Guide
Un kill switch blocca tutto il traffico internet nell'istante in cui il tunnel VPN cade, così le app non possono ripiegare in silenzio sulla tua connessione normale. Senza, anche una disconnessione di due secondi espone il tuo vero indirizzo IP. E anche con il tunnel attivo, le richieste DNS, il WebRTC nel browser e il traffico IPv6 possono passargli accanto. Ogni fuga ha un test semplice e un rimedio.
Quando una connessione VPN si rompe, il sistema operativo instrada tranquillamente il traffico dall'interfaccia normale. Le app continuano a funzionare e nulla ti avvisa. Un kill switch trasforma il fail-open in fail-closed: niente tunnel, niente traffico.
Le richieste DNS possono andare al resolver del tuo operatore fuori dal tunnel, il WebRTC può consegnare ai siti i tuoi indirizzi, e l'IPv6 può aggirare un tunnel solo-IPv4 — tutto mentre l'icona della VPN dice «connesso».
Non devi fidarti delle schermate delle impostazioni. Un leak test mostra quali indirizzi e resolver i siti vedono davvero, e rompere il tunnel apposta mostra se il kill switch regge.
La connessione fallisce aperta. Una VPN aggiunge rotte che dirottano il traffico in un'interfaccia di rete virtuale. Quando il processo del tunnel muore o va in timeout, quelle rotte spariscono, mentre la rotta di default via Wi-Fi o Ethernet rimane — quindi il sistema continua a consegnare pacchetti, ora direttamente attraverso il tuo operatore. Le app riconnettono i loro socket in pochi secondi, mandando traffico dal tuo IP reale, senza alcuna finestra di errore da nessuna parte.
Le cadute sono routine. Passare dal Wi-Fi ai dati mobili, un portatile che si sveglia dallo standby, una rete d'albergo ballerina o un riavvio del server VPN rompono tutti il tunnel per un momento. Quanto costa quel momento dipende da cosa è autorizzato a lasciare il tuo dispositivo mentre il tunnel è giù.
Un kill switch è un insieme di regole del firewall, non magia. La versione rigorosa ammette solo due tipi di traffico in uscita: i pacchetti che entrano nell'interfaccia del tunnel e i pacchetti cifrati del client VPN stesso verso il server. Se il tunnel va giù, il traffico delle applicazioni semplicemente non ha dove andare finché non torna.
Questo cambia la modalità di guasto, non previene i guasti. Con un kill switch, una caduta diventa una connessione in pausa che noti; senza, diventa traffico dal tuo indirizzo reale che non noti. Le reti sono imperfette e il tunnel continuerà a rompersi — il fail-closed rende quei momenti innocui.
La differenza è cosa succede quando muore l'app stessa. Un kill switch in-app è codice dentro il client VPN che sorveglia il tunnel e blocca il traffico quando cade. Funziona solo mentre il client gira: se il client va in crash o viene ucciso da un ottimizzatore di batteria, la sua protezione muore con lui — esattamente nel momento in cui il tunnel sparisce.
Un kill switch a livello di sistema installa regole nel firewall del sistema operativo, che ispeziona ogni pacchetto in uscita a prescindere da quali app girino. Android ce l'ha integrato: VPN sempre attiva più il blocco delle connessioni senza VPN fanno sì che sia il sistema stesso a rifiutare il traffico fuori dal tunnel, perfino prima che l'app parta dopo un riavvio. Il modo spiccio per distinguere i due: forza la chiusura dell'app VPN mentre navighi — se le pagine si caricano ancora, lo switch vive nell'app.
Una fuga DNS significa che le tue risoluzioni dei nomi vanno al resolver assegnato dalla rete locale — di solito quello del tuo operatore — anche se il traffico in sé viaggia nel tunnel. I siti vedono l'indirizzo della VPN, ma il resolver riceve il nome di ogni sito che apri, il che equivale a un registro della navigazione. Windows è il colpevole classico: con più interfacce attive può interrogarle tutte in parallelo e usare quella che risponde per prima.
