Kill switch VPN spiegato: come funziona e perché è irrinunciabile

La pagina delle impostazioni di un client VPN mostra di solito una decina di interruttori. Di quell'elenco, solo uno fa la differenza tra protezione reale e falso senso di sicurezza: il kill switch. Quando il tunnel cade — e cade, più volte per sessione su alcune reti — senza kill switch il tuo traffico continua a uscire in chiaro tramite il tuo provider internet per 5-30 secondi. Quei secondi bastano a far trapelare il tuo IP reale a Netflix, a inviare una query DNS sensibile al tuo provider internet o a esporre il tuo client torrent ai tracker.

Questa guida copre la meccanica esatta a livello di firewall, le due varianti (app vs sistema), la procedura di attivazione per i quattro principali VPN nel 2026, i casi limite per Linux / router / mobile, e le situazioni in cui il kill switch diventa controproducente.

Perché esiste un kill switch — il problema della disconnessione silenziosa

Lo scenario che giustifica il kill switch è banalmente facile da riprodurre e invisibile quando accade. Sei connesso a un server VPN ad Amsterdam dal tuo hotel a Bangkok. Sovraccarico del server, un micro-disservizio dal lato dell'hotel, un cambio di canale Wi-Fi — il tuo tunnel si disconnette per tre secondi. Senza kill switch, il tuo sistema operativo continua a inviare traffico tramite la route predefinita, cioè l'interfaccia Wi-Fi diretta. Durante quei tre secondi, la tua email HTTPS esce con il tuo IP reale, la tua query DNS per Netflix passa per il DNS dell'hotspot, e il tuo tracker BitTorrent riceve il tuo IP pubblico thailandese reale.

Non vedi nulla. Il client VPN si riconnette in background, l'interfaccia mostra di nuovo «Connesso». Ma quei tre secondi di fuga sono già stati registrati da tracker, log del provider internet e potenzialmente dai contatori anti-VPN dei servizi di streaming. Una singola connessione peer-to-peer non instradata nel tunnel può bastare a far scattare una diffida — la difesa «avevo un VPN» non regge contro un log con marca temporale.

Il kill switch è la risposta strutturale. Anziché affidarsi alla stabilità del tunnel (che non può mai essere garantita al 100%), installa regole firewall che rendono impossibile qualsiasi traffico al di fuori del tunnel. Tunnel su: il traffico scorre. Tunnel giù: non esce nulla, il tuo internet appare tagliato, lo sistemi manualmente. Stessa logica di una porta tagliafuoco — accetti un disagio momentaneo per garantire un contenimento ermetico. Il concetto è documentato su Wikipedia: Internet kill switch.

Quali sono i 2 tipi di kill switch VPN?

L'app kill switch blocca solo i processi che elenchi (Chrome, qTorrent) — tutto il resto passa in chiaro durante i cali del tunnel. Il kill switch di sistema (Internet Kill Switch su NordVPN, Network Lock su ExpressVPN) blocca tutto il traffico in uscita a livello di firewall del sistema operativo — nulla esce al di fuori del tunnel. Solo la modalità di sistema protegge davvero. La modalità app è una comodità, non un'impostazione di sicurezza predefinita.

La confusione tra i due tipi è alimentata dal marketing dei fornitori, che spesso presenta il «kill switch per-app» come funzione premium quando è tecnicamente inferiore alla modalità di sistema. Capire la differenza determina se il tuo VPN ti protegge davvero.

L'app kill switch — anche «App Kill Switch» o «kill switch per-app» — opera a livello di sistema operativo. Definisci un elenco di processi (chrome.exe, qbittorrent.exe) e il client VPN ne monitora lo stato di rete. Se il tunnel cade, quei processi vengono chiusi o bloccati tramite hook del sistema operativo. Vantaggio: puoi lasciare che altre app continuino sulla connessione normale (un client di posta aziendale che deve restare raggiungibile). Grosso svantaggio: tutto ciò che non è nell'elenco passa in chiaro. Se elenchi solo il browser ma Dropbox sta sincronizzando in background, Dropbox espone il tuo IP reale durante i cali del tunnel. Falso senso di sicurezza nella stragrande maggioranza dei casi d'uso.

