Che cos'è 1.1.1.1? Guida semplice ai resolver DNS pubblici

Chiedi in un forum sulle reti domestiche perché un sito si carica lentamente e qualcuno lo dirà entro cinque risposte: imposta semplicemente il tuo DNS su 1.1.1.1. Viene offerto come si offre il nastro adesivo: come la soluzione a tutto. Ho digitato quelle cifre nel mio router. A volte dopo le pagine si aprivano davvero più in fretta. Una volta, a casa di un parente, ha «risolto» un problema che si è rivelato essere un router morente, morto del tutto una settimana dopo, portandosi dietro la mia reputazione.

Cerchiamo quindi di essere precisi su cosa sono quelle quattro cifre, cosa cambia quando le usi e cosa invece non cambia affatto.

Prima di tutto, il lavoro che un resolver fa per te

Ogni volta che qualcosa sulla tua rete chiede un sito web per nome, qualcosa deve tradurre quel nome in un indirizzo. Quel qualcosa è un resolver ricorsivo, e ne hai già uno: lo gestisce il tuo provider Internet e il tuo router ne trasmette l'indirizzo automaticamente a ogni dispositivo. Non l'hai mai scelto, probabilmente non conosci il suo indirizzo, e risponde a migliaia delle tue domande al giorno. Le nozioni di base su che cos'è un server DNS presentano tutti i personaggi; il resolver è quello che fa il lavoro sul campo per te.

È anche un testimone. Il tuo resolver vede ogni nome che cerchi: non le pagine stesse, ma i nomi, il che equivale a uno schizzo piuttosto fedele delle tue abitudini. Chi gestisce il tuo resolver detiene quel registro. Cambiare resolver non elimina il testimone. Cambia solo chi è il testimone.

Allora, che cos'è esattamente 1.1.1.1?

1.1.1.1 è un resolver ricorsivo pubblico, gestito da Cloudflare e aperto a chiunque, gratuitamente, a un indirizzo abbastanza corto da ricordare — il che, onestamente, è metà del motivo per cui si è diffuso. C'è un secondo indirizzo, 1.0.0.1, per il solito motivo: perché un singolo indirizzo morto non si porti dietro le tue ricerche. Esistono resolver pubblici di altre aziende ad altri indirizzi famosi; l'idea ha decenni. 1.1.1.1 è semplicemente quello diventato un nome familiare.

«Pubblico» è il punto centrale. Il resolver del tuo provider esiste per servire i suoi clienti. Un resolver pubblico esiste per servire chiunque chieda, e prende le istruzioni da te anziché dalle impostazioni predefinite del tuo provider.

In cosa differisce dal resolver che hai già

Il resto della famiglia

L'indirizzo famoso ha dei fratelli, e conoscerli evita una confusione comune. Lo stesso operatore pubblica varianti a indirizzi vicini: una che rifiuta i nomi noti per distribuire malware e un'altra che rifiuta quelli più i contenuti per adulti, pensata per le famiglie. A volte si finisce su una variante con filtro senza rendersene conto — tramite una guida, un'impostazione predefinita del router o un parente benintenzionato — e poi si segnala, perplessi, che certi siti «non esistono». Esistono. Il resolver si rifiuta di presentarveli, ed è una funzione che qualcuno ha scelto per conto vostro.

Esistono anche forme IPv6, lunghe stringhe esadecimali come 2606:4700:4700::1111, ed è per questo che nessuno le cita alle cene. Se la tua connessione funziona in IPv6 e imposti solo gli indirizzi IPv4, alcuni dispositivi continueranno in silenzio a usare il resolver IPv6 che è stato loro assegnato, e le tue interrogazioni si divideranno tra due servizi, confondendo ogni prova che farai dopo. Un dispositivo che offre una schermata per una famiglia di solito ne ha una anche per l'altra. Compilale entrambe.

Rileggi quella tabella e nota cosa non contiene: una riga che prometta velocità. La velocità è una questione separata, e merita la sua onesta sezione più sotto.

Le promesse sulla privacy, con i limiti inclusi

Cambiare cambia chi può registrare le tue ricerche. Il gestore di 1.1.1.1 vede comunque le tue richieste — deve vederle, per rispondervi —, quindi ciò che scegli davvero è di chi preferisci l'informativa sulla privacy. Abbinalo al DNS cifrato e ottieni qualcosa di concreto: con DNS over HTTPS o il suo fratello TLS, il tratto tra te e il resolver è cifrato, così il tuo provider e il Wi-Fi della caffetteria non possono più leggere le domande mentre passano.

Ora i limiti. I siti che visiti vedono comunque la tua connessione arrivare dal tuo indirizzo. Il tuo provider vede comunque a quali indirizzi ti colleghi, anche se non può più vedere i nomi che hai chiesto. 1.1.1.1 non è una VPN, non pretende di esserlo, e qualsiasi guida che ti lasci andare via pensando il contrario sta cercando di venderti qualcosa.

