Guia
Como verificar se a sua VPN está a funcionar
Seis verificações que mostram se o túnel está a transportar o seu tráfego, pela ordem que deteta primeiro as falhas mais comuns. Nenhuma requer software além de um navegador, e cada uma prova uma coisa, e nada mais. Redigido com base nos clientes do final de 2026.
O que isto permite concluir
Um cliente que diz ligado está a comunicar o seu próprio estado, não o destino do seu tráfego. As seis verificações abaixo respondem à segunda pergunta. Faça-as uma vez depois de instalar, uma vez depois de cada atualização do cliente ou do sistema e uma vez em qualquer rede que ainda não tenha utilizado. Em conjunto, demoram alguns minutos; as três primeiras demoram um.
Ligue-se primeiro à saída que utiliza normalmente. Depois siga a lista pela ordem indicada: cada verificação pressupõe que a anterior passou, e as falhas mais comuns estão no topo.
1. O seu endereço mudou
- Abra qualquer página “qual é o meu IP” e leia o endereço e o país que apresenta. O país tem de corresponder à saída que escolheu; o endereço tem de ser um que não reconheça como seu.
- Desligue-se e volte a carregar a mesma página. O endereço deve mudar para o seu. Se não mudar, a página está em cache ou há um segundo túnel a interferir, e o primeiro resultado não provou nada.
- Ligue-se novamente e volte a carregar a página. Três leituras, duas delas diferentes da leitura intermédia, constituem todo o teste. Uma única leitura feita enquanto está ligado não constitui o teste.
Isto prova que a saída está à frente do seu navegador. Nada diz sobre pesquisas de nomes, outras aplicações ou o que acontece quando o túnel cai, que é precisamente o objetivo do resto desta página.
2. As pesquisas ocorrem dentro do túnel
- Execute um teste de fugas de DNS — qualquer página que ofereça um teste avançado, que envie muitas pesquisas em vez de uma — e leia a lista de resolvedores que apresenta, com os respetivos proprietários.
- Cada resolvedor tem de pertencer ao fornecedor de VPN ou estar localizado no país da saída. Uma entrada pertencente ao seu fornecedor de internet ou localizada no seu próprio país significa que o teste falhou, independentemente do que indiquem as outras.
- Se falhar, defina no cliente o DNS do resolvedor do próprio fornecedor ou ative a proteção contra fugas, volte a ligar-se e repita. A definição é descrita no guia de cada plataforma; o significado da fuga é explicado na página sobre fugas de DNS.
3. O navegador não está a divulgar o seu endereço
Os navegadores incluem um protocolo para chamadas e vídeo que pode divulgar diretamente a uma página os seus endereços local e público, contornando o túnel. Trata-se de uma definição do navegador, não do cliente, por isso um cliente perfeitamente configurado passa todos os outros testes e falha este.
- Execute um teste de fugas de WebRTC em cada navegador que utiliza, enquanto está ligado. As janelas e os perfis privados têm as suas próprias definições, por isso teste aquele em que navega efetivamente.
- O endereço público apresentado tem de ser o da saída ou não deve haver nenhum. Um endereço local atribuído pelo router é normal e inofensivo; o seu próprio endereço público é a falha.
- Se falhar, procure a definição de WebRTC no próprio navegador ou na extensão de navegador do fornecedor, que é onde a maioria dos clientes a coloca, e repita o teste depois de a alterar.
4. O IPv6 não está a contorná-lo
A maioria das redes atribui agora dois tipos de endereço, e um cliente que encaminha o tipo mais antigo pelo túnel e ignora o mais recente cria uma fuga para todos os sites que respondem através de ambos — o que acontece com a maioria dos sites de grande dimensão. A verificação do endereço acima muitas vezes não deteta isto, porque a página utilizada apresenta o endereço através do qual foi contactada.
- Abra uma página de teste de IPv6 enquanto está ligado. Os resultados corretos são “sem conectividade IPv6” ou um endereço IPv6 que pertença à saída. Um endereço IPv6 localizado no seu próprio país é uma fuga.
- Se falhar, procure no cliente uma definição de IPv6: bloquear é a opção segura, encaminhar é a melhor quando disponível. Um cliente sem nenhuma das duas opções requer que o IPv6 seja desativado no adaptador, ao nível do sistema operativo.
- Repita a primeira verificação depois disso: desativar o IPv6 altera o endereço através do qual a página de teste o contacta, e é preciso confirmar a aprovação anterior nas novas condições.
5. Um túnel interrompido falha de forma segura
Tudo o que foi descrito acima diz respeito ao túnel enquanto está ativo. A verificação importante numa rede problemática é saber o que acontece quando não está, e trata-se de um procedimento próprio: como testar um interruptor de emergência de VPN. Faça-o uma vez em qualquer dispositivo que leve para fora de casa; a versão curta é que uma transferência em curso tem de parar completamente quando o túnel é interrompido sem que tal seja solicitado ao cliente. A razão da sua importância é explicada na página sobre o interruptor de emergência.
