Kill Switch in VPN: che cos'è e a cosa serve

Kill switch in VPN — è una funzione di sicurezza che blocca automaticamente tutto il traffico internet se la connessione al server VPN si interrompe o è instabile. Immagina: stai guardando YouTube tramite VPN, e improvvisamente la connessione cade per alcuni secondi. Senza kill switch il tuo vero indirizzo IP diventa visibile al provider. Con kill switch è tutto semplice — internet viene completamente bloccato fino a quando VPN non si riconnette. Questo è fondamentale per chi aggira i blocchi di YouTube, TikTok, Instagram, Facebook, Twitter/X e Telegram nei paesi con censura ristretta.

In questo articolo analizzeremo come funziona il kill switch in VPN, se protegge da DPI e Roskomnadzor, come configurarlo su Windows, macOS, iOS, Android, e mostreremo test reali su perdite di IP. Questo non è materiale di marketing — solo informazioni oneste su ciò che kill switch può e non può fare.

Che cos'è il kill switch in VPN e come funziona

Definizione e principio fondamentale

Kill switch — è un filtro di rete che si attiva quando la connessione al server VPN si interrompe o diventa instabile. La funzione è semplice: se la connessione si perde, il kill switch blocca immediatamente tutto il traffico in uscita finché VPN non si ripristina.

Ecco come funziona nella realtà. Sei connesso a VPN tramite WireGuard, il tuo IP è nascosto. Il server perde il segnale per 3 secondi. In questi 3 secondi senza kill switch il tuo browser richiederà YouTube su IP reale, e il provider registrerà il tentativo di accesso. Con kill switch internet semplicemente smette di funzionare — nessun pacchetto passerà fino a quando VPN non si riconnette.

Questo NON è magia. Kill switch non cifra il traffico, non lo nasconde da DPI e non protegge da Roskomnadzor. È semplicemente un blocco a livello del sistema operativo o dell'applicazione. Alcune persone pensano che il kill switch le salvi da tutti i problemi — non è così. Te lo diremo onestamente sotto.

Differenza tra kill switch di sistema e applicazione VPN

Ci sono due modi per implementare il kill switch: a livello di applicazione VPN o a livello di sistema operativo.

Kill switch nell'applicazione VPN — è semplicemente un'opzione nelle impostazioni. Abiliti la casella e l'applicazione monitora la propria connessione. Se la connessione cade, l'applicazione invia un comando al sistema operativo per bloccare tutto internet (tranne se stessa). È semplice, ma incompleto — se l'applicazione VPN si arresta o si blocca, il kill switch potrebbe non attivarsi.

Kill switch di sistema funziona a livello di firewall del sistema operativo o anche del router. Ad esempio, su macOS potrebbe essere il filtro pacchetti PF, su Windows — il Windows Firewall integrato. Il kill switch di sistema funziona indipendentemente dall'applicazione VPN, quindi è più affidabile. Se l'applicazione si arresta, il sistema comunque blocca la rete.

Su un router il kill switch funziona a livello di rete e protegge tutti i dispositivi connessi contemporaneamente. È il più potente, ma richiede una corretta configurazione e una connessione più stabile.

Come il kill switch blocca il traffico quando la connessione si perde

La meccanica pro

sta. Quando VPN è connessa, il tuo dispositivo ha due attività di rete:

• Traffico all'interno del tunnel VPN (protetto)
• Rete locale (192.168.x.x, stampa, router ecc.)

Kill switch monitora il tunnel VPN. Non appena il tunnel si interrompe, la regola del firewall si attiva e blocca tutto il traffico in uscita, tranne quello necessario per riconnettersi al server VPN.

In pratica funziona così: hai aperto una scheda con YouTube, ma VPN si è disconnessa. Senza kill switch il browser invierebbe la richiesta di YouTube al tuo IP reale — il provider lo vede. Con kill switch il browser non invia nulla, internet semplicemente non funziona. Dopo 1-5 secondi VPN si riconnette (la velocità dipende dal protocollo), kill switch rilascia il blocco, YouTube si carica come se nulla fosse accaduto.

