DNS Cloudflare: cosa sono e come si impostano

Quando si parla di prestazioni della connessione internet, la maggior parte degli utenti — anche quelli con una certa dimestichezza con la tecnologia — tende a concentrarsi sulla velocità del piano tariffario o sulla qualità del router, trascurando un componente che influisce in modo diretto sull'esperienza di navigazione quotidiana: il server DNS. Il DNS, acronimo di Domain Name System, è il sistema che traduce i nomi di dominio leggibili dall'uomo — come esempio.it — in indirizzi IP numerici comprensibili dalle macchine; ogni volta che si apre una pagina web, si invia un'email o si avvia un'applicazione connessa, viene effettuata almeno una query DNS, spesso molte di più. La velocità e l'affidabilità con cui questo processo viene completato hanno un impatto tangibile sui tempi di caricamento percepiti.

Tra le alternative ai server DNS forniti di default dagli operatori internet, i Cloudflare DNS — identificati dagli indirizzi 1.1.1.1 e 1.0.0.1 — si sono affermati come una delle scelte più diffuse tra utenti privati, amministratori di sistema e team IT aziendali. Lanciati nel 2018 in partnership con APNIC, hanno rapidamente ottenuto un posizionamento di primo piano nelle classifiche di latenza DNS a livello globale, mantenendolo con consistenza fino al 2026 grazie a un'infrastruttura distribuita su oltre trecento data center in tutto il mondo. La scelta di adottarli non è una decisione da prendere acriticamente, ma richiede di capire cosa effettivamente offrono, in quali contesti convengono e come si configurano correttamente sui diversi sistemi operativi e dispositivi.

Vale anche la pena chiarire subito una distinzione che spesso viene elusa: cambiare DNS non equivale a usare una VPN, non cifra il traffico internet nella sua interezza e non garantisce l'anonimato in rete. Ciò che cambia è il modo in cui i nomi di dominio vengono risolti — con potenziali benefici in termini di velocità, privacy delle query DNS e resistenza a certi tipi di attacchi o manipolazioni. Tenere chiara questa distinzione aiuta a valutare il servizio per quello che realmente è, senza aspettative eccessive né dismissioni infondate.

Come funziona la risoluzione DNS e perché il resolver predefinito può essere un problema

Ogni dispositivo connesso a internet è configurato — spesso automaticamente, tramite DHCP — per utilizzare il server DNS dell'operatore di rete: un resolver ricorsivo che riceve le query, le elabora interrogando i server autoritativi e restituisce la risposta al client. Questo processo avviene in millisecondi, ma la latenza accumulata su molte richieste — una pagina moderna può generarne decine — si traduce in ritardi percepibili soprattutto al primo caricamento. I resolver degli ISP presentano in media latenze superiori rispetto alle alternative pubbliche più ottimizzate, sia per ragioni infrastrutturali sia perché, storicamente, non sono stati oggetto di investimenti prioritari: la risoluzione DNS era considerata un servizio accessorio, non un punto critico dell'esperienza utente.

A questo si aggiunge una questione di privacy: i resolver DNS degli operatori registrano per impostazione predefinita le query degli utenti, dati che possono essere utilizzati per profilazione commerciale, ceduti a terzi o soggetti a richieste di accesso da parte delle autorità. La normativa europea ha introdotto vincoli più stringenti in materia, ma le pratiche effettive variano da operatore a operatore e non sempre sono trasparenti. Il cloudflare dns, per contratto e per policy pubblica verificabile, non registra le query in forma associabile all'utente e cancella i log operativi entro ventiquattro ore; questa policy è sottoposta a revisione annuale da parte di una società di audit indipendente — KPMG, negli ultimi anni — con risultati resi pubblici.

Caratteristiche tecniche del servizio 1.1.1.1 di Cloudflare

L'infrastruttura su cui si basa il servizio 1.1.1.1 sfrutta la rete Anycast di Cloudflare, che instrada ogni query al nodo geograficamente e topologicamente più vicino al richiedente, riducendo la latenza di rete indipendentemente dalla posizione dell'utente; questo approccio garantisce anche ridondanza intrinseca, poiché un nodo non raggiungibile viene automaticamente bypassato senza che l'utente percepisca interruzioni. Sul piano dei protocolli, il servizio supporta DNS over HTTPS (DoH) e DNS over TLS (DoT), entrambi progettati per cifrare le query DNS e impedire che vengano intercettate o modificate in transito da terzi — un vettore di attacco noto come DNS spoofing o, nella forma più sofisticata, attacco Man-in-the-Middle sulla risoluzione dei nomi.

Cloudflare offre varianti del servizio con funzionalità aggiuntive: 1.1.1.2 e 1.0.0.2 bloccano i domini associati a malware noti; 1.1.1.3 e 1.0.0.3 estendono il filtraggio ai contenuti per adulti, rendendoli adatti a reti familiari o scolastiche. Queste varianti funzionano sulla stessa infrastruttura del resolver principale e non richiedono autenticazione né installazione di software aggiuntivo: è sufficiente modificare gli indirizzi DNS nel sistema operativo o nel router. L'applicazione mobile e desktop denominata 1.1.1.1 by Cloudflare aggiunge un layer VPN limitato al tunnel DNS (WARP), che cifra le query senza modificare l'indirizzo IP uscente — una distinzione importante per chi valuta il servizio in chiave di anonimato.

