DNS Cloudflare o Google: come verificare se il resolver è davvero quello scelto

Impostare manualmente i server DNS di Cloudflare, Google o Quad9 non assicura che le richieste raggiungano effettivamente il resolver scelto. Il traffico DNS tradizionale viaggia generalmente in chiaro sulla porta 53, il che permette a un apparato intermedio, come il router dell'operatore, di intercettarlo e rispondere al posto del server destinatario. Un recente caso analizzato da un amministratore di sistema ha evidenziato come alcune query restituiscano indirizzi IP anomali riconducibili al provider, un fenomeno noto come transparent DNS proxy.

Cosa cambia e come verificare

Per capire se la propria connessione subisce deviazioni, è necessario confrontare i risultati ottenuti tramite canali diversi. La differenza fondamentale sta nella cifratura: il DNS tradizionale è leggibile lungo il percorso, mentre il DNS over HTTPS (DoH) protegge le richieste.

• Interrogazione diretta: Utilizzare comandi come dig su Linux/macOS o nslookup su Windows per chiedere la risoluzione a resolver specifici (es. 1.1.1.1 per Cloudflare, 8.8.8.8 per Google).
• Confronto con DoH: Ripetere la stessa richiesta tramite un'API cifrata, ad esempio utilizzando curl con l'endpoint di Google DNS. Se i risultati differiscono significativamente tra il canale in chiaro e quello cifrato, l'anomalia è probabile.
• Verifica dell'IP: Se un indirizzo IP appare sospetto, è possibile verificare il proprietario tramite servizi RDAP o WHOIS. Se l'IP appartiene al proprio ISP invece che al servizio interrogato, il traffico è stato deviato.
• Analisi del traffico: In casi avanzati, catturare il traffico sulla porta 53 permette di osservare direttamente se i pacchetti vengono modificati o sostituiti prima di raggiungere la destinazione finale.

Cosa significa per chi compra in Italia

Per l'utente medio italiano, la consapevolezza che "impostare il DNS" non equivale a "usare il DNS" cambia l'approccio alla privacy e alla sicurezza domestica. Molti utenti configurano resolver pubblici per evitare la pubblicità o per motivi di privacy, ma senza cifratura queste impostazioni possono essere inefficaci se l'operatore locale filtra il traffico.

Non si tratta di un problema legato all'acquisto di hardware specifico, ma di una configurazione software. Tuttavia, chi acquista router o dispositivi IoT dovrebbe considerare se questi supportano nativamente il DNS over HTTPS o il DNS over TLS. I dispositivi più recenti e i sistemi operativi moderni tendono a preferire protocolli cifrati, riducendo il rischio di intercettazione. Per chi utilizza connessioni in fibra o 5G, la verifica periodica è consigliabile, soprattutto se si notano ritardi o comportamenti inaspettati nella navigazione. L'uso di un resolver cifrato non rende il sistema infallibile, ma elimina la possibilità per terze parti di sostituirsi silenziosamente al server DNS scelto.

La sicurezza della rete domestica passa sempre più attraverso la comprensione di questi meccanismi di base. Verificare il percorso delle query è una pratica semplice che può rivelare discrepanze significative tra ciò che si configura e ciò che effettivamente accade sulla rete.

Domande frequenti

Devo aggiornare subito il mio router?

Non necessariamente, ma è consigliabile verificare se il firmware supporta il DNS over HTTPS. Se il router non lo supporta, puoi comunque configurare il DoH direttamente sul sistema operativo del tuo computer o smartphone.

Perdo le mie impostazioni se cambio metodo di verifica?

No. Le verifiche descritte (come l'uso di dig o curl) sono comandi di sola lettura che non modificano la configurazione di rete. Puoi eseguirli in qualsiasi momento senza rischiare di disconnetterti.

È a pagamento usare questi servizi di verifica?

No. I servizi DNS pubblici come Cloudflare, Google e Quad9 sono gratuiti, così come gli strumenti di verifica (dig, nslookup, curl) sono inclusi di serie nei sistemi operativi principali.