Di default, una VPN è tutto o niente: accendila e tutto ciò che il tuo dispositivo invia passa attraverso il tunnel criptato. Il split tunneling rompe questa regola. Ti permette di scegliere quale traffico passa attraverso la VPN e quale utilizza la tua connessione normale — utile, ma con un compromesso che vale la pena comprendere. Questa guida spiega cos'è il split tunneling, i tipi, perché viene utilizzato, il compromesso onesto e come farlo su un setup WireGuard auto-ospitato.
La definizione breve
Il split tunneling è una funzione VPN che instrada parte del tuo traffico attraverso il tunnel criptato e lascia che il resto passi direttamente attraverso la tua normale connessione internet. Invece di un tunnel che trasporta tutto, dividi il tuo traffico in due percorsi: protetto (attraverso la VPN) e diretto (non protetto). Sei tu a decidere quale è quale.
Come funziona
Imposti delle regole che dicono alla VPN quale traffico includere o escludere. Queste regole di solito funzionano in uno dei seguenti modi:
- Basato su app — scegli app specifiche da inviare attraverso la VPN (o da tenere fuori). Comune nei client VPN per desktop e Android.
- Basato sulla destinazione — instrada per intervallo IP o dominio, così il traffico verso certi siti o reti utilizza il tunnel e il resto no.
- Split tunnel inverso — tutto passa attraverso la VPN eccetto una breve lista che escludi (utile per un'app che si comporta male dietro una VPN).
Qualunque sia il metodo, il client VPN applica le tue regole a ogni connessione e la invia lungo il percorso giusto.
Perché viene utilizzato
Il split tunneling riguarda principalmente la comodità e le prestazioni:
- Velocità e larghezza di banda. Il traffico che non necessita di protezione salta il passaggio extra della VPN, quindi è più veloce e non consuma la larghezza di banda del tunnel. Grandi download o videochiamate spesso vanno dirette.
- Accesso alla rete locale. Puoi raggiungere la tua stampante, NAS o altri dispositivi domestici mentre la VPN rimane attiva per tutto il resto — normalmente un tunnel completo ti taglierebbe fuori da essi.
- Accesso duale. Usa un servizio che blocca le VPN (alcune app bancarie o di streaming) sulla tua connessione reale mentre un'altra app rimane sulla VPN — senza dover attivare e disattivare.
Il compromesso onesto
Ecco la parte che conta: qualsiasi cosa instradi fuori dal tunnel non è protetta. Quel traffico utilizza il tuo vero IP ed è visibile alla tua rete e al tuo ISP, esattamente come se la VPN fosse spenta. Il split tunneling scambia un po' di protezione per comodità, e il rischio principale è la configurazione errata — escludere qualcosa di sensibile per errore, o una query DNS che fuoriesce dal tunnel rivelando cosa stai facendo.
Quindi la regola generale è semplice: escludi solo il traffico che non ti dispiace sia non protetto. Se stai usando una VPN per la privacy o su una rete ostile, un tunnel completo — tutto attraverso la VPN — è l'impostazione predefinita più sicura, e il split tunneling è l'eccezione deliberata che fai per un'app specifica.
Farlo da soli su WireGuard
Se gestisci la tua VPN, hai già il split tunneling — è solo l'impostazione AllowedIPs nella configurazione del tuo client WireGuard. AllowedIPs = 0.0.0.0/0, ::/0 instrada tutto il traffico attraverso il tunnel (un tunnel completo). Elenca solo sottoreti specifiche invece, e solo quel traffico utilizza WireGuard mentre tutto il resto rimane sulla tua connessione normale (un split tunnel). Non è necessario alcun interruttore speciale — la configurazione del routing è il controllo, il che è un altro motivo per cui un server WireGuard auto-ospitato ti dà un comando preciso sul tuo traffico.
Il verdetto
Il split tunneling è una funzione davvero utile per velocità, accesso locale e connessioni duali — purché tu ricordi che il traffico escluso non riceve alcuna protezione dalla VPN. Usalo deliberatamente per le app che ne beneficiano, mantieni qualsiasi cosa sensibile all'interno del tunnel, e in caso di dubbio, instrada tutto attraverso la VPN.
★ Datacenter GDPR di Norimberga · ✓ IPv4 dedicato incluso · 200+ Mbps garantiti
A VPS you fully control for tunneling & obfuscation → ContaboRoot access · open any port · run your own stack→
