🔎 DNS sicuri: Cloudflare, Google, Quad9 e DNS cifrati

🌐 Come funziona una richiesta DNS?

Quando un’applicazione deve raggiungere un dominio, chiede al sistema operativo quale indirizzo IP utilizzare. Se la risposta non è già disponibile nella cache locale, la richiesta viene inviata al resolver configurato.

🧠 Resolver ricorsivo e server autoritativo

Il dispositivo domestico non interroga normalmente da solo l’intera gerarchia DNS. Invia la richiesta a un resolver ricorsivo, che cerca o recupera la risposta necessaria e la restituisce al client.

I server autoritativi, invece, contengono le informazioni ufficiali relative alle zone DNS per cui sono responsabili. Separare questi due ruoli aiuta a capire perché servizi come Cloudflare, Google e Quad9 vengono definiti resolver pubblici.

📡 DNS tradizionale: perché si parla di privacy?

Il DNS tradizionale viene comunemente trasportato senza cifratura verso il resolver. Questo significa che un osservatore presente sul percorso di rete può potenzialmente identificare le richieste DNS effettuate dal dispositivo.

Questo aspetto non significa che il contenuto delle pagine HTTPS sia automaticamente visibile: risoluzione DNS e cifratura del traffico applicativo sono due elementi differenti.

🔒 DNS over TLS: DoT

DNS over TLS, abbreviato DoT, trasporta le richieste DNS all’interno di una connessione TLS. In questo modo il traffico tra client e resolver non viene inviato nella stessa forma del DNS tradizionale in chiaro.

DoT utilizza normalmente una porta dedicata, rendendo il traffico DNS cifrato più facilmente identificabile e gestibile da parte dell’amministratore della rete.

🌐 DNS over HTTPS: DoH

DNS over HTTPS, abbreviato DoH, trasporta le richieste DNS utilizzando HTTPS. Dal punto di vista della rete, queste comunicazioni utilizzano quindi il normale ecosistema TLS/HTTP associato al Web.

Browser e sistemi operativi moderni possono supportare DoH direttamente, il che significa che il resolver utilizzato dall’applicazione potrebbe non coincidere necessariamente con quello distribuito dal router.

⚖️ DNS tradizionale, DoT e DoH: confronto

☁️ Cloudflare DNS

Cloudflare offre un resolver DNS pubblico noto soprattutto per gli indirizzi IPv4 1.1.1.1 e 1.0.0.1. Il servizio supporta anche IPv6 e protocolli DNS cifrati.

Viene frequentemente scelto dagli utenti che cercano un resolver alternativo a quello dell’operatore e un’infrastruttura distribuita con attenzione alle prestazioni e alla privacy.

🌐 Google Public DNS

Google Public DNS è uno dei resolver pubblici più conosciuti e utilizza gli indirizzi IPv4 8.8.8.8 e 8.8.4.4. Offre una vasta infrastruttura globale ed è compatibile con protocolli moderni di trasporto DNS.

La scelta di Google DNS può essere motivata da affidabilità, disponibilità globale e prestazioni, ma come per qualsiasi resolver pubblico è opportuno considerare anche la politica relativa alla gestione dei dati.

🛡️ Quad9

Quad9 utilizza tra gli altri l’indirizzo IPv4 9.9.9.9 e offre un servizio DNS pubblico che può includere il blocco di domini associati a minacce conosciute, a seconda del resolver specifico utilizzato.

Questo approccio rende Quad9 interessante quando si desidera aggiungere un ulteriore livello di filtraggio DNS contro domini segnalati come malevoli, pur ricordando che nessun filtro DNS sostituisce antivirus, aggiornamenti e sicurezza del browser.

🧩 Cloudflare, Google o Quad9: quale scegliere?

Non esiste un resolver universalmente migliore per ogni rete. Le differenze percepite dall’utente dipendono da latenza, posizione, routing dell’ISP, cache del resolver, politiche di filtraggio e preferenze in materia di privacy.

📈 Cambiare DNS rende Internet più veloce?

Può migliorare la velocità con cui vengono risolti alcuni nomi, soprattutto se il resolver precedente è lento o distante. Tuttavia il DNS interviene soprattutto nella fase iniziale di risoluzione e non aumenta la velocità nominale della fibra o del Wi-Fi.

Dopo che l’indirizzo IP è stato ottenuto, il trasferimento dei dati dipende dal percorso verso il server, dalla capacità della connessione e da molti altri fattori indipendenti dal resolver.

🔒 DNSSEC: cosa protegge?

