12 min di lettura
Le VPN si dividono secondo quattro criteri: per scopo (personale, accesso remoto aziendale, site-to-site, cloud ZTNA), per protocollo (dall'obsoleto PPTP a VLESS con Reality), per modalità di connessione (app, estensione, router, server proprio, bot con chiave) e per modello di pagamento. A una persona comune in Russia nel 2026 serve una VPN personale sotto forma di app, con un protocollo che maschera il traffico da normale HTTPS: OpenVPN, WireGuard e L2TP in Russia vengono bloccati in base al protocollo.
Se non vuoi addentrarti nelle impostazioni e preferisci avere subito un'opzione del genere, ti consigliamo BessyConnect: funziona su VLESS con mascheramento Reality. Cos'è una VPN in generale e come funziona lo abbiamo spiegato nell'articolo cos'è una VPN in parole semplici. Qui ci occupiamo solo di classificazione e scelta.
Una classificazione ufficiale unica non esiste, ma qualsiasi VPN si descrive su quattro assi: scopo, protocollo, modalità di connessione e pagamento. Per esempio, BessyConnect è una VPN personale su VLESS + Reality sotto forma di app, con un periodo di prova.
| Tipo | A cosa serve | Pro | Contro | Esempio |
|---|---|---|---|---|
| Personale (consumer) | Proteggere il traffico su Wi-Fi pubblico, aprire un sito bloccato | Si installa in pochi minuti, server in diversi paesi | Affidi al servizio i dati sulle tue connessioni | App dall'App Store o da Google Play |
| Accesso remoto aziendale | Un dipendente da casa si collega alla rete dell'ufficio | Accesso ai sistemi interni dell'azienda | Apre solo i sistemi di lavoro, di solito non cambia il paese per i siti | Client integrato di Windows, Cisco AnyConnect |
| Site-to-site | Unire le reti di due uffici | Funziona sempre, l'utente non deve fare nulla | La configura l'amministratore sui router | Tunnel IPsec tra filiali |
| Cloud (ZTNA) | Accesso a singole applicazioni dell'azienda senza accesso all'intera rete | L'accesso è concesso alla risorsa, non a tutta la rete | Servono una piattaforma cloud e una policy di accesso | Piattaforme aziendali «zero trust» |
| Protocollo obsoleto (PPTP, L2TP) | Compatibilità con vecchie apparecchiature | Integrato in quasi tutti i sistemi | PPTP non è sicuro, entrambi sono facilmente riconoscibili dai filtri | Vecchi server d'ufficio |
| Protocollo classico (OpenVPN, WireGuard, IKEv2) | Tunnel veloce e affidabile dove non c'è filtraggio | Crittografia collaudata, alta velocità | OpenVPN e WireGuard in Russia sono bloccati dal 2023, IKEv2 non maschera il traffico | VPN aziendali, server propri |
| Protocollo con mascheramento (VLESS + Reality, Trojan, Shadowsocks, Hysteria2) | Funzionamento stabile in presenza di blocchi | Il traffico somiglia a un normale HTTPS o HTTP/3 | Serve un client compatibile, nessuno dà garanzie | BessyConnect, client Xray |
| Estensione per browser | Cambiare rapidamente indirizzo in una scheda | Non serve installare un programma | Protegge solo il browser, in sostanza è un proxy | Estensioni nel Chrome Web Store |
| VPN sul router | Proteggere tutti i dispositivi di casa, compreso il televisore | Una sola configurazione per tutta la rete | Servono un router compatibile e tempo per la configurazione | Keenetic, OpenWrt |
| Server proprio su VPS | Controllo completo del server | Nessuno tranne te gestisce il server | Amministrazione e blocchi ricadono su di te | VPS in affitto con Xray |
Per scopo le VPN si distinguono in personali, aziendali ad accesso remoto, tra reti (site-to-site) e cloud secondo il modello zero trust. Se cerchi una VPN per te, ti serve il primo tipo. Gli altri tre li configura il datore di lavoro.
VPN personale. Installi un'app, scegli il paese, e il traffico passa attraverso il server del servizio. Il suo compito è proteggere la connessione e dare accesso a risorse non raggiungibili dalla tua rete.
Aziendale ad accesso remoto. La guida Microsoft «Tipi di connessione VPN» descrive proprio questo scenario: il client si collega al server di accesso remoto, che verifica l'autenticità e trasmette i dati tra il client e la rete privata dell'organizzazione. Apre i sistemi interni dell'azienda, non i siti esteri.
Site-to-site. Il tunnel viene creato tra i router di due uffici, e i dipendenti non vedono affatto la VPN.
