Guida
Come configurare lo split tunnelling
Come inviare alcune applicazioni o alcuni indirizzi fuori dal tunnel lasciando tutto il resto al suo interno, quanto costa ogni eccezione e quale verifica dimostra che lo split è quello richiesto. Scritto per i client di fine 2026 e Android 17.
Cosa stabilisce questa guida
Lo split tunnelling invia un insieme scelto di applicazioni o indirizzi fuori dal tunnel e lascia tutto il resto al suo interno. Ogni elemento della lista è traffico che la VPN non tocca più, per intero, sulla rete ordinaria. Configurato correttamente, risolve il problema della stampante e dell'app bancaria senza modificare altro; configurato alla leggera, è una fuga di dati che hai impostato tu. I passaggi riportati di seguito sono la versione più circoscritta.
Due tipi di regola
Per applicazione
La regola indica un programma e le connessioni di quel programma bypassano il tunnel. I client per Windows, macOS e Android lo offrono; da Android 17 un client può passare la lista a una schermata gestita dal sistema, così le esclusioni vengono applicate dal sistema operativo anziché dal client — un client che apre quella schermata dalle proprie impostazioni la sta utilizzando. iOS non offre lo split per singola applicazione ai client ordinari; l'opzione più simile è l'interruttore per la rete locale riportato di seguito.
Per indirizzo o subnet
La regola indica una destinazione e il traffico diretto a quella destinazione da qualsiasi programma bypassa il tunnel. È più generica e più difficile da interpretare a posteriori, perché una regola per indirizzo copre qualunque cosa risponda a quell'indirizzo domani. È lo strumento giusto per un dispositivo sulla tua rete e quello sbagliato per un servizio su internet.
Cosa viene inviato fuori
- Un dispositivo sulla tua rete — una stampante, un NAS, un media server — che il routing del tunnel ti nasconde. Prova prima l'interruttore per la rete locale: è l'impostazione più limitata e copre la maggior parte di questi casi senza una regola.
- Un'applicazione che rifiuta le connessioni dagli indirizzi dell'uscita, in genere quella di una banca. La regola permette solo a quell'applicazione di vedere il tuo indirizzo reale. La banca saprà quindi dove ti trovi: questo è il compromesso.
- Nient'altro per impostazione predefinita. Ogni voce è un'applicazione il cui traffico può essere letto dalla rete a cui sei connesso. Una lista lunga equivale a una VPN che protegge il browser e poco altro.
Un'eccezione serve per un'applicazione che non funziona attraverso il tunnel. Non è un modo per raggiungere un servizio che ha deciso di non servire il Paese dell'uscita: è una decisione del servizio e aggirare il problema di routing esula da questa pagina.
Configurare la regola
- Apri la sezione del client dedicata allo split tunnelling, spesso nelle impostazioni di connessione o avanzate. Su Android 17 e versioni successive il client può aprire una schermata gestita dal sistema per la stessa lista; in ogni caso la lista è una sola ed è la sezione del client a condurvi.
- Controlla la modalità prima di aggiungere qualsiasi elemento. La maggior parte dei client ne offre due: le app elencate bypassano il tunnel oppure solo le app elencate lo utilizzano. La seconda è lo split tunnelling inverso e, con una lista vuota, significa che nulla passa nel tunnel. Assicurati che la modalità sia quella prevista.
- Aggiungi l'applicazione, non la sua cartella, e aggiungi l'unico eseguibile che stabilisce la connessione. Una suite con diversi processi potrebbe richiederli tutti; aggiungere la cartella di installazione aggiunge anche il suo programma di aggiornamento.
- Chiudi completamente l'applicazione e riconnetti il client. Le regole si applicano alle nuove connessioni. Un'applicazione rimasta aperta conserva il vecchio percorso e produce un risultato errato durante la verifica.
Modalità inversa
In modalità inversa solo le applicazioni elencate usano il tunnel e tutto il resto lo bypassa. È la configurazione giusta quando una sola applicazione ha bisogno del tunnel e il resto del computer deve comportarsi come se non fosse installato alcun client; è invece sbagliata in ogni altro caso, perché ogni applicazione che hai dimenticato di elencare si trova sulla rete aperta. Se la utilizzi, sulla maggior parte dei client il kill switch copre solo le applicazioni elencate; le altre non sono mai state al suo interno.
