WireGuard su iPhone e iPad: Configurazione Completa iOS (2026)

WireGuard è il protocollo VPN più pulito da utilizzare su un iPhone o iPad - veloce, leggero sulla batteria e con un solo interruttore una volta configurato. Questa guida illustra WireGuard su iOS dall'inizio alla fine nel 2026: installazione dell'app, importazione della configurazione del server, abilitazione di On-Demand (sempre attivo) e risoluzione dei problemi di handshake e MTU. Funziona con qualsiasi server WireGuard - PiVPN, NetBird o una configurazione manuale. (Per Android, consulta la nostra guida a WireGuard su Android.)

Cosa ti serve prima di iniziare

Un iPhone o iPad con iOS/iPadOS 15 o successivo (l'app WireGuard supporta anche versioni più vecchie, ma On-Demand è più affidabile sulle versioni recenti).
Un server WireGuard in esecuzione con un endpoint pubblico raggiungibile - un Raspberry Pi domestico con porta inoltrata, o un piccolo VPS. WireGuard su iOS è solo il client; non fa nulla da solo.
La configurazione client che il server genera per questo dispositivo: un codice QR sullo schermo, o un file .conf che puoi trasferire sull'iPhone. Ogni dispositivo dovrebbe avere la propria configurazione (la propria coppia di chiavi) - non condividere mai una configurazione tra telefoni, poiché chiavi duplicate interrompono l'handshake.

Una VPN cambia il tuo IP. Non cambia il tuo browser.

Un tunnel sostituisce l'indirizzo che un servizio vede. Non cambia nulla di ciò che il tuo browser dichiara da solo - caratteri, schermo, fuso orario, stack grafico - e quella combinazione basta spesso a riconoscerti da una sessione all'altra.

Misura la tua impronta del browser - misurazione passiva, senza domande, senza account, senza email.

Passo 1 - Installa l'app

Installa l'app ufficiale di WireGuard dall'App Store, pubblicata dal WireGuard Development Team. Evita cloni di terze parti - un client VPN vede tutto il tuo traffico, quindi l'editore è importante.

Passo 2 - Importa la configurazione del tuo server

Tocca + e scegli:

Crea da codice QR - scansiona il QR generato dal tuo server (pivpn -qr, NetBird, o qrencode). Il metodo più veloce e meno soggetto a errori.
Crea da file o archivio - importa un .conf dall'app File o tramite AirDrop.
Crea da zero - incolla manualmente le chiavi e l'endpoint [Peer].

WireGuard è il client; ha bisogno di un server. Un VPS Contabo a €5,50/mese gestisce comodamente un server WireGuard personale.

Linee di codice sorgente su uno schermo scuro

Passo 3 - Connetti e verifica

Attiva il tunnel e consenti la configurazione VPN quando iOS lo richiede. Controlla gli aggiornamenti dell'ultimo handshake (non "mai") e che il tuo IP pubblico cambi. Per informazioni sul protocollo, vedi WireGuard vs OpenVPN.

Passo 4 - On-Demand (sempre attivo)

Modifica il tunnel → abilita On-Demand → attivalo su Wi-Fi e/o cellulare. iOS mantiene il tunnel attivo e si riconnette automaticamente - l'equivalente pratico di una VPN sempre attiva su iOS. Un vero kill switch a livello di sistema su iOS richiede un profilo di configurazione (MDM) per dispositivi gestiti; per la maggior parte degli utenti, On-Demand è sufficiente.

IP consentiti: tunnel completo vs tunnel diviso

Il campo più importante in un tunnel WireGuard su iOS è AllowedIPs nella sezione [Peer] - decide quale traffico passa attraverso la VPN:

0.0.0.0/0, ::/0 - tunnel completo. Ogni pacchetto (IPv4 e IPv6) viene instradato attraverso il tuo server. Questo è ciò che desideri per la privacy su Wi-Fi pubblico o per portare il tuo IP di casa all'estero.
Un intervallo specifico, ad es. 10.0.0.0/24 - tunnel diviso. Solo il traffico verso quella sottorete utilizza la VPN; tutto il resto esce dalla tua connessione normale. Questo è ideale quando vuoi solo raggiungere dispositivi sulla tua LAN domestica o aziendale senza rallentare tutto il resto.

