O que uma VPN realmente faz e do que ela não protege

A VPN é vendida como um manto mágico: aperte um botão e fique invisível. A realidade é mais modesta e também mais útil: um túnel que faz três coisas concretas, faz bem e para por aí. Entender esses limites economiza dinheiro em assinaturas e poupa surpresas desagradáveis na pior hora.

Como o túnel funciona

O app de VPN cria no sistema uma interface de rede virtual e direciona para ela todo o tráfego do aparelho. Os pacotes são criptografados e viajam em um único fluxo até o servidor, onde são descriptografados e seguem para os sites do jeito normal, e as respostas voltam pelo mesmo túnel. A palavra-chave aqui é todo o tráfego, do navegador aos serviços em segundo plano. Um proxy atende os programas configurados, enquanto o túnel captura o sistema inteiro, inclusive apps que nem sabem que ele existe.

Três funções honestas

• Criptografia até o servidor. A rede local, do Wi-Fi da cafeteria a qualquer nó intermediário, vê um único fluxo criptografado para um único endereço. Desse fluxo ninguém extrai quais sites você abre nem o que envia.
• Troca de endereço e localização. Os sites veem o endereço do servidor VPN: página de outro país, preços de outra região, acesso a recursos fechados para o seu endereço.
• Entrada em uma rede privada. A variante corporativa: um túnel até o escritório torna você membro da rede interna com seus recursos. Esse é, aliás, o sentido original da sigla: rede privada virtual.

O que a VPN não faz

Agora começa a zona dos exageros publicitários, e vale percorrê-la ponto a ponto. Anonimato: os sites reconhecem você por contas, cookies e impressão digital do navegador, e trocar de endereço não anula isso. Proteção contra vírus e phishing: o túnel transporta bytes sem avaliar se são úteis ou maliciosos, e uma página de login falsa é igualmente perigosa pela VPN. Criptografia "até o fim": o túnel termina no servidor VPN, dali em diante o tráfego segue normalmente e a proteção depende do HTTPS de cada site. Por último, a confiança: tudo o que seu provedor via antes, agora o operador da VPN vê. Você não removeu o observador, você o escolheu, então escolha com consciência.

VPN ou proxy

A tarefa decide. O túnel serve para a proteção pessoal: um usuário, o aparelho inteiro, redes alheias. O proxy foi feito para esquemas de trabalho: programas separados, muitos endereços diferentes, automação. Um scraper que precisa de mil saídas não se monta em VPN, porque o túnel dá um endereço para o aparelho inteiro. E o contrário: para um notebook no aeroporto o proxy não basta, ele não cobre o tráfego dos apps que você esqueceu. Há uma comparação detalhada por etapas no artigo sobre como o proxy funciona, e um resumo prático das tarefas no texto sobre para que servem os servidores proxy.

Algumas palavras sobre protocolos

Sob o capô do túnel vive um protocolo: o padrão moderno WireGuard é valorizado pela velocidade e resistência em redes móveis, o veterano OpenVPN pela compatibilidade, e o IKEv2 pela recuperação rápida ao trocar de rede. Para o usuário, a diferença se resume a velocidade e estabilidade: se o cliente oferece escolha, comece pelo WireGuard. A matemática da criptografia é igualmente confiável nos três quando bem configurada.

Escolher o operador do túnel

Como todo o tráfego passa pelo servidor VPN, a identidade do dono do servidor vira a principal propriedade do produto. Túneis grátis sem modelo de receita vivem pelas mesmas leis dos proxies gratuitos e das extensões de navegador: alguém paga por eles, normalmente com dados dos usuários. Para acesso corporativo a resposta é óbvia: o túnel da empresa. Para uso pessoal: um operador com jurisdição clara, modelo pago e histórico. Quem tem segurança técnica pode instalar seu próprio servidor WireGuard em uma noite e eliminar a questão da confiança, restando a questão de um único endereço.

Como verificar seu túnel

Depois de conectar, abra a página de detecção de IP: o endereço deve pertencer ao servidor VPN. Em seguida, a verificação de anonimato: um vazamento de WebRTC e um fuso horário que não combina com o endereço revelam o túnel aos sites, e o relatório mostra os dois pontos na hora. O DNS é outra história: as consultas de nomes devem passar pelo túnel e não pelo provedor local, senão a lista de domínios visitados continua visível para a rede da qual você queria se esconder. Um bom cliente resolve isso sozinho, e dá para conferir na mesma verificação de anonimato, pelos servidores de nomes.

Uma fórmula curta para guardar: VPN é um tubo criptografado com troca de endereço. Tudo que prometer mais do que um tubo merece um teste contra a prática de proteção em redes alheias: ali se vê que parte do trabalho é do túnel e que parte é dos hábitos.