Oggigiorno, utilizzare una VPN su Windows è quasi un requisito imprescindibile. sia per il telelavoro che per navigare in modo più sicuro Accedere a Internet tramite reti pubbliche è facile, ma quando la connessione fallisce, l'esperienza si trasforma in un vero incubo. Errori di autenticazione, messaggi con codici numerici incomprensibili o una VPN che si connette ma poi ti lascia senza internet sono molto più comuni di quanto si possa pensare.
In questa guida troverai una Supporto tecnico pratico e molto completo Questa guida diagnostica e risolve i problemi di connessione e configurazione VPN su Windows (inclusi AOVPN, L2TP/IPsec, SSL ed errori comuni come 800, 806, 809, 812, 13801, 13806, ecc.). Tratteremo tutto, dalle nozioni di base (profili, porte, firewall) ai problemi relativi ai certificati, ai problemi DNS, agli adattatori virtuali TAP, alle VPN duali e ai profili danneggiati, fornendo soluzioni dettagliate e consigli per una connessione fluida e stabile.
Concetti chiave dell'infrastruttura VPN in Windows
Prima di iniziare a modificare le impostazioni, è una buona idea capire quali elementi entrano in gioco Quando ci si connette a una VPN su Windows, conoscere il quadro generale rende molto più facile individuare la causa del problema.
Una tipica VPN per l'accesso remoto include almeno questi elementi:
- Client VPN (Windows o applicazione del provider).
- Server o concentratore VPN.
- Firewall/router che controlla il traffico verso quel server.
- Schede di rete (fisiche e virtuali).
- Configurazione del protocollo/tunnel (L2TP/IPsec, SSTP, IKEv2, SSL, ecc.).
- Servizi come NPS, Active Directory e infrastrutture di certificati in ambienti aziendali.
Nel caso specifico di VPN sempre attiva (AOVPN) La situazione si complica leggermente perché la connessione viene stabilita automaticamente all'avvio di Windows. Ciò implica anche l'utilizzo di profili di configurazione distribuiti, script di distribuzione, criteri di accesso condizionale e i certificati del computer e del server che Windows utilizza per negoziare IPsec.
La buona notizia è che La maggior parte dei problemi di connessione si ripresentano costantementePorte bloccate, certificati non validi, protocolli scelti in modo errato, credenziali errate, DNS configurato in modo errato, driver di rete danneggiati o un firewall eccessivamente protettivo. Conoscere questi elementi vi aiuterà ad arrivare subito al nocciolo della questione.
Come creare correttamente un profilo VPN in Windows 10/11
Molti errori si verificano semplicemente perché il profilo VPN non viene creato correttamente., con dati del server errati, il tipo di VPN sbagliato o un sistema di autenticazione che non corrisponde al lato server.
In Windows, il metodo standard per creare un profilo integrato è il seguente: e a Home > Impostazioni > Rete e Internet > VPN > Aggiungi una connessione VPNIn “Provider VPN” scegli Windows (integrato)Inserisci un nome riconoscibile per la connessione, inserisci il nome o l'indirizzo del server (senza http, barre o altri caratteri speciali) e seleziona il tipo di VPN richiesto dalla tua azienda o dal tuo provider (ad esempio, L2TP/IPsec con chiave precondivisa, IKEv2, PPTP, ecc.). Per maggiori dettagli sulla creazione di un profilo, consulta [link alla documentazione pertinente]. Come creare una VPN su Windows.
Anche l'aspetto delle credenziali è fondamentaleIn “Tipo di informazioni di accesso”, seleziona il metodo corretto (nome utente/password, certificato, smart card o password monouso) e inserisci il nome utente e la password se desideri che vengano salvati, utilizzando un gestore di passwordSe queste informazioni cambiano, dovrai modificarle in seguito per evitare errori di autenticazione.
Una volta salvato il profilo, puoi andare su “Opzioni avanzate” per regolare parametri quali l'utilizzo del gateway predefinito remoto, le impostazioni del proxy, i protocolli consentiti o se la connessione viene utilizzata per tutto il traffico o solo per reti specifiche.
