WireGuard su Android: Guida Completa all'Installazione (2026)

WireGuard è il protocollo VPN più veloce e semplice da utilizzare su un telefono - una volta configurato, la connessione avviene con un solo tocco e consuma meno batteria rispetto ai protocolli più vecchi. Questa guida ti accompagna passo passo nell'uso di WireGuard su Android nel 2026: installazione dell'app, importazione della configurazione del server, abilitazione del kill switch, tunneling diviso per app e risoluzione dei problemi di handshake e MTU. Funziona con qualsiasi server WireGuard - PiVPN, NetBird o una configurazione manuale. Non hai ancora una configurazione da importare? Il nostro generatore di configurazione WireGuard gratuito scrive il file del server e quello del telefono nel tuo browser, con un codice QR da scansionare dall'app.

Ancora senza server? Vedi le opzioni dopo i passaggi

Cosa ti serve prima di iniziare

• Un telefono o tablet Android con Android 10 o successivo (le versioni più vecchie funzionano, ma le opzioni sempre attive/kill switch sono più chiare nelle versioni recenti).
• Un server WireGuard attivo con un endpoint pubblico raggiungibile - un Raspberry Pi a casa con una porta UDP inoltrata, o un piccolo VPS. L'app Android è solo il client.
• La configurazione client per questo dispositivo - un codice QR sullo schermo o un file .conf. Fornisci a ciascun dispositivo la propria coppia di chiavi; riutilizzare una configurazione su più telefoni interrompe l'handshake poiché due peer condividono una chiave pubblica.
• Hai quel .conf solo sul computer? Incollalo nel convertitore gratuito da .conf a QR in cima alla nostra guida al codice QR di WireGuard: disegna il codice nel tuo browser, non invia nulla in rete e ti avvisa se l'Endpoint è un indirizzo privato o CGNAT che il telefono non potrà raggiungere fuori dal tuo Wi-Fi.

Passo 1 - Installa l'app

Installa l'app ufficiale WireGuard dal Play Store o F-Droid (build open-source). Evita i cloni "WireGuard" di terze parti.

Play Store o F-Droid?

Entrambi offrono lo stesso client ufficiale. La versione del Play Store si aggiorna automaticamente ed è adatta alla maggior parte delle persone. La versione F-Droid è compilata da F-Droid, non ha dipendenze Google ed è adatta a un telefono senza Google - il compromesso è che gli aggiornamenti arrivano un po' più lentamente. Entrambi sono affidabili; evita solo le app simili di editori sconosciuti, poiché un client VPN gestisce tutto il tuo traffico.

Passo 2 - Importa la configurazione del tuo server

Nell'app, tocca + e scegli una delle seguenti opzioni:

• Scansiona da codice QR - il metodo più veloce e meno soggetto a errori. Il tuo server genera la configurazione client come QR (pivpn -qr, l'app di NetBird o qrencode su una configurazione manuale). Il comando esatto e le precauzioni sono nella nostra guida al codice QR WireGuard: il codice contiene la chiave privata del client.
• Importa da file - copia il .conf sul telefono e selezionalo.
• Crea da zero - incolla manualmente le chiavi e l'endpoint [Peer].

WireGuard è la metà client; ha bisogno di un endpoint server. Se non ne hai uno, un VPS Contabo a €5,50/mese gestisce comodamente un server WireGuard personale.

Non hai ancora una configurazione da importare? Il nostro generatore di configurazione WireGuard gratuito crea nel browser la configurazione del server e quelle dei client, con un codice QR per ogni client da scansionare dall'app Android. Il generatore è gratuito e senza account, fino a 250 dispositivi, e la sua esportazione ZIP raccoglie ogni .conf client e il suo codice QR in PNG, comodo per configurare un intero ufficio o una famiglia in una volta.

Passo 3 - Connetti e verifica

Attiva il tunnel. Controlla che l'ultimo handshake si aggiorni (non "mai") e che il tuo IP pubblico cambi. Per ulteriori informazioni sul protocollo, vedi WireGuard vs OpenVPN.

Passo 4 - Abilita un kill switch (sempre attivo)

Android ha questa funzione integrata: Impostazioni > Rete e internet > VPN > (ingranaggio accanto a WireGuard) → abilita VPN sempre attiva e Blocca connessioni senza VPN. Ora il telefono non perde mai traffico al di fuori del tunnel se WireGuard si disconnette - l'equivalente Android di un kill switch.

Passo 5 - Tunneling diviso per app

Modifica il tunnel → Applicazioni → Escludi app (tutto passa attraverso il tunnel tranne quelle - utile per un'app bancaria) o Includi solo le app scelte. Integrato nel client, nessun software aggiuntivo necessario.

