# La tua VPN protegge anche il DNS? > Test DNS leak gratuito: scopri quali server DNS vedono i siti che visiti, se WebRTC o IPv6 rivelano il tuo IP reale e come chiudere la falla. Nel browser. Strumento gratuito nel browser (nessun upload): https://www.mauriziofonte.it/strumenti/test-dns-leak Una VPN nasconde il tuo traffico, ma le richieste DNS possono uscire lo stesso dalla rete del tuo provider e raccontare tutti i siti che apri. Il test controlla **DNS, WebRTC e IPv6** in pochi secondi e ti dice in parole semplici se c'è una falla e da dove passa. ## Come funziona il test 1. **Collega la VPN (se la usi)** - Apri la VPN come fai di solito e poi questa pagina. Se vuoi solo sapere che DNS stai usando, puoi fare il test anche senza VPN. 2. **Avvia il controllo** - Il browser risolve alcuni nomi di dominio usa e getta, creati apposta per questo test. Il server autorevole di quei nomi annota chi glieli ha chiesti: sono i resolver DNS che lavorano per te. 3. **Confrontiamo le reti** - Per ogni resolver cerchiamo la rete a cui appartiene (il suo sistema autonomo, AS) e la confrontiamo con la rete da cui esce il tuo traffico. Se il traffico esce dalla VPN ma il DNS dalla rete del tuo provider, è un leak. 4. **WebRTC e IPv6** - Nello stesso giro chiediamo al browser quali indirizzi rivelerebbe a una videochiamata (WebRTC) e se hai una connessione IPv6 che salta il tunnel della VPN. 5. **Leggi il verdetto** - Per ogni controllo trovi un esito chiaro e, se qualcosa non va, la correzione da fare su Windows, macOS, Android, iPhone, browser o router. ## Perché un DNS leak conta più di quanto sembra Ogni volta che apri un sito, il dispositivo chiede a un **resolver DNS** di tradurre il nome (per esempio *banca.it*) in un indirizzo IP. Quella domanda contiene il nome del sito, in chiaro nella grande maggioranza delle configurazioni. Chi gestisce il resolver vede quindi l'elenco dei siti che visiti, con data e ora, anche se il contenuto delle pagine viaggia cifrato in HTTPS. Senza VPN il resolver è quasi sempre quello del tuo provider, configurato in automatico dal router. Con una VPN ti aspetti che anche le domande DNS passino nel tunnel e arrivino a un resolver della VPN. Quando non succede, il traffico esce da un paese e da una rete, il DNS da un'altra: hai pagato per nasconderti e intanto il provider continua a sapere dove vai. È questo il **DNS leak**. La maggior parte dei test online ti mostra una tabella di indirizzi e ti lascia indovinare. Un indirizzo come *2620:171:63::227* non dice nulla a nessuno. Qui ogni resolver viene ricondotto alla sua rete, con il nome del gestore, e confrontato con la rete da cui esci: il verdetto arriva già spiegato. ## Come leggere il risultato **Stessa rete per traffico e DNS.** Il caso più comune quando la VPN funziona: il resolver appartiene allo stesso sistema autonomo dell'indirizzo da cui esci. Nessun leak. Senza VPN vedrai invece la rete del tuo provider sia per il traffico sia per il DNS: anche questo è coerente, semplicemente non sei protetto. **DNS pubblico noto.** Il resolver appartiene a un servizio pubblico come Cloudflare, Google, Quad9, NextDNS o AdGuard. Non è per forza un problema: molte VPN usano proprio questi servizi, e chi li ha scelti a mano li ritrova qui. Ti diciamo quale servizio è, così puoi capire se è quello che ti aspetti. **Rete diversa e non pubblica.** Il traffico esce da una rete, il DNS da un'altra che non è un servizio pubblico. Se sei collegato a una VPN, quella seconda rete è quasi sempre il tuo provider di casa o dell'ufficio: è il leak classico. Il verdetto la segnala in rosso e ti porta alle correzioni. **Più resolver insieme.** Vedere due o tre indirizzi è normale: i resolver grandi usano molte macchine. Conta la rete, non il numero. Se però tra resolver della VPN ne compare uno del provider, anche uno solo, alcune domande escono dal tunnel. ## Come chiudere un DNS leak **Nell'app della VPN.** Cerca le opzioni chiamate *protezione DNS*, *DNS leak protection* o *usa il DNS della VPN* e attivale. Attiva anche il *kill switch*, che blocca la rete se il tunnel cade. Se la VPN offre un protocollo WireGuard o OpenVPN con DNS dedicato, preferiscilo alle configurazioni manuali. **Windows.