Accesso alla rete locale
La maggior parte dei client dispone di un unico interruttore che lascia passare gli indirizzi della tua rete mantenendo tutto il resto nel tunnel. È uno split tunnelling per subnet, scelto per te, e copre la stampante e il NAS senza una regola. Su una rete che gestisci tu ha un costo ridotto; su una rete pubblica permette a ogni dispositivo di quella rete di raggiungere i tuoi dispositivi, motivo per cui è disattivato per impostazione predefinita e conviene disattivarlo di nuovo prima di andartene.
Confermare che lo split sia quello richiesto
- Nell'applicazione esclusa, trova la sua verifica dell'indirizzo — i dettagli della sessione di un'app bancaria, il pannello degli indirizzi di un client torrent, qualsiasi pagina aperta in un browser escluso — e aspettati di vedere il tuo indirizzo e il tuo Paese.
- In un'applicazione che non hai escluso, esegui la verifica dell'indirizzo e aspettati quello dell'uscita. Fallo in un browser che non hai aggiunto alla lista e in un'altra applicazione, se ne hai una che mostra il proprio indirizzo.
- Esegui una volta la batteria completa da come verificare che la VPN funzioni, con le regole attive. Una regola che copre più di quanto intendessi apparirà lì come una fuga di dati in qualcosa che ti aspettavi restasse al suo interno.
Cosa dimostrano queste verifiche
+Le applicazioni che hai elencato, e solo quelle, sono sulla rete ordinaria
+Tutto il resto esce ancora attraverso l'uscita, comprese le ricerche
+La modalità è quella prevista e non quella inversa
Cosa non dimostrano
−Non dicono nulla su ciò che il fornitore conserva del traffico che si trova all'interno — la risposta è nelle pagine sulla conservazione
−Un test delle fughe di dati non può rilevare un'eccezione deliberata; l'applicazione esclusa viene verificata dall'interno oppure non viene verificata affatto
−Una configurazione di regole applicata oggi segue l'applicazione durante i suoi aggiornamenti e un'applicazione aggiornata potrebbe aprire connessioni da un processo che non hai elencato
Quando lo split non viene rispettato
L'app esclusa mostra ancora l'indirizzo dell'uscita
La regola non è stata applicata e il motivo più comune è che l'app fosse già in esecuzione. Lo split tunnelling si applica alle connessioni create dopo l'impostazione della regola; chiudi completamente l'app, riconnetti il client e riaprila. Su Android, verifica se la regola si trova nel client o nelle impostazioni di sistema, perché un'app esclusa in uno dei due ma non nell'altro segue ciò che viene applicato dal sistema operativo.
Un browser è il caso più difficile: i suoi processi in background mantengono aperte le connessioni anche dopo la chiusura di una finestra, quindi deve essere chiuso dal proprio menu, non dalla finestra.
Un'app che non ho escluso mostra il mio indirizzo
È attiva una configurazione più ampia di una regola per singola applicazione. Possono produrre questo risultato una regola per indirizzo o subnet che comprende per caso la destinazione, una modalità inversa impostata per errore in cui solo le app elencate passano nel tunnel oppure un interruttore per la rete locale attivo su una rete che assegna indirizzi pubblici. Leggi tutte le regole, non solo la lista delle app, e disattiva l'intera funzione per verificare che l'indirizzo torni a quello dell'uscita; poi riattiva le regole una alla volta.
La stampante o il NAS non sono ancora raggiungibili
L'accesso alla rete locale è un'impostazione più limitata dello split tunnelling e talvolta è separata: permette il passaggio degli indirizzi della tua rete e instrada tutto il resto. Se il client la offre, attivala prima di aggiungere manualmente una regola per subnet. Se il dispositivo viene raggiunto tramite nome anziché indirizzo, il nome potrebbe essere risolto tramite il DNS del tunnel, che non riesce a vedere la tua rete; usa invece l'indirizzo.
Un test delle fughe di dati dà esito positivo, ma ho escluso un'app
Il test è stato eseguito nel browser e il browser si trova dentro il tunnel. Un'eccezione deliberata è invisibile per definizione a un test delle fughe di dati: il traffico dell'app esclusa passa interamente sulla rete ordinaria e nessuna pagina aperta altrove lo segnalerà. La verifica di un'eccezione consiste nell'indirizzo dell'app esclusa, come descritto nell'ultima sezione, non nella pagina del test.
Stessi passaggi, altre macchine
Il resto delle piattaforme
Ogni piattaforma ha una guida propria anziché una scheda su questa. I passaggi divergono non appena si apre il programma di installazione, e una pagina che risponde a tre piattaforme insieme non risponde bene a nessuna.