VPN che ha smesso di funzionare in Russia: la modalità stealth NvoVPN

Se una VPN che ha funzionato per anni all'improvviso smette di connettersi, il problema non è nel tuo dispositivo: le reti hanno imparato a riconoscere i protocolli VPN e a bloccarli. Quale VPN funziona in Russia oggi — quella che maschera la connessione facendola sembrare un sito normale; nell'app NvoVPN è la modalità stealth, e si attiva da sola. Di seguito — come attivarla manualmente in quattro passaggi se l'automatismo non ha funzionato, e come funziona tutto questo in parole semplici: DPI, AmneziaWG e VLESS/Reality.

1. 1

   Attiva «Massima affidabilità» nell'app

   Nella schermata principale di NvoVPN c'è l'interruttore «Massima affidabilità». Attivalo — la connessione passerà sempre attraverso la modalità stealth, senza aspettare che la rete blocchi il protocollo principale. Lo stesso si trova nelle impostazioni: «Applicazione» → «Stealth mode» — «Disabled» (disattivata), «Auto (on block)» (si attiva da sola in caso di blocco, è l'opzione predefinita), «Always on» (sempre attiva).

2. 2

   Ti serve un altro client? Apri l'area personale → «Modalità stealth»

   Un'app separata serve su un dispositivo senza NvoVPN oppure come client di riserva a portata di mano. Nella tua area personale → «Modalità stealth» trovi il link di abbonamento — con tutti i server già inclusi — e il codice QR.

3. 3

   Installa v2RayTun o Hiddify e aggiungi l'abbonamento

   v2RayTun è un'app gratuita per iPhone e Android, Hiddify per tutte le piattaforme, incluse Windows, Mac e Linux. Nella tua area personale tocca «Connetti in un tocco (v2RayTun)» oppure «Apri in Hiddify» — i server si aggiungono da soli. Sul computer basta copiare il link di abbonamento e incollarlo nell'app. Se sei in Russia e hai un iPhone — leggi il blocco più sotto.

4. 4

   Tocca «Connetti» e verifica

   L'app sceglie da sola un server funzionante. Non parte? Passa al successivo nella lista. Apri «Qual è il mio IP»: vedrai l'indirizzo del server, non quello del tuo provider.

Come una rete riconosce una VPN

Presso gli operatori è installata un'apparecchiatura di analisi approfondita del traffico — il DPI. Osserva non solo dove va un pacchetto, ma anche come è fatto. I protocolli VPN si tradiscono in quattro modi:

• Firma dell'handshake. In WireGuard il primo pacchetto è sempre di 148 byte, la risposta di 92, e iniziano sempre con gli stessi byte. Questa «impronta» viene individuata in un secondo.
• Impronta TLS. OpenVPN e molti proxy elencano i cifrari in un ordine diverso da quello di un browser reale — basta questo per distinguerli.
• Traffico troppo casuale. Un flusso senza alcuna struttura è sospetto di per sé — nessun sito normale ha questo aspetto.
• Indirizzi degli hoster. Intere fasce di IP dei data center dove risiedono i server VPN vengono rallentate o bloccate in blocco.

Per questo dal 2023 in Russia hanno smesso di funzionare, uno dopo l'altro, prima OpenVPN e IPsec, poi WireGuard e Shadowsocks, e nel 2026 il WireGuard normale non passa quasi da nessuna parte. Filtri simili sono attivi da tempo in Cina, Iran, Turkmenistan e in parte delle reti degli Emirati Arabi Uniti.

Cosa cambia AmneziaWG

AmneziaWG è il protocollo principale di NvoVPN: lo stesso WireGuard open source, ma senza le «impronte» con cui il DPI riconosce l'originale. Nella configurazione sono alcuni parametri con nomi poco chiari:

• Jc, Jmin, Jmax — prima del vero handshake il client invia alcuni pacchetti «spazzatura» di dimensione casuale. La sequenza «148 → 92 byte» scompare.
• S1, S2 — ai pacchetti di servizio viene aggiunto un «riempimento» (padding) casuale, la loro dimensione non corrisponde più a quella di riferimento.
• H1–H4 — vengono sostituite le intestazioni dei pacchetti con cui il filtro riconosceva WireGuard.

Velocità e cifratura sono le stesse di WireGuard — sul telefono non noterai alcuna differenza. L'app inserisce i parametri da sola, nel file dalla tua area personale sono già impostati. Importante: un client WireGuard normale avvierà questo file, ma senza il mascheramento — per le reti con filtri serve proprio un client AmneziaWG.

Modalità stealth: VLESS/Reality

Esistono reti dove il filtro taglia qualsiasi traffico UDP non familiare. Per queste NvoVPN ha un secondo protocollo — VLESS con la tecnologia Reality. Il tuo telefono stabilisce con il server la più normale connessione TLS, quella con cui si apre qualsiasi sito, e il server presenta il certificato autentico di un grande sito pubblico. Per il filtro è indistinguibile dal semplice visitare quel sito; all'interno della connessione passa invece il tuo traffico.

Reality resiste anche al «probing attivo» — quando è il sistema di controllo stesso a bussare a un indirizzo sospetto: a una richiesta esterna il server risponde come il normale sito di camuffamento. Funziona su TCP, come HTTPS, perciò passa anche dove l'UDP è bloccato del tutto — nelle reti di hotel e uffici.

Come funziona nell'app

Non c'è nulla da scegliere. L'app si connette tramite AmneziaWG e osserva se i dati passano. Se l'handshake è riuscito ma non c'è traffico — il classico quadro di un blocco DPI — passa da sola alla modalità stealth e memorizza che in questa rete serve lei. Ci vuole fino a un minuto. Da qui il consiglio della guida «Cosa fare se la VPN non si connette»: aspettare e riconnettersi prima di cambiare qualcosa manualmente.

Quale modalità usare e quando

Due parole sulle regole

L'uso della VPN da parte di un privato in Russia non è vietato — le restrizioni riguardano la pubblicità di questi servizi e l'accesso a determinati materiali vietati. Qui descriviamo come funziona la tecnologia sui tuoi dispositivi; della scelta dei siti che visiti rispondi tu. Questo non è un parere legale: le regole cambiano, prima di viaggiare verifica le norme locali.

Domande frequenti

In cosa AmneziaWG differisce da WireGuard in termini di velocità? Praticamente in nulla: i pacchetti «spazzatura» vengono inviati solo durante l'apertura della connessione, poi è lo stesso WireGuard.

Perché non basta semplicemente cambiare porta? Il filtro guarda il contenuto dei pacchetti, non il numero di porta. Cambiare porta aiutava una decina di anni fa, oggi no.

La modalità stealth funziona su un router? Di serie no: i router usano una configurazione AmneziaWG o WireGuard. Per un router su una rete con filtri pesanti scrivi al supporto, esamineremo il tuo modello.

Cosa fare se non si connette nemmeno la modalità stealth? Cambia server, poi rete, poi scrivi al supporto con il nome dell'operatore e l'orario del tentativo — da queste segnalazioni vediamo i nuovi blocchi prima del monitoraggio.

Leggi anche: VPN per la Cina: cosa funziona nel 2026 · AmneziaWG e WireGuard: qual è la differenza · Cosa fare se la VPN non si connette