Guida

Cos'è una VPN e come funziona?

Una VPN (rete privata virtuale) crea un tunnel cifrato dal tuo dispositivo a un server che si trova altrove e ci fa passare tutto il tuo traffico internet. Questa guida spiega, con schemi e senza gergo tecnico, come funziona, da cosa ti protegge davvero una VPN, da cosa no, e come sceglierne e configurarne una buona.

Cos'è una VPN?

VPN sta per virtual private network, rete privata virtuale. Le aziende hanno creato le prime VPN perché i dipendenti potessero raggiungere la rete interna da casa o in viaggio, come se fossero in ufficio. La rete privata è virtuale perché non ha bisogno di cavi propri: passa sulla normale internet pubblica, protetta dalla cifratura.

Oggi quasi tutti conoscono le VPN come app: ne installi una, premi Connetti e da quel momento tutto ciò che il tuo dispositivo invia su internet passa prima da una connessione cifrata verso un server del fornitore della VPN. Quel server inoltra il tuo traffico ai siti e alle app che usi e ti rimanda le loro risposte attraverso lo stesso tunnel.

Un'immagine semplice: senza VPN, il tuo traffico internet viaggia come una cartolina. Chiunque la maneggi lungo il percorso, come la rete Wi-Fi e il tuo provider, può leggere l'indirizzo e spesso anche il testo. Con una VPN la cartolina finisce in una busta sigillata indirizzata al server VPN. Solo lì viene tirata fuori e spedita oltre.

Come funziona una VPN, passo dopo passo

Dietro il pulsante Connetti succede la stessa cosa con ogni VPN, qualunque sia il fornitore:

1. L'app contatta il server VPN Il tuo dispositivo apre una connessione con il server che hai scelto, per esempio uno in Germania.
2. Le due parti dimostrano chi sono Il server dimostra con un certificato o una chiave di essere davvero il server del tuo fornitore e non un impostore; tu accedi con il tuo account o con la tua chiave.
3. Si accordano su chiavi segrete Con uno scambio di chiavi (spiegato più sotto) le due parti calcolano le stesse chiavi segrete senza mai inviarle su internet.
4. Compare una scheda di rete virtuale L'app aggiunge al tuo sistema una scheda di rete virtuale e le invia tutto il traffico internet invece di mandarlo direttamente al router.
5. Ogni pacchetto viene impacchettato e cifrato Ogni dato che le tue app inviano viene cifrato e messo in un nuovo pacchetto indirizzato al server VPN. Questo si chiama incapsulamento.
6. Il server lo spacchetta e lo inoltra Il server VPN decifra il pacchetto, mette il proprio indirizzo al posto del tuo e lo invia al sito. La risposta fa la stessa strada al contrario.

Il tuo vero indirizzo IP lo vede solo il server VPN. Per il sito la richiesta arriva dal server VPN, quindi ti colloca nel paese del server. Ecco perché una VPN cambia il luogo in cui i siti pensano che tu sia.

La cifratura, spiegata in modo semplice

La cifratura trasforma dati leggibili in qualcosa che sembra rumore casuale; solo chi ha la chiave giusta può riportarli indietro. Una VPN usa per questo quattro elementi.

Chiudere a chiave i dati: cifratura simmetrica

Una volta attivo il tunnel, tutti i dati vengono cifrati con una chiave che le due parti condividono. Le VPN moderne usano AES-256-GCM o ChaCha20-Poly1305. Una chiave a 256 bit può avere 2²⁵⁶ valori diversi, un numero di 78 cifre: provarli tutti non è possibile con nessun computer esistente. Entrambi i metodi rilevano anche le manomissioni, quindi un pacchetto modificato lungo la strada viene scartato.

Accordarsi su una chiave senza inviarla: lo scambio di chiavi

La chiave non deve mai viaggiare su internet, quindi le due parti se la accordano con uno scambio di chiavi Diffie-Hellman, oggi di solito nella versione a curve ellittiche come X25519. L'idea si capisce meglio con i colori:

Essere sicuri di parlare con il server giusto: l'autenticazione

Uno scambio di chiavi da solo non dice chi c'è dall'altra parte. Per questo il server dimostra anche la propria identità, con un certificato (OpenVPN, IKEv2) o con una chiave pubblica che l'app conosce già (WireGuard). Senza questo passaggio, un attaccante nella rete potrebbe fingersi il server VPN.

