Cos'è lo split tunneling? 3 tipi, il rischio e una configurazione WireGuard

Di default una VPN è tutto o niente: la accendi e tutto ciò che il tuo dispositivo invia passa nel tunnel cifrato. Lo split tunneling rompe questa regola. Ti permette di scegliere quale traffico passa nella VPN e quale usa la tua connessione normale: utile, ma con un rovescio della medaglia che vale la pena capire. Questa guida spiega cos'è lo split tunneling, i suoi tipi, perché lo si usa, il compromesso reale e come farlo su un'installazione WireGuard self-hosted.

Cos'è lo split tunneling di una VPN?

Lo split tunneling è una funzione VPN che instrada una parte del tuo traffico nel tunnel cifrato e lascia che il resto esca direttamente sulla tua normale connessione internet. Invece di un unico tunnel che trasporta tutto, dividi il traffico in due percorsi: protetto (nella VPN) e diretto (fuori). Sei tu a decidere cosa va dove.

Come instrada davvero il traffico lo split tunneling?

Imposti delle regole che dicono alla VPN quale traffico includere o escludere. Di solito queste regole funzionano in uno di questi modi:

• Per app: scegli app specifiche da mandare nella VPN (o da tenerne fuori). Comune nei client VPN desktop e Android.
• Per destinazione: instradi per intervallo IP o dominio, così il traffico verso certi siti o reti usa il tunnel e il resto no.
• Split tunnel inverso: tutto passa nella VPN tranne una breve lista che escludi (comodo per un'app che si comporta male dietro una VPN).

Qualunque sia il metodo, il client VPN applica le tue regole a ogni connessione e la manda sul percorso giusto.

Perché usare lo split tunneling?

Lo split tunneling riguarda soprattutto comodità e prestazioni:

• Velocità e banda. Il traffico che non ha bisogno di protezione salta il passaggio in più della VPN, quindi è più rapido e non consuma la capacità del tunnel. Download pesanti o videochiamate spesso vanno diretti.
• Accesso alla rete locale. Puoi raggiungere stampante, NAS o altri dispositivi di casa mentre la VPN resta attiva per tutto il resto; normalmente un tunnel completo ti taglierebbe fuori da questi dispositivi.
• Doppio accesso. Usi un servizio che blocca le VPN (alcune app bancarie o di streaming) sulla tua connessione reale mentre un'altra app resta nella VPN, senza accendere e spegnere.

Quali sono i rischi dello split tunneling?

Ecco la parte che conta: tutto ciò che instradi fuori dal tunnel non è protetto. Quel traffico usa il tuo vero IP ed è visibile alla tua rete e al tuo provider, esattamente come se la VPN fosse spenta. Lo split tunneling scambia un po' di protezione con la comodità, e il rischio principale è la configurazione sbagliata: escludere per errore qualcosa di sensibile, oppure una query DNS che esce dal tunnel e rivela cosa stai facendo.

La regola pratica quindi è semplice: escludi solo il traffico che davvero non ti dispiace lasciare senza protezione. Se usi una VPN per la privacy o su una rete ostile, il tunnel completo (tutto nella VPN) è l'impostazione predefinita più sicura, e lo split tunneling è l'eccezione voluta che fai per un'app specifica.

Windows o macOS fanno split tunneling di default?

La maggior parte delle spiegazioni sullo split tunneling salta la domanda che in pratica decide tutto: cosa succede se non configuri niente?

Su Windows, la documentazione di Microsoft risponde in modo diretto. Il force tunnel è la configurazione predefinita e si applica quando non sono specificate route. In una configurazione force tunnel, tutto il traffico passa nella VPN. Lo split tunneling non è quindi lo stato in cui finisci per caso, è lo stato che devi chiedere.

Vale la pena conoscere il meccanismo perché rende tutto il tema meno misterioso. Microsoft descrive l'unica implicazione del force tunnel come la manipolazione delle voci di routing: le route predefinite IPv4 e IPv6 della VPN, 0.0.0.0/0 e il suo equivalente v6, vengono aggiunte alla tabella di routing con una metrica più bassa di quelle delle altre interfacce. Il traffico passa quindi nella VPN finché non esiste una route più specifica sull'interfaccia fisica.

È la stessa idea che le configurazioni WireGuard qui sotto esprimono con AllowedIPs. Produttori diversi, sintassi diversa, un solo meccanismo: chi possiede la route più specifica possiede il traffico.

Ne seguono due punti pratici.

Lo split tunneling è una scelta di routing, non una funzione di sicurezza. Microsoft presenta la scelta come una decisione che incide su la configurazione, la pianificazione della capacità e le aspettative di sicurezza della connessione. Cambia quali pacchetti sono protetti, quindi cambia ciò che la connessione promette, ed è una decisione da prendere consapevolmente, non un'opzione da attivare perché sembra più veloce.

Esistono anche le route di esclusione. Con la VPN di Windows puoi indicare route che non devono passare nel tunnel, che è l'immagine speculare di scegliere cosa ci passa. Entrambe le direzioni producono uno split tunnel; cambia solo se il tuo punto di partenza è la fiducia o l'esclusione.

Come configurare lo split tunneling su WireGuard?

Su WireGuard non esiste un interruttore chiamato "split tunnel": decidi tutto tramite AllowedIPs, che elenca ciò che il tunnel cattura. Tutto ciò che manca da quella lista continua a usare la tua connessione normale.