Kill switch e protezione dai blocchi dei provider: aiuto reale

Il kill switch protegge da DPI e rallentamento del provider

Risposta breve: no, kill switch non protegge da DPI.

Ecco perché. DPI (Deep Packet Inspection) — è l'analisi del traffico a livello di pacchetti. Il provider sa che usi VPN non perché vede il tuo indirizzo IP, ma perché i modelli di traffico tradiscono la VPN (pacchetti crittografati con dimensioni caratteristiche, frequenza, metadati). Kill switch è impotente qui — blocca solo le evidenti perdite di IP attraverso il browser.

Se il provider vuole bloccare VPN tramite DPI, bloccherà il protocollo stesso (ad esempio, le porte OpenVPN 1194 o WireGuard 51820), oppure i modelli di traffico nel complesso. Kill switch non lo previene. Il provider vede comunque che usi VPN e può rallentare o bloccare la connessione.

Quello che kill switch fa — protegge dalla perdita del tuo indirizzo IP reale in caso di guasto. Sono cose diverse. Kill switch serve per la privacy, il blocco DPI non lo risolve.

Kill switch quando si aggira YouTube, TikTok, Instagram, Facebook, Twitter/X, Telegram

Kill switch aiuta nell'aggirare questi servizi solo in uno scenario: se la connessione VPN si perde per pochi secondi. Immagina — stai guardando TikTok tramite VPN, il provider decide di interferire e interrompe la connessione (è possibile a livello di router). Senza kill switch aprirai TikTok dal tuo IP reale nel giro di 5-10 secondi, e il provider registrerà il tentativo. Con kill switch internet semplicemente si disconnetterà, non aprirai nulla.

Ma se il provider blocca attivamente VPN tramite DPI, kill switch non aiuterà. Ad esempio, Beeline, Rostelecom e MTS in Russia utilizzano DPI per rilevare OpenVPN e WireGuard sulle porte standard. Kill switch non può aggirare questo blocco — devi cambiare protocollo in Shadowsocks, VLESS/XRay o Amnezia.

Quindi kill switch — non è la protezione principale dai blocchi, è un livello aggiuntivo di privacy in caso di guasti di connessione.

Perché kill switch non salva se il provider blocca le porte VPN

Se il provider ha bloccato le porte (ad esempio, 1194 per OpenVPN o 51820 per WireGuard), kill switch non ha alcuna importanza.

Kill switch scatta solo se la connessione è stata stabilita e poi interrotta. Se è impossibile connettersi al server VPN fin dall'inizio, kill switch non aiuterà.

In questo caso è necessario:

• Cambiare il protocollo a Shadowsocks o VLESS/XRay (più facile da bloccare)
• Utilizzare porte non standard (ad esempio, WireGuard sulla 443 invece di 51820)
• Provare Amnezia o Stealth VPN, che nascondono il fatto stesso dell'utilizzo di VPN
• Utilizzare server proxy intermedi prima della VPN

Kill switch in questo scenario semplicemente non è necessario — la connessione non si stabilirà comunque.

Test ed esempi reali: perdite di IP quando si disconnette la VPN

Come verificare che kill switch funziona (senza kill switch vs con kill switch)

Ecco un test pratico che potete fare subito. Vi serve un sito per controllare l'IP, ad esempio whoami.akamai.net o myip.com.

Passaggio 1: Aprite whoami.akamai.net nel browser. Annotate il vostro indirizzo IP reale (appare come 192.168.1.100 o xxx.xxx.xxx.xxx).

Passaggio 2: Collegatevi a VPN (ad esempio tramite NvoVPN, ExpressVPN, ProtonVPN, Mullvad o qualsiasi altro servizio). Aprite whoami.akamai.net di nuovo. Dovreste vedere un indirizzo IP diverso — questo è l'indirizzo IP del server VPN. Se l'IP non è cambiato, la VPN non funziona.

Passaggio 3 (test senza kill switch): Disconnettete la VPN nelle impostazioni di rete (non tramite l'applicazione, ma direttamente nelle impostazioni Wi-Fi o Ethernet). Aprite subito whoami.akamai.net. Se kill switch è disabilitato, vedrete il vostro indirizzo IP reale — questa è una perdita. Il vostro provider vede che avete aperto questo sito.

