Guida
Come verificare che la VPN funzioni
Sei verifiche per capire se il tunnel sta trasportando il tuo traffico, nell'ordine che individua prima i problemi più comuni. Nessuna richiede software oltre a un browser e ognuna dimostra una cosa sola. Scritto per i client di fine 2026.
Cosa dimostrano
Un client che indica connesso comunica il proprio stato, non dove sta andando il tuo traffico. Le sei verifiche qui sotto rispondono alla seconda domanda. Esegui le verifiche una volta dopo l'installazione, una volta dopo ogni aggiornamento del client o del sistema e una volta su qualsiasi rete mai usata prima. Insieme richiedono pochi minuti; le prime tre ne richiedono uno.
Connettiti prima all'uscita che usi normalmente. Poi procedi lungo la lista nell'ordine indicato: ogni verifica presuppone che quella precedente abbia avuto esito positivo e i problemi più comuni sono all'inizio.
1. Il tuo indirizzo è cambiato
- Apri una pagina qualsiasi che mostri «qual è il mio IP» e leggi l'indirizzo e il Paese indicati. Il Paese deve corrispondere all'uscita scelta; l'indirizzo deve essere diverso da quello che riconosci come tuo.
- Disconnettiti e ricarica la stessa pagina. L'indirizzo dovrebbe tornare a essere il tuo. Se non succede, la pagina è nella cache oppure c'è un secondo tunnel di mezzo e il primo risultato non ha dimostrato nulla.
- Riconnettiti e ricarica ancora una volta. Tre letture, due delle quali diverse da quella intermedia, costituiscono l'intera verifica. Una sola lettura eseguita mentre sei connesso non basta.
Questo dimostra che l'uscita si trova davanti al tuo browser. Non dice nulla sulle ricerche dei nomi, sulle altre applicazioni o su ciò che accade quando il tunnel cade: è di questo che si occupa il resto della pagina.
2. Le ricerche avvengono dentro il tunnel
- Esegui un test delle perdite DNS — una pagina qualsiasi che offra un test esteso, inviando molte ricerche invece di una sola — e leggi l'elenco dei resolver indicati, insieme ai rispettivi proprietari.
- Ogni resolver deve appartenere al fornitore VPN oppure trovarsi nel Paese dell'uscita. Una voce appartenente al tuo fornitore di connessione o situata nel tuo Paese significa che la verifica è fallita, indipendentemente da ciò che indicano le altre.
- Se fallisce, imposta nel client il DNS del fornitore oppure attiva la protezione dalle perdite, riconnettiti e ripeti la verifica. L'impostazione è descritta nella guida per ogni piattaforma; il significato della perdita è spiegato nella pagina sulle perdite DNS.
3. Il browser non comunica il tuo indirizzo
I browser supportano un protocollo per chiamate e video che può comunicare direttamente a una pagina i tuoi indirizzi locali e pubblici, aggirando il tunnel. È un'impostazione del browser, non del client: un client configurato perfettamente supera tutte le altre verifiche e fallisce questa.
- Esegui un test delle perdite WebRTC in ogni browser che usi, mentre sei connesso. Finestre e profili privati hanno impostazioni proprie, quindi verifica quello in cui navighi davvero.
- L'indirizzo pubblico indicato deve essere quello dell'uscita, oppure non deve comparire alcun indirizzo. Un indirizzo locale del tipo assegnato dal router è normale e innocuo; il problema è il tuo indirizzo pubblico.
- Se fallisce, cerca l'impostazione WebRTC nel browser stesso o nell'estensione per browser del fornitore, che è il punto in cui la collocano la maggior parte dei client, e ripeti la verifica dopo averla modificata.
4. IPv6 non aggira il tunnel
Oggi la maggior parte delle reti assegna due tipi di indirizzo e un client che incanala il tipo più vecchio ignorando quello più recente espone il tuo indirizzo a ogni sito che risponde su entrambi — cioè alla maggior parte dei siti grandi. La verifica dell'indirizzo qui sopra spesso non lo rileva, perché la pagina usata mostra l'indirizzo con cui è stata raggiunta.
- Apri una pagina per il test IPv6 mentre sei connesso. I risultati corretti sono «nessuna connettività IPv6» oppure un indirizzo IPv6 appartenente all'uscita. Un indirizzo IPv6 situato nel tuo Paese indica una perdita.
- Se fallisce, cerca nel client un'impostazione IPv6: blocca è la scelta sicura, instrada è quella migliore quando disponibile. Un client che non offre nessuna delle due opzioni richiede la disattivazione di IPv6 sull'adattatore a livello di sistema operativo.
- Ripeti la prima verifica in seguito: disattivare IPv6 cambia l'indirizzo con cui la pagina di test ti raggiunge e il risultato positivo precedente deve essere confermato nelle nuove condizioni.
5. Se il tunnel cade, la connessione si interrompe
Tutto ciò che precede descrive il tunnel quando è attivo. La verifica importante su una rete problematica riguarda ciò che accade quando non lo è, ed è una procedura a sé: come testare un kill switch VPN. Eseguila una volta su ogni dispositivo che porti fuori casa; in breve, un download in corso deve interrompersi completamente quando il tunnel viene terminato senza che sia stato richiesto nulla al client. Il motivo per cui è importante è spiegato nella pagina sul kill switch.