Se hai scelto un tunnel completo ma vuoi comunque comunicare con stampanti e dispositivi locali, attiva "Escludi IP privati" quando modifichi il tunnel - iOS riscrive AllowedIPs per inviare internet attraverso la VPN lasciando 192.168.x.x/10.x.x.x locale. Dimenticare questo è il motivo usuale per cui AirPlay o un NAS locale "scompaiono" una volta attivata la VPN.

Gestisci più server e passa tra di essi

L'app WireGuard può contenere quanti tunnel vuoi - uno per casa, uno per un VPS all'estero, uno per una rete di lavoro. Solo uno è attivo alla volta. Dai a ciascuno un nome chiaro e puoi passare in due tocchi dall'app o dal menu Impostazioni iOS → VPN. Se usi On-Demand su più di un tunnel, abilitalo solo su quello che vuoi come predefinito, altrimenti iOS potrebbe passare tra di essi in modo imprevedibile.

Risoluzione dei problemi

Nessun handshake ("mai"): IP/porta endpoint errati, porta UDP del server non aperta, o chiave pubblica non corrispondente. Verifica che il server sia raggiungibile.
Si connette ma nessun internet: abbassa il MTU (es. 1280) nella configurazione dell'interfaccia - risolve molti problemi di MTU su reti cellulari.
Perdite DNS: imposta il DNS del tunnel sul tuo server o su un resolver affidabile e testa.
On-Demand mantiene la VPN disattivata: verifica che non sia disabilitata per il tuo Wi-Fi attuale nell'elenco SSID, e che "Disconnetti su richiesta" non sia attivato - quell'interruttore dice a iOS di interrompere il tunnel, l'opposto di sempre attivo.
Il tunnel non si importa dal QR: assicurati che la luminosità dello schermo sia alta e che l'intero codice sia inquadrato; un QR parzialmente tagliato fallisce silenziosamente. Torna a importare il .conf dall'app File.
Funziona su Wi-Fi ma non su cellulare (o viceversa): questo è quasi sempre il MTU o una discrepanza IPv6 - imposta 1280 e assicurati che il server fornisca un resolver DNS funzionante.
Il server non riesce a raggiungere il telefono per primo: dietro NAT, l'associazione scade dopo pochi minuti di silenzio e porta con sé la via del ritorno. Metti PersistentKeepalive = 25 nella sezione peer: un pacchetto minuscolo tiene viva l'associazione. Omettilo se il telefono avvia sempre le connessioni per conto proprio, perché impedisce alla radio di restare completamente a riposo.
Tutto funziona ma Safari si comporta come se fosse altrove: Relay privato iCloud instrada il traffico di Safari attraverso i relay di Apple, e iOS lo disattiva automaticamente solo per alcune configurazioni VPN. Disattivalo in Impostazioni, poi il tuo nome, poi iCloud durante la prova, altrimenti misuri due sistemi sovrapposti e ne incolpi uno solo.

Per modelli riutilizzabili client/server, vedi modelli di configurazione WireGuard.

Conclusione

WireGuard su iOS è una configurazione di cinque minuti: installa l'app ufficiale, importa la configurazione del tuo server tramite QR, consenti la configurazione VPN e abilita On-Demand per sempre attivo. Tieni a portata di mano il trucco del MTU per reti cellulari instabili. Hai solo bisogno di un server WireGuard a cui puntare - un VPS Contabo o un Raspberry Pi domestico fanno al caso tuo.

Guida editoriale basata sul comportamento documentato del client ufficiale WireGuard iOS e VPN On-Demand di iOS. La sicurezza dipende dalla configurazione del tuo server e dall'igiene delle chiavi. I link commerciali portano l'attributo rel="sponsored nofollow"; potrebbe applicarsi una commissione affiliata senza costi aggiuntivi per te.

Letture correlate: WireGuard su macOS

★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · 200+ Mbps garantiti

Ospita la tua VPN sul tuo VPS → ContaboAccesso root completo · IPv4 pubblico · scegli la tua regione→

Domande frequenti

Come configuro WireGuard su iPhone?

