Che cos'è 8.8.8.8? L'indirizzo che tutti digitano e pochi capiscono

Ci sono indirizzi che non si dimenticano mai. Ho digitato 8.8.8.8 in router nascosti negli armadi degli uffici, in portatili sul Wi-Fi di un albergo, in server alle due del mattino mentre un cliente aspettava al telefono. È il numero a cui si rivolgono gli addetti alle reti quando la risoluzione dei nomi si rompe, e funziona abbastanza spesso che molti lo impostano una volta e non si chiedono mai verso cosa hanno appena puntato il loro traffico.

Chiediamocelo, allora. 8.8.8.8 non è un sito web, e non è un server che visiti. È la porta d'ingresso di Google Public DNS, un servizio di risoluzione ricorsiva che Google gestisce per chiunque, gratuitamente. Il suo indirizzo fratello, 8.8.4.4, apre la stessa porta.

Un resolver fa le domande al posto tuo

Ogni dispositivo ha bisogno di un resolver ricorsivo. Quando digiti un nome come example.com, qualcosa deve inseguire la risposta: chiedere alla radice, chiedere ai server di primo livello, chiedere ai nameserver del dominio stesso e riportarti un indirizzo IP. Quell'inseguimento è tutto il lavoro del resolver. Che cos'è un server DNS separa bene i ruoli, perché «server DNS» viene usato per tre lavori diversi.

Per impostazione predefinita usi il resolver del tuo provider internet, assegnato in silenzio quando ti connetti. Punta le tue impostazioni su 8.8.8.8 e l'inseguimento cambia mani: le tue query ora vanno al servizio di Google, e sono le macchine di Google a camminare e a tenere la cache. I siti che visiti non notano la differenza. È cambiato solo l'intermediario.

Un indirizzo, molte città: come funziona anycast

Ecco la parte che sorprende. Non esiste una singola macchina con l'indirizzo 8.8.8.8. Lo stesso indirizzo viene annunciato dalle strutture di Google in tutto il mondo, una tecnica chiamata anycast. La tua query atterra semplicemente sul sito che l'instradamento della tua rete raggiunge più vicino e a minor costo — che di solito, anche se non sempre, è quello geograficamente più vicino.

Anycast compra due cose. La prima è la velocità: una query risposta nel tuo stesso continente salta il lungo viaggio verso un altro. La seconda è la resilienza. Se un sito si guasta o finisce sotto attacco, l'instradamento si sposta e lo stesso indirizzo inizia a rispondere da un'altra parte. Nessuno deve cambiare un'impostazione, e la maggior parte degli utenti non nota nemmeno un'interruzione che, su un servizio a macchina singola, sarebbe stata ben visibile.

Le versioni lunghe: gli indirizzi IPv6

Tutto quanto visto finora era IPv4. Lo stesso servizio risponde anche su indirizzi IPv6 — 2001:4860:4860::8888 e il suo gemello che termina con ::8844 —, che fanno lo stesso trucco di memoria dentro una stringa molto più lunga. Su una connessione IPv6, impostare solo i famosi quattro otto può lasciare un buco: alcuni dispositivi usano allora in silenzio anche il resolver IPv6 del provider, dividendo le tue interrogazioni tra due servizi e confondendo ogni confronto che fai. Se una schermata di impostazioni offre entrambe le famiglie di indirizzi, compilale entrambe, altrimenti hai fatto solo metà del lavoro che credevi di aver fatto.

Perché questo indirizzo è diventato quello famoso

In parte è il numero stesso: quattro otto sono impossibili da ricordare male, e il secondo indirizzo del servizio ne scambia uno con un quattro. In parte è abitudine. Per anni, gli script di supporto e le risposte dei forum hanno usato 8.8.8.8 come indirizzo di prova: fai un ping, e se risponde, la tua connessione funziona e il guasto è probabilmente il DNS. L'indirizzo è diventato famoso perché era un resolver, e poi è stato usato come resolver perché era famoso. Ho conosciuto amministratori che lo impostavano su ogni macchina che possedevano e non avrebbero saputo dirti di chi fosse il servizio. Era semplicemente «l'indirizzo DNS», come una fotocopiatrice diventa una Xerox.

Cosa impara il servizio su di te

Un resolver vede molto. Ogni query che fai rivela un nome che ti interessava e l'indirizzo da cui l'hai fatta. Passare a 8.8.8.8 non elimina quell'esposizione; la sposta, dai registri del tuo provider a quelli di Google. Chi sceglie un resolver sta davvero scegliendo in quali mani finisce quel registro, e vale la pena essere onesti con se stessi al riguardo.

Google pubblica come tratta questi dati, e la forma generale è questa: i registri completi delle query vengono conservati solo temporaneamente, per la risoluzione dei problemi e il lavoro di sicurezza, e i dati conservati più a lungo vengono aggregati e spogliati dei dettagli che legano le query a una persona. Leggi comunque la politica attuale prima di fidarti del mio riassunto. Le politiche cambiano, e un riassunto non è mai il documento.

Le porte cifrate: DoH e DoT

Il modo classico di raggiungere 8.8.8.8 è il DNS semplice, che viaggia senza cifratura: chiunque lungo il percorso può leggere le tue query e, in principio, manomettere le risposte. Il servizio risponde anche su trasporti cifrati — DNS over HTTPS e DNS over TLS — che avvolgono le stesse domande in modo che il percorso non possa più vederle. DNS over HTTPS spiegato illustra come funziona quell'involucro e cosa cambia.