Passaggio 4 (test con kill switch): Collegatevi a VPN di nuovo, abilitate kill switch nelle impostazioni dell'applicazione VPN. Ripetete il passaggio 3 — disconnettete la VPN. Questa volta whoami.akamai.net non si caricherà affatto. Questo è normale, kill switch blocca tutto il traffico. Collegatevi a VPN di nuovo e il sito si caricherà.

La differenza è evidente. Senza kill switch vedete una perdita di IP in 1-2 secondi. Con kill switch non c'è perdita, perché il browser non può inviare nulla.

Test sulla perdita DNS quando si disconnette la connessione

Kill switch protegge dalla perdita di IP, ma non sempre dalla perdita DNS. DNS è il servizio che traduce il nome del sito (youtube.com) in indirizzo IP. Se il vostro dispositivo utilizza il DNS del provider (Rostelecom, Beeline ecc.), vede quali siti visitate, anche se siete in VPN.

Perché? Perché la richiesta DNS può essere inviata al server del provider a livello di impostazioni di rete, bypassando il tunnel VPN. Kill switch non può intercettare la perdita DNS a livello del sistema operativo.

Controllate questo su dnsleaktest.com. Accedete da VPN con kill switch abilitato. Se vedete i server DNS del provider (Rostelecom, Beeline, MTS) invece dei server VPN, allora DNS sta perdendo. Questo significa che il provider vede quali siti visitate.

Soluzione: nelle impostazioni dell'applicazione VPN impostate i protocolli DNS-over-HTTPS o DNS-over-TLS (normalmente DOH e DOT rispettivamente).

Questo garantisce che tutte le richieste DNS passino attraverso il tunnel VPN, e non direttamente al provider. La maggior parte delle moderne applicazioni VPN lo supportano.

Perdite WebRTC e il ruolo del kill switch

WebRTC è un protocollo per le videochiamate e i flussi multimediali nel browser. Il problema è che WebRTC può rivelare il vostro vero indirizzo IP anche se siete connessi a una VPN. Ecco perché:

Il browser utilizza WebRTC per rilevare l'indirizzo IP locale e pubblico per ottimizzare la connessione. Queste informazioni vengono trasmesse senza crittografia e possono essere intercettate dal codice JavaScript sul sito web. Il kill switch NON protegge dalle perdite WebRTC, perché il traffico avviene all'interno del browser, e non a livello di pacchetti di rete.

Verificate voi stessi su ipleak.net. Se vedete il vostro vero IP nella sezione WebRTC, allora c'è una perdita. Soluzione: disabilitate WebRTC nel vostro browser.

Su Firefox è semplice — aprite about:config, trovate media.peerconnection.enabled e impostate su false. Su Chrome è più complicato — avete bisogno di un'estensione come WebRTC Leak Prevent o CyberGhost (bloccano WebRTC a livello di browser). Il kill switch non vi aiuterà qui, perché la perdita avviene all'interno del browser.

Configurazione del kill switch su diversi dispositivi e protocolli

Kill switch su Windows: firewall integrato vs applicazione VPN

Su Windows ci sono due modi per configurare il kill switch: tramite l'applicazione VPN (facile) o tramite Windows Firewall (più difficile, ma più affidabile).

Metodo 1: Kill switch nell'applicazione VPN (consigliato per la maggior parte)

Quasi tutte le applicazioni VPN su Windows hanno un'opzione Kill Switch. Cercatela nelle impostazioni dell'applicazione:

• Aprite l'applicazione VPN
• Andate su Settings o Preferences
• Trovate l'opzione "Kill Switch" o "Network Lock" o "Internet Kill Switch"
• Abilitate la casella accanto ad essa

Alcune applicazioni permettono di configurare il comportamento del kill switch. Ad esempio, in NvoVPN e ProtonVPN ci sono le opzioni:

• "Block all traffic" — blocca tutto il traffico in caso di errore
• "Allow local network" — consente il traffico locale (stampa, accesso al router su 192.168.x.x)
• "Whitelist applications" — escludere determinate applicazioni dal blocco

Vi consigliamo di abilitare "Allow local network", altrimenti non potrete stampare su una stampante locale o connettervi al router mentre il kill switch è attivo.