6. Algo além do navegador
Até agora, todas as verificações foram feitas num navegador, e um navegador pode ser encaminhado de forma diferente do resto da máquina: uma extensão de proxy, uma VPN exclusiva do navegador ou uma regra de divisão de túnel podem fazer com que o navegador passe enquanto outra aplicação cria uma fuga, ou o inverso.
- Escolha uma aplicação que apresente o seu próprio endereço de ligação — a verificação de endereço do próprio cliente de torrents, o registo de ligação de um cliente de email, o painel de rede de um jogo — ou faça a verificação do endereço num segundo navegador que não tenha configurado.
- O endereço tem de ser o da saída, tal como indicou a primeira verificação. Um endereço diferente significa que o túnel não abrange todo o sistema, e a definição responsável é a extensão do navegador ou uma regra de divisão de túnel.
O que significa passar
O que estas verificações provam
+O seu tráfego sai através do servidor de saída, no país que selecionou, a partir de todas as aplicações e não apenas de uma
+A rede que está a utilizar não vê os sites a que acede nem as pesquisas que os encontram
+Nem o navegador nem a família de endereços mais recente transportam o seu endereço para fora do túnel
O que não provam
−Nada dizem sobre o que o fornecedor conserva — essa é uma questão documental, respondida nas páginas sobre retenção
−Não o tornam anónimo: o seu navegador, os seus inícios de sessão e os seus hábitos não mudam; consulte o que uma VPN não protege
−Passar hoje é uma afirmação sobre o cliente de hoje; a próxima atualização pode repor qualquer definição desta página
Quando um teste falha
A página do endereço mostra o meu próprio país, embora o cliente diga que está ligado
O cliente está em execução, mas o tráfego não está a passar por ele. Desligue-se, encerre completamente o cliente em vez de fechar apenas a janela, inicie-o novamente e volte a ligar-se antes de fazer qualquer outra coisa. Se o resultado se repetir, é normalmente uma segunda VPN, uma definição de proxy no navegador ou um produto de segurança com o seu próprio filtro de rede que está a receber o tráfego primeiro.
Verifique por último as definições do próprio proxy e das extensões do navegador: uma extensão que encaminhe o navegador através do seu próprio proxy sobrepõe-se ao túnel do sistema, e a página do endereço vê a saída da extensão, não a sua.
O teste de DNS lista os resolvedores do meu fornecedor de internet
As pesquisas estão a sair por fora do túnel. No cliente, ative a proteção contra fugas de DNS ou defina o DNS do resolvedor do próprio fornecedor, volte a ligar-se e execute novamente o teste. Se os resolvedores continuarem a pertencer ao seu fornecedor de internet, o sistema operativo está a manter um resolvedor próprio noutra interface, algo que os guias de cada plataforma explicam para cada sistema.
Basta um resolvedor na lista para o teste falhar: uma única pesquisa exposta identifica o site que visitou.
O teste de IPv6 mostra um endereço quando o cliente está ligado
O cliente encaminha o IPv4 pelo túnel e deixa o IPv6 passar, e todos os sites que respondem através de ambos veem o seu endereço real. Procure uma definição de IPv6 no cliente e defina-a como bloquear ou encaminhar; se o cliente não oferecer nenhuma das duas opções, desative o IPv6 no adaptador de rede utilizado pelo sistema operativo. Em seguida, execute novamente o teste e espere não obter qualquer endereço IPv6 ou obter um que pertença à saída.
Todos os testes passam na minha rede doméstica, mas um falha noutra rede
A segunda rede está a fazer algo ao tráfego. Uma rede de hotel ou de escritório que intercepte o DNS, remova o IPv6 ou interrompa ligações de longa duração produz exatamente um teste falhado, e o problema está na rede, não no cliente. O resultado é um facto sobre essa rede que deve ter em conta, e o interruptor de emergência é o que impede que um túnel falhado nessa rede se transforme num túnel aberto.
Ontem tudo passou, mas hoje o teste de DNS falha
Algo mudou, e os dois suspeitos habituais são uma atualização do cliente que repôs uma definição e uma atualização do sistema que adicionou um resolvedor. Abra as definições do cliente e leia-as, em vez de confiar no que eram antes; as entradas do DNS e do interruptor de emergência são as que mais frequentemente são repostas. Uma verificação é uma afirmação sobre o momento em que foi executada, razão pela qual vale a pena repetir esta página depois de cada atualização.
Os mesmos passos, outras máquinas
O resto das plataformas
Cada plataforma tem o seu próprio guia, em vez de um separador neste. Os passos divergem assim que o instalador abre, e uma página que responde a três plataformas ao mesmo tempo não responde bem a nenhuma delas.