Premi un tasto, l’icona diventa verde, e nel giro di due secondi un sito italiano che prima ti respingeva ti fa entrare. Vista da fuori sembra una scorciatoia sospetta, e la prima domanda di chi la usa per la prima volta è sempre la stessa: cosa succede in quei due secondi.
Come funziona una VPN è più semplice di quanto lasci intendere il gergo che ci gira intorno. Ci sono tre soggetti in gioco, il tuo dispositivo, un server intermedio e il sito di destinazione, e una regola: tutto quello che parte dal tuo dispositivo viene chiuso in una busta illeggibile e recapitato al server, che la apre e prosegue per conto tuo.
Il resto sono dettagli tecnici, ma sono i dettagli che spiegano perché a volte funziona e a volte no.
Il percorso di un dato, prima e dopo
Senza VPN, quando apri una pagina, il tuo dispositivo consegna la richiesta al router, il router al tuo operatore, l’operatore la instrada verso il server che ospita il sito. La risposta torna indietro per la stessa strada. Ogni pacchetto porta scritto sopra il mittente, cioè il tuo indirizzo IP pubblico, altrimenti nessuno saprebbe dove rispondere.
Con la VPN attiva, l’app installata sul dispositivo intercetta il traffico prima che esca. Lo cifra, lo incapsula dentro un secondo pacchetto che ha come destinazione il server VPN, e lo consegna al router. Da lì in poi il tuo operatore vede solo pacchetti diretti a quel server. Il server li apre, li rimette in circolo verso i siti veri con il proprio indirizzo come mittente, raccoglie le risposte e te le rimanda cifrate.
Il sito di destinazione non ha modo di sapere che dietro il server c’è un utente in Belgio. Vede una richiesta arrivata da un indirizzo che le banche dati collocano in Italia, e risponde di conseguenza.
Lo stesso meccanismo, due servizi che reagiscono in modo diverso
Qui finisce la parte tecnica e comincia quella contrattuale, ed è il punto in cui la maggior parte delle spiegazioni si ferma. Su RaiPlay il server della Rai legge l’indirizzo e decide, ma quello che c’è dietro la decisione non è uniforme: sui contenuti prodotti in casa, dai telegiornali ai programmi di rete a buona parte dell’archivio, i vincoli territoriali sono più leggeri; sui film, sulle serie acquistate e sullo sport la licenza copre l’Italia e nient’altro. La stessa connessione, con lo stesso server, può quindi aprire il TG e fermarsi sul film del venerdì sera. Non è il tunnel che si comporta in due modi, è il contenuto ad avere due licenze.
Mediaset Infinity segue la stessa linea di separazione fra ciò che produce e ciò che compra, con una differenza che spiega un sintomo ricorrente: alcuni controlli vengono ripetuti anche a riproduzione avviata, ed è per questo che il video parte per qualche secondo e poi si blocca. Sembra un problema di banda, è un secondo controllo che ha dato esito negativo. Capire da quale dei due mondi arriva il contenuto che stai cercando fa risparmiare più tempo di qualsiasi impostazione dell’app.
Chi vede cosa lungo la strada
| Soggetto | Cosa vede | Cosa non vede |
|---|---|---|
| Chi gestisce il wifi che usi | traffico cifrato verso un solo indirizzo | i siti che apri, i contenuti |
| Il tuo operatore | che usi una VPN, quanti dati passano | i siti che apri, i contenuti |
| Il fornitore della VPN | il tuo indirizzo reale e le destinazioni | i contenuti protetti da HTTPS |
| Il sito che visiti | l’indirizzo del server VPN | il tuo indirizzo reale |
La riga che conta è la terza. Usare una VPN significa spostare la fiducia: quello che prima sapeva il tuo operatore telefonico ora lo sa l’azienda che gestisce i server. Per questo le condizioni sulla conservazione dei registri sono il criterio più importante nella scelta, insieme al paese in cui l’azienda ha sede. Alcune commissionano verifiche indipendenti sui propri sistemi, e il documento va letto sul sito ufficiale del fornitore, non nei riassunti altrui. Nella recensione di NordVPN trovi cosa dichiara e cosa resta fuori dalle dichiarazioni.
