Cos’è un test VPN e cosa dimostra
Un test VPN verifica che il traffico del browser esca davvero dal tunnel: i siti devono ricevere l’IP del server VPN e nessun canale secondario deve rivelare l’indirizzo assegnato dal tuo provider. Quando l’indirizzo reale passa per una strada diversa dal tunnel si parla di fuga (in inglese leak).
Il test fotografa un momento preciso: se la VPN cade e non ha un blocco automatico del traffico (kill switch), i siti rivedono il tuo IP. Ripetilo dopo aver cambiato server, rete o browser.
Come verificare se la VPN funziona
- Con la VPN spenta, apri la home e annota indirizzo IP e provider della tua linea.
- Attiva la VPN, aspetta che risulti connessa e ricarica questa pagina.
- Controlla IP, provider e ASN: devono essere quelli del servizio VPN, non del tuo operatore.
- Avvia il controllo WebRTC: nessun indirizzo trovato deve appartenere alla tua linea.
- Confronta fuso orario e lingua del browser con il paese dell’IP e leggi gli avvisi.
Cosa controlla il test, voce per voce
Il test esegue cinque controlli, e per ognuno c’è un esito atteso con la VPN attiva. IPv6 separato e DNS non sono ancora verificabili.
| Controllo | Come lo facciamo | Esito atteso con la VPN attiva |
|---|---|---|
| IP visto dai siti | Lo legge il nostro server dalla connessione | L’indirizzo del server VPN |
| Provider, ASN e rete CIDR | RIPEstat (RIPE NCC) e un database di geolocalizzazione di terzi | Un datacenter o il servizio VPN, non il tuo operatore |
| Indicatori datacenter e proxy | Segnalazioni del database di geolocalizzazione | Spesso “hosting” o “proxy”: è normale |
| Fuga WebRTC | Il browser interroga un server STUN, solo quando premi il pulsante | Nessun indirizzo pubblico della tua linea |
| Fuso orario e lingua | Impostazioni del browser confrontate con il paese dell’IP | Coerenti, oppure una differenza che ti aspetti |
| IPv6 | Non ancora verificabile in modo separato | Vedi la sezione dedicata |
| DNS | Non testato | Vedi la sezione dedicata |
IP, provider e ASN: il primo segnale
L’ASN (Autonomous System Number) identifica la rete che annuncia un indirizzo su Internet. Con la VPN attiva l’ASN appartiene di solito a un datacenter o al fornitore della VPN. Se leggi il nome del tuo operatore di casa o mobile, il traffico del browser non passa dal tunnel.
Gli indicatori “hosting” e “proxy” sono stime di un database di geolocalizzazione di terzi: un indirizzo VPN appena attivato può non essere ancora segnalato. Titolare e stato RPKI della rete sono nello strumento CIDR di un IP.
Fuga WebRTC: cos’è e come la controlliamo
Una fuga WebRTC avviene quando il browser rivela a un sito l’IP pubblico della tua linea attraverso WebRTC, la tecnologia delle videochiamate nel browser, anche se la navigazione passa dalla VPN. Il browser chiede a un server STUN (RFC 8489) con quale indirizzo pubblico lo vede: se la richiesta non passa dal tunnel, la risposta contiene il tuo IP reale.
Senza il consenso dell’utente, la RFC 8828 raccomanda ai browser di seguire la tabella di routing del sistema, che di norma manda questo traffico nella VPN. Le fughe compaiono quando la VPN lascia fuori alcune interfacce o protocolli, per esempio con lo split tunneling o con un client configurato male.
Il controllo parte solo quando premi il pulsante: in quel momento il browser contatta il server STUN pubblico di Cloudflare (stun.cloudflare.com) e la pagina mostra gli indirizzi che ha ricevuto. Se fra questi compare un IP del tuo operatore, attiva nella VPN l’opzione contro le fughe WebRTC, se c’è, oppure limita WebRTC nelle impostazioni o con un’estensione del browser.
Fuso orario e lingua del browser
Fuso orario e lingua sono impostazioni del browser che qualsiasi sito legge con JavaScript, e la VPN non le cambia. Con un IP nei Paesi Bassi e un browser in italiano su Europe/Rome, un sito può dedurre che usi una VPN.
