Cos'è un DNS leak e come si risolve?

Il DNS in 30 secondi

Prima di aprire un sito, il dispositivo deve trasformare un nome come example.com in un indirizzo IP. Per farlo interroga un resolver DNS, di solito gestito dal tuo provider internet. Il resolver vede ogni nome di sito che cerchi, quando lo cerchi e il tuo indirizzo IP.

Cos'è un DNS leak?

Quando usi una VPN, queste richieste dovrebbero passare nel tunnel cifrato fino al resolver della VPN stessa. Un DNS leak (perdita DNS) si verifica quando invece aggirano il tunnel e vanno direttamente al tuo provider o a un altro resolver esterno.

Il traffico in sé resta cifrato, ma il resolver può vedere l'elenco di tutti i siti che visiti, e così chiunque osservi la tua connessione. In alcuni paesi i provider usano il DNS per bloccare i siti, quindi una perdita può anche impedire l'apertura dei siti bloccati pur con la VPN attiva.

Un DNS leak non cambia l'indirizzo IP che vedono i siti. Espone al provider quali siti visiti. Per questo un semplice controllo dell'IP non può rilevarlo.

Come fare il test DNS leak

1. Connettiti alla VPN.
2. Apri il test DNS leak. Fa cercare al browser diversi nomi casuali a cui può rispondere solo il nostro server di test, e registra quali resolver li richiedono.
3. Guarda i resolver elencati.

Nessuna perdita: tutti i resolver appartengono al tuo provider VPN, o si trovano nello stesso paese da cui esce la VPN.

Perdita: vedi resolver del tuo provider internet, o del tuo paese mentre il server VPN è altrove.

I grandi resolver pubblici come Google (8.8.8.8) e Cloudflare (1.1.1.1) hanno server in tutto il mondo. In questi casi il test mostra anche la subnet client trasmessa dal resolver, che può rivelare la tua rete reale anche quando il resolver in sé sembra neutrale.

Cosa causa i DNS leak?

• La VPN non imposta un proprio DNS. Alcune app VPN, le configurazioni manuali di WireGuard o OpenVPN e molti strumenti proxy lasciano invariato il resolver di sistema.
• Windows interroga tutte le reti contemporaneamente. Windows invia le richieste DNS a tutte le schede di rete e prende la risposta più veloce, quindi la richiesta può uscire dalla connessione normale.
• IPv6. Se la VPN gestisce solo IPv4, le richieste via IPv6 vanno al resolver IPv6 del provider.
• DNS over HTTPS del browser. Chrome, Edge e Firefox possono inviare le richieste al proprio resolver cifrato. Non è una perdita verso il provider, ma aggira il resolver della VPN e può trasmettere la tua posizione reale.
• Strumenti proxy in modalità "proxy di sistema". App come Clash, V2Ray o i client Shadowsocks spesso fanno passare dal proxy solo il traffico del browser, mentre il sistema continua a risolvere i nomi localmente.
• Il router o il provider dirottano il DNS. Alcuni provider intercettano tutto il traffico sulla porta 53 e rispondono loro stessi.

Come risolvere un DNS leak

Parti dalla prima soluzione e ripeti il test dopo ogni passaggio.

1. Attiva la protezione DNS leak della VPN. La maggior parte delle buone app VPN ha un'opzione chiamata protezione dalle perdite DNS, "usa solo il DNS della VPN" o simile. Attiva anche il kill switch.
2. Attiva la protezione dalle perdite IPv6 o blocca IPv6 nell'app della VPN. Leggi IPv4 vs IPv6 per capire perché è importante.
3. Imposta il DNS nella configurazione della VPN. Con WireGuard, aggiungi una riga DNS = nella sezione [Interface]. Con OpenVPN, usa block-outside-dns su Windows.
4. Negli strumenti proxy, attiva la modalità TUN (Clash, sing-box e altri la chiamano TUN, modalità avanzata o modalità VPN) e attiva la loro gestione del DNS, così tutte le richieste passano dal proxy.
5. Controlla l'impostazione DNS sicuro del browser. In Chrome o Edge si trova in Impostazioni > Privacy e sicurezza > Sicurezza > Usa DNS sicuro. Disattivala, così viene usato il resolver della VPN, oppure scegli un resolver di cui ti fidi.
6. Cambia il DNS di sistema con un resolver pubblico come soluzione di riserva. Questo non risolve una perdita verso quel resolver, ma impedisce al provider di vedere le tue richieste.

Poi ripeti il test DNS leak. Per un controllo completo della VPN, compresi WebRTC e IPv6, leggi come verificare se la VPN funziona.

Domande frequenti

Un DNS leak è pericoloso?

Espone i siti che visiti, non le password né il contenuto delle pagine, che restano protetti da HTTPS. Però, se usi una VPN per la privacy, una perdita ne vanifica buona parte dello scopo.

Un DNS leak può rivelare il mio IP reale?

Indirettamente. Il resolver del provider vede il tuo IP reale, e i resolver che trasmettono la subnet client dicono al server DNS del sito più o meno dove ti trovi. I siti in sé non vedono il tuo IP tramite il DNS.

Usare 1.1.1.1 o 8.8.8.8 evita i DNS leak?

No. Cambia chi vede le tue richieste, dal provider a Cloudflare o Google, ma quelle richieste possono comunque uscire fuori dalla VPN. Solo far passare il DNS dalla VPN ferma la perdita.

Perché il test mostra server in un altro paese?

I grandi resolver inviano la richiesta dal data center più vicino a te o al server VPN, che può trovarsi in un paese confinante. Controlla il nome della rete: se è il tuo provider VPN o un grande resolver pubblico vicino al server VPN, va tutto bene.