L'errore che ne segue è sempre lo stesso: un intervallo abbastanza ampio da inghiottire la rete locale, così stampanti e NAS smettono di rispondere mentre il tunnel è attivo, e nessuno collega le due cose. wg-clients-audit legge una cartella di configurazioni e segnala esattamente questo, insieme a indirizzi duplicati e chiavi riutilizzate.

Se gestisci la tua VPN, hai già lo split tunneling: è semplicemente l'impostazione AllowedIPs nella configurazione del client WireGuard. AllowedIPs = 0.0.0.0/0, ::/0 instrada tutto il traffico nel tunnel (un tunnel completo). Elenca invece solo sottoreti specifiche, e solo quel traffico userà WireGuard mentre tutto il resto resta sulla connessione normale (uno split tunnel). Nessun interruttore speciale: la configurazione di routing è il comando, un motivo in più per cui un server WireGuard self-hosted ti dà un controllo preciso sul tuo traffico.

Il nostro generatore di configurazioni WireGuard gratuito ti lascia scegliere un tunnel completo (0.0.0.0/0, ::/0) o uno split tunnel quando crea le configurazioni dei client, con le chiavi generate nel tuo browser. Il generatore è gratuito e senza account, fino a 250 dispositivi, e la sua esportazione ZIP raccoglie ogni .conf client e il suo codice QR in PNG, comodo per configurare un intero ufficio o una famiglia in una volta.

Configurazioni WireGuard concrete

Visto che AllowedIPs è il comando, aiuta vedere le righe reali invece del principio. Vanno nella sezione [Peer] della configurazione del client.

Tunnel completo: tutto nella VPN, l'impostazione predefinita sicura:

AllowedIPs = 0.0.0.0/0, ::/0

Split tunnel, solo la sottorete remota: raggiungi la rete di casa o dell'ufficio tramite la VPN, tutto il resto va diretto:

AllowedIPs = 10.0.0.0/24

Split tunnel, rete VPN più un servizio: il tunnel trasporta la tua sottorete privata e una destinazione specifica:

AllowedIPs = 10.0.0.0/24, 203.0.113.10/32

Un singolo indirizzo richiede il suffisso /32 (o /128 per IPv6). Nota cosa implica questo design: WireGuard divide per destinazione, non per applicazione. Se ti servono regole per app, quella logica vive nel tuo client VPN o nel sistema operativo, non in WireGuard.

Ti serve il contrario, tutto tranne la tua LAN o un indirizzo? AllowedIPs non ha una sintassi di esclusione, quindi devi elencare tutte le altre reti. Il nostro calcolatore AllowedIPs di WireGuard gratuito fa questa sottrazione per IPv4 e IPv6 e restituisce la riga esatta, più l'esclusione dell'IP del server di cui wg-quick ha bisogno su Linux.

Come verificare che lo split tunneling funzioni?

Uno split tunnel che instrada in silenzio più, o meno, di quanto volevi è il guasto più comune. Due controlli chiariscono la situazione.

Quale route viene usata. Su Linux o macOS, ip route get 1.1.1.1 (o route get 1.1.1.1) mostra l'interfaccia che userà una destinazione. Se indica la tua interfaccia WireGuard per qualcosa che volevi escludere, il tuo AllowedIPs è più ampio di quanto pensi.

Cosa vede internet. Apri una pagina che mostra l'IP dall'app che hai instradato nel tunnel, e da un'app che hai escluso. La prima dovrebbe mostrare l'indirizzo del server VPN, la seconda il tuo indirizzo reale. Se entrambe mostrano lo stesso indirizzo, non hai uno split tunnel: hai un tunnel completo oppure nessun tunnel.

La trappola del DNS

È il guasto che coglie di sorpresa, e merita un avviso a parte. Le tue query DNS possono uscire dal tunnel anche quando il traffico è instradato correttamente.

Se il client manda il DNS a un resolver raggiunto fuori dal tunnel, il tuo provider vede il nome di ogni sito che visiti, compresi quelli che hai instradato con cura nella VPN. Il traffico è cifrato; la risoluzione che lo ha preceduto no. Questo vanifica buona parte dello scopo.

In WireGuard, la riga DNS = nella sezione [Interface] del client imposta il resolver usato mentre il tunnel è attivo. Puntala su un resolver raggiungibile attraverso il tunnel se vuoi proteggere le risoluzioni. Poi verifica con un test di DNS leak invece di dare per scontato, perché i sistemi operativi hanno le loro idee sull'ordine dei resolver e a volte scavalcano le tue.

Il verdetto

Lo split tunneling è una funzione davvero utile per velocità, accesso locale e doppia connessione, purché ricordi che il traffico escluso non riceve nessuna protezione dalla VPN. Usalo consapevolmente per le app che ne beneficiano, tieni dentro il tunnel tutto ciò che è sensibile e, nel dubbio, instrada tutto nella VPN.

Il comportamento predefinito di Windows descritto qui, compreso il fatto che il force tunnel sia la configurazione predefinita quando non sono specificate route, la manipolazione delle voci di routing con una metrica più bassa delle altre interfacce, la disponibilità di route di esclusione e la presentazione della scelta come una decisione che incide su configurazione, pianificazione della capacità e aspettative di sicurezza, proviene dalla documentazione di Microsoft sulle decisioni di routing VPN, consultata al momento della stesura. Altre piattaforme hanno impostazioni predefinite diverse; controlla la documentazione del tuo client.