Chiavi sempre nuove: la forward secrecy

Le buone VPN cambiano le chiavi regolarmente; WireGuard, per esempio, ne crea di nuove ogni due minuti. Anche se una chiave venisse rubata, aprirebbe solo pochi minuti di traffico, non tutto quello che hai inviato prima. Si chiama perfect forward secrecy. Alcuni fornitori hanno anche iniziato ad aggiungere uno scambio di chiavi post-quantistico (come ML-KEM), perché il traffico registrato oggi non possa essere decifrato in futuro dai computer quantistici.

I protocolli VPN a confronto

Un protocollo VPN è l'insieme di regole per costruire il tunnel: come ci si accorda sulle chiavi, come si impacchettano i pacchetti e come viaggiano. La maggior parte delle app ti lascia scegliere; "Automatico" di solito sceglie uno dei primi tre.

• WireGuard è il più recente e fa parte di Linux dal 2020. Il suo codice conta solo circa 4.000 righe, abbastanza poche perché gli esperti possano controllarlo a fondo, e usa un insieme fisso di crittografia moderna invece di una lunga lista di opzioni. Molti fornitori costruiscono i propri protocolli su di esso.
• OpenVPN esiste dal 2001, è open source e funziona quasi ovunque. È più lento di WireGuard, ma via TCP riesce a passare i firewall che consentono solo il traffico web.
• IKEv2/IPsec è integrato in Windows, macOS, iOS e Android. La sua funzione MOBIKE mantiene attivo il tunnel quando il telefono cambia rete. Le sue porte fisse (UDP 500 e 4500) lo rendono facile da bloccare.
• PPTP risale agli anni '90 e la sua cifratura è stata violata anni fa. Alcuni router lo offrono ancora: evitalo.

Cosa nasconde una VPN, e a chi

Se una VPN ti protegge dipende da chi vuoi proteggerti. Questa tabella mostra cosa può vedere ciascuno lungo il percorso.

E HTTPS?

Quasi tutti i siti usano HTTPS (il lucchetto nella barra degli indirizzi), che cifra le pagine tra il tuo browser e il sito. Senza VPN la tua rete non può quindi leggere cosa scrivi né quale pagina di un sito apri. Però vede ancora i nomi dei siti a cui ti colleghi, tramite le richieste DNS e il nome che il browser invia quando si collega, e vede il tuo indirizzo IP. Una VPN nasconde anche questi e protegge in più le app che non cifrano bene il proprio traffico.

Cosa non fa una VPN

• Non ti rende anonimo. Se accedi a un account, il sito sa che sei tu, con o senza VPN. I cookie e l'impronta del browser (riconoscere il tuo browser da impostazioni, dimensioni dello schermo, caratteri e altro) funzionano anche attraverso una VPN.
• Non ti protegge da malware o phishing. Un finto sito della banca o un download infetto ti raggiunge attraverso il tunnel allo stesso modo. Alcune app VPN bloccano siti pericolosi noti, ma è un extra, non ciò che fa una VPN.
• Sposta la fiducia, non la elimina. Il fornitore della VPN ora si trova dove prima c'era il tuo provider. Un fornitore che registra o vende i tuoi dati è peggio che nessuna VPN.
• Non nasconde che usi una VPN. La tua rete vede che ti colleghi a un server VPN, e molti siti riconoscono gli indirizzi dei server VPN e li bloccano o chiedono controlli aggiuntivi.
• Non protegge il resto del percorso. Dopo il server VPN il tuo traffico attraversa la normale internet fino al sito; senza HTTPS lì può essere letto.
• Non può evitare da sola ogni perdita. Se l'app è configurata male, le richieste DNS, il traffico IPv6 o WebRTC nel browser possono rivelare il tuo vero indirizzo (vedi come verificare le perdite).

Tipi di VPN

"VPN" indica diverse cose. Usano la stessa tecnologia per compiti diversi.