La cifratura cambia chi può guardare, non chi risponde. Il resolver continua a vedere tutto; la rete del bar e ogni salto tra te e Google non più. Se lo scambio ti conviene dipende da quale di questi osservatori ti preoccupa di più.

Il buttafuori dietro le risposte: la convalida

C'è un secondo lavoro che il servizio svolge e che nessuno scrive sulla scatola. Per i domini protetti con DNSSEC — firme crittografiche che dimostrano che una risposta è arrivata davvero dai server del dominio stesso —, i resolver di Google controllano quelle firme per conto tuo. Se il controllo fallisce, non ricevi la risposta falsificata o rotta; ricevi un errore. Dalla tua sedia può sembrare un sito web che svanisce a caso, mentre in realtà il resolver ha intercettato una discrepanza tra le firme del dominio e i suoi record: di solito una configurazione sbagliata del sito stesso, ogni tanto qualcosa di peggio a cui viene negato l'ingresso.

Questo conta per il lavoro quotidiano dell'indirizzo come risolutore di problemi. Se 8.8.8.8 segnala che un nome fallisce mentre il resolver del tuo provider restituisce allegramente un indirizzo per quel nome, la convalida è la sospettata principale: il resolver pubblico controlla firme che quello più permissivo ignora. Il sito non è selettivamente irraggiungibile. È selettivamente verificato — e saperlo trasforma un'incoerenza sconcertante in una diagnosi.

I compromessi onesti

Consiglio spesso questo servizio, ma mai automaticamente. Quello che ottieni, e quello a cui rinunci, è questo:

• Coerenza: lo stesso resolver si comporta allo stesso modo sulla tua rete di casa, sul telefono e sulla rete di un albergo straniero, eliminando un'intera classe di misteri «qui funziona, lì no».
• Manutenzione: i grandi resolver pubblici vengono corretti e sorvegliati a tutte le ore. Un resolver di provider trascurato — e alcuni lo sono, e molto — potrebbe non esserlo.
• Centralizzazione: le tue query si uniscono a uno dei flussi di query più grandi del pianeta, nelle mani di un'azienda pubblicitaria. La politica pubblicata è sobria, ma la concentrazione in sé è una cosa che è giusto non gradire.
• Risposte locali: alcune reti di contenuti indovinano la tua posizione da quella del tuo resolver. Un resolver anycast globale può a volte procurarti un server di contenuti più lontano di quello che ti darebbe quello locale del provider.
• Filtro: se il resolver del tuo provider blocca in silenzio i domini malevoli noti, un resolver pubblico neutro non farà quel lavoro per te.

Scopri cosa stai usando adesso

Curioso di sapere se un dispositivo punta già a 8.8.8.8? Controlla prima di cambiare qualsiasi cosa:

1. 1

   Controlla le impostazioni DNS del dispositivo

   Apri le impostazioni di rete della connessione che stai usando e guarda i campi del server DNS. Se si compilano automaticamente, il resolver è arrivato dal tuo router o dal provider, e questo dispositivo non ha un'opinione propria.

2. 2

   Controlla anche il router

   Molti router domestici distribuiscono il proprio indirizzo e inoltrano loro stessi le query verso l'alto. Il resolver che fa il lavoro vero potrebbe vivere lì, non sul tuo dispositivo, ed è per questo che cambiare un solo portatile a volte non cambia nulla.

3. 3

   Chiedilo direttamente al sistema

   Esegui una query con uno strumento da riga di comando e leggi la riga del server nel suo output, oppure confronta le risposte nello strumento di ricerca DNS. Una query risposta dal servizio pubblico di Google lo dirà chiaramente.

4. 4

   Cambialo deliberatamente, se lo cambi

   Come cambiare il tuo server DNS copre le impostazioni su ogni piattaforma, incluso inserire 8.8.8.8 come primo indirizzo e 8.8.4.4 come secondo, così che il guasto di un percorso non abbatta le tue query.

A proposito di quel test con il ping

Poiché l'indirizzo è famoso, si è fatto una seconda carriera: essere la cosa a cui la gente manda un ping per verificare se «internet funziona». Tratta questo rituale con cautela. Un ping dimostra che un pacchetto può raggiungere qualcosa che risponde ai ping. Non dice nulla sul fatto che la risoluzione dei nomi funzioni — proprio la cosa per cui questo indirizzo esiste. Ho visto persone pingarlo con successo, dichiarare sana la connessione e poi restare perplesse davanti a un browser che non risolveva nemmeno un nome.

Il test più pulito è quello per cui il servizio è stato creato: fagli una domanda. Cerca un nome di cui ti fidi tramite 8.8.8.8, poi tramite il tuo resolver abituale, e confronta le risposte. Se concordano, la risoluzione è sana. Se discordano, sai dove scavare. La raggiungibilità è un campanello; un'interrogazione è una conversazione, e solo una delle due verifica ciò che ti importa davvero.

Questo è tutto ciò che 8.8.8.8 è: un intermediario molto bravo e molto pubblico. Sapere cosa fa un intermediario — e cosa vede — è la differenza tra configurare una rete e limitarsi a digitare un numero che ti hanno dato.