DNSSEC aggiunge firme crittografiche ai dati DNS e permette al resolver di verificare l’autenticità delle informazioni ricevute da zone correttamente firmate. Il suo obiettivo è quindi differente da quello di DoH e DoT.

🔍 DNS cifrato e privacy: cosa vede ancora l’ISP?

Cifrare le richieste DNS impedisce che il loro contenuto venga osservato facilmente lungo il percorso tra il client e il resolver, ma non rende invisibile l’intera attività di rete. Il provider continua a trasportare i pacchetti verso gli indirizzi IP dei servizi utilizzati.

Per questo DoH o DoT devono essere considerati tecnologie specifiche per proteggere il DNS, non strumenti di anonimizzazione generale.

🖥️ Configurare il DNS sul router o sul singolo dispositivo?

Configurando il DNS sul router possiamo distribuire automaticamente i resolver desiderati ai dispositivi attraverso DHCP, rendendo più semplice mantenere una politica coerente in tutta la rete.

Impostare il resolver direttamente sul singolo dispositivo offre invece un maggiore controllo locale e può essere utile per test, esigenze specifiche o quando il router non supporta protocolli DNS cifrati.

📡 Il router può fare da DNS proxy?

In molte reti i client ricevono come DNS proprio l’indirizzo LAN del router, per esempio 192.168.1.1. Il router riceve quindi le richieste e le inoltra a uno o più resolver upstream.

Questo comportamento permette al router di utilizzare cache locali, applicare alcune funzioni di filtraggio o modificare i resolver upstream senza dover riconfigurare singolarmente tutti i client.

🚫 Alcuni dispositivi ignorano il DNS del router?

Sì. Un’applicazione o dispositivo può essere configurato per utilizzare direttamente un resolver specifico, indipendentemente dai server DNS ricevuti tramite DHCP. Browser con DoH integrato rappresentano un esempio comune.

In reti nelle quali il DNS viene utilizzato per controllo parentale, filtraggio o logging, questa possibilità deve essere considerata nella progettazione della politica di rete.

🛡️ DNS filtrati contro malware e contenuti indesiderati

Alcuni servizi DNS offrono resolver specifici che bloccano domini inclusi in determinate categorie, per esempio malware, phishing o contenuti per adulti. Questo filtraggio avviene impedendo o modificando la risoluzione del dominio.

Può essere un livello aggiuntivo di protezione, ma non deve essere considerato infallibile: un dominio malevolo nuovo potrebbe non essere ancora classificato e un attacco può utilizzare direttamente indirizzi IP o servizi legittimi compromessi.

6️⃣ DNS e IPv6

I resolver pubblici possono essere raggiunti anche tramite IPv6 e il DNS può restituire record AAAA contenenti indirizzi IPv6 dei servizi. Una rete dual stack utilizza quindi DNS sia per ottenere destinazioni IPv4 sia IPv6.

Quando configuri manualmente i resolver sul router, può essere utile controllare anche le impostazioni DNS distribuite tramite IPv6, così da mantenere una configurazione coerente tra i due protocolli.

⚙️ Come scegliere un resolver DNS

🧩 Quale DNS scegliere? Tabella pratica

⚠️ Errori comuni quando si cambiano i DNS

• Pensare che cambiare DNS aumenti la velocità nominale della connessione.
• Credere che DoH renda anonima tutta la navigazione.
• Confondere DNSSEC con DNS cifrato.
• Configurare il resolver sul router ma dimenticare che il browser usa DoH autonomamente.
• Utilizzare resolver casuali trovati online senza conoscere il gestore.
• Ignorare le impostazioni IPv6 della rete.
• Considerare un DNS filtrato come sostituto dell’antivirus.
• Impostare un solo resolver non affidabile senza alternativa.
• Attribuire al DNS qualsiasi problema di lentezza Internet.
• Cambiare molte impostazioni contemporaneamente rendendo difficile la diagnosi.

🧪 Esempio pratico: DNS cifrato configurato sul router

Immaginiamo una rete domestica nella quale il router distribuisce il proprio indirizzo LAN come server DNS a computer, smartphone e smart TV. Il router riceve quindi le richieste dei client e le inoltra a un resolver pubblico.

Se il dispositivo supporta DNS over TLS, possiamo configurarlo affinché il collegamento tra router e resolver venga cifrato. I client continuano a utilizzare normalmente il router come DNS locale, mentre il traffico upstream utilizza DoT.

Dobbiamo però ricordare che un browser configurato per utilizzare autonomamente DoH potrebbe scegliere un percorso differente. La politica DNS effettiva dipende quindi sia dal router sia dal comportamento delle applicazioni.