Come Configurare DoH e DoT: Guida ai DNS Cifrati su Router e Sistemi Operativi

Nel panorama odierno delle telecomunicazioni e delle restrizioni introdotte per limitare l’accesso a specifici domini web, configurare DoH e DoT rappresenta la contromisura tecnica più efficace per salvaguardare la privacy delle proprie interrogazioni ed evitare le censure applicate direttamente dai provider di rete. Se hai già notato anomalie o blocchi indiscriminati sulla tua connessione, ti consigliamo di approfondire il fenomeno leggendo la nostra guida approfondita su Piracy Shield e i blocchi di rete in Italia.

Perché conviene configurare DoH e DoT contro i filtri di rete

Il protocollo DNS tradizionale invia le richieste di risoluzione dei nomi a dominio in chiaro sulla porta UDP/TCP 53. Questa vulnerabilità architetturale consente all’ISP o a intermediari di rete di effettuare packet inspection, intercettare i pacchetti e restituire indirizzi IP alterati (DNS hijacking o sinkholing). Per aggirare queste manipolazioni sono stati creati due standard cifrati:

  • DNS-over-HTTPS (DoH): Incapsula le query DNS all’interno di normali sessioni HTTPS (porta 443). Poiché il traffico è indistinguibile da una normale navigazione web sicura, il blocco mirato risulta estremamente complesso per i filtri intermedi.
  • DNS-over-TLS (DoT): Utilizza una sessione TLS dedicata sulla porta 853. Offre un’elevata efficienza computazionale ed è supportato nativamente a livello di sistema operativo da piattaforme come Android.

Adottare questi protocolli consente non solo di bypassare i filtri DNS imposti localmente, ma anche di impedire a terzi di monitorare la cronologia delle risoluzioni del dominio.

Guida alla configurazione sui sistemi operativi

Vediamo ora la procedura pratica per configurare DoH e DoT sui principali sistemi operativi desktop e mobile.

Configurazione su Windows 11 (DoH)

  1. Apri le Impostazioni (scorciatoia Win + I) e recati in Rete e Internet.
  2. Seleziona la tua interfaccia di connessione attiva (Wi-Fi o Ethernet) e clicca su Proprietà hardware.
  3. In corrispondenza della voce Assegnazione server DNS, clicca su Modifica e imposta il menu a tendina su Manuale.
  4. Attiva l’opzione IPv4 e inserisci i server primari e secondari (ad esempio Cloudflare: 1.1.1.1 e 1.0.0.1 oppure Quad9: 9.9.9.9 e 149.112.112.112).
  5. Nel campo Crittografia DNS, seleziona Solo crittografato (DNS su HTTPS) per forzare la cifratura del traffico.

Configurazione su macOS e iOS (DoH / DoT)

Su macOS (da macOS 11 Big Sur in poi) e iOS, il supporto a DoH e DoT avviene nativamente tramite profili di configurazione firmati (.mobileconfig). Per attivarli senza software di terze parti:

  • Scarica un profilo certificato fornito direttamente da provider affidabili come Quad9 o NextDNS.
  • Fai doppio clic sul file scaricato, apri Impostazioni di Sistema > Privacy e sicurezza > Profili e conferma l’installazione.
  • In alternativa, su macOS puoi installare utility open source basate su riga di comando come dnscrypt-proxy o client dedicati.

Configurazione su Android (DoT – DNS Privato)

A partire da Android 9 Pie, il sistema integra il supporto nativo a DNS-over-TLS:

  1. Apri le Impostazioni dello smartphone e vai su Rete e Internet (o Connessione e condivisione).
  2. Tocca la voce DNS Privato.
  3. Seleziona Nome host del provider DNS privato e inserisci il dominio DoT desiderato, ad esempio one.one.one.one (Cloudflare) oppure dns.quad9.net (Quad9).
  4. Salva per applicare la crittografia a qualsiasi rete a cui ti colleghi, sia Wi-Fi che dati cellulari.

Configurare DoT e DoH a livello di Router

Impostare la cifratura direttamente sul router di casa protegge istantaneamente tutti i dispositivi della LAN (comprese Smart TV, console e device IoT che non supportano DoH nativo).

Su router AVM FRITZ!Box (DoT)

  1. Accedi al pannello di amministrazione digitando http://fritz.box.
  2. Vai in Internet > Dati di accesso > Server DNS.
  3. Scorri fino alla sezione Risoluzione dei nomi crittografata in rete (DoT) e spunta Risoluzione dei nomi crittografata in rete (DNS over TLS) attiva.
  4. Inserisci nei campi appositi i nomi di risoluzione del server (es. dns.quad9.net o one.one.one.one).
  5. Spunta l’opzione di riserva per impedire la navigazione non cifrata in caso di disconnessione del resolver DoT e applica le modifiche.

Su router Keenetic o con firmware OpenWrt

Nei sistemi OpenWrt è possibile installare i pacchetti https-dns-proxy o stubby per gestire rispettivamente DoH e DoT con reindirizzamento locale su Dnsmasq. Su KeeneticOS, la funzione DoH/DoT è attivabile con un semplice interruttore dalla sezione Impostazioni di rete > Server DNS aggiungendo l’indirizzo URL del resolver.

Come verificare il corretto funzionamento

Al termine delle configurazioni, verifica che il tuo traffico non utilizzi più le porte in chiaro. Puoi testare la configurazione visitando:

  • Cloudflare Connection Test: 1.1.1.1/help per verificare se “Using DNS over HTTPS (DoH)” o “DoT” risulta impostato su Yes.
  • Quad9 Verification: on.quad9.net per confermare che le query siano inoltrate al cluster cifrato protetto da sinkholing illegittimo.

In conclusione, configurare DoH e DoT sulla propria rete domestica garantisce un’eccellente difesa contro la manipolazione delle richieste web da parte dei resolver degli operatori e preserva l’integrità delle tue sessioni di navigazione.

Articoli simili