Installa l'app ufficiale di WireGuard dall'App Store, tocca il pulsante più e aggiungi un tunnel. Il metodo più semplice è 'Crea da codice QR': scansiona il QR generato dal tuo server (il 'pivpn -qr' di PiVPN, NetBird, o qrencode su una configurazione manuale) e l'intera configurazione viene importata in una volta. Puoi anche importare un file .conf dall'app File. Attiva il tunnel e consenti la configurazione VPN quando iOS lo richiede. WireGuard ha bisogno di un endpoint server a cui connettersi - un Raspberry Pi o un VPS economico.

Come importo una configurazione WireGuard su iOS?

Nel menu più dell'app WireGuard hai tre opzioni: 'Crea da codice QR' (scansiona un QR - il più veloce), 'Crea da file o archivio' (importa un .conf che hai salvato nell'app File o inviato tramite AirDrop al dispositivo), e 'Crea da zero' (incolla manualmente le chiavi e l'endpoint del peer). Il QR è il meno soggetto a errori. Dopo l'importazione, controlla i campi DNS e endpoint del tunnel, quindi abilitalo; iOS chiederà il permesso di aggiungere una configurazione VPN la prima volta.

iOS ha una VPN sempre attiva / kill switch per WireGuard?

Sì, tramite la funzione On-Demand dell'app WireGuard. Modifica il tunnel, abilita 'On-Demand' e scegli di attivarlo su Wi-Fi e/o cellulare - iOS mantiene quindi il tunnel attivo e si riconnette automaticamente. Combinato con 'Escludi IP privati' disattivato se necessario, On-Demand è l'equivalente pratico di una VPN sempre attiva su iOS. Nota che un vero kill switch a livello di sistema su iOS è meglio realizzato con un profilo di configurazione (MDM) per dispositivi gestiti; per la maggior parte degli utenti, On-Demand è sufficiente.

Perché il mio tunnel WireGuard non si connette su iPhone?

Le cause usuali: un IP/porta endpoint errati o la porta UDP del server non aperta nel suo firewall; una chiave pubblica non corrispondente tra client e server; o uno sfasamento di orario. Se l'ultimo handshake rimane su 'mai', verifica che il server stia ascoltando sulla porta UDP corretta e sia raggiungibile dall'esterno. Se si connette ma le pagine non si caricano, abbassa il MTU (es. a 1280) nella configurazione dell'interfaccia - questo risolve molti problemi di MTU su reti cellulari su iOS.

WireGuard su iOS è a basso consumo di batteria?

Sì. WireGuard è leggero e progettato per gestire il roaming e il sonno in modo efficiente, quindi utilizza notevolmente meno batteria rispetto ai protocolli più vecchi come OpenVPN su iOS. Con On-Demand abilitato, rimane connesso con un consumo minimo, riconnettendosi rapidamente dopo il risveglio del telefono. Per la maggior parte degli utenti, l'impatto sulla batteria di un tunnel WireGuard sempre attivo è minimo.

Serve PersistentKeepalive su iOS?

Serve quando il telefono è dietro NAT e il server deve poter iniziare la conversazione. Senza traffico, l'associazione NAT scade nel giro di minuti e il server perde la via di ritorno verso il tuo telefono, il che sembra un tunnel che funziona solo se lo usi tu per primo. `PersistentKeepalive = 25` nella sezione peer invia un pacchetto minuscolo ogni 25 secondi e tiene viva l'associazione. Il costo è piccolo ma reale: impedisce alla radio di restare completamente a riposo, quindi omettilo se il telefono avvia sempre le connessioni da solo.

Relay privato iCloud interferisce con WireGuard su iPhone?

Può interferire, e il sintomo si legge male: il tunnel è attivo, quasi tutto funziona, ma Safari si comporta come se fosse altrove. Relay privato instrada il traffico di Safari attraverso i relay di Apple, e iOS lo disattiva automaticamente solo per alcune configurazioni VPN. Se stai verificando se il tuo tunnel trasporta davvero tutto, disattivalo in Impostazioni, poi il tuo nome, poi iCloud per la durata della prova, altrimenti misuri due sistemi sovrapposti attribuendo il risultato a uno solo.