Kill Switch in VPN: cos'è e a cosa serve

Il kill switch in VPN è una funzione di sicurezza che blocca automaticamente tutto il traffico internet se la connessione al server VPN viene interrotta o è instabile. Immagina: stai guardando YouTube tramite VPN e all'improvviso la connessione cade per alcuni secondi. Senza il kill switch, il tuo vero indirizzo IP diventa visibile al provider. Con il kill switch, tutto è semplice: internet viene completamente bloccato finché la VPN non si riconnette. Questo è critico per chi aggira i blocchi di YouTube, TikTok, Instagram, Facebook, Twitter/X e Telegram in paesi con una forte censura.

In questo articolo esamineremo come funziona il kill switch in VPN, se protegge da DPI e Roskomnadzor, come configurarlo su Windows, macOS, iOS, Android, e mostreremo test reali di perdita IP. Questo non è materiale di marketing: solo informazioni oneste su cosa può e cosa non può fare il kill switch.

Cos'è il kill switch in VPN e come funziona

Definizione e principio di base

Il kill switch è un filtro di rete che si attiva in caso di interruzione o instabilità della connessione al server VPN. La funzione è semplice: se la connessione viene persa, il kill switch blocca immediatamente tutto il traffico in uscita finché la VPN non si ripristina.

Ecco come funziona nella realtà. Sei connesso a una VPN tramite WireGuard, il tuo IP è nascosto. Il server perde il segnale per 3 secondi. In questi 3 secondi, senza il kill switch, il tuo browser richiederebbe YouTube con il vero IP, e il provider registrerebbe il tentativo di accesso. Con il kill switch, internet smette semplicemente di funzionare: nessun pacchetto passerà finché la VPN non si riconnette.

Non è magia. Il kill switch non cripta il traffico, non lo nasconde da DPI e non protegge da Roskomnadzor. È semplicemente un blocco a livello di OS o applicazione. Alcune persone pensano che il kill switch le salvi da tutti i problemi: non è così. Racconteremo la verità qui sotto.

Differenza tra kill switch di sistema e applicazione VPN

Ci sono due modi per implementare il kill switch: a livello di applicazione VPN o a livello di sistema operativo.

Kill switch nell'applicazione VPN — è semplicemente un'opzione nelle impostazioni. Attivi la casella, e l'applicazione monitora la propria connessione. Se la connessione cade, l'applicazione invia un comando al sistema operativo per bloccare tutto internet (tranne se stessa). È semplice, ma non completo: se l'applicazione VPN si chiude o si blocca, il kill switch potrebbe non attivarsi.

Kill switch di sistema funziona a livello del firewall del sistema operativo o persino del router. Ad esempio, su macOS potrebbe essere il filtro dei pacchetti PF, su Windows il firewall di Windows integrato. Il kill switch di sistema funziona indipendentemente dall'applicazione VPN, quindi è più affidabile. Se l'applicazione si chiude, il sistema bloccherà comunque la rete.

Sul router, il kill switch funziona a livello di rete e protegge tutti i dispositivi connessi contemporaneamente. Questo è il più potente, ma richiede una configurazione corretta e una connessione più stabile.

Come il kill switch blocca il traffico in caso di perdita di connessione

La meccanica è semplice. Quando la VPN è connessa, il tuo dispositivo ha due attività di rete:

• Traffico all'interno del tunnel VPN (protetto)
• Rete locale (192.168.x.x, stampa, router, ecc.)

Il kill switch monitora il tunnel VPN. Non appena il tunnel si interrompe, la regola del firewall si attiva e blocca tutto il traffico in uscita, tranne quello necessario per riconnettersi al server VPN.

Nella pratica, appare così: hai aperto una scheda con YouTube, ma la VPN si è disconnessa. Senza il kill switch, il browser invierebbe una richiesta a YouTube con il vero IP: il provider lo vede. Con il kill switch, il browser non invia nulla, internet semplicemente non funziona. Dopo 1-5 secondi, la VPN si riconnette (la velocità dipende dal protocollo), il kill switch rilascia il blocco, YouTube si carica come se nulla fosse.

