Una parte delle ricerche che arrivano a questo sito chiede un «DNS per aprire i siti bloccati». La risposta breve è che a volte funziona e a volte no, e la differenza sta in come blocca il tuo operatore. Qui si tratta di imparare a distinguerlo.
I tre modi per bloccare un sito
Quando un operatore deve bloccare un dominio, ha tre strumenti, dal più economico al più costoso.
Blocco per DNS. L’operatore configura il proprio resolver in modo che, quando qualcuno chiede quel nome, risponda «non esiste» o restituisca un suo IP con una pagina di avviso. È di gran lunga il più comune, perché non costa nulla e non tocca il traffico. Funziona solo se usi il DNS dell’operatore, che è quello che fanno tutti per impostazione predefinita. In Italia è il metodo dei blocchi AGCOM e della gran parte dei blocchi giudiziari.
Blocco per IP. L’operatore taglia il traffico verso gli indirizzi IP del server. Non importa più come risolvi il nome: la connessione non arriva. È più costoso da mantenere (gli IP cambiano, e bloccare un IP di una CDN può far cadere centinaia di siti estranei), quindi è riservato a casi specifici, come i blocchi in tempo reale del Piracy Shield.
Blocco per SNI. In una connessione HTTPS il nome del sito viaggia in chiaro all’inizio (l’SNI), anche se il resto è cifrato. Alcuni operatori ispezionano quel campo e tagliano la connessione se corrisponde alla lista. Richiede apparati di ispezione del traffico ed è il metodo dei blocchi «seri».
Cosa aggira il DNS e cosa no
Cambiare resolver aggira solo il primo. Se imposti 1.1.1.1 o 9.9.9.9, il dispositivo non chiede più all’operatore e ottiene l’IP vero. Contro gli altri due non fa nulla, perché il nome è già risolto e il blocco agisce dopo, sulla connessione.
Con una sfumatura importante: molti operatori che bloccano per DNS intercettano anche il traffico DNS tradizionale (porta 53). Non importa che tu abbia messo 1.1.1.1: la richiesta la cattura l’operatore e risponde lui. Per questo, se cambi DNS per questo scopo, dev’essere cifrato: DoH o DoT. L’operatore vede una connessione TLS verso Cloudflare o Quad9 e non può leggere né sostituire quello che c’è dentro. Su Android è l’impostazione «DNS privato»; su Windows 11, macOS e iOS si attiva nelle impostazioni di rete o con un profilo; le guide di configurazione lo spiegano per sistema.
Come capire qual è il tuo caso
Ci vuole un minuto:
- Configura un DNS pubblico cifrato (per esempio
one.one.one.onecome DNS privato su Android, o 1.1.1.1 con DoH nel browser). - Prova ad aprire il sito. Se si apre, il blocco era per DNS. Fine.
- Se non si apre, verifica che il nome si risolva: lo strumento di lookup DNS restituisce l’IP vero del dominio. Se lo restituisce ma il sito non carica o va in «timeout», il blocco è per IP o SNI. Cambiare DNS non ti servirà.
Nel terzo caso, ad aggirare il blocco è una VPN, che cifra tutta la connessione e la fa uscire da un altro paese, o un browser che cifri l’SNI (Encrypted Client Hello, che Firefox e Chrome già supportano quando lo fa anche il sito). Ma quello è un altro articolo.
Quale DNS usare
Per questo scopo, un resolver senza filtri e non soggetto allo stesso ordine di blocco:
| Resolver | Nome per DNS privato / DoT | IP |
|---|---|---|
| Cloudflare | one.one.one.one | 1.1.1.1 |
| Quad9 (solo malware) | dns.quad9.net | 9.9.9.9 |
dns.google | 8.8.8.8 | |
| DNS4EU, variante senza filtri | unfiltered.joindns4.eu | 86.54.11.100 |
Evita per questo i resolver con filtro famiglia o pubblicità: bloccano per conto loro, e farai fatica a distinguere un blocco dell’operatore da uno del resolver.
Cosa il DNS non fa
- Non cambia il tuo indirizzo IP né il tuo paese apparente: i siti continuano a sapere da dove sei.
- Non cifra la navigazione, solo la risoluzione dei nomi. L’operatore continua a vedere a quali IP ti colleghi.
- Non aggira i blocchi per IP né per SNI, come abbiamo visto.
- Non apre siti giù o che bloccano il tuo paese per conto loro (geoblocco del sito stesso).
Per tutto questo lo strumento è una VPN. Il DNS è lo strumento quando il problema è, nello specifico, che il tuo operatore non risolve un nome. Che è il problema più comune, e per questo esiste questo articolo.
Sulla legalità
Cambiare il DNS del proprio dispositivo è in generale legale, e i resolver pubblici esistono proprio perché ognuno scelga il suo. Il contenuto a cui accedi è un’altra questione e dipende dal tuo paese: se qualcosa è bloccato per ordine dell’autorità, accedervi può avere conseguenze a prescindere dalla tecnica. Qui spieghiamo come funziona; quello che ci fai è affar tuo.