Il kill switch è attivo per impostazione predefinita su NordVPN?

No - ed è una cosa da sistemare subito dopo la prima installazione. Nell'app desktop di NordVPN (Windows, macOS, Linux) il kill switch è disattivato all'installazione e va attivato manualmente in Impostazioni → Kill Switch. Trovi due interruttori separati: «Internet Kill Switch» (a livello di sistema, blocca tutto il traffico se il tunnel cade) e «App Kill Switch» (a livello di applicazione, chiude solo le app che elenchi). Su iOS e Android la logica è diversa, perché i sistemi operativi impongono le proprie restrizioni VPN - su iOS è il profilo VPN «On-Demand» nelle impostazioni avanzate a svolgere questo ruolo a livello di sistema; su Android l'impostazione di sistema «Always-on VPN» + «Blocca connessioni senza VPN» (Impostazioni → Rete → VPN → icona ingranaggio NordVPN) è più robusta del kill switch integrato nell'app. Raccomandazione pratica: attiva l'Internet Kill Switch su desktop fin dalla primissima sessione, e l'Always-on a livello di sistema su Android.

App kill switch vs kill switch di sistema - qual è la differenza?

L'app kill switch (a volte chiamato «App Kill Switch» o «kill switch per-app») termina soltanto i processi specifici che aggiungi a un elenco. Se elenchi Chrome e qTorrent, queste due app vengono chiuse quando il VPN cade; tutto il resto - Spotify, il tuo client di posta, lo strumento di sincronizzazione cloud - continua a comunicare in chiaro tramite il tuo provider internet. Il kill switch di sistema (Internet Kill Switch su NordVPN, Network Lock su ExpressVPN, modalità di sistema su Mullvad) opera a livello di firewall: inserisce regole iptables, netfilter o pf che bloccano **tutto** il traffico in uscita al di fuori dell'interfaccia del tunnel. Se il VPN cade, non esce nulla, punto. È l'unico livello che protegge davvero sul Wi-Fi pubblico e per il seeding torrent. L'app kill switch è utile in situazioni specifiche (lasciare raggiungibile un client di posta aziendale fuori dal tunnel), ma non dovrebbe mai essere l'impostazione predefinita.

Cosa succede se il kill switch scatta senza preavviso?

Dal punto di vista dell'utente, le pagine web smettono di caricarsi, i download si mettono in pausa e le chiamate VoIP cadono. Il browser mostra in genere «ERR_NETWORK_CHANGED» o «DNS_PROBE_FINISHED_NO_INTERNET». È volutamente brusco - lo scopo stesso del kill switch è impedirti di continuare a usare la rete in chiaro senza accorgertene. Dietro le quinte, il client VPN tenta una riconnessione automatica allo stesso server o a un server di fallback; la maggior parte dei client moderni (NordVPN, ExpressVPN, ProtonVPN) ripristina il tunnel entro 3-10 secondi su una connessione stabile. Su una rete instabile (hotspot congestionato, 4G/LTE in movimento) la riconnessione può richiedere più tempo - l'esperienza assomiglierà a un «blackout internet» di 15-30 secondi. È il costo previsto della protezione; un kill switch silenzioso che non scatta mai non è un kill switch.

Il kill switch funziona anche per IPv6?

Non sempre - ed è una delle fughe più sottili da verificare. Molti client VPN incapsulano solo il traffico IPv4 e lasciano uscire IPv6 in chiaro tramite l'interfaccia di rete nativa - è ciò che si chiama una «fuga IPv6». Su un kill switch implementato correttamente, le regole del firewall bloccano sia IPv4 sia IPv6 al di fuori del tunnel; su un kill switch difettoso o obsoleto, IPv6 continua a passare anche quando IPv4 è tagliato. NordVPN disabilita automaticamente IPv6 su Windows e macOS quando il tunnel è attivo (la policy «IPv6 disable») - un espediente pragmatico per quanto poco elegante. ExpressVPN e Mullvad bloccano esplicitamente IPv6 fuori dal tunnel tramite le loro regole Network Lock / pf. Test pratico: visita ipv6leak.com (o il nostro strumento DNS Leak Test, che copre IPv6 in un solo passaggio) dopo aver disconnesso manualmente il VPN - se compare un indirizzo IPv6 pubblico mentre il tunnel è giù, il tuo kill switch non copre IPv6.

