo utente. Passa a lui.
3. Installa client VPN separatamente e configura il suo profilo. Ogni utente ha proprie impostazioni VPN, inclusi Always-on e blocco.
4. Ripeti per utente principale se vuoi politiche diverse.

Consiglio: Per i bambini imposta Always-on e blocco, limita modifiche alle impostazioni tramite Profilo bambino o Link famiglia, garantendo traffico filtrato.

Risultato atteso

Profili lavoro e personali usano VPN con regole separate. Minori conflitti, tunnel stabile.

✅ Verifica: Passa tra utenti o profili e controlla stato VPN e IP esterno. Nel profilo lavoro controlla che non ci sia traffico senza VPN.

Problemi comuni e soluzioni

• L’utente non vede opzione blocco. Motivo: policy bloccata. Soluzione: modifica policy lato DPC o consulta l’amministratore.
• Cambio utente interrompe tunnel. Motivo: ogni utente ha stack proprio. Soluzione: normale, configura Always-on per ogni profilo singolarmente.

Passo 6: Test traffico, configurazione MTU e diagnosi leak

Obiettivo fase

Verificare che VPN sia veloce, sicura, senza perdite DNS e IPv6, con MTU corretto e stabilità conforme alle aspettative su Android 15/16.

Test velocità e ping

1. Connetti VPN.
2. Apri app di test velocità nota o test integrato nel browser.
3. Misura ping, download e upload. Salva risultati.
4. Disconnetti VPN, ripeti test sulla stessa rete. Confronta.

Variazione 5–25% in velocità è normale per VPN, dipende da server, routing e protocollo. WireGuard solitamente è più veloce di OpenVPN e consuma meno batteria.

Test perdite DNS e IPv6

1. Connetti VPN.
2. Apri browser, esegui test online IP e DNS su servizi noti. Controlla quali resolver DNS sono visibili.
3. Se vedi DNS pubblici dell’operatore invece di quelli VPN, forza server DNS nel client (OpenVPN for Android) o lato server (WireGuard, push DNS per OpenVPN).
4. Verifica presenza indirizzo IPv6. Se server non ne fornisce ma rete sì, assicurati che client blocchi perdite IPv6. In WireGuard, togli IPv6 da AllowedIPs o configura rotta ::/0 corretta.

Consiglio: Il modo più affidabile per eliminare perdite DNS è configurare resolver sul server e fornirne gli indirizzi nel config client. In OpenVPN usa direttive dhcp-option DNS, in WireGuard instrada tutto traffico al server e imposta DNS nell’app.

Configurazione MTU per stabilità

1. Se noti disconnessioni o caricamenti lenti di alcuni siti, riduci MTU di 20–40 byte sotto standard. Per WireGuard spesso MTU 1280–1380 è efficace.
2. In WireGuard Android: apri profilo → Modifica → Avanzate → MTU, inserisci 1280. Salva e riconnetti.
3. In OpenVPN for Android: profilo → Modifica → Parametri → MSS-fix o fragment/tun-mtu se supportato dal server. Testa a step.

Consiglio: Verifica se router o operatore mobile modificano MTU. A volte il problema è solo rete mobile, mentre Wi-Fi è stabile.

Risultato atteso

Velocità in linea con attese, DNS passano per VPN, IPv6 non perde dati, MTU adeguato, connessione stabile senza blocchi strani.

✅ Verifica: Ripeti test velocità e DNS dopo modifica MTU. Se peggiora, ritorna a valori precedenti.

Problemi comuni e soluzioni

• Persistono perdite DNS. Motivo: client ignora DNS dal profilo. Soluzione: imposta DNS nell’app o lato server, verifica routing completo 0.0.0.0/0 e ::/0.
• Alcuni giochi non funzionano via VPN. Motivo: anti-cheat o geoblocchi. Soluzione: escludi gioco via Per-app o scegli server più vicino al data center gioco.

Verifica finale

Checklist

• Puoi connettere e disconnettere VPN manualmente.
• Always-on è attivo e funziona dopo riavvio.
• Blocco senza VPN è attivo e blocca traffico disattivando VPN.
• Regole Per-app funzionano e le eccezioni operano correttamente.
• Assenza di perdite DNS/IPv6, MTU correttamente impostato.
• Profili lavoro non si scontrano tra loro.