Configurazione su sistemi Windows, macOS e Linux

Su sistemi Windows 11, la configurazione del cloudflare dns avviene attraverso le Impostazioni di rete avanzate: selezionando la scheda di rete attiva, si accede alla sezione relativa all'IPv4 e all'IPv6, dove è possibile inserire manualmente 1.1.1.1 come server DNS preferito e 1.0.0.1 come alternativo; dalla versione 21H2, Windows supporta nativamente DNS over HTTPS, attivabile dalla stessa interfaccia selezionando la modalità "Cifrato" accanto a ciascun indirizzo inserito. Su macOS, la procedura avviene in Preferenze di Sistema → Rete → Avanzate → DNS, dove è possibile aggiungere e riordinare i server; il supporto a DoH su macOS richiede invece l'installazione di un profilo di configurazione fornito da Cloudflare o la gestione tramite strumenti di terze parti come dnscrypt-proxy.

Su distribuzioni Linux, la configurazione dipende dal gestore di rete in uso: con NetworkManager — presente su Ubuntu, Fedora e derivate — si può modificare il file di connessione nella directory /etc/NetworkManager/system-connections/ oppure usare nmcli da riga di comando per impostare i DNS su una connessione specifica; su sistemi che usano systemd-resolved, la configurazione avviene nel file /etc/systemd/resolved.conf, dove si specificano i DNS e si può abilitare DNSOverTLS impostando il parametro corrispondente su yes. In entrambi i casi, dopo la modifica è necessario riavviare il servizio di rete o il resolver per rendere effettive le impostazioni, e si consiglia di verificare la corretta applicazione tramite strumenti come dig o nslookup, controllando quale server risulta effettivamente interrogato.

Configurazione a livello di router e implicazioni per la rete locale

Intervenire sul router anziché sui singoli dispositivi è la strategia più efficiente quando si gestisce una rete con più endpoint: in questo modo tutti i dispositivi connessi — smartphone, smart TV, dispositivi IoT — utilizzano automaticamente i DNS configurati senza necessità di interventi individuali. L'accesso all'interfaccia amministrativa del router avviene tipicamente tramite browser puntando all'indirizzo del gateway predefinito (solitamente 192.168.1.1 o 192.168.0.1); nella sezione relativa alle impostazioni WAN o DHCP si trovano i campi per i server DNS primario e secondario, dove inserire rispettivamente 1.1.1.1 e 1.0.0.1. Alcuni router — in particolare i modelli consumer di fascia media — non consentono di modificare i DNS WAN indipendentemente da quelli assegnati ai client DHCP: in questi casi è necessario verificare se il dispositivo propaga i propri DNS ai client o quelli ricevuti dall'ISP, comportamento che varia per marca e firmware.

Nei contesti aziendali o per reti più strutturate, la configurazione a livello di router può essere integrata con politiche di filtraggio DNS più granulari tramite Cloudflare Gateway, componente della suite Zero Trust di Cloudflare che permette di definire policy per categoria di dominio, applicare blocchi selettivi e ottenere log dettagliati delle query — con gestione della privacy conforme alle normative applicabili. Questa soluzione richiede la registrazione a un account Cloudflare e la configurazione di token di autenticazione, ma offre un livello di controllo e visibilità inaccessibile con il semplice resolver pubblico.

Verifica delle prestazioni e limiti del servizio

Verificare concretamente il miglioramento apportato dai Cloudflare DNS richiede un approccio metodico: strumenti come DNS Benchmark su Windows o dnsperf su Linux permettono di misurare la latenza media su un campione statisticamente significativo di query verso diversi resolver, confrontando i risultati prima e dopo la migrazione. La pagina 1.1.1.1/help offerta da Cloudflare consente invece di verificare in modo rapido se la connessione utilizza effettivamente il resolver Cloudflare e se i protocolli cifrati sono attivi; questo controllo è particolarmente utile dopo la configurazione su router, dove il comportamento effettivo può discostarsi dalle impostazioni inserite a causa di cache DHCP non ancora aggiornate o di comportamenti anomali del firmware.

Esistono tuttavia scenari in cui l'adozione dei Cloudflare DNS introduce complessità anziché risolverle: reti aziendali con DNS split-horizon — dove certi domini interni vengono risolti da server locali — possono subire malfunzionamenti se il resolver pubblico viene configurato senza prevedere un meccanismo di fallback o di override per i domini interni; in alcuni ambienti geografici con routing internet non ottimale verso la rete Cloudflare, la latenza può risultare paragonabile o superiore a quella del resolver dell'ISP. La misurazione empirica, condotta nel proprio contesto specifico, rimane il metodo più affidabile per valutare se il cambiamento produce effettivamente i benefici attesi.