Il kill switch di sistema — Internet Kill Switch su NordVPN, Network Lock su ExpressVPN e Mullvad, «Permanent Kill Switch» su ProtonVPN — opera a livello di firewall del sistema operativo. Su Windows inserisce regole WFP (Windows Filtering Platform) che bloccano tutto il traffico in uscita al di fuori dell'interfaccia del tunnel. Su macOS programma pfctl. Su Linux manipola iptables o nftables per vietare qualsiasi route al di fuori di tun0 o wg0. Vantaggio: protezione strutturale, indipendente dall'elenco delle app e dai bug del client. Svantaggio: se il servizio VPN va in crash senza ripulire le proprie regole, internet resta bloccato fino a un intervento manuale. Raro sui client maturi, ma vale la pena saperlo.

Regola generale. A meno che tu non abbia un caso d'uso specifico (VPN aziendale separato, traffico legittimamente fuori dal tunnel), la modalità di sistema è l'unica opzione davvero protettiva. La modalità app è una comodità, non un'impostazione predefinita sensata.

Come si attiva il kill switch su NordVPN, ExpressVPN, Surfshark, ProtonVPN?

NordVPN: Impostazioni → Kill Switch → attiva «Internet Kill Switch» (non solo App Kill Switch — disattivato per impostazione predefinita). ExpressVPN: Impostazioni → Generale → «Network Lock» (attivo per impostazione predefinita dal 2023). Surfshark: Impostazioni → VPN → Kill Switch. ProtonVPN: Impostazioni → Connessione → «Permanent Kill Switch» per la massima protezione. Su Android, attiva sempre «Always-on VPN» + «Blocca connessioni senza VPN» a livello di sistema per una copertura migliore.

I quattro principali VPN nel 2026 implementano tutti un kill switch, ma con convenzioni di denominazione e impostazioni predefinite diverse. Ecco la procedura esatta per ciascuno, aggiornata a maggio 2026.

NordVPN

Desktop Windows/macOS: Impostazioni → Kill Switch. Due interruttori separati — «Internet Kill Switch» (modalità di sistema, da attivare) e «App Kill Switch» (modalità app, opzionale). L'Internet Kill Switch è disattivato per impostazione predefinita all'installazione — è l'errore più comune. Linux: nordvpn set killswitch on, verifica con nordvpn status. Android: l'impostazione di sistema Impostazioni → Rete → VPN → icona ingranaggio NordVPN → «VPN permanente» + «Blocca connessioni senza VPN» è più affidabile dell'opzione integrata nell'app. iOS: nessun pulsante dedicato, ma il profilo «Connect on demand» nelle impostazioni avanzate svolge questo ruolo a livello di sistema.

ExpressVPN

ExpressVPN chiama il suo kill switch di sistema Network Lock. Windows/macOS: Impostazioni → Generale → «Interrompi tutto il traffico internet se il VPN si disconnette inaspettatamente». Attivo per impostazione predefinita dal 2023 — un differenziatore notevole rispetto a NordVPN. Linux (CLI expressvpn): Network Lock è attivo automaticamente alla connessione. Android: opzione «Network Protection». iOS: profilo «On-Demand», come tutti gli altri.

Surfshark

Surfshark offre un semplice Kill Switch, senza varianti — modalità di sistema per impostazione predefinita. Impostazioni → VPN → Kill Switch → attiva. Linux: surfshark-vpn killswitch on. Un client più minimale in termini di opzioni, il che riduce il rischio di configurazione errata ma limita la granularità.

ProtonVPN

ProtonVPN offre due modalità distinte. Il Kill Switch standard blocca il traffico solo quando la connessione cade inaspettatamente. Il Permanent Kill Switch è più rigoroso — blocca tutto il traffico al di fuori del tunnel anche quando l'utente si disconnette volontariamente — utile per giornalisti o attivisti che vogliono eliminare ogni rischio di dimenticanza. Impostazioni → Connessione → Kill Switch o Permanent Kill Switch. Vedi la pagina Kill Switch di ProtonVPN per i dettagli di implementazione per sistema operativo.