Kill switch e protezione dai blocchi dei provider: aiuto reale

Il kill switch protegge da DPI e rallentamenti da parte del provider?

Risposta breve: no, il kill switch non protegge da DPI.

Ecco perché. DPI (Deep Packet Inspection) è l'analisi del traffico a livello di pacchetti. Il provider vede che stai usando una VPN non perché vede il tuo indirizzo IP, ma perché i modelli di traffico rivelano la VPN (pacchetti criptati con dimensioni, frequenze e metadati caratteristici). Il kill switch qui è impotente: blocca solo le evidenti perdite di IP tramite il browser.

Se il provider decidesse di bloccare la VPN tramite DPI, bloccherebbe o il protocollo stesso (ad esempio, le porte OpenVPN 1194 o WireGuard 51820), o i modelli di traffico in generale. Il kill switch non previene questo. Il provider vede comunque che stai usando una VPN e può rallentare o bloccare la connessione.

Cosa fa il kill switch: protegge dalla perdita del tuo vero IP in caso di guasto. Queste sono cose diverse. Il kill switch è necessario per la privacy, ma non risolve il blocco da parte di DPI.

Kill switch nell'aggirare YouTube, TikTok, Instagram, Facebook, Twitter/X, Telegram

Il kill switch aiuta nell'aggirare questi servizi solo in uno scenario: se la connessione VPN si perde per alcuni secondi. Immagina: stai guardando TikTok tramite VPN, il provider decide di interrompere e rompe la connessione (questo è possibile a livello di router). Senza il kill switch, apriresti TikTok con il vero IP per 5-10 secondi, e il provider registrerebbe il tentativo. Con il kill switch, internet si disattiva semplicemente, non aprirai nulla.

Ma se il provider blocca attivamente la VPN tramite DPI, il kill switch non aiuterà. Ad esempio, Beeline, Rostelecom e MTS in Russia usano DPI per rilevare OpenVPN e WireGuard sulle porte standard. Il kill switch non può aggirare questo blocco: è necessario cambiare protocollo in Shadowsocks, VLESS/XRay o Amnezia.

Pertanto, il kill switch non è la principale protezione dai blocchi, ma un ulteriore livello di privacy in caso di guasti di connessione.

Perché il kill switch non salva se il provider blocca le porte VPN

Se il provider ha bloccato le porte (ad esempio, 1194 per OpenVPN o 51820 per WireGuard), il kill switch non ha alcuna importanza. Il kill switch si attiva solo se la connessione è stata stabilita e poi interrotta. Se non è possibile connettersi al server VPN fin dall'inizio, il kill switch non aiuterà.

In questo caso è necessario:

• Cambiare protocollo in Shadowsocks o VLESS/XRay (più facile da bloccare)
• Utilizzare porte non standard (ad esempio, WireGuard su 443 invece di 51820)
• Provare Amnezia o Stealth VPN, che nascondono il fatto stesso di utilizzare una VPN
• Utilizzare server proxy intermedi prima della VPN

Il kill switch in questo scenario non è necessario: la connessione non verrà stabilita.

Test e esempi reali: perdite di IP quando la VPN è disattivata

Come verificare che il kill switch funzioni (senza kill switch vs con kill switch)

Ecco un test pratico che puoi fare subito. Hai bisogno di un sito per controllare l'IP, ad esempio whoami.akamai.net o myip.com.

Passo 1: Apri whoami.akamai.net nel browser. Annota il tuo indirizzo IP reale (sembra 192.168.1.100 o xxx.xxx.xxx.xxx).

Passo 2: Connettiti alla VPN (ad esempio, tramite NvoVPN, ExpressVPN, ProtonVPN, Mullvad o qualsiasi altro servizio). Apri di nuovo whoami.akamai.net. Dovresti vedere un altro indirizzo IP: questo è l'indirizzo IP del server VPN. Se l'IP non è cambiato, la VPN non funziona.