Metodo 2: Kill switch tramite Windows Firewall (utenti avanzati)

Se la vostra applicazione VPN non ha un kill switch integrato, potete configurarlo tramite Windows Firewall:

1. Aprite Windows Security (ricerca nel menu Start)
2. Andate su Firewall & network protection
3. Cliccate su Allow an app through firewall
4. Cliccate su Change settings, quindi Allow another app
5. Selezionate la vostra applicazione VPN
6. Assicuratevi che siano consentite solo le reti private (Private), lasciate le reti pubbliche (Public) disabilitate

Questo metodo è più limitato di k

ucciderà switch nell'applicazione, perché richiede la gestione manuale delle regole. Kill switch nell'applicazione VPN automatizza tutto questo.

Configurazione su macOS e iOS: limitazioni del sistema

macOS: Kill switch tramite Preferenze di Sistema

Su macOS kill switch viene implementato attraverso il filtro pacchetti PF (Packet Filter) integrato. La maggior parte delle applicazioni VPN (Mullvad, ProtonVPN, Windscribe) hanno un kill switch integrato che attiva automaticamente le regole PF.

Per abilitare kill switch su macOS nell'applicazione VPN:

• Apri l'applicazione VPN
• Vai a Preferenze o Impostazioni
• Trova l'opzione "Kill Switch" o "Network Lock"
• Abilitala
• Il sistema chiederà la password dell'amministratore — inseriscila

Kill switch su macOS funziona a livello di sistema tramite il firewall PF, quindi è più affidabile rispetto a Windows. Se l'applicazione VPN si arresta, kill switch continuerà a funzionare comunque.

iOS: Kill switch limitato dal sistema

Su iOS kill switch ha limitazioni rigide perché Apple non consente alle applicazioni di controllare completamente la rete.

Kill switch su iOS funziona solo all'interno dell'applicazione VPN. Se chiudi l'applicazione o iOS passa a un'altra rete (ad esempio da Wi-Fi a mobile 4G), kill switch non potrà intercettare questo passaggio.

Ecco uno scenario problematico: sei connesso a VPN tramite Wi-Fi, guardi TikTok, kill switch è abilitato. Il Wi-Fi si disconnette improvvisamente. iOS passa automaticamente alla rete mobile 4G. Kill switch NON si attiverà, perché è un'azione di sistema, non un errore di connessione VPN. Il tuo vero IP sarà visibile a TikTok per alcuni secondi, finché l'applicazione VPN non si ricollega.

Soluzione: disabilita manualmente il Wi-Fi (tramite Control Center) prima di attivare la rete mobile, se sei preoccupato per la perdita dell'IP. Questo darà all'applicazione VPN il tempo di ricollegarsi alla rete mobile senza perdere il traffico.

Android: come trovare l'opzione kill switch nell'applicazione VPN

Su Android kill switch si trova in posti diversi a seconda dell'applicazione VPN, ma il principio generale è lo stesso.

Passaggi standard per la maggior parte delle applicazioni VPN:

1. Apri l'applicazione VPN
2. Tocca l'icona del menu (tre punti) o vai a Impostazioni
3. Trova la sezione Sicurezza, Privacy o Impostazioni Avanzate
4. Cerca l'opzione "Kill Switch" o "Network Lock" o "Always-on VPN"
5. Abilitala

Configurazione aggiuntiva su Android:

Su Android 10+ puoi abilitare "Always-on VPN" nelle impostazioni di sistema (Impostazioni → Avanzate → VPN). Questo garantisce che se la connessione viene persa, tutto il traffico sarà bloccato a livello di sistema.

Per un kill switch più affidabile su Android:

• Abilita "Block unencrypted traffic" nelle impostazioni VPN (se disponibile)
• Abilita "Always-on VPN" nelle impostazioni di sistema
• Disabilita "Allow bypassing VPN" se l'opzione è presente

Su Android il kill switch funziona meglio che su iOS, perché il sistema consente un maggiore controllo. Ma c'è comunque un rischio durante il passaggio tra le reti.