Serve un kill switch se non usi il VPN per sicurezza?

Sì - e la sfumatura merita di essere esplicitata. Il kill switch non è riservato ai casi d'uso di «sicurezza dura»; protegge anche lo streaming e la privacy quotidiana. Se usi NordVPN per guardare Netflix USA e il tunnel cade per 20 secondi, Netflix rileva il tuo IP reale italiano o statunitense, cambia il catalogo e può segnalare temporaneamente il tuo account come «VPN rilevato» per le sessioni successive. Per il torrenting, l'assenza di un kill switch è ancora più problematica: ogni interruzione del tunnel espone il tuo IP reale a tracker e peer, e alcuni provider internet inviano diffide sulla base di quell'esposizione. Per la navigazione privata di tutti i giorni, il kill switch impedisce al tuo provider internet di ricostruire la tua cronologia di navigazione durante i micro-cali del tunnel. In sintesi: kill switch sempre, a prescindere dal motivo per cui usi il VPN. È un'impostazione che attivi una volta e dimentichi.

Cos'è un kill switch VPN?

Un kill switch VPN è una funzione di sicurezza che blocca automaticamente tutto il traffico internet dal tuo dispositivo se la connessione VPN cade inaspettatamente - impedendo che il tuo IP reale, le query DNS o i dati delle applicazioni trapelino in chiaro durante la finestra di riconnessione. Senza un kill switch, un calo del tunnel di 3-30 secondi espone silenziosamente il tuo traffico al tuo provider internet e ai siti visitati. Esistono due tipi: a livello di app (chiude solo le app elencate) e a livello di sistema (blocca tutto il traffico al firewall del sistema operativo). Solo il livello di sistema garantisce protezione.

Un kill switch rallenta il tuo VPN?

No. Un kill switch non aggiunge alcuna latenza al normale funzionamento del VPN - si attiva soltanto quando il tunnel cade. Le regole del kill switch di sistema (WFP su Windows, pfctl su macOS, iptables/nftables su Linux) sono regole firewall valutate nel kernel, non proxy sul percorso. L'unico effetto collaterale è che, se il client VPN va in crash senza ripulire le proprie regole, tutto il traffico resta bloccato finché il client non si riavvia. Su client maturi come NordVPN, ExpressVPN e Mullvad, questo è gestito automaticamente entro 3-10 secondi.

Kill switch VPN spiegato: come funziona e perché è irrinunciabile

La pagina delle impostazioni di un client VPN mostra di solito una decina di interruttori. Di quell'elenco, solo uno fa la differenza tra protezione reale e falso senso di sicurezza: il kill switch. Quando il tunnel cade - e cade, più volte per sessione su alcune reti - senza kill switch il tuo traffico continua a uscire in chiaro tramite il tuo provider internet per 5-30 secondi. Quei secondi bastano a far trapelare il tuo IP reale a Netflix, a inviare una query DNS sensibile al tuo provider internet o a esporre il tuo client torrent ai tracker.

Questa guida copre la meccanica esatta a livello di firewall, le due varianti (app vs sistema), la procedura di attivazione per i quattro principali VPN nel 2026, i casi limite per Linux / router / mobile, e le situazioni in cui il kill switch diventa controproducente.

TL;DR

Un kill switch è una funzione di sicurezza che blocca automaticamente tutto il traffico di rete dal tuo dispositivo se la connessione VPN cade, impedendo che il tuo IP reale, le query DNS o i contenuti delle applicazioni appaiano in chiaro nei secondi necessari alla riconnessione. Esistono due varianti: l'app kill switch (per-app), che termina solo i processi elencati (Chrome, qTorrent) e lascia passare tutto il resto in chiaro; e il kill switch di sistema (Internet Kill Switch su NordVPN, Network Lock su ExpressVPN), che opera a livello di firewall e blocca tutto il traffico in uscita al di fuori del tunnel. Solo la modalità di sistema protegge davvero sul Wi-Fi pubblico, per lo streaming geo-bloccato e per il torrenting. Su NordVPN il kill switch non è attivo per impostazione predefinita - devi attivarlo in Impostazioni fin dalla tua primissima sessione. Su mobile, l'impostazione Always-on VPN a livello di sistema (iOS e Android) è più robusta del kill switch integrato nell'app. Test pratico: disconnetti manualmente il tunnel durante un download e verifica che tutto il traffico si fermi immediatamente, senza alcuna fuga IPv6 residua. Attivare la protezione è gratuito, il costo è zero, e l'assenza di un kill switch è un grave punto debole nel nostro audit VPN completo in 9 test.