Come testare

1. Riavvia telefono e aspetta che icona VPN appaia senza interventi.
2. Disattiva VPN e verifica che internet sia bloccato (se blocco attivo).
3. Controlla IP delle app escluse e incluse nella VPN: devono differire come previsto.
4. Esegui test velocità e perdite DNS.

Indicatori di successo

• Passaggio Wi-Fi/rete mobile non interrompe tunnel per più di pochi secondi.
• Nessun picco eccessivo di batteria da parte del client VPN.
• App escluse da VPN funzionano regolarmente con regione corretta.

Errori comuni e rimedi

• Problema: VPN non si avvia automaticamente. Motivo: profilo sbagliato selezionato per Always-on. Soluzione: Impostazioni → Rete e Internet → VPN → seleziona profilo corretto e attiva Always-on, disattiva su quello vecchio.
• Problema: internet funziona con blocco attivato e VPN spenta. Motivo: opzione disattivata dopo aggiornamento o profilo diverso senza blocco. Soluzione: verifica flag Blocca senza VPN sul profilo attivo, riavvia dispositivo.
• Problema: app ignora Per-app. Motivo: cache o limitazioni client. Soluzione: aggiorna client, svuota cache app, riavvia telefono, applica regole nuovamente.
• Problema: lentezza VPN. Motivo: server congestionato, protocollo meno performante, pacchetti grandi. Soluzione: cambia server vicino, passa a WireGuard, regola MTU 1280–1380.
• Problema: dispositivi locali non raggiungibili in rete. Motivo: tutto il traffico passa per VPN. Soluzione: escludi subnet locali 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12 dal tunnel o usa split tunneling.
• Problema: app banking segnala VPN. Motivo: anti-frode o restrizioni regionali. Soluzione: escludi app banking con Per-app, riavvia e accedi di nuovo.
• Problema: disconnessioni con schermo bloccato. Motivo: risparmio batteria aggressivo. Soluzione: imposta per il client modalità Batteria → Illimitata, disabilita ottimizzazioni vendor, consenti attività in background.

Funzionalità avanzate e personalizzazioni

Split tunneling intelligente

Per regole dettagliate usa combinazione di eccezioni di sistema e regole client. Per esempio: tutto il traffico passa in VPN, ma subnet locali e app banking in whitelist. Riduce rischi di perdite e assicura comportamento prevedibile.

Automazioni

• Tasker o simili possono attivare/disattivare profilo connesso a Wi-Fi specifico.
• Alcuni client offrono Quick Settings Tile per controllo rapido profilo.

Ottimizzazione per streaming

• Scegli server vicino al CDN del servizio preferito.
• Usa UDP con OpenVPN se possibile. Per reti instabili prova TCP, considerando sovraccarichi.

Compatibilità IPv6

• Se provider e server supportano IPv6, verifica che rotta ::/0 sia presente in profilo.
• Se non supportano, blocca IPv6 sul client per evitare perdite.

Personalizzazione OpenVPN

• Abilita compressione solo se serve, di solito meglio disabilitarla.
• In reti mobili usa meno spesso reneg-sec e mantieni keepalive predefinito.

Per sviluppatori client VPN: cosa considerare su Android 15/16

• Per-app e Always-on ancora si basano su VpnService. Gestisci correttamente Builder.setAllowedApplications e Builder.addDisallowedApplication secondo casi d’uso. Testa comportamento con targetSdk 35/36 tenendo conto delle limitazioni per servizi in background e notifiche.
• Considera politiche batteria e foreground service. Avvia notifiche foreground per tunnel attivo, gestisci bene cambi di rete.
• Testa compatibilità con profili Work Profile e configurazioni multiutente. Separa storage chiavi e credenziali per profilo.
• Implementa bene gestione DNS, in particolare per DoH/DoT a livello sistema. Indica in modo trasparente quali resolver usa il tunnel.
• Testa comportamento con blocco di sistema senza VPN e switch Always-on tra profili.