• Le VPN personali sono le app a cui ti abboni. Proteggono il tuo traffico nelle reti di cui non ti fidi e cambiano la tua posizione apparente.
• Le VPN ad accesso remoto collegano i dipendenti alla rete del datore di lavoro, così possono raggiungere file e strumenti interni. Spesso mandano nel tunnel solo il traffico aziendale.
• Le VPN site-to-site collegano reti intere, per esempio due uffici, tramite router che tengono un tunnel sempre aperto.
• Le VPN mesh collegano direttamente tra loro i tuoi dispositivi ovunque si trovino, così puoi raggiungere il computer di casa dal telefono.
• Le VPN self-hosted girano su un server o un router che controlli tu. Non devi fidarti di un fornitore, ma l'indirizzo IP del server riporta a te.
• Le estensioni "VPN" per browser di solito coprono solo il browser e tecnicamente sono proxy. Non proteggono le altre app.

Funzioni da conoscere

Kill switch

Se la connessione VPN cade per un attimo, il tuo dispositivo di norma continuerebbe sulla connessione normale, con il tuo vero indirizzo IP. Un kill switch blocca tutto il traffico internet finché il tunnel non torna.

Split tunneling

Lo split tunneling ti permette di scegliere quali app o indirizzi usano la VPN. Il browser può passare nel tunnel mentre l'app della banca, un gioco o la stampante della rete di casa usano la connessione normale.

Altre funzioni

• Protezione dalle perdite DNS: l'app invia ogni richiesta DNS (le domande che trasformano nomi come wikipedia.org in indirizzi IP) attraverso il tunnel ai server DNS del fornitore.
• Politica no-log: la promessa di non registrare ciò che fai. Vale solo quanto le sue prove: audit indipendenti, casi giudiziari in cui il fornitore non aveva nulla da consegnare, e server che funzionano solo in memoria, così dopo un riavvio non resta nulla.
• Multi-hop (doppia VPN): il traffico passa per due server VPN, così nessuno dei due sa da solo sia chi sei sia dove vai. È più lento, e di solito entrambi i server appartengono alla stessa azienda.
• Offuscamento (modalità stealth): fa sembrare il traffico VPN normale traffico web, per le reti che bloccano le VPN.
• Indirizzo IP dedicato: un indirizzo usato solo da te, così i siti smettono di chiedere i controlli che mostrano agli indirizzi VPN condivisi. In cambio è più facile collegarlo a te.
• Port forwarding: permette ad altri di collegarsi al tuo dispositivo attraverso la VPN, per esempio a un server di gioco che ospiti.

VPN, proxy o Tor?

Tutti e tre fanno passare il tuo traffico dal server di qualcun altro, così i siti vedono un altro indirizzo IP. Si differenziano per ciò che coprono e per quanto proteggono.

OnlineProxy.eu è un proxy web, non una VPN: apre i siti per te direttamente nella scheda del browser, tramite il nostro server nell'UE, senza installare nulla. Spesso basta per aprire un sito bloccato a scuola, al lavoro o nel tuo paese. Non protegge le altre app, e per motivi legali conserviamo dei log (vedi Privacy). Se ti serve l'anonimato, usa il Tor Browser.

Una VPN rallenta internet?

Di solito un po'. Quattro cose decidono quanto:

• Distanza. I tuoi dati fanno una deviazione passando dal server VPN. Un server in un paese vicino aggiunge pochi millisecondi; uno in un altro continente può aggiungere un decimo di secondo o più a ogni richiesta.
• Il carico del server. I server affollati, spesso quelli gratuiti, dividono la banda tra molti utenti.
• Il protocollo. WireGuard e IKEv2 sono più veloci di OpenVPN, soprattutto sui telefoni.
• Cifratura. Ogni pacchetto riceve qualche decina di byte in più e va cifrato; sui dispositivi attuali costa pochissimo.

A volte una VPN rende persino tutto più veloce: se il tuo provider rallenta di proposito certi servizi, non può riconoscerli dentro il tunnel. Per la massima velocità, scegli un server vicino a te e usa WireGuard.

VPN gratis o a pagamento?

