Cos’è una fuga DNS? Come testarla e risolverla

Una fuga DNS si verifica quando il dispositivo invia le richieste di ricerca dei siti fuori dal tunnel VPN cifrato, di solito verso il provider internet o verso un altro resolver DNS. In questo modo possono emergere i nomi di dominio che visiti, anche se la VPN sta ancora nascondendo il tuo indirizzo IP al sito.

La buona notizia è che una fuga DNS si può testare e, nella maggior parte dei casi, anche correggere. In questa guida vediamo cos’è il DNS, perché queste richieste sono delicate, quali sono le cause più comuni di una fuga DNS, come fare un test affidabile e come ridurre il rischio su desktop, mobile e browser.

Che cos’è il DNS e perché conta?

DNS significa Domain Name System. È la rubrica di Internet. Quando digiti il nome di un sito nel browser, il dispositivo deve trovare l’indirizzo del server associato a quel nome prima di caricare la pagina.

Tu ricordi un nome di dominio perché è leggibile da una persona. Browser e app, invece, hanno bisogno di un indirizzo IP, perché le reti instradano il traffico usando numeri. Il DNS è il sistema che traduce il nome nell’indirizzo.

In pratica, una normale ricerca DNS funziona così:

1. Digiti un dominio o apri un’app.
2. Il dispositivo chiede a un resolver DNS dove punta quel dominio.
3. Il resolver risponde con l’indirizzo IP o con altri record utili.
4. Il dispositivo si connette alla destinazione e carica il servizio.

Il punto importante per la privacy è che le richieste DNS possono rivelare l’intenzione. Un resolver DNS non vede sempre l’intero URL, né il contenuto preciso di una sessione HTTPS cifrata. Ma spesso può vedere il nome del dominio richiesto, per esempio un sito di notizie, una banca, un forum sulla salute, uno strumento di lavoro o un servizio di streaming.

Per questo la gestione del DNS fa parte della privacy di una VPN. Una VPN non serve solo a cambiare l’IP visibile ai siti. Deve anche evitare che il traffico di ricerca ordinario esca dal percorso protetto. Se sei alle prime armi con i concetti base, può aiutarti anche che cos’è una VPN per una panoramica più ampia su come funzionano i tunnel VPN.

Che cos’è una fuga DNS?

Una fuga DNS è una discrepanza tra il percorso del traffico internet principale e quello delle query DNS. Il traffico web può passare da un server VPN, mentre le ricerche DNS finiscono comunque verso il tuo ISP, il gestore della rete mobile, un resolver pubblico configurato sul dispositivo oppure un resolver scelto dal browser.

Questo crea una falla nella privacy. Il sito che visiti può vedere l’IP del server VPN, ma il resolver fuori dal tunnel può ancora vedere i domini che richiedi. Se quel resolver appartiene al tuo provider, il provider può dedurre buona parte della tua attività di navigazione dai metadati DNS.

Una fuga DNS non significa necessariamente che tutta la VPN sia guasta. Può verificarsi anche quando l’icona della VPN indica connessione attiva e quando il tuo IP pubblico sembra quello del server VPN. Per questo è facile non accorgersene, a meno di fare un test dedicato.

Con Crispy VPN, le richieste DNS vengono instradate nel tunnel VPN quando l’app è connessa. In questo modo il traffico di ricerca resta allineato alla connessione VPN, invece di tornare alla rete che stai usando.

Cosa può rivelare una fuga DNS

• Nomi di dominio: i siti e i servizi che il dispositivo cerca di risolvere.
• Tempi: quando avvengono quelle richieste.
• Contesto di rete: il fatto che la richiesta provenga dal tuo ISP di casa, dall’ufficio, da un hotel, dal gestore mobile o da un’altra rete locale.

Il DNS, da solo, di solito non rivela il contenuto completo di una pagina HTTPS sicura. E non ti rende anonimo. I siti a cui accedi con il tuo account possono comunque riconoscerti, e i tracker possono usare cookie o impronte del browser. Ma una fuga DNS resta un problema da evitare, perché espone una mappa utile di ciò che visiti.

Come avviene una fuga DNS?

Le fughe DNS nascono di solito da conflitti di configurazione. Sistemi operativi moderni, browser, app VPN e schede di rete possono tutti influenzare il comportamento del DNS. Se questi livelli non sono allineati, le richieste possono seguire un percorso diverso da quello previsto.