Perché esiste un kill switch - il problema della disconnessione silenziosa

Lo scenario che giustifica il kill switch è banalmente facile da riprodurre e invisibile quando accade. Sei connesso a un server VPN ad Amsterdam dal tuo hotel a Bangkok. Sovraccarico del server, un micro-disservizio dal lato dell'hotel, un cambio di canale Wi-Fi - il tuo tunnel si disconnette per tre secondi. Senza kill switch, il tuo sistema operativo continua a inviare traffico tramite la route predefinita, cioè l'interfaccia Wi-Fi diretta. Durante quei tre secondi, la tua email HTTPS esce con il tuo IP reale, la tua query DNS per Netflix passa per il DNS dell'hotspot, e il tuo tracker BitTorrent riceve il tuo IP pubblico thailandese reale.

Non vedi nulla. Il client VPN si riconnette in background, l'interfaccia mostra di nuovo «Connesso». Ma quei tre secondi di fuga sono già stati registrati da tracker, log del provider internet e potenzialmente dai contatori anti-VPN dei servizi di streaming. Una singola connessione peer-to-peer non instradata nel tunnel può bastare a far scattare una diffida - la difesa «avevo un VPN» non regge contro un log con marca temporale.

Il kill switch è la risposta strutturale. Anziché affidarsi alla stabilità del tunnel (che non può mai essere garantita al 100%), installa regole firewall che rendono impossibile qualsiasi traffico al di fuori del tunnel. Tunnel su: il traffico scorre. Tunnel giù: non esce nulla, il tuo internet appare tagliato, lo sistemi manualmente. Stessa logica di una porta tagliafuoco - accetti un disagio momentaneo per garantire un contenimento ermetico. Il concetto è documentato su Wikipedia: Internet kill switch.

Quali sono i 2 tipi di kill switch VPN?

L'app kill switch blocca solo i processi che elenchi (Chrome, qTorrent) - tutto il resto passa in chiaro durante i cali del tunnel. Il kill switch di sistema (Internet Kill Switch su NordVPN, Network Lock su ExpressVPN) blocca tutto il traffico in uscita a livello di firewall del sistema operativo - nulla esce al di fuori del tunnel. Solo la modalità di sistema protegge davvero. La modalità app è una comodità, non un'impostazione di sicurezza predefinita.

La confusione tra i due tipi è alimentata dal marketing dei fornitori, che spesso presenta il «kill switch per-app» come funzione premium quando è tecnicamente inferiore alla modalità di sistema. Capire la differenza determina se il tuo VPN ti protegge davvero.

L'app kill switch - anche «App Kill Switch» o «kill switch per-app» - opera a livello di sistema operativo. Definisci un elenco di processi (chrome.exe, qbittorrent.exe) e il client VPN ne monitora lo stato di rete. Se il tunnel cade, quei processi vengono chiusi o bloccati tramite hook del sistema operativo. Vantaggio: puoi lasciare che altre app continuino sulla connessione normale (un client di posta aziendale che deve restare raggiungibile). Grosso svantaggio: tutto ciò che non è nell'elenco passa in chiaro. Se elenchi solo il browser ma Dropbox sta sincronizzando in background, Dropbox espone il tuo IP reale durante i cali del tunnel. Falso senso di sicurezza nella stragrande maggioranza dei casi d'uso.