6. Qualcosa oltre al browser
Finora ogni verifica è stata eseguita in un browser, ma un browser può essere instradato in modo diverso dal resto della macchina: un'estensione proxy, una VPN solo per il browser o una regola di split tunnelling possono far superare la verifica al browser mentre un'altra applicazione perde dati, o il contrario.
- Scegli un'applicazione che mostri il proprio indirizzo di connessione — la verifica dell'indirizzo integrata in un client torrent, il registro delle connessioni di un client di posta o il pannello di rete di un gioco — oppure esegui la verifica dell'indirizzo da un secondo browser che non hai configurato.
- Il suo indirizzo deve essere quello dell'uscita, come indicato dalla prima verifica. Un indirizzo diverso significa che il tunnel non è valido per l'intero sistema e l'impostazione responsabile è nell'estensione del browser oppure in una regola di split tunnelling.
Cosa significa un risultato positivo
Cosa dimostrano queste verifiche
+Il tuo traffico esce dal server di uscita, nel Paese selezionato, da ogni applicazione e non soltanto da una
+La rete a cui sei connesso non vede né i siti che raggiungi né le ricerche che li individuano
+Né il browser né la famiglia di indirizzi più recente trasportano il tuo indirizzo fuori dal tunnel
Cosa non dimostrano
−Non dicono nulla su ciò che conserva il fornitore — è una questione documentale, a cui rispondono le pagine sulla conservazione
−Non ti rendono anonimo: il browser, gli accessi e le tue abitudini restano invariati; consulta ciò che una VPN non protegge
−Un risultato positivo oggi è un'affermazione sul client di oggi; il prossimo aggiornamento può ripristinare qualsiasi impostazione di questa pagina
Quando una verifica fallisce
La pagina dell'indirizzo mostra il mio Paese, mentre il client indica che è connesso
Il client è in esecuzione, ma il traffico non passa attraverso di esso. Disconnettiti, chiudi completamente il client invece di limitarti a chiuderne la finestra, riavvialo e riconnettiti prima di fare altro. Se il risultato si ripete, di solito il traffico viene intercettato prima da una seconda VPN, da un'impostazione proxy del browser o da un prodotto di sicurezza con un proprio filtro di rete.
Controlla per ultime le impostazioni del proxy e delle estensioni del browser: un'estensione che instrada il browser attraverso il proprio proxy prevale sul tunnel di sistema e la pagina dell'indirizzo vede l'uscita dell'estensione, non la tua.
Il test DNS elenca i resolver del mio fornitore di connessione
Le ricerche escono dal tunnel. Nel client, attiva la protezione dalle perdite DNS oppure imposta il DNS sul resolver del fornitore, riconnettiti ed esegui di nuovo la verifica. Se i resolver appartengono ancora al tuo fornitore di connessione, il sistema operativo mantiene un proprio resolver su un'altra interfaccia; le guide per ogni piattaforma spiegano come gestire il problema.
È sufficiente un resolver nell'elenco per far fallire la verifica: una sola ricerca esposta rivela il sito che hai visitato.
Il test IPv6 mostra un indirizzo mentre il client è connesso
Il client instrada IPv4 e lascia passare IPv6; ogni sito che risponde su entrambi vede il tuo indirizzo reale. Cerca un'impostazione IPv6 nel client e impostala su blocca o instrada; se il client non offre nessuna delle due opzioni, disattiva IPv6 sull'adattatore di rete usato dal sistema operativo. Poi esegui di nuovo il test e assicurati che non compaia alcun indirizzo IPv6 oppure che ne compaia uno appartenente all'uscita.
Tutte le verifiche superano il test sulla mia rete domestica, ma una fallisce su un'altra
La seconda rete sta modificando il traffico. Una rete di hotel o ufficio che intercetta il DNS, rimuove IPv6 o interrompe le connessioni di lunga durata produce esattamente una verifica fallita: la causa è la rete, non il client. Il risultato è un fatto relativo a quella rete da tenere presente, e il kill switch impedisce che un tunnel non funzionante su quella rete diventi una connessione aperta.
Ieri tutto funzionava e oggi il test DNS fallisce
È cambiato qualcosa e i due sospetti abituali sono un aggiornamento del client che ha ripristinato un'impostazione e un aggiornamento del sistema che ha aggiunto un resolver. Apri le impostazioni del client e leggile invece di fidarti di come erano; le voci DNS e kill switch sono quelle che vengono ripristinate più spesso. Una verifica descrive il momento in cui è stata eseguita: ecco perché vale la pena ripeterla dopo ogni aggiornamento.
Stessi passaggi, altre macchine
Il resto delle piattaforme
Ogni piattaforma ha una guida propria anziché una scheda su questa. I passaggi divergono non appena si apre il programma di installazione, e una pagina che risponde a tre piattaforme insieme non risponde bene a nessuna.