Passo 3 (test senza kill switch): Disconnetti la VPN nelle impostazioni di rete (non tramite l'app, ma direttamente nelle impostazioni Wi-Fi o Ethernet). Apri subito whoami.akamai.net. Se il kill switch è disattivato, vedrai il tuo indirizzo IP reale: questa è una perdita. Il tuo provider vede che hai aperto questo sito.

Passo 4 (test con kill switch): Ricollegati alla VPN, attiva il kill switch nelle impostazioni dell'app VPN. Ripeti il passo 3: disconnetti la VPN. Questa volta whoami.akamai.net non si caricherà affatto. È normale, il kill switch blocca tutto il traffico. Ricollegati alla VPN e il sito si caricherà.

La differenza è evidente. Senza kill switch vedi una perdita di IP in 1-2 secondi. Con il kill switch non ci sono perdite, perché il browser non può inviare nulla.

Test di perdita DNS quando la connessione è disattivata

Il kill switch protegge dalle perdite di IP, ma non sempre dalle perdite di DNS. DNS è il servizio che traduce il nome del sito (youtube.com) in un indirizzo IP. Se il tuo dispositivo utilizza il DNS del provider (Rostelecom, Beeline, ecc.), vede quali siti visiti, anche se sei in VPN.

Perché? Perché la richiesta DNS può andare al server del provider a livello delle impostazioni di rete, bypassando il tunnel VPN. Il kill switch non può intercettare la perdita DNS a livello di sistema operativo.

Controlla questo su dnsleaktest.com. Accedi lì tramite VPN con il kill switch attivato. Se vedi i server DNS del provider (Rostelecom, Beeline, MTS) invece dei server VPN, allora il DNS sta perdendo. Questo significa che il provider vede quali siti visiti.

Soluzione: nelle impostazioni dell'app VPN imposta i protocolli DNS-over-HTTPS o DNS-over-TLS (di solito sono DOH e DOT rispettivamente). Questo garantisce che tutte le richieste DNS passino attraverso il tunnel VPN, e non direttamente al provider. La maggior parte delle moderne app VPN supporta questa funzione.

Perdite WebRTC e ruolo del kill switch

WebRTC è un protocollo per videochiamate e flussi multimediali nel browser. Il problema è che WebRTC può rivelare il tuo indirizzo IP reale anche se sei in VPN. Ecco perché:

Il browser utilizza WebRTC per rilevare l'indirizzo IP locale e pubblico per ottimizzare la connessione. Queste informazioni vengono trasmesse senza crittografia e possono essere intercettate da codice JavaScript sul sito. Il kill switch NON protegge dalle perdite WebRTC, perché il traffico avviene all'interno del browser, e non a livello di pacchetti di rete.

Controllati su ipleak.net. Se vedi il tuo IP reale nella sezione WebRTC, significa che c'è una perdita. Soluzione: disattiva WebRTC nel browser.

Su Firefox è semplice: apri about:config, cerca media.peerconnection.enabled e impostalo su false. Su Chrome è più complicato: hai bisogno di un'estensione come WebRTC Leak Prevent o CyberGhost (che bloccano WebRTC a livello di browser). Il kill switch qui non aiuta, perché la perdita avviene all'interno del browser.

Impostazione del kill switch su diversi dispositivi e protocolli

Kill switch su Windows: firewall integrato vs app VPN

Su Windows ci sono due modi per impostare il kill switch: tramite l'app VPN (facile) o tramite Windows Firewall (più difficile, ma più sicuro).

Metodo 1: Kill switch nell'app VPN (raccomandato per la maggior parte)

Quasi tutte le app VPN su Windows hanno l'opzione Kill Switch. Cercala nelle impostazioni dell'app:

• Apri l'app VPN
• Vai su Impostazioni o Preferenze
• Trova l'opzione "Kill Switch" o "Network Lock" o "Internet Kill Switch"
• Attiva la casella accanto ad essa

Alcune app consentono di configurare il comportamento del kill switch. Ad esempio, in NvoVPN e ProtonVPN ci sono opzioni:

• "Blocca tutto il traffico" — blocca tutto il traffico in caso di errore
• "Consenti rete locale" — consente il traffico locale (stampa, accesso al router su 192.168.x.x)
• "Whitelist applicazioni" — escludere determinate applicazioni dal blocco

Si consiglia di attivare "Consenti rete locale", altrimenti non sarà possibile stampare su una stampante locale o connettersi al router mentre l'interruttore di emergenza è attivo.

