DNS cifrati su Windows 11 per non farsi spiare dal provider

Anche usando la navigazione anonima o cancellando la cronologia a fine sessione, il fornitore di rete registra puntualmente ogni singolo indirizzo web digitato dal computer. Questo tracciamento silenzioso avviene perché le richieste di traduzione dei nomi a dominio viaggiano in chiaro attraverso la porta cinquantatré, risultando visibili a chiunque controlli il nodo di connessione.

Molti utenti ritengono che il lucchetto HTTPS basti a nascondere le proprie abitudini. In realtà la connessione protetta con il server scatta solo dopo che il sistema operativo ha già chiesto in chiaro all'operatore dove trovare quella specifica macchina. A questo si aggiungono i programmi aperti in sottofondo e i servizi di telemetria di sistema, che inviano continuamente interrogazioni rivelando interessi e abitudini quotidiane anche con il navigatore web completamente chiuso.

LEGGI ANCHE: Come si cambia il DNS su Windows e Mac

Come la risoluzione protetta ferma lo spionaggio della rete

Configurando il protocollo DNS over HTTPS sulla porta 443, Windows 11 incapsula le interrogazioni sui domini all'interno di un flusso dati protetto da certificato TLS. Questo passaggio impedisce all'operatore telefonico l'ispezione dei pacchetti, azzerando la creazione di profili pubblicitari basati sulla cronologia di navigazione.

Senza questa protezione, ogni volta che digitiamo un indirizzo come google.it o navigaweb.net, il computer deve consultare una sorta di elenco telefonico globale gestito in modo predefinito dalla compagnia telefonica. Usando la cifratura nativa, le chiamate di sistema si mimetizzano all'interno del normale traffico web. Chi monitora la linea vede transitare pacchetti verso un singolo nodo protetto, ma i nomi dei singoli siti rimangono invisibili sia all'amministratore del router casalingo sia ai centri di profilazione del gestore telefonico.

Attivare la crittografia forzata nella scheda di rete

Nei sistemi operativi attuali non serve installare programmi pesanti per schermare le connessioni. Microsoft ha integrato questa funzione direttamente nei componenti di Windows 11, abbandonando i vecchi menu del Pannello di Controllo per una gestione più granulare dei parametri.

Per blindare la configurazione basta aprire le Impostazioni di Windows, selezionare la scheda Rete e Internet e fare clic sulla connessione attiva, scegliendo tra Wi-Fi o Ethernet. Scorrendo la schermata verso il basso si individua la voce Assegnazione server DNS, impostata normalmente su automatico.

Premendo il pulsante Modifica e impostando la modalità su Manuale, si attiva l'interruttore relativo a IPv4. Dopo aver digitato gli indirizzi desiderati nei campi primario e alternativo, compare il menu a tendina dedicato alla protezione.

In questa schermata bisogna selezionare categoricamente la voce Solo crittografati (DNS su HTTPS). La voce alternativa che consente il traffico non crittografato introduce un rischio concreto: se il server tarda a rispondere anche solo per poche frazioni di secondo, il sistema ricade silenziosamente nella trasmissione in chiaro senza mostrare alcun messaggio, annullando la riservatezza delle richieste.

Eliminare la falla invisibile dei DNS su IPv6

Molti utenti completano la procedura su IPv4 convinti di essere al sicuro, ignorando che le versioni recenti di Windows assegnano priorità assoluta alle rotte IPv6. Se la scheda di rete lascia i parametri IPv6 su assegnazione automatica, le interrogazioni verso i siti web moderni scivoleranno fuori dal tunnel protetto, rivolgendosi in chiaro ai server del provider.

Per chiudere questa perdita di dati occorre scorrere la medesima schermata di configurazione e attivare l'interruttore per IPv6. Negli appositi campi si andranno a inserire le stringhe corrispondenti fornite dallo stesso gestore scelto per IPv4, impostando anche in questo riquadro il menu su Solo crittografati. In alternativa, se la propria linea non sfrutta questo protocollo, si può disattivare la spunta Protocollo Internet versione 6 direttamente dalle proprietà della scheda di rete per scongiurare qualsiasi fuga di informazioni all'esterno.

I resolver che soddisfano ogni esigenza d'uso

La scelta dell'indirizzo numerico determina quali filtri verranno applicati al flusso dati prima ancora che le pagine vengano caricate. Per individuare la soluzione più idonea alle proprie abitudini possiamo confrontare i parametri con gli indirizzi DNS più veloci e sicuri disponibili sulla rete.

Chi cerca tempi di risposta minimi e una politica severa di cancellazione dei registri può puntare sui DNS Cloudflare inserendo 1.1.1.1 e 1.0.0.1, con le rispettive controparti IPv6 2606:4700:4700::1111 e 2606:4700:4700::1001. Per le famiglie che necessitano di bloccare automaticamente siti malevoli e contenuti per adulti senza installare software di controllo parentale, basta sostituire gli indirizzi con le varianti 1.1.1.3 e 1.0.0.3.

