Qual protocolo VPN você deve usar?
Cinco perguntas e uma resposta direta — inclusive “você não precisa do furtivo”.
Use
tool.proto.p.wireguard.name
O padrão moderno. Uma base de código pequena e auditada, com criptografia moderna fixa, rápida ao ponto de raramente ser o estrangulamento.
- Nada na sua rede está a bloquear tráfego de VPN, por isso não há razão para pagar o preço da ofuscação. O WireGuard é o padrão moderno e, em regra, não será o seu estrangulamento.
Segunda escolha · tool.proto.p.openvpn.name
Guarde o OpenVPN sobre TCP/443 como reserva para as redes de hotéis e conferências que só deixam passar tráfego web. É mais lento, e nessas redes é muitas vezes a única coisa que consegue ligar.
Na JaguarVPN
O Umbra é a opção por omissão da JaguarVPN e a resposta certa aqui — dimensionado para a velocidade máxima da linha, com chaves novas em cada sessão e um kill switch que falha fechado. O MIRAGE, a opção furtiva, também é rápido, mas numa rede que não o esteja a filtrar o caminho direto é o mais curto, e disfarçar uma ligação que ninguém está a inspecionar resolve um problema que não tem.
Como funciona o Umbra →Comparar todos lado a lado
tool.proto.p.wireguard.name
O padrão moderno. Uma base de código pequena e auditada, com criptografia moderna fixa, rápida ao ponto de raramente ser o estrangulamento.
- É consistentemente a opção mais rápida entre as correntes, e volta a ligar depressa depois de uma quebra
- Cerca de 4000 linhas de código, pequeno o suficiente para ter sido revisto como deve ser
- Excelente comportamento de bateria nos telemóveis — está inativo quando você está
- Trivialmente reconhecível por inspeção profunda de pacotes: tem um handshake distinto e nenhum disfarce
- Só UDP, por isso uma rede que só permita TCP/443 bloqueia-o por completo
- Atribui a cada cliente um endereço interno estável, algo que os fornecedores têm de contornar por desenho em vez de ignorar
Ponha-o de lado quando a rede em que está procura ativamente tráfego de VPN e o bloqueia.
tool.proto.p.openvpn.name
O incumbente há vinte anos. Mais lento e mais pesado do que o WireGuard, mas corre sobre TCP, e às vezes é só isso que importa.
- Corre praticamente em todas as plataformas, firmwares de router e equipamentos que existem
- Sobre a porta TCP 443 consegue atravessar redes que só permitem tráfego web
- Extensamente auditado, e conhecido por qualquer administrador de rede
- Perceptivelmente mais lento do que o WireGuard, sobretudo em hardware modesto
- O modo TCP sofre colapso: um protocolo fiável dentro de outro protocolo fiável retransmite a dobrar, e o débito desmorona-se numa ligação com perdas
- Continua identificável à inspeção — correr na porta 443 não é o mesmo que parecer HTTPS
Ponha-o de lado quando tem um cliente compatível com WireGuard e nada está a bloquear UDP.
tool.proto.p.ikev2.name
O especialista em mobilidade. A sua característica definidora é sobreviver a uma mudança de rede sem deixar cair o túnel.
- O MOBIKE mantém a sessão viva enquanto você passa do Wi-Fi para os dados móveis
- Está integrado no iOS, no macOS e no Windows, por isso não precisa de cliente de terceiros
- Rápido, e volta a ligar quase de imediato após uma interrupção do túnel
- Usa portas UDP fixas e bem conhecidas (500 e 4500), as primeiras que as redes restritivas bloqueiam
- Nenhuma ofuscação, de espécie nenhuma
- A qualidade da implementação varia muito de fabricante para fabricante
Ponha-o de lado quando precisa de atravessar uma rede que filtra por porta.
tool.proto.p.stealth.name
Mais uma categoria do que um protocolo: desenhos cujo objetivo é que a análise de tráfego não encontre nada que valha a pena bloquear. É disto que precisa onde os próprios VPN são o alvo da filtragem.
- Passa por redes que detetam e descartam tráfego de VPN convencional
- Os melhores desenhos sobrevivem também à sondagem ativa, em que um censor se liga a um servidor suspeito para ver como ele responde
- Costuma ser a única coisa que funciona sob filtragem à escala nacional
- Historicamente mais lento, às vezes muito — os desenhos mais antigos pagam a camuflagem em idas e voltas e sobrecarga, ainda que os melhores atuais tenham fechado quase toda essa diferença
- Mais peças em movimento, logo mais coisas que podem correr mal
- Desnecessário em qualquer rede que não esteja a filtrar, onde é puro custo
Ponha-o de lado quando nada na sua rede está a bloquear VPN — a maquinaria extra não lhe traz nada.
tool.proto.p.legacy.name
Obsoleto. Está listado para que a resposta a “devo usar PPTP?” não deixe dúvidas.