Metodo 2: Interruttore di emergenza tramite Windows Firewall (utenti avanzati)

Se la tua applicazione VPN non ha un interruttore di emergenza integrato, puoi configurarlo tramite Windows Firewall:

1. Apri Windows Security (cerca nel menu Start)
2. Vai su Firewall & protezione della rete
3. Fai clic su Consenti un'app attraverso il firewall
4. Fai clic su Modifica impostazioni, quindi su Consenti un'altra app
5. Seleziona la tua applicazione VPN
6. Assicurati che siano consentite solo le reti private (Private), lascia disattivate le reti pubbliche (Public)

Questo metodo è più limitato rispetto all'interruttore di emergenza nell'app, poiché richiede una gestione manuale delle regole. L'interruttore di emergenza nell'app VPN automatizza tutto questo.

Configurazione su macOS e iOS: limitazioni di sistema

macOS: Interruttore di emergenza tramite Preferenze di Sistema

Su macOS, l'interruttore di emergenza è implementato tramite il filtro pacchetti PF (Packet Filter). La maggior parte delle applicazioni VPN (Mullvad, ProtonVPN, Windscribe) ha un interruttore di emergenza integrato che attiva automaticamente le regole PF.

Per attivare l'interruttore di emergenza su macOS nell'app VPN:

• Apri l'app VPN
• Vai su Preferenze o Impostazioni
• Trova l'opzione "Interruttore di emergenza" o "Blocco rete"
• Attivalo
• Il sistema chiederà la password dell'amministratore — inseriscila

L'interruttore di emergenza su macOS funziona a livello di sistema tramite il firewall PF, quindi è più affidabile rispetto a Windows. Se l'app VPN si arresta, l'interruttore di emergenza continuerà a funzionare.

iOS: Interruttore di emergenza limitato dal sistema

Su iOS, l'interruttore di emergenza ha restrizioni severe poiché Apple non consente alle app di controllare completamente la rete.

L'interruttore di emergenza su iOS funziona solo all'interno dell'app VPN. Se chiudi l'app o iOS passa a un'altra rete (ad esempio, da Wi-Fi a mobile 4G), l'interruttore di emergenza non sarà in grado di intercettare questo passaggio.

Ecco uno scenario problematico: sei connesso a VPN tramite Wi-Fi, stai guardando TikTok, l'interruttore di emergenza è attivo. Il Wi-Fi si disconnette improvvisamente. iOS passa automaticamente alla rete mobile 4G. L'interruttore di emergenza NON funzionerà, perché si tratta di un'azione di sistema, non di un errore della connessione VPN. Il tuo vero IP sarà visibile a TikTok per alcuni secondi, finché l'app VPN non si riconnette.

Soluzione: disattiva manualmente il Wi-Fi (tramite il Centro di Controllo) prima di attivare la rete mobile, se sei preoccupato per la perdita dell'IP. Questo darà all'app VPN il tempo di riconnettersi alla rete mobile senza perdere traffico.

Android: come trovare l'opzione interruttore di emergenza nell'app VPN

Su Android, l'interruttore di emergenza si trova in diverse posizioni a seconda dell'app VPN, ma il principio generale è lo stesso.

Passaggi standard per la maggior parte delle app VPN:

1. Apri l'app VPN
2. Fai clic sull'icona del menu (tre punti) o vai su Impostazioni
3. Trova la sezione Sicurezza, Privacy o Impostazioni avanzate
4. Cerca l'opzione "Interruttore di emergenza" o "Blocco rete" o "VPN sempre attiva"
5. Attivalo

Configurazione aggiuntiva su Android:

Su Android 10+ puoi attivare "VPN sempre attiva" nelle impostazioni di sistema (Impostazioni → Avanzate → VPN). Questo garantisce che se la connessione viene persa, tutto il traffico sarà bloccato a livello di sistema.