** Windows può inviare la stessa domanda DNS su tutte le schede di rete insieme e usare la prima risposta, compresa quella del provider: la funzione si chiama risoluzione dei nomi multihomed intelligente. Le VPN serie la neutralizzano da sole; se il leak resta, la si disattiva con il criterio di gruppo che nella versione inglese di Windows si chiama *Turn off smart multi-homed name resolution*. Controlla poi che nelle proprietà della scheda di rete fisica non ci siano DNS scritti a mano. **macOS e iPhone.** Se in Impostazioni hai un profilo di DNS cifrato o un'app che lo imposta, quel profilo può avere la precedenza sul DNS della VPN. Disattivalo mentre usi la VPN o lascia che sia la VPN a gestire il DNS. **Android.** Apri *Impostazioni, Rete e Internet, DNS privato* (il percorso cambia un po' da un produttore all'altro). Se è impostato un provider specifico, le domande vanno lì e non al resolver della VPN. Scegli *Automatico* o lascia il controllo alla VPN, e attiva *VPN sempre attiva* e *Blocca connessioni senza VPN*. **Browser.** Firefox, Chrome, Edge e Brave possono usare un DNS sicuro proprio (DNS over HTTPS) che scavalca quello del sistema. Il test vede allora il provider DoH del browser e non quello della VPN. Se vuoi che decida la VPN, disattiva il DNS sicuro nelle impostazioni di privacy del browser. **Router.** Alcuni router intercettano tutte le domande DNS della rete di casa e le girano al resolver del provider, qualunque cosa tu abbia configurato. Se il leak compare solo da casa e sparisce in mobilità, il colpevole è probabilmente lì. ## WebRTC e IPv6: le altre due falle **WebRTC** è la tecnologia delle videochiamate nel browser. Per collegare due persone deve scoprire gli indirizzi con cui ciascuna è raggiungibile, e lo fa interrogando un server STUN. Una pagina qualsiasi può chiederlo con poche righe di JavaScript, senza permessi. Se la VPN non instrada anche quelle richieste, il server STUN vede il tuo indirizzo reale e la pagina lo legge. I browser moderni nascondono gli indirizzi della rete locale dietro nomi casuali che finiscono in *.local*: per questo non li vedrai quasi mai. Quello che conta è l'indirizzo pubblico, che deve coincidere con quello della VPN. **IPv6** è la versione nuova degli indirizzi Internet, ormai attiva su molte linee fibra. Diverse VPN cifrano solo il traffico IPv4: se la tua linea ha IPv6 e la VPN non lo gestisce, i siti raggiungibili in IPv6 vedono il tuo indirizzo vero. Il test prova a contattare un servizio raggiungibile solo in IPv6 e ti dice se ci riesce e da quale rete. ## Cosa contattiamo e cosa non salviamo Il test gira nel tuo browser. Per vedere i resolver usa i nomi di dominio di **ipleak.net**, un servizio pubblico nato proprio per questo: il tuo browser risolve un nome casuale e ipleak.net risponde con gli indirizzi dei resolver che gliel'hanno chiesto. L'indirizzo pubblico e il nome del provider arrivano da **ipwho.is**; la rete di ciascun resolver dal servizio di mappatura degli AS di **Team Cymru**, interrogato tramite il DNS over HTTPS di Cloudflare. Il controllo IPv6 usa **ipify**, quello WebRTC il server STUN pubblico di Cloudflare. Questi servizi vedono la richiesta come qualsiasi sito che visiti. Noi non riceviamo i risultati: non c'è un nostro server che li raccoglie e non salviamo nulla. Se un servizio è bloccato dalla tua protezione, il test lo dice invece di inventare un esito. ## Glossario - **DNS**: Il sistema che traduce i nomi dei siti in indirizzi IP. Ogni visita a un sito comincia con una domanda DNS. - **Resolver**: Il server che fa le domande DNS al posto tuo e ti restituisce la risposta. Di solito è quello del provider, della VPN o di un servizio pubblico. - **DNS leak**: Quando le domande DNS escono da una rete diversa da quella della VPN, di solito quella del provider, rivelando i siti che visiti. - **Sistema autonomo (AS)**: Un insieme di reti gestite da un unico operatore, identificato da un numero. Confrontare gli AS dice se due indirizzi appartengono allo stesso gestore. - **WebRTC**: La tecnologia del browser per videochiamate e scambi diretti. Può rivelare l'indirizzo IP reale se la VPN non la copre. - **STUN**: Il protocollo con cui WebRTC scopre con quale indirizzo pubblico sei visibile da Internet. - **DNS over HTTPS (DoH)**: DNS cifrato dentro una connessione HTTPS. Protegge le domande lungo la strada, ma il servizio DoH che scegli le vede comunque. - **Kill switch**: L'opzione della VPN che blocca tutta la connessione quando il tunnel cade, così nulla esce in chiaro. ## Domande