Impostazioni DNS del sistema operativo

Il sistema operativo decide quali server DNS usare per ogni interfaccia di rete. Quando una VPN si connette, di norma crea un’interfaccia virtuale e dovrebbe spingere il traffico DNS su quella interfaccia. La fuga può avvenire se il sistema continua a usare il vecchio server DNS del Wi Fi o del cavo Ethernet.

Succede più facilmente dopo cambi di rete ripetuti, sospensione e riattivazione, login su portali captive o modifiche manuali della rete. Riavviare la connessione VPN spesso risolve un problema temporaneo di routing, ma una fuga persistente richiede un controllo delle impostazioni.

Gestione di IPv6

IPv6 è un sistema di indirizzamento più recente, che può funzionare insieme a IPv4. Il DNS può risolvere record sia IPv4 sia IPv6. Se una VPN o un dispositivo instrada correttamente il traffico IPv4 ma lascia che il DNS IPv6 o il traffico IPv6 usi la rete locale, si può creare una fuga.

Per questo il test dovrebbe controllare l’intera connessione, non solo il fatto che un indirizzo IPv4 visibile sia cambiato. Un risultato pulito significa che i server DNS e le informazioni IP visibili corrispondono al percorso VPN che volevi usare.

Server DNS manuali

Molte persone impostano server DNS personalizzati su dispositivo, router o browser per migliorare velocità, filtri o affidabilità. Queste impostazioni possono sovrascrivere i server DNS forniti da un’app VPN. Se il resolver personalizzato viene raggiunto fuori dal tunnel, hai una fuga DNS.

Il DNS manuale non è sempre sbagliato, ma deve essere coerente con il tuo obiettivo di privacy. Quando usi una VPN, il comportamento più prudente è lasciare che sia l’app VPN a gestire il DNS, salvo un’esigenza specifica e consapevole.

DNS over HTTPS del browser

Alcuni browser offrono il DNS over HTTPS, spesso chiamato DNS sicuro. Cifra il DNS tra il browser e un provider DNS. Questo può proteggere il DNS dalla rete locale, ma può anche bypassare le impostazioni DNS gestite dalla tua app VPN.

Se il DNS over HTTPS del browser usa un resolver fuori dal percorso VPN, il test può mostrare quel resolver invece del DNS della VPN. Può essere cifrato, ma non sta comunque usando la gestione DNS prevista dalla VPN. Anche le estensioni del browser possono avere regole di routing proprie, quindi il test nel browser e quello dell’intero dispositivo possono dare risultati diversi.

Scelte di split tunneling

Lo split tunneling permette a certe app o siti di usare un percorso diverso dal resto del traffico. È utile quando vuoi una parte del traffico dentro la VPN e una parte fuori. Ma può anche spiegare risultati DNS inattesi.

Se un’app o un sito è escluso dalla VPN, il suo DNS può essere escluso a sua volta, a seconda della piattaforma e dell’implementazione. Crispy VPN supporta lo split tunneling su Android per app, su iPhone e iPad per sito web, e nelle estensioni del browser per sito web. Se lo usi, controlla le regole prima di dare per scontato che ogni richiesta DNS sia protetta. Per una guida più approfondita, leggi che cos’è lo split tunneling.

Come fare un test di fuga DNS

Un test di fuga DNS controlla quali resolver DNS possono vedere le tue richieste di ricerca. L’idea di base è confrontare ciò che appare con la VPN spenta e con la VPN accesa. Se con la VPN connessa compaiono ancora gli stessi DNS del provider internet o della rete locale, è probabile che ci sia una fuga.

Esegui il test nelle stesse condizioni in cui navighi davvero. Se usi quasi sempre un browser specifico, prova lì. Se usi un’app desktop o mobile, verifica anche la connessione dell’intero dispositivo. Se passi spesso da Wi Fi a dati mobili, fai il test su entrambe le reti.