Connessione VPN e accesso a Internet: funzionamento di base
Quando Windows contrassegna una VPN come "Connesso", significa semplicemente che il tunnel è stato stabilito.Non garantisce l'accesso a Internet. Il traffico può comunque bloccarsi in qualsiasi punto: DNS, firewall, routing, server remoto, ecc.
Per connettersi manualmente a una VPN per la quale è già stato creato un profiloFai clic sull'icona Rete nella barra delle applicazioni, seleziona il nome della connessione e fai clic su "Connetti". Se si apre la sezione Impostazioni VPN, seleziona la connessione e fai clic su "Connetti" anche lì.
Se il server accetta le tue credenziali, visualizzerai lo stato "Connesso". sotto il nome VPN. Da quel momento in poi, a seconda di come è stata configurata, tutto il traffico può passare attraverso la VPN (tunnel completo) o solo determinati intervalli di rete (tunnel diviso). Se è stata abilitata l'opzione "usa gateway predefinito di rete remota", è normale che tutto il traffico passi attraverso la VPN, il che può causare la perdita di accesso a Internet se il server o il suo routing non sono configurati correttamente.
Quando la VPN si connette ma non c'è internet.Il problema risiede quasi sempre nel DNS, nel routing errato, nel firewall locale o nel server VPN che non reindirizza correttamente il traffico in uscita. Di seguito troverete una sezione specifica per questo scenario, che è uno dei più comuni.
Errori tipici di connessione VPN in Windows (800, 806, 809, 812, 720, 787…)
Windows visualizza molti problemi VPN come codici numerici che, a prima vista, possono incutere un po' di timore. Per fortuna, la maggior parte di esse ha cause ben precise e soluzioni note.
Errore 800: Impossibile stabilire la connessione remota
Il codice 800 di solito indica che il tunnel non viene nemmeno rialzatoIl server VPN potrebbe non rispondere, un firewall potrebbe bloccare il traffico oppure potrebbero mancare i parametri di sicurezza per L2TP/IPsec.
Passaggi usuali per correggerloVerifica che il nome del server o l'indirizzo IP siano corretti e accessibili (esegui un ping se necessario), controlla che le porte necessarie siano aperte sul router/firewall (ad esempio, TCP 1723 per PPTP, UDP 500/4500 per IPsec, 443 per SSTP o SSL) e verifica che il tipo di VPN selezionato sul client corrisponda a quello del server.
Errore 806: Connessione tra il computer e la VPN bloccata
L'errore 806 indica che Qualcosa sta tagliando la galleria a metà.Solitamente è il firewall (di Windows o di terze parti) o, in alcuni casi, un antivirus che ispeziona il traffico e non interpreta correttamente il protocollo GRE o altri protocolli utilizzati dalla VPN.
Test rapidoDisattiva temporaneamente il firewall e, se funziona, dovrai creare una regola che consenta il traffico VPN e, cosa molto importante, aprire la porta TCP 1723 (PPTP) o le porte utilizzate dalla tua soluzione specifica. È anche consigliabile verificare che il tuo antivirus non stia filtrando in modo aggressivo questo traffico.
Errore 809: Il server remoto non risponde
L'errore 809 appare di solito quando il firewall o il router intermedio non consentono il traffico VPNSoprattutto dopo il NAT o quando si utilizza IPsec/IKEv2. Anche senza un firewall di terze parti, un dispositivo NAT può causare problemi.
Una soluzione avanzata comunemente utilizzata consiste nel modificare il Registro di sistema di Windows. aggiungendo la chiave AssumeUDPEncapsulationContextOnSendRule en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgentImpostando un valore DWORD a 32 bit su 2 e riavviando il computer, verificare inoltre che le porte UDP 500 e 4500, nonché la porta corrispondente al protocollo scelto, siano aperte nel firewall.