frequenti ### Cos'è esattamente un DNS leak? È quando sei collegato a una VPN ma le domande DNS, cioè le richieste per trovare l'indirizzo dei siti, escono fuori dal tunnel e arrivano al resolver del tuo provider. Il provider vede così i nomi dei siti che visiti, proprio quello che volevi nascondere. ### Il test funziona anche senza VPN? Sì. Senza VPN ti mostra quale resolver stai usando e a chi appartiene: di solito il provider, a volte un servizio pubblico che hai scelto tu o che ha impostato il router. Non è un leak, perché non c'è un tunnel da cui uscire, ma è utile per sapere chi vede le tue domande DNS. ### Vedo il DNS di Cloudflare o Google ma uso una VPN: è un leak? Non necessariamente. Molte VPN girano le domande DNS proprio a questi servizi pubblici. Diventa un problema se non l'hai deciso tu e la VPN promette un DNS proprio: in quel caso controlla le impostazioni DNS dell'app della VPN e quelle del browser. ### Perché vedo più indirizzi DNS diversi? I resolver grandi usano molte macchine e la stessa domanda può partire da server diversi. Quello che conta è la rete a cui appartengono. Se sono tutte della VPN o di un servizio pubblico scelto, va bene; se tra loro c'è anche la rete del provider, una parte delle domande esce dal tunnel. ### Il test dice che il mio DNS è quello del browser: cosa significa? Il browser sta usando il proprio DNS sicuro (DNS over HTTPS) e scavalca quello del sistema e della VPN. Il test vede quindi il servizio scelto nel browser. Se vuoi che sia la VPN a decidere, disattiva il DNS sicuro nelle impostazioni di privacy del browser. ### Cos'è un WebRTC leak e devo preoccuparmene? Una pagina può chiedere al browser, senza mostrarti nulla, con quali indirizzi sei raggiungibile per una videochiamata. Se la VPN non copre quelle richieste, la pagina legge il tuo indirizzo reale. Se il test segnala un indirizzo pubblico diverso da quello della VPN, attiva nell'app la protezione WebRTC o usa un'estensione che la limita. ### La mia linea ha IPv6: è un rischio con la VPN? Lo è se la VPN gestisce solo IPv4. In quel caso i siti raggiungibili in IPv6 ti vedono con l'indirizzo vero. Il test lo controlla: se trova una connessione IPv6 fuori dalla rete della VPN, attiva nell'app la protezione IPv6 o disattiva IPv6 sulla scheda di rete mentre la usi. ### Raccogliete il mio indirizzo IP o i risultati? No. Il test gira nel browser e contatta direttamente alcuni servizi pubblici (ipleak.net, ipwho.is, Team Cymru, Cloudflare, ipify e un server STUN), che vedono la richiesta come qualsiasi sito. Noi non riceviamo e non conserviamo i risultati. ### Il test dice che non riesce a vedere i resolver: perché? Succede quando un blocco pubblicità, un firewall o un DNS filtrante blocca ipleak.net, oppure quando la rete aziendale impedisce le domande DNS esterne. In quel caso ti mostriamo comunque indirizzo pubblico, WebRTC e IPv6, e ti diciamo che il DNS non è verificabile da questa rete. ### Ho corretto le impostazioni ma il leak resta: cosa provo? Chiudi e riapri il browser, svuota la cache DNS del sistema e riprova. Se il leak compare solo da casa, prova da un'altra rete: alcuni router intercettano tutte le domande DNS. Come ultimo passo contatta l'assistenza della VPN con lo screenshot del verdetto: mostra le reti coinvolte e li aiuta a capire. ### Una VPN mi rende anonimo se il test è tutto verde? No. Il test dice che DNS, WebRTC e IPv6 non rivelano la tua rete reale, che è molto. Ma i siti possono riconoscerti anche in altri modi, per esempio con i cookie, con l'account con cui fai login o con l'impronta del browser. ## Fonti usate - [RFC 1034, Domain names: concepts and facilities](https://www.rfc-editor.org/rfc/rfc1034): come funziona la risoluzione dei nomi - [RFC 8484, DNS Queries over HTTPS (DoH)](https://www.rfc-editor.org/rfc/rfc8484) - [RFC 8445, Interactive Connectivity Establishment (ICE)](https://www.rfc-editor.org/rfc/rfc8445): come WebRTC raccoglie gli indirizzi - [RFC 8489, Session Traversal Utilities for NAT (STUN)](https://www.rfc-editor.org/rfc/rfc8489) - [ipleak.net](https://ipleak.net/): servizio pubblico usato per vedere i resolver - [Team Cymru, IP to ASN mapping](https://www.team-cymru.com/ip-asn-mapping): rete di appartenenza di ogni resolver --- Uno strumento di Maurizio Fonte, senior backend engineer. Tutti gli strumenti: https://www.mauriziofonte.it/strumenti/