Nota. Specifiche modifiche API in Android 15/16 variano a seconda del build e vendor. Modelli stabili per VpnService, allowed/disallowed packages, notifiche foreground e funzionamento profili rimangono validi. I rischi principali sono legati a restrizioni background e politiche di sicurezza più rigide versione dopo versione. Testa client con target SDK giusto e copri tutti gli scenari di questa guida in test automatici.

FAQ

Domanda: Come attivare Always-on VPN su Android 16 se non trovo l’opzione?
Risposta: Vai in Impostazioni → Rete e Internet → VPN → icona ingranaggio sul profilo → attiva Always-on VPN. Se manca, controlla Impostazioni avanzate o aggiorna l’app VPN.

Domanda: Come configurare Per-app VPN se nei settaggi di sistema non c’è lista app?
Risposta: Imposta Per-app direttamente nel client. In WireGuard vai su profilo → Modifica → Allowed apps. In OpenVPN for Android usa Gestione app e seleziona eccezioni.

Domanda: Cosa scegliere tra WireGuard e OpenVPN?
Risposta: Parti da WireGuard. È più veloce, più semplice e risparmia batteria. Se serve compatibilità con server vecchi o funzionalità particolari, usa OpenVPN for Android.

Domanda: A cosa serve blocco senza VPN?
Risposta: Per evitare perdita di traffico se la VPN cade accidentalmente. Fondamentale per privacy e conformità policy aziendali.

Domanda: Perché l’app bancaria non funziona con VPN?
Risposta: Per anti-frode o restrizioni geografiche. Escludi l’app con Per-app e riconnetti il profilo.

Domanda: Serve DNS privato con VPN?
Risposta: Di solito no, meglio usare i DNS forniti dalla VPN per evitare perdite e comportamenti imprevedibili.

Domanda: Come importare profilo IKEv2?
Risposta: Vai in Impostazioni → VPN → Aggiungi VPN → scegli IKEv2/IPSec, inserisci indirizzo, identificatori, chiave o certificati, salva. Connettiti e verifica IP.

Domanda: Cosa fare se ci sono disconnessioni in rete mobile?
Risposta: Consenti accesso illimitato dati al client, disattiva risparmio batteria aggressivo, riduci MTU a 1280 e scegli server più vicino.

Domanda: Si può condividere internet con VPN tramite hotspot?
Risposta: Android di solito non instrada traffico VPN al tethering. Dipende da dispositivo e client. Valuta VPN su dispositivo client o router con VPN.

Domanda: Come switchare velocemente tra server?
Risposta: Crea più profili client per città diverse e aggiungi Quick Settings Tile per controllo rapido. Cambi in due tap.

Conclusioni

Hai completato l’intero percorso di configurazione VPN su Android 15/16: installato e connesso il client, attivato Always-on, abilitato blocco senza VPN, creato regole Per-app, impostato profili personali e lavoro, ottimizzato prestazioni e verificato assenza di perdite. Ora il tuo smartphone usa VPN stabile e sicura, si ripristina da sola dopo riavvio e blocca il traffico fuori dal tunnel. Se cerchi IP dedicato e configurazioni pronte per vari protocolli, considera server personale da provider affidabile, con parametri individuali e attivazione rapida. Successivamente puoi approfondire automazioni, scrivere script di monitoraggio server, regolare split tunneling avanzato e testare nuove versioni Android per anticipare cambi policy background e profili. Hai messo solide basi di sicurezza sul tuo Android.

Consiglio: Ogni mese apri impostazioni VPN per assicurarti che i profili siano aggiornati e che eventuali aggiornamenti client non abbiano disattivato Always-on e Blocco senza VPN.

⚠️ Attenzione: Modifiche al profilo disattivano il tunnel per qualche secondo. Prima di modifiche importanti collega Wi-Fi e disabilita temporaneamente blocco senza VPN per non perdere accesso a risorse critiche. Ripristina blocco dopo.

✅ Verifica: Infine assicurati che dopo riavvio l’icona VPN appaia da sola, i siti si aprano e le app escluse usino connessione diretta, come impostato.