- Existe em equipamento muito antigo
- A cifra do PPTP é praticamente quebrável desde 2012 e não oferece proteção nenhuma que conte
- O L2TP/IPsec é lento, tem dupla encapsulação e está bloqueado em quase todo o lado
- Ambos estão desativados ou removidos na generalidade dos sistemas operativos atuais
Ponha-o de lado quando sempre, a não ser que um equipamento antigo não lhe deixe alternativa — e então parta do princípio de que o tráfego é legível.
A pergunta por trás da pergunta
Quase todos os artigos sobre «o melhor protocolo de VPN» põem quatro protocolos numa tabela e declaram um vencedor. Esse enquadramento está errado de uma forma muito concreta: os protocolos não competem num só eixo. O WireGuard é mais rápido do que o OpenVPN e sempre será. O OpenVPN passa por uma rede de hotel que deita fora UDP e o WireGuard não. Nenhum destes factos bate o outro, porque respondem a perguntas diferentes.
Por isso o recomendador acima começa pela rede em que está, e trata tudo o resto como ajuste. Na prática, uma distinção decide quase tudo: há alguma coisa a bloquear activamente tráfego de VPN onde está? Se não, escolha o rápido e não pense mais nisso. Se sim, velocidade nenhuma ajuda, porque a ligação nem chega a estabelecer-se.
Para que servem, de facto, as quatro opções
WireGuard — a opção por omissão para a maioria
Pequeno, moderno e rápido. Umas quatro mil linhas de código contra as centenas de milhares do OpenVPN, o que importa porque é uma base de código que uma pessoa consegue mesmo auditar. Não negoceia um conjunto de cifras; usa um conjunto de primitivas modernas e não tem caminho de desclassificação, o que elimina uma classe inteira de ataques.
A sua fraqueza é ser inconfundível. O aperto de mão tem estrutura fixa e nenhuma história de fachada, portanto uma rede que faça inspecção profunda de pacotes identifica-o de imediato. O WireGuard nunca tentou ser invisível — tentou ser rápido e correcto, e é.
OpenVPN — aquele que ainda passa
Mais lento, mais antigo e imensamente mais implantado. A razão para o manter à mão é o modo TCP na porta 443, que lhe permite atravessar redes que deixam passar tráfego web e mais nada — sobretudo redes de hotéis e de conferências.
Vale a pena perceber porque esse modo é um último recurso e não uma opção por omissão. O TCP garante a entrega retransmitindo pacotes perdidos. Ponha TCP dentro de TCP e ambas as camadas retransmitem a mesma perda, cada uma a piorar o controlo de congestão da outra. Numa ligação limpa mal se nota; numa com perdas, o débito desaba. Chama-se colapso de TCP, e é por isso que UDP é a escolha certa sempre que houver UDP.
IKEv2/IPsec — o dos telemóveis
A sua característica distintiva é o MOBIKE, que permite a um túnel sobreviver à mudança de endereço de rede do cliente. Sai de um edifício, passa do Wi-Fi para os dados móveis, e a sessão continua em vez de cair e ser reconstruída. No iOS é também nativo, portanto não há nada de terceiros no caminho.
Usa portas fixas e bem conhecidas — UDP 500 e 4500 — que estão entre as primeiras coisas que uma rede restritiva bloqueia. Excelente onde funciona; nenhuma ajuda onde não funciona.
Protocolos ofuscados — os das redes filtradas
É uma categoria, não um produto. O que estes desenhos têm em comum é um objectivo: que a análise de tráfego não encontre nada sobre que valha a pena agir. Os melhores sobrevivem também à sondagem activa, em que o censor se liga ele próprio a um servidor de que suspeita e observa como responde — um servidor que responde de forma estranha sob sondagem é identificado independentemente do aspecto do seu tráfego.
É importante ser claro: isto não é cifra mais forte. A confidencialidade é a mesma. O que a ofuscação compra é que a ligação não se anuncia. A categoria tem a fama merecida de pagar isso em velocidade, mas trata-se de uma propriedade de desenhos concretos e não de uma lei — a pergunta a fazer sobre qualquer um em particular é se ainda aguenta uma videochamada e um descarregamento grande ao mesmo tempo sem que nenhum se desfaça.
O que a escolha do protocolo não resolve
Três coisas que as pessoas esperam de uma decisão sobre protocolo e que decisão nenhuma sobre protocolo dá:
- O que o seu fornecedor consegue ver. Todos eles terminam no servidor do fornecedor. Isso é uma pergunta sobre a política de registos e as auditorias da empresa, não sobre criptografia.