Casi limite: Linux, router, mobile iOS/Android

I setup non standard meritano una trattazione separata perché la logica del kill switch è implementata diversamente — a volte senza alcuna impostazione nell'app.

Linux. I client ufficiali (NordVPN, ExpressVPN, ProtonVPN) usano iptables o nftables iniettati all'avvio del tunnel. Se usi WireGuard o OpenVPN direttamente senza un client proprietario, configuralo manualmente tramite PostUp/PostDown nella configurazione WireGuard. Mullvad pubblica ottime guide open source che riproducono questa configurazione. La distribuzione Tails implementa nativamente un kill switch equivalente tramite iptables preconfigurate.

Router. Il VPN a livello di router (DD-WRT, OpenWRT, AsusWRT-Merlin, pfSense) protegge ogni dispositivo della rete ma richiede una configurazione esplicita del kill switch — mai attiva per impostazione predefinita. Su pfSense, crea un gruppo di gateway con il VPN come primario e senza fallback: se il VPN cade, l'instradamento fallisce anziché ripiegare sulla WAN in chiaro. La configurazione più robusta per una casa in cui TV, console e dispositivi IoT passano tutti per il tunnel. Per la cifratura radio sottostante, la nostra guida alla sicurezza Wi-Fi WPA2 vs WPA3 spiega perché WPA3 chiude la falla KRACK e rafforza il livello sotto il tunnel VPN.

iOS. iOS non espone un'API diretta per il kill switch. I client si affidano al profilo «Connect on Demand» del framework Network Extensions, che forza la riconnessione a ogni traffico in uscita. Funzionalmente equivalente nella maggior parte dei casi, con una finestra di qualche centinaio di millisecondi durante la riconnessione. Sufficiente per l'uso quotidiano, con limiti per una privacy rigorosa.

Android. Da Android 8, l'impostazione di sistema «Always-on VPN» + «Blocca connessioni senza VPN» in Impostazioni → Rete → VPN → icona ingranaggio dell'app. Questo è il kill switch più robusto disponibile su mobile — a livello di sistema operativo, sopravvive ai crash dell'app. Raccomandazione sistematica: Always-on a livello di sistema in aggiunta all'app kill switch; i due livelli si completano a vicenda.

Quando il kill switch può essere controproducente

Il kill switch non è un assoluto — esistono tre contesti operativi in cui diventa un fastidio o persino un blocco. Conoscerli ti permette di disattivarlo temporaneamente e deliberatamente, anziché nel panico.

Captive portal di hotel o aeroporto. L'operatore del Wi-Fi pubblico intercetta la tua prima richiesta HTTP e la reindirizza a una pagina di accettazione. Questa intercettazione avviene prima che il tunnel sia stabilito — un kill switch di sistema rigoroso blocca la richiesta al captive portal, rendendoti impossibile l'autenticazione e quindi l'accesso a internet. I client moderni (NordVPN, ExpressVPN, ProtonVPN) lo gestiscono tramite un'eccezione temporanea per le richieste di captive portal rilevate. Se il rilevamento fallisce, disattiva temporaneamente il kill switch, accetta il portale, riconnetti il VPN, riattivalo. Procedura nella nostra guida al Wi-Fi pubblico 2026. In viaggio, passare al tethering del telefono resta l'opzione più semplice: vedi sicurezza hotspot mobile vs Wi-Fi pubblico per il compromesso tra velocità ed esposizione.

Rete aziendale con proxy. Su alcune reti aziendali, l'accesso a internet passa per un proxy aziendale (ispezione SSL, DLP). Attivare un VPN commerciale con kill switch taglia l'accesso a quel proxy. I due sono incompatibili; disattiva il VPN commerciale durante quelle sessioni.

Autenticazione 802.1X in conferenza. Alcuni eventi professionali distribuiscono 802.1X con autenticazione basata su certificati. Il kill switch attivo al momento dell'handshake EAP può far fallire il protocollo — alcune varianti di 802.1X richiedono richieste fuori dal tunnel. Un caso limite raro ma documentato.

Regola pragmatica: se il kill switch ti blocca, disattiva temporaneamente, capisci perché, riattiva il prima possibile. La protezione strutturale vale più di un'eccezione permanente.