Kill switch sul router: protezione di tutti i dispositivi contemporaneamente

Kill switch sul router — è il metodo più potente, perché protegge tutti i dispositivi collegati contemporaneamente (smartphone, TV, laptop, stampanti, ecc.).

Come funziona: se il router perde la connessione con la VPN, disconnette Internet per tutti i dispositivi in casa. Il kill switch sul router non blocca una singola applicazione, ma tutto il traffico in uscita.

Configurazione del kill switch sul router con OpenVPN:

La maggior parte dei router moderni con supporto OpenVPN (DD-WRT, OpenWrt, Tomato, Asus AiProtection) hanno un kill switch integrato. Cercate nelle impostazioni del router:

• Accedete al pannello amministrativo del router (solitamente 192.168.1.1 o 192.168.0.1)
• Andate alla sezione VPN o OpenVPN
• Trovate l'opzione "Kill Switch" o "Block internet if VPN disconnects"
• Attivatela

Configurazione del kill switch sul router con WireGuard:

WireGuard sul router richiede una configurazione più complessa. È necessario creare una regola firewall che blocchi il traffico se l'interfaccia wg0 è inattiva:

In OpenWrt (tramite SSH): aggiungete una regola al file /etc/config/firewall: ``` config rule option src 'lan' option dest 'wan' option target 'REJECT' option enabled '0' ``` È un po' complicato per i principianti, quindi molti usano uno script di monitoraggio che verifica lo stato di WireGuard ogni 10 secondi e disconnette Internet se la connessione viene persa.

Edge case: disconnessioni frequenti del kill switch sul router

Se il vostro router perde la connessione con la VPN ogni 30 minuti, il kill switch bloccherà tutto Internet in casa per 30 secondi ogni volta. Non è pratico. Soluzione: migliorate la stabilità della connessione VPN sul router:

• Controllate i log del router (System → Log) per le cause delle disconnessioni
• Cambiate il server VPN per uno più stabile (scegliete server più vicini alla vostra posizione)
• Provate un altro protocollo (WireGuard si riconnette più velocemente di OpenVPN)
• Disattivate temporaneamente il kill switch e configurate la riconnessione (reconnect interval) a 5-10 secondi invece di un'attesa infinita

WireGuard vs OpenVPN vs IKEv2 vs Shadowsocks: supporto del kill switch

I diversi protocolli hanno un diverso supporto del kill switch. Ecco il confronto:

<

Protocollo	Supporto Kill Switch	Velocità di riconnessione	Per l'aggiramento del DPI
WireGuard	Integrato nell'applicazione	1-2 sec	No (facile da bloccare)
OpenVPN	Richiede script killswitch.sh	3-5 sec	No (porta standard)
IKEv2	Integrato nel sistema	2-3 sec	No (porta standard)
Shadowsocks	Tramite applicazione wrapper	0.5-1 sec	Sì (più difficile da bloccare)
VLESS/XRay	Tramite applicazione	0.5-1 sec	Sì (con configurazione corretta)

WireGuard + kill switch: La scelta migliore per la maggior parte. Kill switch è integrato nell'applicazione, si riconnette rapidamente (1-2 sec). L'unico problema è che WireGuard è facile da bloccare tramite DPI, quindi se il provider blocca attivamente, servono porte non standard o un altro protocollo.

OpenVPN + kill switch: Kill switch su OpenVPN richiede uno script aggiuntivo killswitch.sh, è più complicato. La riconnessione è più lenta (3-5 sec), quindi il rischio di fuga dell'IP è maggiore. Lo consigliamo solo se altri protocolli non funzionano.

IKEv2 + kill switch: Integrato nel sistema su iOS e Windows, funziona velocemente (2-3 sec). Ma IKEv2 non è così popolare e non tutti i servizi VPN lo supportano.