Dentro il tunnel
Cifrare vuol dire trasformare i dati in una sequenza illeggibile per chiunque non abbia la chiave. La parte interessante è come dispositivo e server si mettono d’accordo sulla chiave senza mai spedirsela in chiaro.
Al momento della connessione i due si scambiano una serie di messaggi, la cosiddetta stretta di mano, che serve a tre scopi: il server dimostra di essere davvero chi dice, entrambi generano una chiave temporanea, e concordano gli algoritmi da usare. Quella chiave vale per la sessione e viene buttata alla disconnessione, quindi chi registrasse il traffico oggi non potrebbe rileggerlo domani recuperando la chiave.
Tutto questo dura una frazione di secondo ed è la ragione dei due secondi di attesa quando premi connetti.
I protocolli, e i nomi commerciali che li nascondono
Il protocollo è l’insieme di regole che governa il tunnel. Quelli che incontri davvero sono tre.
- OpenVPN è il più vecchio e il più studiato. Solidissimo, un po’ pesante, ancora utile quando una rete filtra le connessioni insolite.
- WireGuard è più recente, il suo codice è molto più corto e questo lo rende più facile da verificare e più veloce, soprattutto su telefono.
- IKEv2 regge bene i passaggi tra wifi e rete mobile, quindi è comodo in mobilità.
Diversi fornitori distribuiscono una propria versione modificata di WireGuard con un nome commerciale: NordVPN la chiama NordLynx, altri usano etichette diverse. Sono varianti dello stesso protocollo di base, non tecnologie esclusive. Se non hai motivi particolari, lascia l’app sulla scelta automatica.
I due punti in cui il meccanismo si rompe
Il primo sono i DNS. Prima di aprire un sito il dispositivo deve tradurre il nome in un indirizzo numerico, e lo chiede a un server DNS. Se quella richiesta esce fuori dal tunnel, per esempio perché il sistema continua a usare i DNS dell’operatore locale, il servizio di destinazione può accorgersi dell’incoerenza tra il paese dell’indirizzo e il paese dei DNS. Le app fatte bene instradano anche i DNS dentro il tunnel, ed è una delle cose da verificare quando qualcosa non torna.
Il secondo è la caduta della connessione. Se il tunnel si interrompe per qualche secondo, senza protezioni il traffico riprende a uscire dal tuo indirizzo reale e la partita che stavi guardando si blocca. L’interruttore che sospende tutto il traffico in caso di caduta esiste apposta e va tenuto acceso.
Perché rallenta, e quanto
Due cause si sommano. I dati fanno più strada, perché prima di arrivare a destinazione passano da un server che può essere a mille chilometri, e questo alza il tempo di risposta. Poi vengono cifrati e decifrati alle due estremità, e questo consuma potenza di calcolo.
Su una linea in fibra la differenza è spesso impercettibile per lo streaming. Su una connessione lenta, o scegliendo un server dall’altra parte del mondo quando ne basterebbe uno vicino, il video comincia a fermarsi. La regola pratica è scegliere il server più vicino al paese di cui ti serve l’indirizzo, non il più esotico.
Cosa fare adesso
Se stai valutando se ti serve, parti dal problema e non dallo strumento: verifica cosa ti blocca esattamente il servizio che vuoi aprire, poi guarda nelle nostre schede cosa risultava all’ultimo controllo. Se invece hai già deciso, la parte pratica dura pochi minuti ed è spiegata dispositivo per dispositivo nella guida all’installazione.
Un consiglio che vale per qualunque fornitore: usa la garanzia di rimborso a 30 giorni come collaudo vero, provando i servizi che ti interessano negli orari in cui li guardi davvero.