Non è una fuga: da questi dati nessuno ricava il tuo IP reale. Conta se vuoi che la VPN non si noti, per esempio con un servizio che limita i contenuti per paese. Con un server VPN in Italia la differenza sparisce.
IPv6: la fuga tipica delle linee dual stack
Una fuga IPv6 avviene quando la VPN instrada solo il traffico IPv4 e la linea ha anche IPv6: i siti raggiungibili in IPv6 ricevono il tuo indirizzo reale, assegnato dal provider. Come capire se la tua linea ha IPv6 lo spiega la guida IPv4 e IPv6.
Oggi questo sito risponde solo in IPv4: non vede il tuo indirizzo IPv6 e quindi non può rilevare questa fuga. Potrà farlo quando avrà anche un indirizzo IPv6 e due indirizzi di prova dedicati, uno solo IPv4 e uno solo IPv6. Intanto controlla da te: con la VPN attiva cerca “what is my ip” su Google, che è raggiungibile in IPv6. Se compare un indirizzo con i due punti che appartiene al tuo operatore, la fuga c’è. In quel caso abilita il supporto IPv6 nella VPN o disattiva IPv6 sulla scheda di rete finché la usi.
DNS leak: perché questo test non lo verifica
Un DNS leak avviene quando le richieste DNS, cioè le domande “a che indirizzo corrisponde questo dominio?”, escono dal tunnel e arrivano al DNS del tuo provider. Il provider vede così l’elenco dei siti che visiti, anche se il contenuto passa dalla VPN.
Per rilevarlo serve un server DNS autoritativo che registri quale resolver chiede i nomi casuali generati dalla pagina. Questo sito non ce l’ha, quindi non mostra un esito DNS.
Un controllo di base lo fai da solo: con la VPN attiva scrivi nslookup example.com nel Prompt dei comandi o nel terminale: la riga Server indica il resolver che il sistema usa. Deve essere quello della VPN, non il router di casa né il DNS del tuo operatore. Non copre il DNS su HTTPS che alcuni browser configurano per conto proprio.
Per cambiarlo segui la guida come cambiare i DNS.
Cosa succede ai dati del test
Il tuo IP serve al server per mostrarti il risultato e non viene salvato in un database. Fuso orario e lingua restano nel browser. Gli indirizzi pubblici trovati con WebRTC arrivano al nostro server solo per riconoscerne il provider, e non vengono salvati. All’esterno partono le richieste a RIPEstat e al servizio di geolocalizzazione, per i dati degli indirizzi, e quella al server STUN dopo il clic. Il confronto fra VPN, proxy e Tor è nella guida come cambiare o nascondere il tuo IP.
Domande frequenti
Come faccio a sapere se la mia VPN funziona?
Confronta l’IP visto dai siti con e senza VPN: con la VPN attiva indirizzo, provider e ASN devono appartenere al servizio VPN o a un datacenter. Poi esegui il controllo WebRTC e verifica che un sito raggiungibile in IPv6, come Google, non ti mostri un IPv6 del tuo operatore: sono le due fughe più comuni. Per ora il secondo controllo va fatto altrove.
Cos’è una fuga WebRTC?
È il browser che, tramite WebRTC, comunica a un sito l’IP pubblico della tua linea anche con la VPN attiva, perché la richiesta al server STUN non passa dal tunnel. Si risolve con l’opzione anti-fuga della VPN o limitando WebRTC nel browser.
Questo test controlla il DNS leak?
No. Per rilevare una fuga DNS serve un server DNS dedicato che registri quale resolver ha chiesto un nome generato apposta, e questo sito non lo ha. Un controllo di base lo fai con nslookup example.com a VPN attiva: il server indicato deve essere quello della VPN.
Il fuso orario diverso dal paese dell’IP è un problema?
Non rivela il tuo IP, ma suggerisce a un sito che stai usando una VPN o un proxy. Conta solo se vuoi che la VPN non si noti.
La VPN nasconde anche l’indirizzo IPv6?
Alcune VPN instradano anche IPv6, altre solo IPv4. Se con la VPN attiva un sito raggiungibile in IPv6 ti mostra ancora un IPv6 del tuo operatore, il traffico IPv6 esce dal tunnel. Per ora questo test non lo rileva. Attiva il supporto IPv6 nella VPN o disattiva IPv6 sul dispositivo mentre la usi.
Fonti e riferimenti
Pagina aggiornata il