- A impressão digital do seu navegador. Nenhum deles a altera — vem do seu dispositivo, não da sua ligação. Veja como está a sua.
- O DNS a escapar-se por fora do túnel. É uma falha de configuração, não uma propriedade do protocolo, e acontece com todos. Mais vale testar do que assumir.
A definição que conta genuinamente mais do que a escolha do protocolo, e de que se fala muitíssimo menos, é o interruptor de emergência. Um túnel que caia sem ele devolve-o à rede nua a meio da sessão, em silêncio, exactamente no momento em que é menos provável que vá verificar.
Perguntas sobre protocolos que as pessoas têm mesmo
Qual é o protocolo de VPN mais rápido?
O WireGuard, em praticamente todas as comparações publicadas e em praticamente todas as classes de dispositivos. Usa criptografia moderna fixa em vez de negociar um conjunto de cifras, corre em espaço de núcleo onde a plataforma o permite e carrega muito menos sobrecarga por pacote do que o OpenVPN. Numa ligação rápida, a diferença é a que separa uma VPN que se nota de uma que não se nota. A ressalva é que a velocidade pura do protocolo deixa de ser o factor limitador assim que o servidor está longe — nessa altura o estrangulamento é a distância, não o protocolo.
O WireGuard é menos privado do que o OpenVPN?
A crítica é real mas estreita, e diz respeito à forma de operar e não ao protocolo. O WireGuard atribui a cada cliente um endereço IP interno fixo e mantém-no durante a sessão, o que um fornecedor poderia usar para ligar actividade a uma conta de um modo que a atribuição dinâmica do OpenVPN não permite. É um problema resolvido — os fornecedores tratam disso com duplo NAT ou rodando as atribuições — mas convém saber que tem de ser resolvido e não presumido. Do ponto de vista criptográfico, o WireGuard é o mais moderno e o mais auditável dos dois.
Preciso de um protocolo ofuscado ou furtivo?
Provavelmente não, e vale a pena ser claro quanto a isso porque é a opção mais vezes vendida em excesso. A ofuscação existe para resolver um problema: uma rede que identifica tráfego de VPN e o bloqueia. Se a sua ligação funciona, não tem esse problema, e numa rede que não o inspecciona o caminho directo é simplesmente o mais curto. Onde precisa dela — filtragem à escala nacional, ou um local de trabalho ou campus que corta túneis activamente — nada mais funciona de forma fiável, porque a questão não é os protocolos convencionais serem fracos mas serem reconhecíveis. A velha suposição de que isso tem de lhe custar velocidade merece ser testada e não aceite: é verdadeira para alguns desenhos e não para outros.
Devo alguma vez usar PPTP?
Não. A sua cifra é praticamente quebrável desde 2012, e o ataque é um serviço que se pode alugar e não um resultado de investigação. As versões modernas do Windows, do macOS e do iOS removeram-no ou desactivaram-no. Se algum equipamento não lhe oferecer mais nada, trate essa ligação como não cifrada e planeie em conformidade.
O protocolo muda o que o meu fornecedor de VPN consegue ver?
Não de forma significativa. Todos os protocolos aqui terminam o túnel no servidor do fornecedor, o que significa que o fornecedor está em posição de ver o seu tráfego à saída, qualquer que tenha sido a sua escolha. O que determina a sua exposição ali é a política de registos do fornecedor e se ela foi auditada de forma independente — uma pergunta sobre a empresa, não sobre a criptografia. A escolha do protocolo decide o que as redes entre si e o servidor conseguem perceber, e isso é outra pergunta.
Porque é que a minha aplicação de VPN não me deixa escolher um protocolo?
Muitas vezes porque só há um que valha a pena oferecer, e por vezes porque a aplicação muda sozinha consoante o que a rede permite. A selecção automática costuma ser a predefinição acertada — recua de um protocolo rápido para um que sobreviva a uma rede restritiva sem que tenha de diagnosticar a falha. Ainda assim, vale a pena poder impor a sua escolha, para o caso em que já sabe que a sua rede filtra e prefere começar logo pela opção que funciona em vez de esperar por duas falhas.
Both answers exist in the same app.
Umbra is the fast default and what the recommender picks for most people. MIRAGE is the option for networks that filter — it leaves nothing on the wire that reads as a VPN, and it carries games, calls and 4K at the speed of your line rather than asking you to trade one for the other. You do not choose once and live with it: switch in the app when a network stops cooperating, and switch back when it does.
Última revisão . Encontrou algo desactualizado? Diga-nos.