Il kill switch di sistema - Internet Kill Switch su NordVPN, Network Lock su ExpressVPN e Mullvad, «Permanent Kill Switch» su ProtonVPN - opera a livello di firewall del sistema operativo. Su Windows inserisce regole WFP (Windows Filtering Platform) che bloccano tutto il traffico in uscita al di fuori dell'interfaccia del tunnel. Su macOS programma pfctl. Su Linux manipola iptables o nftables per vietare qualsiasi route al di fuori di tun0 o wg0. Vantaggio: protezione strutturale, indipendente dall'elenco delle app e dai bug del client. Svantaggio: se il servizio VPN va in crash senza ripulire le proprie regole, internet resta bloccato fino a un intervento manuale. Raro sui client maturi, ma vale la pena saperlo.

Regola generale. A meno che tu non abbia un caso d'uso specifico (VPN aziendale separato, traffico legittimamente fuori dal tunnel), la modalità di sistema è l'unica opzione davvero protettiva. La modalità app è una comodità, non un'impostazione predefinita sensata.

Come si attiva il kill switch su NordVPN, ExpressVPN, Surfshark, ProtonVPN?

Rack di server illuminati di blu in un data center

NordVPN: Impostazioni → Kill Switch → attiva «Internet Kill Switch» (non solo App Kill Switch - disattivato per impostazione predefinita). ExpressVPN: Impostazioni → Generale → «Network Lock» (attivo per impostazione predefinita dal 2023). Surfshark: Impostazioni → VPN → Kill Switch. ProtonVPN: Impostazioni → Connessione → «Permanent Kill Switch» per la massima protezione. Su Android, attiva sempre «Always-on VPN» + «Blocca connessioni senza VPN» a livello di sistema per una copertura migliore.

I quattro principali VPN nel 2026 implementano tutti un kill switch, ma con convenzioni di denominazione e impostazioni predefinite diverse. Ecco la procedura esatta per ciascuno, aggiornata a maggio 2026.

NordVPN

Desktop Windows/macOS: Impostazioni → Kill Switch. Due interruttori separati - «Internet Kill Switch» (modalità di sistema, da attivare) e «App Kill Switch» (modalità app, opzionale). L'Internet Kill Switch è disattivato per impostazione predefinita all'installazione - è l'errore più comune. Linux: nordvpn set killswitch on, verifica con nordvpn status. Android: l'impostazione di sistema Impostazioni → Rete → VPN → icona ingranaggio NordVPN → «VPN permanente» + «Blocca connessioni senza VPN» è più affidabile dell'opzione integrata nell'app. iOS: nessun pulsante dedicato, ma il profilo «Connect on demand» nelle impostazioni avanzate svolge questo ruolo a livello di sistema.

ExpressVPN

ExpressVPN chiama il suo kill switch di sistema Network Lock. Windows/macOS: Impostazioni → Generale → «Interrompi tutto il traffico internet se il VPN si disconnette inaspettatamente». Attivo per impostazione predefinita dal 2023 - un differenziatore notevole rispetto a NordVPN. Linux (CLI expressvpn): Network Lock è attivo automaticamente alla connessione. Android: opzione «Network Protection». iOS: profilo «On-Demand», come tutti gli altri.

Surfshark

Surfshark offre un semplice Kill Switch, senza varianti - modalità di sistema per impostazione predefinita. Impostazioni → VPN → Kill Switch → attiva. Linux: surfshark-vpn killswitch on. Un client più minimale in termini di opzioni, il che riduce il rischio di configurazione errata ma limita la granularità.

ProtonVPN

ProtonVPN offre due modalità distinte. Il Kill Switch standard blocca il traffico solo quando la connessione cade inaspettatamente. Il Permanent Kill Switch è più rigoroso - blocca tutto il traffico al di fuori del tunnel anche quando l'utente si disconnette volontariamente - utile per giornalisti o attivisti che vogliono eliminare ogni rischio di dimenticanza. Impostazioni → Connessione → Kill Switch o Permanent Kill Switch. Vedi la pagina Kill Switch di ProtonVPN per i dettagli di implementazione per sistema operativo.

Casi limite: Linux, router, mobile iOS/Android

I setup non standard meritano una trattazione separata perché la logica del kill switch è implementata diversamente - a volte senza alcuna impostazione nell'app.

Linux. I client ufficiali (NordVPN, ExpressVPN, ProtonVPN) usano iptables o nftables iniettati all'avvio del tunnel. Se usi WireGuard o OpenVPN direttamente senza un client proprietario, configuralo manualmente tramite PostUp/PostDown nella configurazione WireGuard. Mullvad pubblica ottime guide open source che riproducono questa configurazione. La distribuzione Tails implementa nativamente un kill switch equivalente tramite iptables preconfigurate.