Errori 812, 13801, 13806 e codici del certificato
Negli ambienti aziendali che utilizzano AOVPN, gli errori relativi a certificati e policy sono molto frequenti.:
- 812La policy del server RAS o VPN impedisce la connessione perché il metodo di autenticazione del server non corrisponde al profilo del client.
- 13806IKE non riesce a trovare un certificato di apparecchiatura valido rilasciato dal cliente.
- 13801Le credenziali di autenticazione IKE non sono accettabili (certificato non valido, certificato scaduto, catena non attendibile, ecc.).
- 0x80070040Il certificato del server non include l'utilizzo dell'"Autenticazione server".
- 0x800B0109Il certificato radice non proviene da un'autorità di certificazione che il cliente considera affidabile.
In tutti questi casi è necessario esaminare attentamente l'infrastruttura a chiave pubblica (PKI)che il certificato del server sia rilasciato da un'autorità di certificazione attendibile, nell'archivio appropriato e con gli usi corretti; che il client abbia installato il certificato radice e, se applicabile, i certificati intermedi; e che il profilo AOVPN punti al certificato corretto, non al primo che RRAS trova nell'archivio.
Altri errori comuni: 720, 787 e problemi con MS-CHAPv2
L'errore 720 si verifica in genere quando l'adattatore miniport WAN (IP) non è associato correttamente.Reinstallare l'adattatore da Gestione dispositivi di solito risolve il problema.
Errore 787 nelle connessioni L2TP/IPsec Ciò è solitamente dovuto alla presenza di caratteri jolly nei certificati del server o a certificati emessi da un'autorità di certificazione (CA) inattesa. RRAS potrebbe scegliere il primo certificato trovato, non necessariamente quello adatto per L2TP, e questo interrompe l'associazione di sicurezza IPsec.
Negli scenari con L2TP/IPsec che utilizzano MS-CHAPv2, possono verificarsi errori anche se il valore LmCompatibilityLevel viene modificato sul controller di dominio. Per quanto riguarda le impostazioni predefinite, ciò interrompe l'autenticazione.
Problemi di connessione con AOVPN (Always On VPN) su Windows
AOVPN automatizza la connessione delle apparecchiature aziendali, ma rende anche gli errori più problematici.perché l'utente non deve nemmeno aprire manualmente la VPN: il sistema tenta di stabilire il tunnel in background e, se qualcosa va storto, l'utente si accorge semplicemente di non avere accesso alla rete aziendale.
I motivi più comuni per cui AOVPN non riesce a connettersi sono:
Certificati delle apparecchiature non validi o mancanti.
Direttive incoerenti del National Park Service (NPS).
Script di distribuzione eseguiti in modo inadeguato.
Problemi con il servizio Routing e accesso remoto sul server.
Codici AOVPN specifici da tenere d'occhioGli errori 800, 809, 812, 13801, 13806 e gli errori relativi ai certificati menzionati in precedenza. Un piccolo errore nella definizione del profilo XML, nell'assegnazione dei certificati o nei criteri di accesso condizionale di Microsoft Entra può compromettere l'intera configurazione.
È fondamentale Esamina l'intero percorso che un cliente AOVPN compie. Durante il tentativo di connessione: risoluzione DNS del server VPN, convalida del certificato, negoziazione IKE/IPsec, applicazione delle policy NPS e, infine, assegnazione dell'indirizzo IP e del percorso. Qualsiasi punto debole interrompe la catena.
VPN connessa ma senza internet: cause e soluzioni
Questo scenario è uno dei più disperati: La VPN indica che è connessa, ma il browser non carica nulla.Il problema risiede solitamente nel DNS, nel routing o in un firewall che blocca il traffico effettivo pur consentendo la creazione del tunnel.
- Innanzitutto, verifica che la tua connessione internet "normale" funzioni correttamente.Disconnetti la VPN e prova a navigare in internet. Se continui ad avere problemi di accesso, il problema non è la VPN, ma la tua rete (router, Wi-Fi, provider di servizi internet, ecc.). Riavvia il router, controlla i cavi, prova una rete diversa o contatta il tuo provider di servizi internet.