Per un kill switch più affidabile su Android:

• Attiva "Block unencrypted traffic" nelle impostazioni VPN (se disponibile)
• Attiva "Always-on VPN" nelle impostazioni di sistema
• Disattiva "Allow bypassing VPN" se l'opzione è disponibile

Su Android il kill switch funziona meglio che su iOS, perché il sistema consente un maggiore controllo. Ma c'è comunque un rischio quando si passa tra le reti.

Kill switch sul router: protezione di tutti i dispositivi contemporaneamente

Il kill switch sul router è il metodo più potente, perché protegge tutti i dispositivi connessi contemporaneamente (smartphone, TV, laptop, stampanti, ecc.).

Come funziona: se il router perde la connessione con la VPN, interrompe l'accesso a Internet per tutti i dispositivi in casa. Il kill switch sul router blocca non un'applicazione singola, ma tutto il traffico in uscita.

Impostazione del kill switch sul router con OpenVPN:

La maggior parte dei router moderni con supporto OpenVPN (DD-WRT, OpenWrt, Tomato, Asus AiProtection) ha un kill switch integrato. Cerca nelle impostazioni del router:

• Accedi al pannello di amministrazione del router (di solito 192.168.1.1 o 192.168.0.1)
• Vai alla sezione VPN o OpenVPN
• Trova l'opzione "Kill Switch" o "Block internet if VPN disconnects"
• Attivala

Impostazione del kill switch sul router con WireGuard:

WireGuard sul router richiede una configurazione più complessa. È necessario creare una regola del firewall che blocca il traffico se l'interfaccia wg0 non è attiva:

In OpenWrt (tramite SSH): aggiungi la regola nel file /etc/config/firewall:

config rule
    option src 'lan'
    option dest 'wan'
    option target 'REJECT'
    option enabled '0'

È un po' complicato per i principianti, quindi molti usano uno script di monitoraggio che controlla lo stato di WireGuard ogni 10 secondi e disconnette Internet se la connessione viene persa.

Edge case: disconnessioni frequenti del kill switch sul router

Se il tuo router perde la connessione con la VPN ogni 30 minuti, il kill switch bloccherà tutto Internet in casa per 30 secondi ogni volta. Questo è poco pratico. Soluzione: migliora la stabilità della connessione VPN sul router:

• Controlla i log del router (System → Log) per le cause delle disconnessioni
• Cambia server VPN con uno più stabile (scegli server più vicini alla tua posizione)
• Prova un altro protocollo (WireGuard si riconnette più velocemente di OpenVPN)
• Disattiva temporaneamente il kill switch e imposta l'intervallo di riconnessione a 5-10 secondi invece di un'attesa infinita

WireGuard vs OpenVPN vs IKEv2 vs Shadowsocks: supporto del kill switch

I diversi protocolli hanno un diverso supporto per il kill switch. Ecco un confronto:

WireGuard + kill switch: La scelta migliore per la maggior parte. Il kill switch è integrato nell'app, si riconnette rapidamente (1-2 secondi). L'unico problema è che WireGuard è facilmente bloccabile tramite DPI, quindi se il provider blocca attivamente, sono necessari porti non standard o un altro protocollo.

OpenVPN + kill switch: Il kill switch su OpenVPN richiede uno script aggiuntivo killswitch.sh, è più complicato. La riconnessione è più lenta (3-5 secondi), quindi il rischio di perdita dell'IP è maggiore. Consigliamo solo se altri protocolli non funzionano.

IKEv2 + kill switch: Integrato nel sistema su iOS e Windows, funziona rapidamente (2-3 secondi). Ma IKEv2 non è così popolare e non tutti i servizi VPN lo supportano.