Routing a livello di rete: IP consentiti

Il tunneling diviso per app (Passo 5) decide quali app usano il tunnel. AllowedIPs nella configurazione [Peer] decide quali destinazioni lo fanno - e i due si combinano:

• 0.0.0.0/0, ::/0 instrada tutto il traffico IPv4 e IPv6 attraverso il tuo server - l'impostazione predefinita del tunnel completo che desideri per la privacy su Wi-Fi pubblico.
• Un intervallo ristretto come 10.0.0.0/24 invia solo la tua sottorete domestica/aziendale attraverso il tunnel, lasciando il resto del traffico sulla connessione normale - perfetto per raggiungere un NAS domestico o Pi-hole senza rallentare tutto.

Se esegui un tunnel completo ma vuoi comunque stampare o trasmettere a casa, il percorso più pulito è mantenere quei dispositivi sulla LAN e utilizzare l'esclusione per app per l'app di trasmissione, poiché il client Android non ha l'opzione "escludi IP privati" di iOS.

Per tenere la LAN o un singolo indirizzo fuori da un tunnel completo, il calcolatore AllowedIPs, gratuito, trasforma "tutto tranne X" negli intervalli da incollare.

Risoluzione dei problemi

• Nessun handshake (rimane "mai"): IP/porta Endpoint errati, porta UDP del server non aperta nel firewall, o una chiave pubblica non corrispondente. Verifica che il server stia ascoltando e sia raggiungibile. Il verificatore di porta WireGuard, gratuito, rileva il CGNAT e scrive le regole di inoltro e di firewall per il tuo server.
• Si connette ma nessun internet: abbassa l'MTU (es. 1280) nella configurazione dell'interfaccia - risolve molti problemi di MTU su reti mobili. Il calcolatore MTU, gratuito, scrive la riga MTU = esatta a partire dal tuo test ping o dal tipo di connessione.
• Si disconnette a schermo spento: disabilita l'ottimizzazione della batteria per l'app WireGuard (Impostazioni → App → WireGuard → Batteria → Non limitata).
• Perdite DNS: imposta il DNS del tunnel sul tuo server o su un resolver affidabile, quindi testa con la nostra guida alle perdite DNS.
• "Sempre attivo" disattivato: Android consente sempre attivo solo dopo che un tunnel è stato importato correttamente e connesso almeno una volta - connettiti manualmente prima, poi impostalo.
• Riconnessione lenta dopo il passaggio Wi-Fi↔mobile: aggiungi PersistentKeepalive = 25 al [Peer] in modo che il tunnel mantenga il percorso attivo attraverso i cambiamenti di rete e dietro NAT.

Per modelli riutilizzabili client/server, vedi Modelli di configurazione WireGuard.

Per avere l'essenziale a portata di mano: la WireGuard Cheat Sheet gratuita (PDF di 5 pagine in inglese, download diretto, senza registrazione) raccoglie le tabelle di keepalive e MTU, i comandi wg genkey/wg pubkey/wg genpsk e i quattro controlli del server in una riga da lanciare per primi quando un tunnel non fa passare traffico. Il WireGuard Self-Hosting Kit a pagamento (9 USD, in inglese) aggiunge una checklist di diagnosi con 12 cause e 11 modelli di configurazione.

Una VPN cambia il tuo IP. Non cambia il tuo browser.

Un tunnel sostituisce l'indirizzo che un servizio vede. Non cambia nulla di ciò che il tuo browser dichiara da solo - caratteri, schermo, fuso orario, stack grafico - e quella combinazione basta spesso a riconoscerti da una sessione all'altra.

Misura la tua impronta del browser - misurazione passiva, senza domande, senza account, senza email.

In sintesi

WireGuard su Android è un'installazione di cinque minuti: installa l'app ufficiale, importa la configurazione del tuo server tramite QR, attiva e abilita sempre attivo + blocco senza VPN per un kill switch. Aggiungi il tunneling diviso per app se necessario e tieni a mente il trucco dell'MTU per reti mobili instabili. Hai solo bisogno di un server WireGuard a cui puntare - un VPS Contabo o un Raspberry Pi domestico fanno al caso tuo.

Guida editoriale basata sul comportamento documentato del client ufficiale WireGuard per Android e sulle funzionalità VPN sempre attive di Android. La sicurezza dipende dalla configurazione del tuo server e dall'igiene delle chiavi. I link commerciali portano l'attributo rel="sponsored nofollow"; potrebbe applicarsi una commissione affiliata senza costi aggiuntivi per te.