Perché può sembrare più veloce — e perché potrebbe non esserlo

Due meccanismi autentici giocano a suo favore. Il primo è l'anycast: lo stesso indirizzo viene annunciato da località in tutto il mondo, così la tua richiesta atterra su un'istanza vicina invece di attraversare un oceano. Il secondo è la cache. Un resolver che risponde alle domande di un'enorme folla ha probabilmente già ricevuto i nomi più popolari, e una risposta in cache torna immediatamente invece che dopo un'intera catena di ricerche. Se colpisci una cache calda per tutto il giorno, la navigazione sembra davvero più scattante.

La cache però taglia in entrambe le direzioni. Un nome oscuro che nessuno ha ancora chiesto ha comunque bisogno dell'intera catena di ricerche, ovunque viva il tuo resolver. E la geografia è personale: il resolver del tuo provider potrebbe trovarsi a un breve salto da casa tua, mentre l'istanza anycast più vicina potrebbe instradare in modo strano dalla tua rete specifica. Ho visto vincere entrambi. Misuralo con la tua navigazione per alcuni giorni, non con la fede.

Una parola sulle classifiche di velocità dei resolver, perché le troverai se cerchi. I benchmark misurano quanto velocemente i resolver rispondono a un elenco di nomi dalla tua connessione, e i risultati sono reali: per quei nomi, a quell'ora, su quella connessione. Ciò che non possono catturare è il tuo mix. I nomi oscuri che una famiglia chiede davvero partono senza cache ovunque, e un resolver che vince il benchmark di qualche millisecondo può perdere il tuo martedì sera per una stranezza di instradamento che nessuno ha misurato. Usa le classifiche per risolvere un pareggio, non per prendere la decisione.

Un altro limite di ambito che vale la pena tenere chiaro: un resolver aiuta solo nel primo passo, l'interrogazione. Una volta che il tuo dispositivo ha un indirizzo e inizia a parlare con un sito, il resolver esce del tutto dalla storia: non viene consultato di nuovo finché la risposta in cache non scade. Quindi uno streaming lento, una chiamata che fatica, un download che procede a passo di lumaca: nessuno di questi è un problema DNS travestito, e nessun resolver, per quanto veloce o famoso, li toccherà. La colpa è un budget. Spendilo sul livello che è davvero lento.

Quando non cambierei

• Un portatile di lavoro o di scuola. Le sue impostazioni del resolver possono essere una politica deliberata, e i nomi interni — la stampante, il file server, l'intranet — spesso si risolvono solo tramite il resolver dell'ufficio. Puntalo altrove e le cose si rompono misteriosamente.
• Una rete dietro un captive portal. La danza di accesso di hotel e aeroporti è già abbastanza fragile; inviare le tue richieste in un posto insolito prima di aver fatto l'accesso può renderla ancora più strana.
• Se fai affidamento in silenzio sul filtraggio per famiglie o antimalware del tuo provider. Un resolver pubblico semplice non filtra. Cambiare può rimuovere una protezione che avevi dimenticato di avere.
• Nel mezzo di un guasto che vuoi far riparare dal tuo provider. La sua assistenza darà la colpa, giustamente, all'unica cosa che hai cambiato, e non avrai risposta.

Se nulla di questo vale per te e vuoi provarlo, cambiare il tuo server DNS richiede pochi minuti: fallo prima su un solo dispositivo, convivi con il cambiamento per alcuni giorni e lascia il router per ultimo.

Un omonimo da tenere distinto: l'app

Cerca queste cifre in uno store di app e troverai un'app dello stesso operatore, costruita su una tecnologia complementare che fa qualcosa che il resolver semplice non fa: instrada il traffico di un telefono attraverso la rete dell'operatore, il che è molto più vicino a ciò che fa una VPN che a un cambio di resolver. Riunire i due sotto un unico marchio crea una vera confusione. Alcuni installano l'app aspettandosi «solo DNS» e ottengono un tunnel; altri digitano le cifre in una schermata di impostazioni aspettandosi un tunnel e ottengono solo DNS. Sono strumenti diversi che per caso condividono un nome famoso, quindi decidi quale dei due vuoi davvero prima di installare o digitare qualsiasi cosa. La mia regola pratica: se hai digitato cifre in una schermata di impostazioni, hai cambiato un resolver. Se hai installato qualcosa che ha chiesto autorizzazioni VPN, hai installato un tunnel.

La mia configurazione attuale è un compromesso: il router di casa punta a un resolver pubblico, il portatile accetta ciò che ogni rete gli consegna. Non ideologia: solo la disposizione che ha rotto meno cose. Questa è la cornice onesta per 1.1.1.1 nel suo insieme. Le cifre non sono magia, e non sono nemmeno una truffa. Sono una scelta su chi risponde alle tue domande, fatta da te invece che per impostazione predefinita.