Lista di controllo per il test DNS

1. Disconnetti la VPN. Visita una pagina per il test DNS e annota i nomi dei provider, i paesi e gli indirizzi IP mostrati. Questa è la base di confronto.
2. Connetti la VPN. Scegli la posizione del server VPN che usi di solito e aspetta che l’app indichi la connessione attiva.
3. Aggiorna la pagina del test. Esegui prima il test standard. Se è disponibile un test esteso, esegui anche quello.
4. Confronta i risultati. Non dovresti vedere i server DNS del tuo ISP, dell’ufficio, della scuola, dell’hotel o del gestore mobile quando la VPN è attiva.
5. Controlla il tuo IP visibile. Usa una pagina di verifica IP per confermare che anche l’IP pubblico sia cambiato in quello della posizione VPN. Puoi usare che cos’è il mio IP per questa parte.
6. Ripeti dopo aver cambiato rete. Fai un nuovo test dopo aver cambiato rete Wi Fi, passato ai dati mobili o riattivato il dispositivo dalla sospensione.

Un buon risultato non sempre mostra il nome del tuo brand VPN. L’infrastruttura DNS può usare nomi di provider diversi, nomi di data center o indirizzi di relay. L’importante è che non compaiano il tuo ISP locale o un altro resolver che non volevi usare.

Se usi Crispy VPN, connetti prima l’app e poi fai il test. Il DNS dovrebbe passare nel tunnel insieme al traffico VPN. Se dopo la connessione vedi ancora il DNS del tuo ISP, trattalo come un problema di configurazione del dispositivo o del browser e passa alle correzioni qui sotto.

Come risolvere i problemi di fuga DNS

La correzione giusta dipende dalla causa. Parti dai passaggi meno invasivi, poi passa alle impostazioni di sistema e del browser se la fuga continua.

Correzioni rapide da provare subito

1. Disconnetti e riconnetti la VPN. In questo modo si aggiornano route e impostazioni DNS.
2. Cambia posizione del server VPN. Una nuova connessione può pulire lo stato di rete rimasto in memoria.
3. Riavvia l’app e il browser. I browser possono tenere in cache le decisioni DNS fino al riavvio.
4. Riavvia il dispositivo. Questo resetta le interfacce di rete e le vecchie assegnazioni DNS.
5. Aggiorna l’app VPN e il sistema operativo. I bug di routing DNS spesso vengono corretti con gli aggiornamenti.

Controlla le impostazioni DNS manuali

Apri le impostazioni di Wi Fi, Ethernet e rete mobile. Se hai aggiunto manualmente dei server DNS, rimuovili temporaneamente e riporta il DNS su automatico. Poi riconnetti la VPN ed esegui di nuovo il test di fuga DNS.

Se la fuga sparisce, vuol dire che l’impostazione DNS manuale stava sovrascrivendo la VPN. Puoi decidere se quel DNS personalizzato vale la pena, ma non darlo per privato solo perché ti è familiare o perché è cifrato.

Controlla il DNS sicuro del browser

Apri le impostazioni di privacy o sicurezza del browser e cerca DNS sicuro o DNS over HTTPS. Se è attivo con un provider specifico, disattivalo temporaneamente oppure imposta il browser per usare il DNS predefinito del sistema operativo. Riconnetti la VPN, riavvia il browser e prova ancora.

Questo è particolarmente importante se la fuga compare solo in un browser mentre le altre app risultano pulite. In quel caso, la VPN potrebbe funzionare correttamente a livello di sistema, ma il browser sta scegliendo un resolver autonomo.

Controlla le regole di split tunneling

Se lo split tunneling è attivo, verifica se il browser, il sito del test o l’app sono esclusi dalla VPN. Rimuovi l’esclusione e ripeti il test. Se il risultato cambia dopo aver disattivato lo split tunneling, non c’è nulla di misterioso. Significa che la regola stava facendo esattamente ciò per cui era stata impostata.

Usa l’app VPN invece di soluzioni non supportate

Configurazioni di router non supportate, file di configurazione casuali o strumenti di rete di terze parti possono rendere il routing DNS più difficile da prevedere. Crispy VPN offre app per iPhone e iPad, Mac, Windows, Linux, Android, Apple TV, Android TV e Google TV, oltre a estensioni per Chrome, Edge e Firefox. Scarica l’app corretta dalla pagina di download e fai il test da lì.

Sui dispositivi supportati, Crispy VPN usa WireGuard su ogni server. WireGuard è un protocollo VPN moderno, con una base di codice ridotta, buone prestazioni e un comportamento favorevole per la batteria sui dispositivi mobili. Se vuoi capire meglio il protocollo, leggi che cos’è WireGuard.