Shadowsocks + kill switch: Shadowsocks di per sé non è una VPN, è un proxy. Kill switch si implementa tramite un'applicazione wrapper esterna (ad esempio, Clash o Quantumult). La riconnessione è veloce (0.5-1 sec) ed è più difficile da bloccare dal provider. È una buona scelta per aggirare il DPI, ma richiede più configurazione.

Kill switch su Smart TV, Apple TV, console e IoT: caratteristiche

Perché il kill switch spesso non funziona su Smart TV

Sulla maggior parte delle Smart TV (Samsung, LG, Sony, Xiaomi) non c'è un'applicazione VPN completa con kill switch. Le TV utilizzano sistemi operativi come WebOS, TizenOS o Android TV, che hanno forti limitazioni sul controllo della rete.

Soluzione: configurate la VPN a livello di router, non sulla TV stessa. Se il router è connesso a una VPN, tutti i dispositivi in casa (compresa la TV) utilizzeranno automaticamente la VPN. Kill switch funziona a livello di router, quindi protegge tutto.

Ecco come appare nella pratica: il vostro router è connesso a una VPN con kill switch attivato. Smart TV è connessa al router. Aprite YouTube sulla TV. Se il router perde la connessione VPN, kill switch interrompe tutto Internet in casa. YouTube sulla TV mostrerà un errore invece del video. Dopo 5-10 secondi il router si riconnette, e YouTube funziona di nuovo.

È buono per la privacy (il provider non vede il vostro IP reale), ma può essere frustrante se la connessione VPN è instabile. Controllate i log del router e assicuratevi che la VPN si riconnetta stabilmente (non più di una volta all'ora).

Aggirare i blocchi di YouTube, Netflix sulla TV con VPN

Kill switch aiuta ad aggirare i blocchi di YouTube e Netflix sulla TV solo se la connessione VPN si perde temporaneamente. Se il provider blocca attivamente la VPN (DPI), allora:

• YouTube sulla TV non si caricherà affatto
• Netflix mostrerà l'errore "You appear to be using a VPN" (alcuni servizi bloccano gli account VPN)
• TikTok non funzionerà affatto

е откроется на ТВ (официального приложения нет для большинства)

Kill switch qui non salva — è una questione di blocco a livello di protocollo.

Affinché YouTube e Netflix funzionino sulla TV tramite VPN:

• Assicurarsi che il router sia connesso a VPN (non la TV direttamente)
• Selezionare un server VPN in un altro paese se YouTube o Netflix è bloccato nel tuo paese
• Utilizzare il protocollo Shadowsocks o VLESS invece dello standard WireGuard/OpenVPN se il provider blocca
• Se VPN non si connette affatto, significa che il provider ha bloccato anche i protocolli offuscati — sono necessari metodi più avanzati

Kill switch sulle console di gioco (PS5, Xbox Series X)

Sulle console non puoi installare un'applicazione VPN direttamente. L'unico modo per utilizzare VPN sulla console è configurarlo a livello di router o creare una rete Wi-Fi virtuale con VPN.

Metodo 1: VPN sul router (consigliato)

Tutte le console sono connesse al router tramite Wi-Fi o Ethernet. Se il router utilizza VPN, la console è automaticamente protetta. Il kill switch funziona a livello di router, quindi se la connessione VPN viene persa, tutto Internet per la console viene bloccato.

Metodo 2: Rete VPN sul computer

Se il tuo router non supporta VPN, puoi creare una rete Wi-Fi virtuale sul computer (Windows o macOS) e condividere la connessione VPN con la console. È più complicato, ma funziona.

Il kill switch in questo scenario funziona a livello di computer e applicazione VPN, ma non a livello di console. Se il computer si spegne, la console perderà Internet.

Il problema con entrambi i metodi: il provider può bloccare i servizi web della console (PS Store, Xbox Game Pass) a livello di IP o DPI. Il kill switch non può risolvere questo problema perché è un blocco a livello di servizio, non una perdita di IP.

FAQ: Domande frequenti su VPN kill switch explained

disconnessione. Questo è particolarmente importante se state aggirando i blocchi di YouTube, Telegram o altri servizi: anche una perdita di pochi secondi può essere rilevata dal provider.