Gestire server VPN costa, quindi le VPN gratuite devono guadagnare in qualche modo. Alcune lo fanno onestamente, come piano gratuito limitato di un servizio a pagamento, con un limite di dati, meno server o meno velocità. Altre mostrano pubblicità, raccolgono e vendono ciò che fanno gli utenti, o sono state scoperte a contenere codice di tracciamento. Uno studio su 283 app VPN per Android (CSIRO, 2016) ha rilevato che il 18% non cifrava affatto il traffico e che il 38% mostrava segni di malware.

Se vuoi una VPN gratuita, scegli il piano gratuito di un noto fornitore a pagamento piuttosto che un'app gratuita sconosciuta.

Come scegliere una VPN

• Una politica no-log dimostrata, verificata da audit indipendenti.
• Protocolli moderni: WireGuard, OpenVPN o IKEv2, e niente PPTP.
• Kill switch e protezione dalle perdite DNS, attivi per impostazione predefinita.
• App open source, o almeno app che hanno superato un audit di sicurezza.
• Server dove ti servono: vicino a te per la velocità, e nei paesi di cui vuoi i contenuti.
• Un'azienda e un paese noti: chi la gestisce, sotto le leggi di quale paese, e come risponde alle richieste delle autorità.
• Promesse oneste. Diffida di "anonimato totale" o di protezione "di livello militare".
• Condizioni corrette: un periodo di rimborso e metodi di pagamento adatti a te.

Come configurare una VPN e testarla

1. Scarica l'app del fornitore dal suo sito o dallo store ufficiale del tuo dispositivo.
2. Accedi, attiva il kill switch e, se puoi scegliere, seleziona WireGuard.
3. Scegli un server: il più vicino per la velocità, o il paese che ti serve.
4. Premi Connetti e aspetta che l'app dica che sei connesso.
5. Controlla il tuo indirizzo IP su un sito tipo "qual è il mio IP": ora dovrebbe mostrare l'indirizzo e il paese del server VPN.
6. Fai un test delle perdite DNS e un test delle perdite WebRTC: nessuno dei due deve mostrare il tuo provider o il tuo vero indirizzo.

Telefoni, computer e molti router hanno anche il supporto VPN integrato: puoi inserire i dati del server che ti dà il fornitore, per esempio un file di configurazione WireGuard, senza installare la sua app. Una VPN sul router protegge ogni dispositivo di casa, compresi TV e console che non possono usare un'app VPN.

Usare una VPN è legale?

Nella maggior parte dei paesi, tra cui tutta l'UE, il Regno Unito e gli Stati Uniti, usare una VPN è legale, e le aziende ci contano ogni giorno. Alcuni paesi vietano le VPN o permettono solo quelle approvate dallo Stato, per esempio Cina, Russia, Iran, Bielorussia, Turkmenistan e Corea del Nord, e altri puniscono chi ne usa una per commettere un reato. Ciò che fai tramite una VPN deve comunque essere legale dove ti trovi, e le condizioni dei siti che usi restano valide: i servizi di streaming, per esempio, possono negare l'accesso dai server VPN.

Falsi miti

Glossario

Indirizzo IP

Il numero che identifica la tua connessione su internet, assegnato dal tuo provider. I siti lo usano per indovinare il tuo paese e la tua città.

Tunnel

Una connessione cifrata che porta al suo interno altre connessioni.

Incapsulamento

Mettere un pacchetto di dati dentro un altro, perché possa viaggiare nel tunnel.

DNS

L'elenco telefonico di internet, che trasforma nomi come wikipedia.org in indirizzi IP. Le richieste DNS spesso rivelano quali siti visiti.

Protocollo

Le regole che due computer seguono per comunicare; per una VPN, come si costruisce il tunnel.

Kill switch

Una funzione che blocca l'accesso a internet mentre la connessione VPN è interrotta.

Split tunneling

Far passare dalla VPN solo alcune app o indirizzi.

Perdita

Traffico che aggira il tunnel e rivela il tuo vero indirizzo IP o le tue richieste DNS.

No-log

La promessa di un fornitore di non registrare ciò che fanno i suoi utenti.

Proxy web

Un sito che apre altri siti per te dentro la scheda del browser, senza installare nulla.

Tor

Una rete gratuita che fa passare il tuo traffico per tre relay gestiti da volontari, con cifratura a strati, per renderti anonimo.

Ultimo aggiornamento: 13 novembre 2026.