Shadowsocks + kill switch: Shadowsocks non è di per sé una VPN, è un proxy. Il kill switch è implementato tramite un'app di wrapping esterna (ad esempio, Clash o Quantumult). La riconnessione è rapida (0.5-1 secondi) ed è più difficile da bloccare per il provider. È una buona scelta per aggirare il DPI, ma richiede più configurazioni.

Kill switch su Smart TV, Apple TV, console e IoT: caratteristiche

Perché il kill switch su Smart TV spesso non funziona

La maggior parte delle Smart TV (Samsung, LG, Sony, Xiaomi) non ha un'app VPN completa con kill switch. Le TV utilizzano sistemi operativi come WebOS, TizenOS o Android TV, che hanno forti limitazioni sul controllo della rete.

Soluzione: configura il VPN a livello del router, non sulla TV stessa. Se il router è connesso al VPN, tutti i dispositivi in casa (inclusa la TV) utilizzano automaticamente il VPN. Il kill switch funziona a livello del router, quindi protegge tutto.

Ecco come appare nella realtà: il tuo router è connesso a una VPN con il kill switch attivato. La Smart TV è connessa al router. Apri YouTube sulla TV. Se il router perde la connessione con la VPN, il kill switch interrompe tutta l'internet in casa. YouTube sulla TV mostrerà un errore invece del video. Dopo 5-10 secondi, il router si riconnetterà e YouTube tornerà a funzionare.

Questo è buono per la privacy (il provider non vede il tuo IP reale), ma può essere fastidioso se la connessione VPN è instabile. Controlla i log del router e assicurati che la VPN si riconnetta in modo stabile (non più di una volta all'ora).

Aggirare i blocchi di YouTube, Netflix sulla TV con VPN

Il kill switch aiuta ad aggirare i blocchi di YouTube e Netflix sulla TV solo se la connessione VPN viene persa temporaneamente. Se il provider blocca attivamente la VPN (DPI), allora:

• YouTube sulla TV non si caricherà affatto
• Netflix mostrerà l'errore "Sembri utilizzare una VPN" (alcuni servizi bloccano gli account VPN)
• TikTok non si aprirà affatto sulla TV (non esiste un'app ufficiale per la maggior parte)

Il kill switch qui non aiuta — è una questione di blocco a livello di protocollo.

Per far funzionare YouTube e Netflix sulla TV tramite VPN:

• Assicurati che il router sia connesso alla VPN (non la TV direttamente)
• Scegli un server VPN in un altro paese, se YouTube o Netflix sono bloccati nel tuo paese
• Utilizza il protocollo Shadowsocks o VLESS invece del WireGuard/OpenVPN standard, se il provider blocca
• Se la VPN non si connette affatto, significa che il provider ha bloccato anche i protocolli offuscati — sono necessari metodi più avanzati

Kill switch su console di gioco (PS5, Xbox Series X)

Sulle console non è possibile installare direttamente un'app VPN. L'unico modo per utilizzare la VPN sulla console è configurarla a livello di router o creare una rete Wi-Fi virtuale con la VPN.

Metodo 1: VPN sul router (consigliato)

Tutte le console sono collegate al router tramite Wi-Fi o Ethernet. Se il router utilizza la VPN, la console è automaticamente protetta. Il kill switch funziona a livello di router, quindi se la connessione VPN viene persa, tutta la connessione internet per la console viene bloccata.

Metodo 2: rete VPN su computer

Se il tuo router non supporta VPN, puoi creare una rete Wi-Fi virtuale sul computer (Windows o macOS) e condividere la connessione VPN con la console. È più complicato, ma funziona.

Il kill switch in questo scenario funziona a livello di computer e dell'app VPN, ma non a livello di console. Se il computer si disconnette, la console perderà internet.

Il problema con entrambi i metodi: il provider può bloccare i servizi web della console (PS Store, Xbox Game Pass) a livello IP o DPI. Il kill switch non può risolvere questo problema, perché si tratta di un blocco a livello di servizio, non di una perdita IP.

FAQ: Domande frequenti sul kill switch VPN spiegato