Configurazione manuale VPN 2026: migliori opzioni (best vpn manual settings)

Se hai già cercatobest vpn manual settings e hai trovato decine di articoli con consigli come "scegli un protocollo affidabile" — capisco l'irritazione. Il client standard è stato avviato, hai spuntato la casella, ma YouTube non si apre comunque. Oppure la connessione dura 20 secondi e si interrompe. Questo non è un problema del servizio VPN in sé — è il DPI del tuo provider che legge il handshake e taglia il traffico. Di seguito — valori specifici: MTU, porte, AllowedIPs, PersistentKeepalive. Niente test di velocità inventati.

Quando le impostazioni automatiche della VPN non funzionano e serve una configurazione manuale

Segni di blocco della VPN da parte del DPI del provider

I sintomi sono ben noti, se ci sei già passato. L'app dice "Connesso", c'è ping al server, ma il browser si blocca nel caricamento. Oppure le pagine si aprono in 2–3 minuti, poi la connessione viene reimpostata. Un altro segno caratteristico è che la VPN funziona stabilmente per i primi 10–30 secondi, poi si disconnette. Quest'ultima cosa quasi sempre significa rilevamento DPI euristico: il provider consente l'inizio della sessione, poi riconosce la firma del protocollo e taglia il canale.

Il traffico UDP di WireGuard è bloccato particolarmente facilmente — alcuni operatori mobili tagliano interamente le porte UDP non standard. In tali condizioni, WireGuard non funzionerà con nessuna impostazione MTU. Serve o il protocollo TCP, o cambiare operatore.

Perché Roskomnadzor rallenta e interrompe le connessioni VPN

Dal 2021, il RKN applica attivamente il TSPU — mezzi tecnici per contrastare le minacce. Non si tratta solo di bloccare IP, ma di analizzare il traffico per firme. Il WireGuard puro ha un handshake UDP unico, che il TSPU riconosce senza problemi. Anche OpenVPN su porte standard — lo stesso. Pertanto, "ho semplicemente installato il client" ha smesso di funzionare circa dal 2022 per molti provider.

Qui è importante capire un punto: il TSPU reagisce alla firma, non solo all'IP. Pertanto, cambiare server senza cambiare protocollo potrebbe non aiutare affatto.

Cosa offre realmente la configurazione manuale e cosa è un mito

Onestamente: la configurazione manuale aiuta in casi specifici. Cambiare l'MTU elimina la frammentazione dei pacchetti — la connessione smette di interrompersi a causa di dimensioni errate. Cambiare protocollo e porta evita il rilevamento DPI. Attivare l'offuscamento maschera il traffico come normale HTTPS.

Ma ci sono cose che le impostazioni non possono correggere. Se l'indirizzo IP del tuo server VPN è finito nella blacklist del RKN o il provider lo ha bloccato separatamente — nessun MTU aiuterà. Serve cambiare server. E ancora: modificare l'MTU non "accelera internet", è un'errata convinzione comune. L'MTU elimina solo la frammentazione, che interrompe la connessione.

Migliori protocolli e opzioni per aggirare i blocchi

WireGuard: MTU, porte e perché è facilmente rilevabile dal DPI

WireGuard è un protocollo veloce ed elegante. Ma il suo handshake UDP ha una firma chiara: il primo pacchetto è sempre di 148 byte, la risposta è di 92 byte. I sistemi DPI lo sanno e lo sfruttano.

Se WireGuard funziona comunque con il tuo provider, l'MTU corretto è 1420. Con internet mobile o interruzioni frequenti prova 1280 o 1360. Imposta PersistentKeepalive a 25 — è critico dietro NAT. È meglio specificare DNS esplicitamente: 1.1.1.1 o 8.8.8.8, altrimenti le richieste potrebbero andare oltre il tunnel. AllowedIPs deve includere sia 0.0.0.0/0 che ::/0 — senza il secondo, il traffico IPv6 scorre oltre la VPN.

OpenVPN: TCP/UDP, porta 443, tls-crypt contro il DPI

OpenVPN su TCP 443 con direttivatls-crypt — è una delle opzioni più resistenti. La porta 443 è HTTPS, il provider non può bloccarla senza rompere completamente internet per i suoi abbonati. E tls-crypt cripta il handshake stesso, impedendo al DPI di leggere la firma di OpenVPN.

UDP è più veloce, ma è più facile da bloccare. Se il provider taglia UDP — passa a TCP 443. Sì, sarà un po' più lento, ma funzionerà. Per la configurazione:proto tcp,port 443,tls-crypt ta.key. Consiglio il Cipher AES-256-GCM — più veloce di AES-256-CBC, l'accelerazione hardware è presente anche sui telefoni.

VLESS/XRay e Shadowsocks: offuscamento come normale traffico HTTPS

Queste sono le migliori opzioni contro il DPI severo. VLESS con Reality imita una connessione TLS a un sito reale — ad esempio, microsoft.com. Il DPI vede un HTTPS legittimo e lo consente. Shadowsocks-2022 cripta il traffico in modo che sia statisticamente indistinguibile da dati casuali — non c'è nulla da rilevare.