Router. Il VPN a livello di router (DD-WRT, OpenWRT, AsusWRT-Merlin, pfSense) protegge ogni dispositivo della rete ma richiede una configurazione esplicita del kill switch - mai attiva per impostazione predefinita. Su pfSense, crea un gruppo di gateway con il VPN come primario e senza fallback: se il VPN cade, l'instradamento fallisce anziché ripiegare sulla WAN in chiaro. La configurazione più robusta per una casa in cui TV, console e dispositivi IoT passano tutti per il tunnel. Per la cifratura radio sottostante, la nostra guida alla sicurezza Wi-Fi WPA2 vs WPA3 spiega perché WPA3 chiude la falla KRACK e rafforza il livello sotto il tunnel VPN.

iOS. iOS non espone un'API diretta per il kill switch. I client si affidano al profilo «Connect on Demand» del framework Network Extensions, che forza la riconnessione a ogni traffico in uscita. Funzionalmente equivalente nella maggior parte dei casi, con una finestra di qualche centinaio di millisecondi durante la riconnessione. Sufficiente per l'uso quotidiano, con limiti per una privacy rigorosa.

Android. Da Android 8, l'impostazione di sistema «Always-on VPN» + «Blocca connessioni senza VPN» in Impostazioni → Rete → VPN → icona ingranaggio dell'app. Questo è il kill switch più robusto disponibile su mobile - a livello di sistema operativo, sopravvive ai crash dell'app. Raccomandazione sistematica: Always-on a livello di sistema in aggiunta all'app kill switch; i due livelli si completano a vicenda.

Scelta editoriale

4.6 / 5

Prova NordVPN - Internet Kill Switch + auto-connessione inclusi

Audit no-log Deloitte 2024 · NordLynx (WireGuard) · App Kill Switch + Internet Kill Switch · garanzia soddisfatti o rimborsati 30 giorni

Audit Deloitte 2024Garanzia di 30 giorni14M+ utenti

Vedi l'offerta

Quando il kill switch può essere controproducente

Il kill switch non è un assoluto - esistono tre contesti operativi in cui diventa un fastidio o persino un blocco. Conoscerli ti permette di disattivarlo temporaneamente e deliberatamente, anziché nel panico.

Captive portal di hotel o aeroporto. L'operatore del Wi-Fi pubblico intercetta la tua prima richiesta HTTP e la reindirizza a una pagina di accettazione. Questa intercettazione avviene prima che il tunnel sia stabilito - un kill switch di sistema rigoroso blocca la richiesta al captive portal, rendendoti impossibile l'autenticazione e quindi l'accesso a internet. I client moderni (NordVPN, ExpressVPN, ProtonVPN) lo gestiscono tramite un'eccezione temporanea per le richieste di captive portal rilevate. Se il rilevamento fallisce, disattiva temporaneamente il kill switch, accetta il portale, riconnetti il VPN, riattivalo. Procedura nella nostra guida al Wi-Fi pubblico 2026. In viaggio, passare al tethering del telefono resta l'opzione più semplice: vedi sicurezza hotspot mobile vs Wi-Fi pubblico per il compromesso tra velocità ed esposizione.

Rete aziendale con proxy. Su alcune reti aziendali, l'accesso a internet passa per un proxy aziendale (ispezione SSL, DLP). Attivare un VPN commerciale con kill switch taglia l'accesso a quel proxy. I due sono incompatibili; disattiva il VPN commerciale durante quelle sessioni.

Autenticazione 802.1X in conferenza. Alcuni eventi professionali distribuiscono 802.1X con autenticazione basata su certificati. Il kill switch attivo al momento dell'handshake EAP può far fallire il protocollo - alcune varianti di 802.1X richiedono richieste fuori dal tunnel. Un caso limite raro ma documentato.

Regola pragmatica: se il kill switch ti blocca, disattiva temporaneamente, capisci perché, riattiva il prima possibile. La protezione strutturale vale più di un'eccezione permanente.