- Se riesci a navigare con la VPN disconnessa, devi controllare all'interno di Windows.Verifica che la tua applicazione VPN sia aggiornata, prova a cambiare server direttamente dal client (molti server si sovraccaricano o smettono di funzionare) e, se necessario, cambia il protocollo. il tuo fornitore Lo consente (ad esempio, da UDP a TCP o a un protocollo più moderno).
- Un trucco che risolve molti casi è quello di svuotare la cache DNS di Windows.Apri il prompt dei comandi come amministratore ed esegui
ipconfig /flushdnsQuesto elimina le voci DNS corrotte che potrebbero puntare a risoluzioni errate una volta entrati nel tunnel. - Non dimenticare l'antivirus e il firewall.Potrebbero consentire la connessione VPN ma bloccare le successive richieste DNS o HTTP/HTTPS. Disattiva temporaneamente l'antivirus/firewall per effettuare una prova e, se questo risolve il problema, crea delle regole specifiche che consentano all'app VPN e alle porte coinvolte di funzionare senza limitazioni.
Problemi con DNS e risoluzione dei nomi tramite VPN
Quando Windows visualizza errori di "risoluzione del nome di dominio" durante l'utilizzo di una VPN, di solito ci sono un conflitto tra il DNS che il tuo computer utilizza e quelli previsti dal tunnel VPN, o il DNS pubblico che hai configurato non corrispondono ai requisiti VPN.
La soluzione standard è modificare i server DNS dell'interfaccia di rete che stai utilizzando: vai a Home > Impostazioni > Rete e Internet > Modifica le opzioni della schedaFai clic con il pulsante destro del mouse sulla tua carta in uso, "Proprietà", seleziona Protocollo Internet versione 4 (TCP/IPv4)Fai clic su "Proprietà" e seleziona "Utilizza i seguenti indirizzi server DNS".
Puoi entrare DNS pubblico attendibile come quelli di Google (8.8.8.8 e 8.8.4.4) o Cloudflare (1.1.1.1 e 1.0.0.1)Salva, disconnetti e riconnetti la VPN. In molti casi, l'errore di risoluzione scompare immediatamente.
Se il problema persiste, Dovremmo nutrire sospetti nei confronti della VPN stessa.Alcuni provider gratuiti non gestiscono bene il DNS, non offrono server interni in ambienti aziendali o impongono risoluzioni DNS incompatibili con la configurazione locale. Cambiare provider, idealmente passando a uno a pagamento e affidabile, è solitamente la soluzione migliore.
Firewall, router e porte: il collo di bottiglia più comune
Molto di Gli errori 800, 806 e 809 si risolvono attaccando lo stesso punto: firewall e router.In definitiva, una VPN non è altro che traffico crittografato attraverso porte specifiche; se queste porte sono chiuse, è inutile.
- Nel firewall di Windows Defender è possibile creare regole in entrata e in uscita. che consentono il traffico per l'applicazione VPN e per le porte utilizzate dal protocollo selezionato. Per PPTP, assicurarsi che la porta TCP 1723 e il protocollo GRE siano autorizzati; per L2TP/IPsec, verificare le porte UDP 500 e 4500; per SSL o SSTP, in genere viene utilizzata la porta TCP 443.
- Potrebbe essere necessario anche sul router di rete. aprire o reindirizzare le porte al server VPN interno se si tratta della tua infrastruttura. Nelle reti aziendali, questa operazione è solitamente gestita dal team di sistema, ma a casa, se si configura un server VPN personale o si utilizza un router con VPN integrata, è necessario controllare la sezione relativa al port forwarding.
Se scoprite che la VPN funziona con il firewall disabilitato ma non con quello abilitato, questo è il test da eseguire. L'approccio migliore non è disabilitare completamente il firewall, ma piuttosto ottimizzare le regole fino a quando il tunnel non funziona senza compromettere la sicurezza del sistema.