La complessità è superiore a quella di WireGuard. Serve un client XRay (v2rayNG su Android, Shadowrocket su iOS) e una configurazione generata correttamente con UUID, publicKey e shortId. Ma la stabilità in condizioni di DPI attivo è incomparabilmente migliore. Alcuni servizi, incluso NvoVPN, supportano VLESS/Reality — vale la pena controllare se i protocolli standard non funzionano.

AmneziaWG e offuscamento contro l'ispezione profonda dei pacchetti

AmneziaWG è WireGuard con l'aggiunta di pacchetti junk all'inizio della sessione. L'obiettivo è semplice: rompere la firma dell'handshake, che viene letta dal DPI. I parametri Jc, Jmin, Jmax, S1, S2, H1–H4 sono impostati nella configurazione e randomizzano i primi pacchetti.

Funziona bene contro il TSPU. Il client Amnezia è disponibile per Android, iOS, Windows, macOS — e può importare configurazioni WireGuard standard con l'aggiunta di parametri di offuscamento. Se il WireGuard puro non funziona, AmneziaWG è la prima cosa da provare senza un cambiamento radicale di protocollo.

IKEv2: quando è adatto e quando è inutile

IKEv2 è un protocollo stabile, resiste bene al cambio di rete (da Wi-Fi a mobile e viceversa). È integrato in iOS e Android senza applicazioni aggiuntive. Ma contro il DPI è praticamente indifeso: la firma su UDP 500/4500 è ben nota e i provider lo bloccano senza sforzi.

Utilizza IKEv2 dove le VPN non sono bloccate: reti aziendali, viaggi in paesi senza censura severa. In Russia, con DPI attivo, ha poca utilità.

Configurazione manuale passo-passo su diversi dispositivi

Android: WireGuard e Amnezia — importazione della configurazione e modifica dei parametri

App WireGuard da Google Play o F-Droid. Aggiungi il tunnel manualmente o scansiona il codice QR della configurazione. Campi chiave:Endpoint — IP:porta del server;Allowed IPs — scrivi 0.0.0.0/0, ::/0 (tutto il traffico tramite VPN);DNS — 1.1.1.1;MTU — 1420, in caso di problemi cambiare a 1280;Keepalive persistente — 25.

Per AmneziaWG — applicazione separata Amnezia VPN. Importa la configurazione tramite file o link amnezia://. I parametri di offuscamento (Jc, Jmin, Jmax) sono già scritti nella configurazione dal fornitore — non è necessario modificarli manualmente, se il servizio genera da solo le configurazioni.

iPhone/iOS: profili nelle applicazioni e limitazioni del VPN di sistema

iOS non consente di modificare MTU a livello di sistema — è una limitazione rigida di Apple. Il client VPN integrato supporta IKEv2, L2TP e Cisco IPSec. Per WireGuard è necessaria un'app dal App Store. Per VLESS — Shadowrocket (a pagamento, $2.99) o Streisand.

Un altro punto: iOS uccide aggressivamente il VPN in background per risparmiare batteria. Non è un bug della configurazione — è una politica di sistema. Soluzione parziale: nelle impostazioni VPN disattivare "Connettersi su richiesta" e mantenere l'app attiva. Oppure configurare il VPN sul router — in questo modo l'iPhone si connette semplicemente tramite esso, senza problemi in background.

Windows: client e configurazione tramite WireGuard/OpenVPN GUI

Il client ufficiale WireGuard per Windows si scarica da wireguard.com. Crei un nuovo tunnel, incolla la configurazione in formato testo. I campi sono gli stessi: Interface (PrivateKey, Address, DNS, MTU) e Peer (PublicKey, Endpoint, AllowedIPs, PersistentKeepalive).

OpenVPN GUI — client standard open source. Il file .ovpn va messo in C:\Program Files\OpenVPN\config\, si avvia con diritti di amministratore. Se è necessario TCP 443 — questo deve essere specificato nel file .ovpn dal tuo fornitore.

macOS: configurazione e bypass delle limitazioni di sistema

WireGuard è disponibile nel Mac App Store. Funziona in modo simile a Windows — importazione della configurazione tramite file o QR. Su macOS Ventura e versioni successive, la funzione VPN integrata supporta IKEv2 tramite le impostazioni di sistema, ma per bypassare il DPI non aiuta.

Per VLESS su macOS — client Hiddify o Nekoray. Entrambi possono lavorare con configurazioni XRay e supportano Reality.

Router (Keenetic, OpenWrt): VPN per tutta la rete

Configurare il VPN sul router è la soluzione migliore per Smart TV, console e qualsiasi dispositivo senza client proprio. Tutto il traffico nella rete passa automaticamente attraverso il tunnel.

Keenetic supporta WireGuard nativamente a partire dal firmware 3.3. Vai su "Altre connessioni" → WireGuard → aggiungi la configurazione. Consiglio MTU 1280 per i router — con margine per l'incapsulamento. Su OpenWrt installa il pacchettoluci-proto-wireguard, configura tramite interfaccia web o direttamente in /etc/config/network.