Prevenire le fughe DNS sui diversi dispositivi

Prevenire una fuga DNS significa soprattutto tenere l’app VPN al comando del routing e evitare impostazioni DNS in conflitto. I dettagli cambiano in base al dispositivo.

Windows, Mac e Linux

I sistemi desktop spesso hanno più interfacce di rete: Wi Fi, Ethernet, adattatori virtuali e, a volte, profili di lavoro. Se appare una fuga DNS, controlla le impostazioni DNS degli adattatori e rimuovi vecchi resolver manuali. Poi riconnetti la VPN.

Su Windows, Mac e Linux, un kill switch può anche aiutare a ridurre l’esposizione se la connessione VPN cade. Crispy VPN include un kill switch opzionale su queste piattaforme desktop. Su Windows è disponibile anche una modalità Lockdown opzionale. Un kill switch non è la stessa cosa della protezione contro le fughe DNS, ma aiuta a evitare che il traffico continui fuori dalla VPN durante un’interruzione.

iPhone, iPad e Android

I dispositivi mobili passano continuamente da Wi Fi, dati mobili, reti di hotel e portali captive. Se fai affidamento sulla VPN per la privacy, ripeti il test dopo ogni cambio di rete. Controlla anche se DNS privato, profili di gestione del dispositivo o app di sicurezza stanno modificando il comportamento DNS.

Su Android, le impostazioni di sistema chiamate Always-on VPN e Blocca connessioni senza VPN possono aiutare a evitare traffico accidentale fuori dal tunnel. Su iPhone e iPad, tieni aggiornata l’app VPN e controlla eventuali regole di split tunneling per siti web se un sito specifico si comporta in modo strano.

Browser ed estensioni

I browser sono una fonte comune di risultati DNS confusi perché possono usare un’impostazione propria di DNS sicuro. Se la fuga compare solo in Chrome, Edge o Firefox, controlla prima le impostazioni DNS del browser invece di cambiare tutto il dispositivo.

Le estensioni del browser coprono solo il traffico del browser, non tutte le app del dispositivo. È utile quando ti serve protezione solo per la navigazione web, ma non equivale a una VPN completa del dispositivo. Per approfondire questa differenza, leggi estensione VPN per browser.

Dispositivi TV

Le piattaforme TV sono più semplici, ma offrono anche meno controlli di rete. Crispy VPN supporta Apple TV e Android TV o Google TV, con accesso tramite scansione di un codice QR usando il telefono. Se stai risolvendo un problema DNS su una TV, prova prima la stessa rete da telefono o laptop, poi riconnetti l’app TV.

Cosa può e non può nascondere una VPN dal punto di vista DNS

Una VPN configurata bene dovrebbe mantenere le richieste DNS dentro il tunnel cifrato. In questo modo l’operatore del Wi Fi locale, l’ISP o il gestore mobile non vedono in chiaro le normali ricerche DNS. Inoltre il percorso DNS resta coerente con il server VPN che hai scelto.

Crispy VPN adotta anche una politica no activity logs e un design a due parti che separa chi sei da ciò che fai. Questo conta perché la privacy DNS non riguarda solo il tunnel, ma anche il modo in cui il servizio è costruito per ridurre i collegamenti inutili.

Resta il fatto che una VPN non rende anonimi. Non ferma da sola malware o phishing, e non impedisce a un sito di riconoscerti quando accedi al tuo account. Non può nemmeno cancellare i cookie di tracciamento già presenti nel browser.

Pensa alla protezione contro le fughe DNS come a uno strato in più. Aiuta a tenere lontani dalla rete locale e dall’ISP i metadati delle ricerche dei siti. Va abbinata a impostazioni sensate del browser, uso prudente degli account, aggiornamenti regolari e una chiara idea di ciò che la VPN protegge davvero.

Se stai controllando il tuo setup dopo aver installato una VPN, vale la pena testare più aspetti del solo DNS. IP pubblico, comportamento WebRTC, impostazioni del kill switch e configurazione del browser possono influire sulla privacy. Un passo pratico successivo è la mia VPN funziona?, che guida attraverso i controlli più ampi.