Adattatore TAP-Windows e altri adattatori virtuali
Molte VPN installano un adattatore virtuale chiamato TAP-Windows (o simile) che funge da "scheda di rete fittizia" attraverso cui passa il traffico crittografato. Se questo adattatore si guasta, l'intero servizio si blocca.
Quando l'adattatore TAP si blocca, potresti notare questi sintomi:
- La VPN si connette ma la rete non risponde.
- La connessione si interrompe dopo un po'.
- La tua rete normale viene influenzata anche in assenza di un tunnel attivo.
Ciò è solitamente dovuto a driver danneggiati, aggiornamenti di Windows incompleti o conflitti con altre schede di rete.
Primo passo semplice: riavviare l'adattatoreNella sezione "Modifica opzioni scheda", individua TAP-Windows, disattivalo facendo clic con il pulsante destro del mouse e poi riattivalo. A volte questo risolve il problema.
Se ciò non funziona, il passo successivo è la reinstallazione.Disinstalla la VPN, riavvia il computer e reinstalla l'ultima versione del client. Se il problema persiste, vai in Gestione dispositivi, trova l'adattatore TAP in "Schede di rete", disinstallalo e lascia che il programma di installazione della VPN lo crei nuovamente. In alcuni casi, puoi anche aggiungere un nuovo adattatore TAP e utilizzarlo al posto di quello vecchio. Per scegliere un client affidabile, consulta le diverse opzioni e i confronti.
Doppia VPN che non funziona su Windows
La chiamata “Doppia VPN” Aggiunge un secondo livello di tunneling, collegando in serie due server VPN per rafforzare la privacy. Sembra un'ottima soluzione, ma in pratica moltiplica i punti in cui qualcosa può bloccarsi.
Se la doppia VPN non si connette, o si connette ma non consente la navigazione, ci sono diversi fronti da esaminare:
- Impostazioni di connessione automatiche (che potrebbero tentare di connettersi al primo server come se fosse l'unico).
- Utilizzo di DNS personalizzati all'interno della VPN.
- Presenza di proxy attivi in Windows.
Un po 'di raccomandazioni concreteSe utilizzi DNS personalizzati nell'app VPN, disattivali, e disabilita anche eventuali proxy manuali. Impostazioni > Rete e Internet > Proxycancellare la cache DNS con ipconfig /flushdns E prova a cambiare la coppia di server utilizzati per la doppia VPN. Spesso si tratta di un problema temporaneo dovuto a un server sovraccarico. Se stai cercando alternative per rafforzare la privacy, considera anche cosa VPN decentralizzata.
Aiuta anche Prova altri protocolli all'interno della stessa VPN (ove possibile): alcuni gestiscono meglio di altri gli scenari concatenati, e le prestazioni e la stabilità possono essere migliorate in modo significativo.
Gestione avanzata delle connessioni VPN in Windows: esportazione, importazione ed eliminazione dei profili.
En ambienti professionali È frequente la necessità di migrare i profili VPN tra computer o di eliminare configurazioni obsolete che causano errori. Windows consente di esportare e importare le connessioni senza dover ricorrere a programmi esterni.
a Esporta le connessioni VPN create con il client Windows integrato, accedere al percorso %AppData%\Microsoft\Network\Connections (Puoi incollarlo nella barra degli indirizzi di Esplora risorse). All'interno troverai una cartella chiamata PbkÈ sufficiente copiarlo su un'unità USB o in un'altra posizione, quindi incollarlo nella stessa posizione su un altro computer per avere le stesse connessioni.
Se hai bisogno Elimina completamente i profili VPN che non utilizzi piùPuoi farlo da diversi punti: in Impostazioni > Rete e Internet > VPN, seleziona la connessione e fai clic su "Rimuovi"; dal Pannello di controllo, in Centro connessioni di rete e condivisione > Modifica impostazioni schedarimuovendo la connessione; oppure utilizzando comandi come rasphone -R "Nombre" nel prompt dei comandi (amministratore) o Remove-VpnConnection -Name "Nombre" -Force e PowerShell.