Testare il tuo kill switch in 30 secondi

La funzione è inutile se non è mai stata verificata almeno una volta. Ecco la procedura minima per confermare che il tuo kill switch faccia il suo lavoro - applicabile in meno di un minuto.

Passaggio 1 - Avvia un download di grandi dimensioni. Inizia a scaricare un file di diverse centinaia di megabyte (ISO Linux, immagine Docker, video) tramite il browser o un client torrent legale. Verifica che la velocità di trasferimento sia stabile da 10-15 secondi.

Passaggio 2 - Disconnetti manualmente il tunnel. Nel client VPN, clicca su Disconnetti. Non chiudere il client; disconnettiti solo dal server. È esattamente ciò che accade durante un calo di rete reale.

Passaggio 3 - Osserva il download. Se il kill switch è attivo e funziona, il download deve fermarsi immediatamente - non in 5 secondi, immediatamente. Il browser mostra in genere «connessione persa» o «ERR_NETWORK_CHANGED». Se il download continua, il tuo kill switch è mal configurato o inattivo. Se si ferma solo il download ma un'altra app (Spotify, Slack) continua a caricare, sei in modalità app anziché in modalità di sistema.

Passaggio 4 - Verifica l'assenza di fughe residue. Mentre il tunnel è ancora giù, apri il nostro strumento DNS Leak Test o un servizio equivalente (ipleak.net, dnsleaktest.com). Non dovrebbe comparire alcun indirizzo IP pubblico, DNS o IPv6 - tutto dovrebbe fallire con un errore di rete. Se compare il tuo IP reale, il firewall del kill switch non copre tutto il traffico. Caso tipico: IPv6 non bloccato mentre IPv4 lo è.

Passaggio 5 - Riconnetti e conferma. Riconnetti il VPN. L'IP mostrato dallo strumento dovrebbe tornare all'indirizzo del server VPN. Testa una seconda volta dopo qualche minuto per assicurarti che nessuno stato residuo falsi il risultato. La procedura completa è dettagliata nella nostra guida su come verificare che il tuo VPN funzioni, che copre i controlli minimi da eseguire all'inizio di ogni sessione.

Andare oltre

Il kill switch è un'impostazione che attivi una volta e dimentichi - come una cintura di sicurezza. Inutile nel 99% dei viaggi, indispensabile in quell'uno percento in cui impedisce una fuga invisibile e irreversibile. Sui VPN moderni l'implementazione è matura e il costo di esercizio è zero; non c'è alcun buon motivo per non attivarlo in modalità di sistema fin dalla tua primissima sessione.

Per profili oltre l'uso quotidiano (giornalisti in ambienti sensibili, fonti protette), stratificare kill switch + Android Always-on + router VPN + una macchina dedicata costituisce l'OPSEC standard. Per il 95% dei casi d'uso - streaming, navigazione privata, Wi-Fi pubblico, torrenting legale - kill switch di sistema + auto-connessione su Wi-Fi non protetto chiude tutti i vettori strutturali di esposizione. Senza kill switch, il tunnel è una comodità; con esso, è una protezione.

Il NCSC e analoghe agenzie nazionali di cybersicurezza sottolineano nelle loro linee guida per i lavoratori da remoto e in mobilità l'importanza di una catena di fiducia ininterrotta su reti non attendibili - è esattamente ciò che il kill switch garantisce lato client. Il nostro audit completo in 9 test lo tratta come controllo prioritario, da verificare una volta a trimestre.

Vedi anche. Correlato: Split tunneling spiegato.

Strumenti e guide legati al kill switch e alla sicurezza VPN

Articolo pubblicato il 29 maggio 2026. Questa guida descrive come i kill switch sono documentati funzionare su NordVPN (Internet Kill Switch + App Kill Switch), ExpressVPN (Network Lock), Surfshark (Kill Switch) e ProtonVPN (Kill Switch + Permanent Kill Switch) su Windows, macOS, Linux e Android, e spiega la verifica autoapplicabile (catturare il traffico con Wireshark o tcpdump mentre si interrompe manualmente il tunnel) - non è il resoconto di un banco di prova privato. Riferimenti: documentazione pubblica di ProtonVPN, guide WireGuard di Mullvad, linee guida NCSC sul lavoro da remoto.