Quasi tutti i moduli DNS chiedono due indirizzi, e quasi nessuno sa cosa fa il secondo. Da lì nascono combinazioni come «Cloudflare primario e Google secondario, così ho il meglio di entrambi», che suonano bene e non fanno quello che sembra.
Cosa fa davvero il secondario
Il sistema operativo interroga sempre il primario. Solo se quel server non risponde entro un limite (uno o due secondi, a seconda del sistema) riprova con il secondario. Non alterna tra i due, non divide il carico e non confronta le risposte. Finché il primario risponde, il secondario non riceve nemmeno una richiesta.
Ci sono sfumature per sistema: Windows torna al primario dopo un po’; alcuni resolver Linux possono ruotare se glielo chiedi; il router consegna entrambi a ogni dispositivo e ognuno decide. Ma l’idea generale è la stessa ovunque: il secondario è una riserva per quando il primario è giù o irraggiungibile, e niente più.
E un dettaglio che confonde: se il primario risponde «quel dominio non esiste», è una risposta valida e il sistema non interroga il secondario. Passa al secondario solo quando non c’è nessuna risposta.
Cosa abbinare e cosa no
Da qui tre regole semplici.
Entrambi dello stesso provider. Ogni provider pubblica due indirizzi proprio per questo: 1.1.1.1 e 1.0.0.1, 8.8.8.8 e 8.8.4.4, 9.9.9.9 e 149.112.112.112, 86.54.11.1 e 86.54.11.201. Stanno su reti diverse dello stesso operatore, quindi se una cade l’altra continua, ed entrambi applicano la stessa politica.
Non mescolare filtrato con non filtrato. Se metti AdGuard come primario per togliere la pubblicità e Google come secondario «per sicurezza», ogni volta che AdGuard ci mette un po’ di più la richiesta esce da Google senza filtro. Non te ne accorgerai, ma il blocco avrà dei buchi. Lo stesso con un filtro famiglia: il secondario dev’essere dello stesso livello di filtro o l’indirizzo gemello della stessa famiglia (CleanBrowsing e OpenDNS pubblicano una coppia per ogni filtro).
Se proprio vuoi mescolare, che siano due senza filtro. Cloudflare primario e Quad9 secondario è un abbinamento ragionevole: se Cloudflare ha un problema risponde Quad9, e nessuno dei due cambia il risultato delle richieste normali (Quad9 blocca solo domini malevoli).
In che ordine metterli
Il primario è quello che lavora, quindi metti per primo il più veloce dalla tua rete, non il più famoso. Il test di velocità te lo dice in due minuti. Da Madrid, Cloudflare, Quad9, CleanBrowsing e DNS4EU hanno risposto in 5 o 6 ms in cache; dal tuo operatore l’ordine può essere diverso.
E se il router permette di inserirne uno solo, non succede niente di grave: i grandi resolver sono anycast e portano la ridondanza al loro interno. Il secondario protegge soprattutto da un problema di rete tra te e quel provider.
Anche IPv6 va in coppia
Se la tua connessione ha IPv6, il sistema farà richieste anche per quella via, e lì vale la coppia IPv6 del provider: 2606:4700:4700::1111 e ::1001 per Cloudflare, 2001:4860:4860::8888 e ::8844 per Google, 2620:fe::fe e 2620:fe::9 per Quad9. Se metti IPv4 di un provider e IPv6 di un altro, torni al problema di mescolare le politiche. Ogni scheda del provider elenca tutti e quattro gli indirizzi.
«DNS pubblico» contro «DNS privato»
Queste due espressioni compaiono continuamente nelle ricerche che arrivano a questo sito, e significano cose diverse a seconda di chi le usa.
DNS pubblico è un resolver aperto a chiunque su Internet. Cloudflare, Google, Quad9, DNS4EU o AdGuard sono pubblici: non serve essere clienti di nessuno. Il DNS del tuo operatore è, in questo senso, privato: risponde solo alle connessioni dei suoi clienti. Quando qualcuno dice «metti un DNS pubblico», intende «smetti di usare quello dell’operatore».
DNS privato può voler dire tre cose:
- L’impostazione «DNS privato» di Android. È DNS cifrato (DNS su TLS) verso il provider che scrivi, per Wi-Fi e dati. «Privato» lì significa che l’operatore non può leggere né manipolare le tue richieste. Si compila con un nome (
one.one.one.one,dns.quad9.net), non con un IP. Lo spieghiamo nell’articolo sul telefono. - Un resolver che non conserva log. In questo senso «privato» descrive la politica del provider: Quad9, Cloudflare o Mullvad dichiarano di non conservare richieste identificabili; OpenDNS o Google conservano qualcosa. Il confronto ha la colonna dei log.
- Un resolver tuo. Un Pi-hole in casa, un AdGuard Home o il DNS dell’azienda: un server che serve solo la tua rete. È il senso più letterale e il meno comune nelle ricerche.
Quindi «DNS pubblico gratis» e «DNS privato gratis» sono di solito la stessa ricerca fatta da due persone: entrambe vogliono un resolver che non sia quello dell’operatore, veloce e che non spii. Uno qualsiasi dei pubblici senza log va bene.
In breve
Primario: il più veloce dalla tua rete. Secondario: il secondo indirizzo dello stesso provider. IPv6: la coppia dello stesso provider. Senza mescolare filtri. E se sei indeciso tra due, il confronto li mette fianco a fianco e le guide dicono dove va ciascuno su Windows, macOS, Android, iOS e router.