Approfondimento tecnico

VPN: instradamento, DNS leak e limiti reali

Una VPN crea un'interfaccia virtuale e riscrive la tabella di instradamento perché il traffico passi da lì. Tutto ciò che non viene catturato da quelle rotte esce dalla connessione normale: è in quelle eccezioni che nascono le fughe di informazioni.

Come viene dirottato il traffico

Il metodo tipico non è sostituire la rotta predefinita, ma affiancarne due più specifiche — 0.0.0.0/1 e 128.0.0.0/1 — che coprono l'intero spazio degli indirizzi con prefissi più lunghi di quello originale. Per la regola del longest prefix match vincono sulla rotta di default, che resta al suo posto per raggiungere il server VPN stesso ed evitare un ciclo.

In split tunneling solo alcune destinazioni o applicazioni passano nel tunnel: è comodo, ma va sempre verificato cosa resta fuori.

Le fughe di informazioni

• DNS leak — se le richieste di risoluzione continuano ad andare ai server del proprio operatore, quello sa comunque quali siti visiti, anche se il traffico è cifrato. Su Windows è aggravato dalla risoluzione parallela su tutte le interfacce
• WebRTC — il browser può rivelare gli indirizzi locali e, in certe configurazioni, quello pubblico reale, attraverso le richieste ICE fatte a server STUN
• IPv6 leak — molte VPN instradano solo IPv4: se la connessione ha IPv6 attivo, quel traffico esce in chiaro fuori dal tunnel. È la fuga più comune e la meno notata
• Traffico prima della connessione — all'avvio del sistema, o dopo una caduta della VPN, qualche pacchetto esce prima che il tunnel si ristabilisca. È a questo che serve il kill switch, che blocca tutto finché il tunnel non è attivo
• Fuori dal browser — client di posta, aggiornamenti di sistema e applicazioni con configurazioni proprie possono ignorare le impostazioni generali

Verificare in modo affidabile

• curl -4 -s mioip.org/ip e curl -6 -s mioip.org/ip — se il secondo risponde con un indirizzo del tuo operatore mentre il primo mostra la VPN, hai una fuga IPv6
• ip route get 1.1.1.1 — quale interfaccia viene realmente usata
• resolvectl status (Linux) — quali server DNS sono attivi per ciascuna interfaccia
• curl -s mioip.org/json — provider e AS del punto di uscita: se leggi il nome del servizio VPN, il tunnel funziona

Un principio pratico: verifica sempre da una rete che non sia la tua e ripeti dopo ogni aggiornamento del client. Le fughe compaiono tipicamente dopo un aggiornamento o un cambio di rete, non il primo giorno.

I protocolli

• WireGuard — poche migliaia di righe di codice, crittografia moderna non configurabile, prestazioni migliori. Assegna indirizzi statici ai peer, quindi i servizi seri aggiungono un livello per non legare l'utente a un indirizzo fisso
• OpenVPN — più vecchio e più lento, ma estremamente flessibile e capace di mascherarsi da traffico HTTPS su porta 443, utile dove le VPN sono bloccate
• IKEv2/IPsec — molto usato su mobile per la rapidità con cui riprende la connessione cambiando rete
• PPTP — obsoleto e crittograficamente rotto: da non usare

Il modello di rischio

La domanda giusta non è "questa VPN è sicura", ma da chi mi sto proteggendo. Da chi gestisce il Wi-Fi del bar, una VPN funziona bene. Dal proprio operatore, funziona ma sposta la fiducia sul fornitore. Da un'indagine giudiziaria, dipende da giurisdizione, registri conservati e correlazione temporale dei flussi — e le promesse commerciali contano poco.

Le dichiarazioni di "nessun registro" hanno valore solo se verificate da revisioni indipendenti e coerenti con la giurisdizione in cui la società opera. Vale anche la pena notare che un fornitore di VPN vede più di quanto vedesse l'operatore: tutto il traffico di tutti i suoi clienti, in un unico punto.

Alternative, secondo lo scopo

• Accesso alla propria rete — un server WireGuard sul router di casa o su un NAS: nessun terzo coinvolto. Se sei sotto CGNAT serve una rete overlay o un IP pubblico
• Riservatezza delle richieste DNS — DNS over HTTPS o over TLS risolvono il problema specifico senza instradare tutto il traffico altrove
• Anonimato reale — Tor, con la lentezza che comporta, offre garanzie che una VPN per costruzione non può dare, perché nessun singolo nodo conosce origine e destinazione insieme