L'infrastruttura più solida al mondo resta quella dei server DNS Google con gli IP 8.8.8.8 e 8.8.4.4. Offre una continuità operativa totale, anche se affida le interrogazioni a un gruppo che genera ricavi dalla profilazione pubblicitaria.

Se l'obiettivo primario è la protezione da trappole online, la risorsa di riferimento è Quad9 all'indirizzo 9.9.9.9 e IPv6 2620:fe::fe. Questa fondazione senza scopo di lucro ha sede in Svizzera e blocca sul nascere i collegamenti verso indirizzi associati a campagne di phishing e software dannosi.

Per eliminare gli annunci pubblicitari prima che raggiungano i programmi di sistema si può utilizzare AdGuard DNS digitando 94.140.14.14 e 94.140.14.15, mentre per una politica di riservatezza totale senza filtri sui contenuti spiccano i server di Mullvad all'indirizzo 194.242.2.2 e i profili personalizzabili di Control D su 76.76.2.5.

Programmi per gestire e verificare la risoluzione dei nomi

Cambiare i parametri manualmente diventa scomodo quando ci si sposta spesso tra reti differenti. Esistono strumenti leggeri che permettono di verificare le prestazioni reali dalla propria posizione fisica.

L'utilità gratuita Dns Jumper permette di passare da un profilo all'altro senza aprire i menu di sistema. Premendo il pulsante Fastest DNS, il software invia pacchetti di prova a tutti i principali nodi mondiali e applica in automatico quello che offre il tempo di risposta più basso nella propria zona geografica.

Chi desidera un controllo profondo sulle singole applicazioni può orientarsi su YogaDNS. Questo programma intercetta il traffico e permette di smistare le richieste: ad esempio indirizzando il navigatore web verso server protetti da crittografia DoH e lasciando i giochi online collegati a indirizzi con latenza azzerata.

Chi preferisce evitare software esterni e vuole registrare qualsiasi resolver personalizzato direttamente dentro Windows 11, può seguire la rotta di Navigaweb passando dal Prompt dei comandi. Con il comando netsh dns add encryption si memorizza il modello DoH desiderato nel registro di sistema, forzando la cifratura nativa anche per indirizzi non riconosciuti dalle finestre grafiche ordinarie.

Risoluzione dei problemi e comportamenti della linea

Intervenire sulla risoluzione dei nomi comporta alcune conseguenze sul funzionamento quotidiano dei programmi:

• Siti che smettono improvvisamente di aprirsi. L'attivazione di filtri rigorosi contro i traccianti pubblicitari può generare falsi allarmi su portali di e-commerce o banche. In queste circostanze conviene aprire il terminale e digitare il comando ipconfig /flushdns per svuotare la memoria temporanea. Se il blocco persiste, impostare temporaneamente il server 1.1.1.1 ripristina la navigazione.
• Blocco della connessione nelle reti Wi-Fi pubbliche. Negli alberghi o negli aeroporti l'accesso a internet richiede di superare una schermata di benvenuto. Imponendo la regola di risoluzione solo crittografata, il portale non riesce a intercettare il navigatore e la linea rimane congelata. Basta rimettere temporaneamente l'impostazione su automatico, eseguire l'accesso e ripristinare la cifratura forzata.
• Differenza tra protezione sul router e sul computer. Modificare i parametri nel router domestico applica la regola a tutti i dispositivi connessi, comprese console e televisori smart. Tuttavia la maggior parte dei router forniti dagli operatori telefonici non supporta la crittografia dei pacchetti. Attivare il DoH su Windows 11 assicura che il traffico del singolo computer esca già sigillato all'origine.
• Visibilità residua dell'indirizzo di destinazione. La crittografia delle richieste nasconde il nome completo delle pagine e azzera lo spionaggio dei log. L'operatore telefonico può comunque rilevare l'indirizzo numerico finale della macchina a cui ci si collega, a meno che non si utilizzi in parallelo una connessione protetta da VPN completa.

Se dopo aver blindato i parametri la linea mostra ancora rallentamenti anomali, possiamo approfondire consultando i trucchi nascosti su Windows per velocizzare internet oppure verificare cosa rallenta la velocità di rete e la connessione internet.

Diario di bordo di Navigaweb

Dopo aver collegato un analizzatore di pacchetti al router dell'ufficio, sono rimasto sbalordito dalla quantità di informazioni che il computer trasmetteva all'esterno nonostante usassi la modalità anonima del navigatore. Il gestore della linea registrava l'elenco esatto di ogni servizio aperto in sottofondo, dai programmi di messaggistica ai portali bancari. L'esperienza diretta dimostra che la vera riservatezza non si ottiene cancellando la cronologia a fine giornata, ma costringendo la scheda di rete a sigillare le richieste all'origine. Impostare la crittografia forzata sia su IPv4 che su IPv6 richiede due minuti di configurazione e toglie all'operatore telefonico il potere di compilare un dossier sulle vostre abitudini quotidiane.