DNS leak VPN: come prevenirlo
Un DNS leak si verifica quando il sistema operativo, nonostante la VPN sia attiva, invia query DNS al resolver dell'ISP locale anziche al resolver interno alla VPN. Questo espone l'elenco dei siti che visiti e vanifica parte della privacy promessa dalla VPN.
Cause tipiche
I leak DNS nascono da split tunneling mal configurato, IPv6 abilitato senza tunnel IPv6, smart multi-homed DNS di Windows e applicazioni che usano DNS-over-HTTPS pubblico ignorando la VPN. Anche WireGuard può lasciare leak se non specifichi DNS nel client config.
Procedura passo-passo
- Verifica con ipleak.net o dnsleaktest.com lo stato attuale.
- Nel client VPN imposta esplicitamente DNS = IP interno (es. 10.10.0.1) nel profilo.
- Su Windows abilita Force VPN tunnel nel Group Policy o nel ProfileXML.
- Disabilita Smart Multi-Homed Name Resolution con netsh dns set globalqueryblocklist.
- Disattiva IPv6 se non hai tunnel IPv6 funzionante (oppure attiva IPv6 nel server VPN).
- Controlla browser: disabilita DNS over HTTPS in Firefox/Chrome o configura per usare DoH solo su DNS interno.
- Ritesta da dnsleaktest.com e verifica che gli IP risolver siano quelli della VPN.
Resolver DNS dedicati
I migliori provider VPN gestiscono DNS resolver dedicati sui propri server (Mullvad, ProtonVPN, IVPN). Altri però usano resolver pubblici (Google 8.8.8.8, Cloudflare 1.1.1.1) annullando parte della privacy. Verifica nella documentazione del provider quale resolver e usato. Se necessario sostituiscilo manualmente nel profilo client.
DNS-over-HTTPS e DNS-over-TLS
DoH e DoT proteggono le query DNS cifrandole, ma se la VPN non e ben configurata possono bypassarla: Firefox usa di default DoH di Cloudflare ignorando il DNS di sistema. Imposta network.trr.mode = 5 in about:config per disabilitare DoH e usare DNS di sistema (quindi VPN). Su Chrome equivalente in chrome://flags/#dns-over-https.
Test e automazione
Automatizza i test DNS leak: cron job che chiama dnsleaktest.com via API ogni X minuti e logga risultati. Strumenti come tcpdump filtrato su port 53 mostrano se query DNS escono fuori tunnel. In ambito enterprise integra con SIEM per alert proattivi su deviazioni. La privacy non e set-and-forget: verifica costante.
Pi-hole come DNS aziendale via VPN
Soluzione self-hosted privacy-friendly: Pi-hole su VPS o server interno come DNS resolver, VPN clients impostati su Pi-hole IP via tunnel. Vantaggi: ad-blocking centralizzato, custom blocklist, statistiche use. Combina con Unbound recursive resolver per zero dependency da resolver pubblici. Setup richiede mezz'ora e migliora privacy + qualità browsing.
Considerazioni per business
In contesto aziendale i DNS leak rappresentano rischio di esfiltrazione metadati. Combina VPN aziendale con DNS interno (Active Directory Integrated DNS o BIND) e block lista DoH pubblici via firewall outbound. SIEM monitora pattern anomali DNS. Documenta policy in security baseline.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Leak su Windows nonostante VPN attiva: smart multi-homed DNS interroga in parallelo tutte le interfacce: va disabilitato.
- IPv6 leak: molti provider VPN supportano solo IPv4: spegni IPv6 o blocca con regole firewall outbound.
- Browser usa DoH pubblico: imposta DoH solo verso DNS della VPN o disabilita la feature.
- Applicazioni con DNS hardcoded: alcune app interrogano 8.8.8.8 direttamente: bloccale via firewall verso quegli IP.
Domande frequenti
D: Tutti i provider sono uguali?
R: No, alcuni hanno DNS dedicati no-log; altri usano resolver pubblici che vanificano la privacy.
D: Come testare automaticamente?
R: Tool come ExpressVPN DNS leak test e mullvad.net/check eseguono check rapidi.
D: WireGuard ha leak per default?
R: Se imposti DNS nel config no; se ometti la riga DNS, dipende dalla configurazione di sistema.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.