Testare il tuo kill switch in 30 secondi

La funzione è inutile se non è mai stata verificata almeno una volta. Ecco la procedura minima per confermare che il tuo kill switch faccia il suo lavoro — applicabile in meno di un minuto.

Passaggio 1 — Avvia un download di grandi dimensioni. Inizia a scaricare un file di diverse centinaia di megabyte (ISO Linux, immagine Docker, video) tramite il browser o un client torrent legale. Verifica che la velocità di trasferimento sia stabile da 10-15 secondi.

Passaggio 2 — Disconnetti manualmente il tunnel. Nel client VPN, clicca su Disconnetti. Non chiudere il client; disconnettiti solo dal server. È esattamente ciò che accade durante un calo di rete reale.

Passaggio 3 — Osserva il download. Se il kill switch è attivo e funziona, il download deve fermarsi immediatamente — non in 5 secondi, immediatamente. Il browser mostra in genere «connessione persa» o «ERR_NETWORK_CHANGED». Se il download continua, il tuo kill switch è mal configurato o inattivo. Se si ferma solo il download ma un'altra app (Spotify, Slack) continua a caricare, sei in modalità app anziché in modalità di sistema.

Passaggio 4 — Verifica l'assenza di fughe residue. Mentre il tunnel è ancora giù, apri il nostro strumento DNS Leak Test o un servizio equivalente (ipleak.net, dnsleaktest.com). Non dovrebbe comparire alcun indirizzo IP pubblico, DNS o IPv6 — tutto dovrebbe fallire con un errore di rete. Se compare il tuo IP reale, il firewall del kill switch non copre tutto il traffico. Caso tipico: IPv6 non bloccato mentre IPv4 lo è.

Passaggio 5 — Riconnetti e conferma. Riconnetti il VPN. L'IP mostrato dallo strumento dovrebbe tornare all'indirizzo del server VPN. Testa una seconda volta dopo qualche minuto per assicurarti che nessuno stato residuo falsi il risultato. La procedura completa è dettagliata nella nostra guida su come verificare che il tuo VPN funzioni, che copre i controlli minimi da eseguire all'inizio di ogni sessione.

Andare oltre

Il kill switch è un'impostazione che attivi una volta e dimentichi — come una cintura di sicurezza. Inutile nel 99% dei viaggi, indispensabile in quell'uno percento in cui impedisce una fuga invisibile e irreversibile. Sui VPN moderni l'implementazione è matura e il costo di esercizio è zero; non c'è alcun buon motivo per non attivarlo in modalità di sistema fin dalla tua primissima sessione.

Per profili oltre l'uso quotidiano (giornalisti in ambienti sensibili, fonti protette), stratificare kill switch + Android Always-on + router VPN + una macchina dedicata costituisce l'OPSEC standard. Per il 95% dei casi d'uso — streaming, navigazione privata, Wi-Fi pubblico, torrenting legale — kill switch di sistema + auto-connessione su Wi-Fi non protetto chiude tutti i vettori strutturali di esposizione. Senza kill switch, il tunnel è una comodità; con esso, è una protezione.

Il NCSC e analoghe agenzie nazionali di cybersicurezza sottolineano nelle loro linee guida per i lavoratori da remoto e in mobilità l'importanza di una catena di fiducia ininterrotta su reti non attendibili — è esattamente ciò che il kill switch garantisce lato client. Il nostro audit completo in 9 test lo tratta come controllo prioritario, da verificare una volta a trimestre.

Articolo pubblicato il 29 maggio 2026. Questa guida descrive come i kill switch sono documentati funzionare su NordVPN (Internet Kill Switch + App Kill Switch), ExpressVPN (Network Lock), Surfshark (Kill Switch) e ProtonVPN (Kill Switch + Permanent Kill Switch) su Windows, macOS, Linux e Android, e spiega la verifica autoapplicabile (catturare il traffico con Wireshark o tcpdump mentre si interrompe manualmente il tunnel) — non è il resoconto di un banco di prova privato. Riferimenti: documentazione pubblica di ProtonVPN, guide WireGuard di Mullvad, linee guida NCSC sul lavoro da remoto.