Cloud ZTNA. Il modello è descritto nello standard NIST SP 800-207 «Zero Trust Architecture» (agosto 2020): non ci si fida di un dispositivo o di un account solo perché si trovano nella rete aziendale. La protezione si sposta dal perimetro della rete agli utenti e alle singole risorse.
I protocolli si dividono in tre generazioni: obsoleti (PPTP, L2TP), classici (OpenVPN, WireGuard, IKEv2/IPsec) e protocolli con mascheramento del traffico (VLESS + Reality, Trojan, Shadowsocks, Hysteria2). Per la Russia del 2026 l'opzione che funziona resta il terzo gruppo.
PPTP è descritto nella RFC 2637 del luglio 1999. Apple lo ha rimosso già in iOS 10 e macOS Sierra: con l'aggiornamento le connessioni PPTP venivano eliminate dai profili, e nella guida l'azienda scrive che non lo consiglia per comunicazioni protette. Nell'ottobre 2024 Microsoft ha dichiarato PPTP e L2TP deprecati per le future versioni di Windows Server e ha consigliato SSTP e IKEv2.
L2TP (RFC 2661, agosto 1999) di per sé costruisce solo il tunnel. La crittografia gliela aggiunge IPsec secondo la RFC 3193 del novembre 2001, da qui la combinazione L2TP/IPsec.
IKEv2/IPsec è standardizzato nella RFC 7296 (ottobre 2014) e lavora sulle porte UDP 500 e 4500. L'estensione MOBIKE (RFC 4555) permette di non interrompere il tunnel quando cambia l'indirizzo, per esempio passando dal Wi-Fi alla rete mobile.
OpenVPN costruisce il tunnel sul normale SSL/TLS e può accettare client sia via TCP sia via UDP sulla stessa porta.
WireGuard trasmette i pacchetti via UDP e usa ChaCha20Poly1305 e Curve25519. Nell'articolo dell'autore del protocollo per NDSS 2017 si afferma che l'implementazione per Linux sta in meno di 4000 righe di codice. Nella pagina dei limiti del progetto è scritto chiaramente: WireGuard non si occupa del mascheramento del traffico, va fatto a un livello superiore.
VLESS + Reality. VLESS nella documentazione di Xray è descritto come un protocollo di trasporto leggero e senza stato: il server ogni volta verifica l'UUID del client. Una crittografia propria VLESS non ce l'ha (il campo encryption accetta solo none), la protezione la dà lo strato esterno: TLS o Reality. Reality è comparso in Xray-core 1.8.0 (9 marzo 2023). Secondo la descrizione degli sviluppatori, elimina l'impronta TLS lato server e permette di indicare un vero sito altrui, quindi non serve comprare un dominio proprio.
Trojan esegue un vero handshake TLS, e le richieste senza la password corretta le reindirizza a un normale server web. Chi controlla vede semplicemente un sito. Shadowsocks i creatori lo definiscono un proxy protetto basato su SOCKS5. Hysteria2 è costruito su un QUIC modificato e si maschera da HTTP/3, pensato per reti con perdite di pacchetti. AmneziaWG è un fork di WireGuard con pacchetti spazzatura prima dell'handshake e intestazioni casuali.
Un confronto dettagliato di velocità e resistenza dei tre protocolli principali è nell'articolo VLESS, OpenVPN o WireGuard: quale protocollo scegliere, e i protocolli con mascheramento li abbiamo analizzati nell'articolo Reality, Shadowsocks o Trojan.
Il campo «Tipo VPN» nel client integrato del sistema propone solo protocolli aziendali: IKEv2, L2TP/IPsec, SSTP e PPTP. Nessuno di questi maschera il traffico. Questo campo si compila con i dati forniti dall'amministratore dell'azienda, mentre per una VPN personale serve un'app a parte.
Cosa offre ciascun sistema secondo la documentazione ufficiale:
| Sistema | Tipi integrati | Cosa è importante sapere |
|---|---|---|
| Windows | «Automatico», IKEv2, L2TP, PPTP, SSTP | «Automatico» prova i protocolli dal più protetto al meno protetto. SSTP trasmette i dati dentro HTTPS |
| iPhone, iPad, Mac | IKEv2, L2TP su IPsec, Cisco IPsec | PPTP rimosso da iOS 10 e macOS Sierra |
| Android | IKEv2/IPsec: con chiave condivisa, con certificato RSA, con nome utente e password | La piattaforma supporta questi profili nelle API dal livello 30 (Android 11) |
Se ti hanno dato un indirizzo di server, il tipo IKEv2 e una chiave, sono i dati di un server aziendale, ed è questi che si inseriscono nel campo. Per una VPN personale il campo non serve: l'app crea il proprio profilo da sola, tramite Network Extension di Apple o la piattaforma dei plug-in VPN di Microsoft, e il protocollo lì può essere qualsiasi, VLESS compreso.