Smart TV e Apple TV: configurazione tramite router o client separato

Sulle Smart TV (Samsung, LG) non c'è un client VPN nativo. L'unica opzione valida è configurare il VPN sul router. Apple TV con tvOS 17+ supporta profili di configurazione, ma è più IKEv2 — per un serio bypass del DPI è insufficiente. Meglio anche tramite router.

Ottimizzazione della velocità e stabilità

Impostazione di MTU tramite ping per eliminare la frammentazione

Ecco un metodo che pochi spiegano correttamente. Su Windows apri il prompt dei comandi ed esegui:

ping -f -l 1400 8.8.8.8

Il flag-fimpedisce la frammentazione,-limposta la dimensione del pacchetto. Se ricevi "Il pacchetto deve essere frammentato" — riduci la dimensione. Hai trovato la dimensione massima, alla quale il ping passa senza frammentazione — aggiungi 28 (questo è l'header IP + UDP). Il numero risultante è il tuo MTU ottimale.

Su Linux e macOS il comando appare diverso:ping -D -s 1400 8.8.8.8. La logica è la stessa.

Sottolineo di nuovo: questo non accelera la connessione. MTU semplicemente elimina la frammentazione, a causa della quale i pacchetti si perdono e la connessione si interrompe.

Scelta della porta: 443, 53, 80 e perché è importante

La porta 443 è oro. Questo è HTTPS, e il fornitore non può fisicamente bloccarla senza che l'intero internet per gli abbonati smetta di funzionare. La maggior parte dei blocchi viene aggirata proprio tramite essa.

La porta 53 (DNS) viene spesso lasciata passare senza ispezione — ai fornitori serve che le richieste DNS funzionino. La porta 80 (HTTP) è peggiore: il traffico non è crittografato e viene ispezionato più facilmente. Le porte UDP in generale vengono bloccate più facilmente rispetto a TCP 443 — tienilo a mente nella scelta.

PersistentKeepalive contro interruzioni dietro NAT

Dietro NAT (soprattutto dietro CGNAT degli operatori mobili) la sessione WireGuard si chiude se il traffico non passa per un certo periodo. PersistentKeepalive 25 invia un pacchetto vuoto ogni 25 secondi — la registrazione NAT non scade, la connessione rimane attiva. Senza questo parametro, dietro CGNAT il VPN si riconnetterà continuamente.

Split tunneling: far passare in VPN solo i siti necessari

Se hai bisogno del VPN solo per YouTube, Instagram, Twitter/X e Telegram — non è necessario far passare tutto il traffico attraverso di esso. Lo split tunneling consente di indirizzare nel tunnel solo IP o domini specifici, mentre le banche e i servizi locali possono passare direttamente.

In WireGuard questo si fa tramite AllowedIPs — invece di 0.0.0.0/0 scrivi sotto-reti specifiche. Ma compilare manualmente un elenco di IP per YouTube è un compito arduo. È più semplice utilizzare applicazioni con supporto per il domain-routing (Amnezia, Hiddify), dove puoi impostare un elenco di domini per il tunnel.

Misura la velocità reale tramite Speedtest o Fast.com prima e dopo la configurazione. Niente "tre volte più veloce" inventati: guarda i tuoi numeri nella tua rete.

Diagnosi: cosa fare se il VPN non funziona comunque

Il VPN si connette, ma i siti non si aprono

“Connesso, ma non funziona” è il reclamo più comune. Quasi sempre è una delle tre ragioni: MTU errato (i pacchetti vengono frammentati e persi), DPI taglia il traffico in base alla firma del protocollo, oppure non è stato specificato l'intero intervallo di indirizzi in AllowedIPs.

Checklist in ordine: prima - controlla AllowedIPs, devono esserci sia 0.0.0.0/0 che ::/0. Secondo - prova MTU 1280. Terzo - se nulla aiuta, cambia il protocollo in VLESS o OpenVPN TCP 443. Questo ordine di azioni funziona nel 90% dei casi.

Fughe DNS e WebRTC - come controllare

Una fuga DNS significa che le richieste dei nomi di dominio passano attraverso il provider, e non attraverso il tunnel. Il tuo provider vede quali siti visiti. Puoi controllare su dnsleaktest.com - se lì vengono mostrati gli indirizzi del tuo provider e non del server VPN, c'è una fuga.

Le fughe WebRTC sono rilevanti per i browser: l'estensione WebRTC Control o uBlock Origin (impostazione nelle sue opzioni) le bloccano. Controllo - browserleaks.com. Se lì si vede l'IP reale - attiva il blocco WebRTC nel browser.

Fughe IPv6 bypassando il tunnel

Questo è un problema di cui la maggior parte degli articoli tace. Se il tuo provider assegna un indirizzo IPv6 e non è specificato ::/0 in AllowedIPs, tutto il traffico IPv6 passa direttamente bypassando il VPN. I siti che supportano IPv6 vedranno il tuo indirizzo reale.

La soluzione è semplice: aggiungi ::/0 in AllowedIPs. Oppure, se il server VPN non supporta il tunneling IPv6, disabilita completamente l'IPv6 sull'adattatore di rete. Su Windows si fa nelle proprietà dell'adattatore → deseleziona "IP versione 6".