Il rimedio ha due parti, e un buon client le fa entrambe: puntare il sistema al resolver dentro il tunnel e bloccare il DNS su ogni altra interfaccia, così una richiesta vagante non ha dove andare. Poi verifica: esegui un leak test e controlla i resolver elencati — se qualcuno appartiene al tuo operatore, le risoluzioni stanno fuggendo.
WebRTC è la tecnologia del browser dietro le videochiamate, e qualsiasi sito può invocarla con poche righe di JavaScript. Per stabilire connessioni dirette raccoglie ogni indirizzo che potrebbe raggiungere la tua macchina: gli indirizzi locali e, chiedendo a un server STUN, quello pubblico. Una pagina può leggere quei candidati senza alcun tuo intervento.
Con un tunnel su tutto il dispositivo la richiesta STUN viaggia dentro il tunnel, quindi scopre l'indirizzo della VPN. Le configurazioni pericolose sono quelle parziali: un proxy solo per il browser o uno split tunneling che lascia il browser fuori — lì i pacchetti UDP del WebRTC escono diretti e rivelano il tuo IP reale.
Testalo invece di ragionarci sopra: il nostro verificatore gratuito su /webrtc-leak-test/ mostra quali indirizzi il tuo browser rivela in questo momento. Se compare quello reale, passa a un tunnel su tutto il dispositivo o disattiva il WebRTC nelle impostazioni del browser.
Molte configurazioni VPN trasportano solo IPv4. Se il tuo operatore fornisce anche IPv6 — quasi tutte le reti mobili lo fanno — il sistema mantiene una rotta IPv6 funzionante fuori dal tunnel, e i sistemi moderni preferiscono l'IPv6 quando un sito offre entrambi. Il risultato è un'esposizione selettiva: i siti senza IPv6 vedono l'indirizzo della VPN, quelli con IPv6 vedono il tuo reale, e un test solo-IPv4 riferisce che va tutto bene.
Ci sono due rimedi puliti. Il migliore è una VPN che gestisce l'IPv6 come si deve — incanalandolo accanto all'IPv4 o installando una rotta di blocco così che i pacchetti IPv6 vengano scartati, non spediti direttamente. Il ripiego spiccio è disattivare l'IPv6 sul dispositivo o sul router. In ogni caso, verifica: il leak test non deve mostrare alcun indirizzo IPv6 che non sia della VPN.
Esegui i controlli nelle condizioni in cui ti trovi davvero — Wi-Fi di casa, telefono su dati mobili, la rete di un bar — perché le fughe dipendono dalla configurazione DNS e dalla disponibilità IPv6 di ciascuna rete. La routine richiede circa cinque minuti:
Mettere il tunnel VPN sul router protegge in un colpo solo ogni dispositivo della rete — compresi TV, console e smart speaker che non possono installare app. I compromessi sono reali: il throughput è limitato dalla CPU del router, tutta la casa esce da un solo paese, e il debug diventa più difficile. Questa guida spiega le configurazioni e come decidere.
In viaggio, una VPN cifra il tuo traffico sul Wi-Fi di hotel e aeroporti, fa sembrare che i tuoi account si connettano da un paese familiare e raggiunge i servizi che all'estero si comportano diversamente. Non è una panacea: le piattaforme di streaming riconoscono gli indirizzi dei server, e le regole locali variano da paese a paese. L'unica regola che conta più di tutte: configura e testa tutto prima di partire.
Una VPN (rete privata virtuale) crea un tunnel cifrato tra il tuo dispositivo e un server remoto, e il tuo traffico esce su internet da quel server. Il tuo operatore smette di vedere quali siti visiti, e i siti web vedono l'indirizzo IP del server invece del tuo. È uno strumento per la privacy, non un mantello dell'invisibilità.
Garanzia di rimborso di 14 giorni. Fino a 7 dispositivi con un solo abbonamento.
Proteggi i miei dispositivi