Con clienti come OpenVPN, WireGuard o soluzioni commerciali specifiche Non è consigliabile eliminare le interfacce virtuali dal Pannello di controllo, perché si rischierebbe di cancellare tutti i profili. In questi casi, è preferibile gestire l'eliminazione dall'interno dell'applicazione stessa oppure, se si tratta di OpenVPN, eliminando i file di configurazione nella cartella. config utente.
Come cambiare e proteggere la password VPN su Windows
Se utilizzi il client Windows integrato per connetterti a una VPN aziendale, a un certo punto dovrai cambia password (perché scade, a causa delle politiche aziendali o perché si è verificato un errore di autenticazione).
Per modificare la chiave memorizzata in un profilo VPN di Windows, vai a Home > Impostazioni > Rete e Internet > VPNSeleziona la connessione, vai su "Opzioni avanzate" e individua il campo "Password". Inserisci la nuova password, salva le modifiche e verifica la connessione.
A livello di sicurezza, È importante non riutilizzare le passwordIdealmente, la tua VPN dovrebbe avere una password univoca e lunga (almeno 12-16 caratteri) con lettere maiuscole e minuscole, numeri e simboli, e non dovrebbe essere una parola o un'informazione che ti identifichi direttamente. Un gestore di password semplifica notevolmente questo processo.
Se la VPN si integra con il tuo utente di dominio (Active Directory), ricorda che La modifica della password non viene effettuata dal profilo VPN, bensì dall'account Windows o tramite i consueti meccanismi aziendali.Il profilo utilizzerà semplicemente queste nuove credenziali al prossimo tentativo di connessione.
Quando raccogliere tracce e contattare un supporto specializzato
Ci sono situazioni in cui, indipendentemente da quante impostazioni tipiche si provino, La VPN continua a rifiutare categoricamente.Se lavori in un ambiente aziendale Microsoft, è opportuno raccogliere informazioni prima di aprire un ticket di supporto con l'azienda.
Microsoft consiglia di utilizzare i suoi script di risoluzione dei problemi (TSS) per acquisire informazioni dettagliate Sia sul client che sul server. È necessario eseguirli con un account dotato di privilegi di amministratore, accettare il Contratto di licenza con l'utente finale (EULA) la prima volta e assicurarsi che i criteri di esecuzione di PowerShell lo consentano. Firmato a distanza.
La procedura usuale è:
- Scarica il file TSS in C:\tss.
- Apri una finestra di PowerShell con privilegi elevati in quella cartella.
- Avvia i cmdlet per iniziare il monitoraggio sul client e sul server.
- Riproduci il problema.
- Completa la raccolta digitando "Y" quando richiesto. I log verranno compressi in un file ZIP nella cartella C:\MS_DATA, che potrai poi inviare all'assistenza.
In implementazioni complesse che coinvolgono AOVPN, NPS, Entra ID e certificatiQuesto tipo di tracce fa la differenza tra brancolare nel buio per giorni o individuare un errore di policy o di PKI in una singola verifica da parte di un tecnico di secondo livello.
Alla fineAvere una VPN stabile su Windows richiede la padronanza di alcuni principi fondamentali.Per risolvere i problemi, è fondamentale creare correttamente il proprio profilo, comprendere quali porte e protocolli vengono utilizzati dai tunnel, gestire firewall e router, mantenere aggiornati client e driver, monitorare le impostazioni DNS e comprendere gli errori più comuni (800, 806, 809, 812, 13801, 13806, problemi TAP, SSL inattivo, doppia VPN, ecc.). Con queste basi, la maggior parte dei problemi può essere risolta in pochi minuti. Nei casi più ostinati, è sempre possibile utilizzare strumenti di tracciamento avanzati o, se il servizio è di terze parti, richiedere assistenza a un team tecnico affidabile e a un provider VPN di fiducia.