La VPN arriva in cinque modi: app, estensione del browser, router, server proprio o chiave da un bot Telegram. Dalla modalità dipende quali programmi finiscono nel tunnel e chi lo ripara in caso di blocco.
Per modello di pagamento le VPN sono gratuite (il servizio guadagna con la pubblicità o limita velocità e traffico), freemium con periodo di prova, in abbonamento, aziendali (paga il datore di lavoro) e autogestite, quando paghi solo l'affitto del server. Le chiavi gratuite e le build crackate delle app comportano rischi evidenti: un proprietario sconosciuto del server vede le tue connessioni, e un APK modificato può contenere qualsiasi cosa.
Serve una VPN personale sotto forma di app, con un protocollo che maschera il traffico da traffico normale, da un servizio che aggiorna da sé server e protocolli. I protocolli classici in Russia vengono riconosciuti dalle apparecchiature DPI, come si vede dalle pubblicazioni del 2023–2025.
Cosa si sa dalle pubblicazioni:
Da qui una conclusione onesta. Un protocollo con mascheramento oggi è la scelta migliore, ma nessun tipo di VPN dà garanzie. Conta non solo il protocollo, ma anche quanto rapidamente il servizio cambia indirizzi e impostazioni quando i filtri vengono aggiornati.
Un server proprio ha senso solo se sei pronto a ripararlo da solo dopo ogni ondata di blocchi.
BessyConnect è una VPN personale sotto forma di app su VLESS con mascheramento Reality, cioè esattamente il tipo che consigliamo per la Russia. Per la rete la connessione sembra un normale HTTPS, e protocolli e server li aggiorna il team del servizio, non tu.
Scarica l'app:
Nell'App Store russo l'app non c'è: per installarla su iPhone serve un Apple ID di un altro paese. Un'app per Windows BessyConnect non ce l'ha.
Il limite, detto onestamente. BessyConnect non sostituisce una VPN aziendale e non apre la rete di lavoro di un'azienda. Non ti rende anonimo: i siti continuano a vedere il tuo account e i cookie. E non aiuta quando internet mobile è limitato dalle liste bianche e nessun tunnel riesce a raggiungere i server esteri. Infine, come ha mostrato il dicembre 2025, nessun protocollo è protetto per sempre dagli aggiornamenti dei filtri.
Se ti serve una VPN personale con un protocollo con mascheramento, senza configurare a mano chiavi e server, installa BessyConnect dalla pagina di download e provala durante il periodo di prova.
Qual è il tipo di VPN più sicuro? Dal punto di vista della crittografia, gli attuali IKEv2/IPsec, OpenVPN, WireGuard e VLESS con Reality sono affidabili, mentre PPTP Apple non lo consiglia per le comunicazioni protette e lo ha rimosso già in iOS 10. Per la Russia conta un'altra cosa: se il tunnel è visibile ai filtri, e qui sono in vantaggio i protocolli che si mascherano da HTTPS.
In cosa il tipo di VPN differisce dal protocollo? Il protocollo è la tecnologia del tunnel: WireGuard, IKEv2, VLESS. Il tipo è un concetto più ampio: scopo (personale o aziendale), modalità di connessione (app, router, estensione) e modello di pagamento. Lo stesso protocollo può comparire in tipi diversi.
Si può usare PPTP nel 2026? Solo per compatibilità con vecchie apparecchiature e non per qualcosa di importante. Apple ha rimosso PPTP da iOS 10 e macOS Sierra, e Microsoft nell'ottobre 2024 ha dichiarato PPTP e L2TP deprecati per le future versioni di Windows Server.
Quale tipo di VPN scegliere per il telefono? Un'app di VPN personale da uno store ufficiale: protegge tutto il traffico del telefono, non solo il browser. In Russia scegli un servizio con un protocollo con mascheramento, per esempio VLESS con Reality, e non su WireGuard o OpenVPN puri.
Di che tipo è la VPN BessyConnect? Una VPN personale sotto forma di app con protocollo VLESS con mascheramento Reality, più di 100 server, senza log e senza registrazione obbligatoria. Ci sono app per iPhone, iPad, Mac, Apple TV, Android e Android TV, la versione per Windows non c'è.
BessyConnect log: cosa vede tecnicamente qualunque servizio VPN, cosa conserviamo e cosa no, e cinque modi per verificarlo senza crederci sulla parola. Altro
Sicurezza wifi pubblico: bar, aeroporti e hotel mettono a rischio i tuoi dati. La VPN BessyConnect (VLESS+Reality) protegge tutto il traffico nella rete. Altro
Log VPN: cosa conserva davvero un servizio e cosa vede il tuo provider internet. Privacy spiegata con onestà. BessyConnect su VLESS+Reality non tiene log. Altro
