DNS contro VPN: cosa fa davvero ciascuno

Un paio di anni fa ho cambiato le impostazioni DNS del mio router di casa, ho scelto un resolver che prometteva privacy e mi sono compiaciuto in silenzio. Qualche mese dopo ho comprato un abbonamento VPN per lo stesso motivo. Entrambe le volte credevo di essere «diventato privato». Entrambe le volte mi sbagliavo in un modo interessante, e mi è servito un po' di lavoro a livello di pacchetti prima di capire che cosa avevo davvero comprato ogni volta.

La confusione è comprensibile, perché i due vengono venduti con le stesse parole. Ma DNS e VPN operano in punti completamente diversi della tua connessione, e una volta visto questo, il resto — perdite, trucchi di regione, velocità — va a posto da solo.

Parti da che cos'è davvero una interrogazione

Prima che il tuo browser possa caricare example.com, ha bisogno che quel nome venga tradotto in un indirizzo IP. Chiede a un resolver DNS, che risponde con qualcosa come 203.0.113.25. Quella domanda-e-risposta è una interrogazione: minuscola, rapida e separata dalla visita vera e propria. Solo quando la risposta torna, il browser apre una connessione verso quell'indirizzo e scarica la pagina.

Tieni quelle due fasi ben separate nella mente, perché l'intera questione DNS contro VPN vive lì. Cambiare DNS tocca solo la prima fase. Una VPN si prende carico anche della seconda.

Cosa fa davvero cambiare il tuo DNS

Cambiare resolver — a mano, oppure usando il DNS cifrato nel browser — cambia chi risponde alle domande. Il resolver del tuo ISP smette di vedere un diario di ogni nome che interroghi, e il nuovo resolver inizia a vederlo al suo posto. Un resolver con filtri può rifiutare nomi noti per malware o pubblicità. Un resolver situato in un altro paese può contare per i servizi che decidono cosa mostrarti in base a da dove sembra provenire la interrogazione, che è l'intero trucco dietro i servizi di DNS intelligente.

Anche l'angolo della regione merita onestà. Alcuni servizi controllano dove sembra trovarsi il tuo resolver, invece di dove sei tu, perché storicamente le interrogazioni erano un discreto sostituto della posizione. È l'intera base del DNS intelligente: né cifratura né un tunnel, solo risposte scelte per indirizzarti a un proxy altrove. Nel momento in cui un servizio controlla invece l'indirizzo della tua connessione — come fanno la maggior parte —, il trucco smette di funzionare, ed è per questo che il DNS intelligente sblocca alcuni cataloghi e non fa nulla per altri.

E questa è più o meno tutta la lista. La visita in sé non cambia. I tuoi dati continuano a uscire di casa sulla tua connessione, con il tuo indirizzo IP, e i siti che visiti ti vedono esattamente come prima. Il tuo ISP non può più leggere le interrogazioni se il traffico del resolver è cifrato, ma può comunque vedere a quali indirizzi IP ti connetti. Avevo cambiato l'elenco telefonico, non la strada.

Cosa fa davvero una VPN

Una VPN avvolge tutto il tuo traffico — interrogazioni e caricamenti di pagine allo stesso modo — in un tunnel cifrato verso un server gestito dal fornitore della VPN. Quel server poi parla con internet per conto tuo. I siti web vedono l'indirizzo del server VPN invece del tuo. Il tuo ISP vede un unico flusso cifrato verso un'unica destinazione e poco altro.

Nota però cosa è successo in silenzio: la fiducia non è scomparsa, si è spostata. Il fornitore della VPN ora può osservare ciò che prima osservava il tuo ISP, perché tutto ciò che fai passa dalle sue macchine. Una VPN è un cambio di chi guarda, non la fine dell'essere guardati, e la parola «anonimo» nel marketing merita lo scetticismo che una spiegazione semplice delle perdite DNS applica alle perdite.

C'è un dettaglio idraulico che vale la pena conoscere, perché spiega le perdite della sezione successiva. Sotto il cofano, una interrogazione è un minuscolo pacchetto inviato all'indirizzo del resolver — la porta 53 per il DNS semplice — mentre una VPN sposta tutto, ogni pacchetto di ogni programma, nel suo tunnel. Quando le regole del tunnel dimenticano di includere quei piccoli pacchetti di interrogazione, scivolano fuori sulla rete normale. Fasi diverse, modi di guasto diversi.

Fianco a fianco

L'ultima riga è quella che i venditori preferirebbero che saltassi. Nessuno dei due strumenti cancella gli account a cui accedi, i cookie che i siti impostano o l'impronta che il tuo browser presenta. Accedi alla tua email tramite una VPN e quel servizio sa esattamente chi sei — vede solo un indirizzo di ritorno diverso.

