Un VPN che smette di funzionare nel mezzo di una sessione di lavoro o di navigazione privata espone immediatamente l’indirizzo IP reale e il traffico non crittografato dell’utente. Le disconnessioni non sono sempre dovute a un malfunzionamento del software stesso. Diversi meccanismi, dal sistema operativo alle politiche di rete locali, possono causare un’interruzione senza che l’applicazione VPN mostri alcun avviso.
Certificati scaduti e protocolli obsoleti: il guasto invisibile
Tra le cause meno documentate di disattivazione improvvisa, i certificati di autenticazione occupano un posto a parte. Un tunnel VPN si basa su uno scambio di certificati tra il client e il server per convalidare l’identità delle due parti. Quando questo certificato scade, la connessione viene rifiutata senza un messaggio esplicito lato utente.
Il problema si manifesta spesso dopo un aggiornamento del sistema operativo o del client VPN. Il nuovo software può richiedere uno standard di certificato più recente, mentre il server remoto non è ancora stato aggiornato. Una scadenza del certificato assomiglia a un bug di rete classico, il che complica la diagnosi.
Analizzare le ragioni comuni di disattivazione di un VPN permette di distinguere rapidamente un problema di certificato da una semplice instabilità di connessione. Il riflesso utile: controllare la data di validità del certificato nelle impostazioni avanzate dell’applicazione, o nei registri di sistema del dispositivo.
Per quanto riguarda i protocolli, il passaggio graduale di alcune applicazioni verso implementazioni in Rust (in particolare per sostituire le librerie WireGuard in Go) modifica il comportamento del tunnel durante le micro-interruzioni di rete. Il passaggio di traffico tra protocolli può causare una disconnessione temporanea che il sistema interpreta come una perdita di connessione VPN.
Politiche di rete e restrizioni di sistema: quando il VPN è disattivato dall’esterno
Un VPN può essere disattivato non perché malfunzionante, ma perché un elemento esterno lo blocca attivamente. Questa distinzione cambia la natura della diagnosi.
Firewall e regole aziendali
Su un posto di lavoro, le politiche di gruppo (GPO su Windows, profili MDM su macOS e iOS) possono vietare alcuni protocolli di tunneling o forzare la disconnessione del VPN quando il dispositivo si riconnette alla rete aziendale. La disattivazione del VPN è quindi una decisione del sistema, non un bug dell’applicazione.
I firewall aziendali filtrano le porte utilizzate dai protocolli VPN comuni. Se la porta è bloccata, la connessione non si stabilisce o si interrompe dopo pochi secondi. Controllare le porte autorizzate nella configurazione di rete rimane il primo passo prima di qualsiasi altra operazione.
Restrizioni ISP e filtraggio statale
Alcuni fornitori di accesso a Internet applicano un filtraggio che colpisce specificamente il traffico VPN. Le tecniche variano:
- L’ispezione approfondita dei pacchetti (DPI) identifica le firme dei protocolli come OpenVPN o WireGuard, quindi blocca o rallenta il flusso corrispondente.
- Il blocco degli indirizzi IP di server VPN noti impedisce qualsiasi connessione iniziale, dando l’impressione che il VPN “rifiuti di connettersi”.
- Il throttling selettivo degrada la larghezza di banda assegnata al traffico crittografato, provocando disconnessioni per scadenza di tempo (timeout).
In Francia, il blocco automatizzato in tempo reale dei flussi di streaming illegali è stato recentemente approvato, il che può influenzare indirettamente alcune connessioni VPN quando gli indirizzi IP condivisi sono colpiti da questi meccanismi di filtraggio.
Gestione dell’energia e comportamento dei sistemi mobili
Su Android come su iOS, i meccanismi di risparmio energetico costituiscono una causa frequente di disconnessione VPN. Il sistema operativo mette in pausa le applicazioni in background dopo un certo periodo di inattività, incluso il client VPN.
Su Android, la modalità “ottimizzazione della batteria” può chiudere silenziosamente l’applicazione VPN. L’utente non riceve alcuna notifica, ma tutto il traffico di rete passa di nuovo attraverso la connessione non protetta. La soluzione consiste nell’escludere l’applicazione VPN dall’ottimizzazione della batteria nelle impostazioni di sistema.
Su iOS, il comportamento è diverso ma produce un risultato simile. Il sistema può sospendere il processo VPN durante il passaggio prolungato in background. Alcuni fornitori VPN aggirano questo problema utilizzando la modalità “VPN permanente” (Always-on VPN), disponibile tramite i profili di configurazione MDM, ma raramente attivata per impostazione predefinita sui dispositivi personali.
Kill switch VPN: verificare che funzioni realmente
La funzione di interruzione di emergenza (kill switch) dovrebbe interrompere tutto l’accesso a Internet non appena il tunnel VPN cade. In pratica, non tutti i kill switch si comportano allo stesso modo a seconda del sistema operativo.
Esistono due tipi principali:
- Il kill switch a livello di applicazione, che blocca solo il traffico delle applicazioni selezionate. Se il VPN si disconnette, solo queste applicazioni perdono il loro accesso alla rete.
- Il kill switch a livello di sistema, che interrompe l’intera connessione Internet del dispositivo. Questa è la variante più protettiva, ma anche la più vincolante in caso di disconnessioni frequenti.
- Alcune implementazioni presentano vulnerabilità durante le transizioni di rete (passaggio da Wi-Fi a dati mobili, ad esempio), lasciando passare alcuni pacchetti non crittografati prima che il blocco si attivi.
Test di laboratorio hanno mostrato che alcune versioni di kill switch presentavano difetti durante scenari di transizione rapida della rete. Controllare la versione del client VPN e applicare le patch disponibili riduce questo rischio.
Diagnosi rapida prima di contattare il supporto
Prima di aprire un ticket con il fornitore VPN, alcune verifiche consentono di isolare la causa. Testare la connessione Internet senza VPN conferma che la rete sottostante funziona. Cambiare server VPN elimina un problema localizzato a un nodo particolare. Passare a un altro protocollo (passare da OpenVPN a WireGuard, ad esempio) aggira un possibile blocco di porta o di firma.
Consultare i registri di connessione dell’app VPN fornisce spesso l’informazione più precisa. Un messaggio di errore relativo al certificato, al timeout o all’autenticazione orienta immediatamente verso la giusta direzione.
Le disconnessioni VPN risultano raramente da una causa unica. La sovrapposizione di meccanismi (gestione dell’energia, politica di rete, scadenza del certificato, transizione di protocollo) rende la diagnosi complessa. Identificare il livello responsabile, dal sistema operativo al server remoto, rimane il modo più affidabile per ripristinare una connessione stabile.