Un caricamento di pagina, in entrambi i modi

Rendiamolo concreto. Digiti il nome di un negozio nel tuo browser sul Wi-Fi di un bar. Con solo un cambio di DNS attivo, la tua interrogazione va al resolver che hai scelto — cifrata, se l'hai impostata così — e torna con l'indirizzo del negozio, diciamo 198.51.100.25. Poi il tuo portatile si collega direttamente a quell'indirizzo, attraverso la rete del bar, allo scoperto. Il negozio vede l'indirizzo reale del tuo portatile. Il router del bar vede dove sei andato e quanti dati sono passati. Il diario dei nomi ha cambiato casa; il viaggio non è cambiato affatto.

Stesso bar, VPN accesa. L'interrogazione avviene ora dentro il tunnel, con risposta del resolver della VPN. Anche il recupero della pagina viaggia dentro il tunnel, fino al server della VPN, che va a prendere la pagina e te la ritrasmette. Il bar vede un unico flusso cifrato verso un'unica destinazione. Il negozio vede l'indirizzo del server della VPN, nel paese del server della VPN. Nota però lo spettatore: non ha lasciato il teatro. Ha cambiato poltrona, dal router del bar alla sala server del fornitore della VPN.

C'è un ibrido che merita un nome, perché produce rapporti di fuga sconcertanti: lo split tunnelling. Molti client VPN ti permettono di esentare app scelte dal tunnel, così l'app della banca usa la tua connessione reale mentre il browser viaggia nella VPN. Anche le interrogazioni di quelle app esentate viaggiano fuori, con risposta del tuo resolver ordinario. Non è un bug né un tradimento — è la funzione che funziona —, ma significa che «la VPN è accesa» smette di essere una descrizione completa del tuo traffico. Due corsie, due insiemi di testimoni, e un test di fuga che campiona una sola corsia ti racconterà sempre metà della storia.

Lo scomodo caso di mezzo: le perdite DNS sotto una VPN

Qui è dove i due si scontrano. Una VPN dovrebbe instradare nel tunnel anche le interrogazioni, usando i propri resolver. Ma i sistemi operativi e i browser a volte inviano le interrogazioni fuori dal tunnel, al vecchio resolver, spesso quello dell'ISP. Il traffico delle pagine è nascosto mentre il diario delle interrogazioni perde dalla porta laterale — quella è una perdita DNS, ed è il motivo per cui un'impostazione DNS cambiata, come quelle in questa guida per cambiare server, può lottare in silenzio contro una VPN invece di aiutarla.

Poiché i due strumenti condividono un vocabolario, le persone li combinano in modi che si annullano in silenzio a vicenda. Quelli ricorrenti:

• Impostare un resolver personalizzato per la privacy, poi eseguire un test di fuga che incolpa la VPN — quando le interrogazioni che sfuggono sono la tua stessa impostazione che fa esattamente ciò che le hai detto di fare.
• Comprare lo smart DNS per la privacy. Non ne offre alcuna: le interrogazioni sono tutto il suo prodotto, e il tuo traffico resta esattamente dov'era, sotto il tuo indirizzo.
• Usare una VPN per motivi di regione mentre il DNS cifrato del browser stesso invia le interrogazioni a un resolver nel tuo paese reale. Alcuni servizi leggono la posizione apparente dell'interrogazione, così una metà di te sembra essere all'estero e l'altra metà a casa.
• Impilare entrambi gli strumenti e dare la colpa del rallentamento a quello installato per ultimo. Il tunnel tassa ogni byte che sposti; il resolver ha sempre tassato solo le domande.

Nessuna di queste configurazioni è esotica. Ne ho costruite personalmente due, ogni volta aggiungendo uno strumento sensato a una configurazione che ne aveva già uno, senza mai verificare cosa facesse davvero la combinazione. La verifica richiede cinque minuti e una domanda onesta: per una singola interrogazione, e per un singolo caricamento di pagina, le macchine di chi sto usando davvero?

Quindi quale ti serve?

Chiediti cosa stai davvero cercando di risolvere. Interrogazioni visibili al tuo ISP, oppure risposte lente e filtrate? Cambia il resolver — richiede minuti e non costa nulla. Ti connetti da una rete di cui non ti fidi, o hai bisogno che i siti vedano una posizione di rete diversa? Quello è il lavoro della VPN, tunnel compreso. Molte persone usano ragionevolmente entrambi, configurati in modo che la VPN gestisca le interrogazioni mentre è connessa.

Ciò che nessuno dei due acquisti ti dà è l'invisibilità. Tratta qualsiasi strumento che la promette come una storia — e se vuoi controllare cosa la tua configurazione sta davvero esponendo, le interrogazioni sono il primo posto dove guardare.