Guia
Como configurar uma VPN num router
Quando o router é o local certo para o túnel e quando não é, o ficheiro de configuração do fornecedor na própria página do cliente VPN do firmware, o DNS para toda a casa e as verificações feitas a partir de um dispositivo ligado atrás dele. Escrito para um router cujo firmware tem uma página de cliente VPN; este guia não altera nenhum firmware.
Antes de começar
Este guia não escolhe um por si
Todos os passos abaixo são iguais, independentemente do fornecedor que utiliza, pelo que nenhum é aqui nomeado. Escolher é uma tarefa separada, feita no registo, onde a escolha é feita com base numa pontuação publicada e não numa página de transferência.
Os ficheiros de configuração vêm da própria área de conta do fornecedor e de nenhum outro lugar. Um ficheiro de um fórum traz a chave de outra pessoa ou o servidor de outra pessoa.
Um router é o local certo para o túnel quando os dispositivos ligados atrás dele não podem executar o seu próprio cliente — uma televisão, uma consola, uma coluna inteligente — ou quando o objetivo é abranger todos os dispositivos de uma só vez sem instalar nada. É o local errado quando a casa precisa de sair do túnel ocasionalmente: atrás de um router, nenhum dispositivo o pode fazer, e todos partilham a mesma saída, o mesmo país e o mesmo processador. Esse processador limita a velocidade e fica bem abaixo do de um portátil’s. Se o motivo são um ou dois dispositivos, instale o cliente nesses dispositivos; as páginas de plataformas indicam quais os fornecedores que suportam cada uma.
Este guia não altera o firmware de um router. Substituir o firmware por um dos firmwares comuns de terceiros dá ao router um cliente VPN melhor do que a maioria dos firmwares de origem, mas é também o único passo de qualquer guia deste site que pode transformar o equipamento num tijolo. Se o firmware do seu router tiver uma página de cliente VPN, os passos abaixo são suficientes. Se não tiver, a decisão de alterar o firmware é sua e as instruções são do projeto do firmware, não nossas.
Carregar a configuração
- Inicie sessão no site do fornecedor e abra a secção do router ou de configuração manual na área de conta. Gere um ficheiro de configuração para o protocolo suportado pelo firmware e para a saída que pretende; um ficheiro corresponde a uma saída. O ficheiro contém a sua chave — trate-a como uma palavra-passe.
- Abra a página de administração do router a partir de um dispositivo ligado à rede com fios ou doméstica e encontre a página do cliente VPN. O nome varia — cliente VPN, VPN Fusion, WAN › VPN — mas é uma página de cliente, que estabelece ligações para fora, não uma página de servidor, que permite estabelecer ligações a partir do exterior. As duas são parecidas e apenas uma delas é a deste guia.
- Importe o ficheiro ou cole os respetivos campos, um a um, onde o firmware o solicitar. Dê ao perfil o nome da saída, para que um segundo perfil possa ser distinguido mais tarde.
- Escolha quais os dispositivos que passam pelo túnel, se a página o permitir, e selecione-os todos por agora; a lista de exceções é um aperfeiçoamento posterior. Depois, ative o perfil.
- Não fique por aqui. O DNS e o interruptor de emergência estão na mesma página ou na seguinte, e a predefinição de ambos é desligado.
As definições que vale a pena verificar
As páginas do firmware variam, mas as definições não. Cada uma tem uma entrada no glossário se o nome não lhe for familiar.
DNS para toda a casa
Cada dispositivo ligado ao router pergunta ao router onde estão as coisas, e o router pergunta a quem lhe foi indicado. Se for o resolvedor do fornecedor de internet, todas as consultas feitas em casa saem para fora do túnel, informando o fornecedor de internet sobre os sites visitados pela casa e ocultando apenas o que foi feito nesses sites. Defina o DNS do router — na página do cliente VPN, quando esta tiver um campo para o efeito, ou então na página WAN — como o resolvedor indicado pelo ficheiro do fornecedor, e configure o router para fornecer o seu próprio endereço aos dispositivos como resolvedor, para que nenhum dispositivo receba o do fornecedor de internet. A forma como ocorre uma fuga é explicada na página sobre fugas de DNS.
O interruptor de emergência
Num router, trata-se de uma regra de firewall: quando o túnel está desligado, nada dos dispositivos ligados ao túnel pode sair pela rota normal. Alguns firmwares têm o interruptor sob a forma de uma caixa de seleção, alguns chamam-lhe bloquear clientes encaminhados se o túnel cair e outros não o têm de todo. Quando existir, ative-o; um túnel interrompido deixa então a casa sem ligação até à reconexão, que é precisamente o objetivo. Quando não existir, saiba que um túnel interrompido devolve silenciosamente todos os dispositivos à ligação sem proteção. A finalidade do interruptor é explicada na página própria.
IPv6
A maioria dos túneis de router transporta apenas IPv4. Se o fornecedor de internet também fornecer IPv6 à casa, os dispositivos irão utilizá-lo para qualquer site que o disponibilize, e esse tráfego contornará o túnel. A menos que o ficheiro do fornecedor configure IPv6 dentro do túnel, desligue o IPv6 no lado WAN enquanto o túnel estiver a ser utilizado.
O protocolo
Escolha o mais moderno sempre que o firmware o disponibilizar — a página de protocolos indica quais são atuais e quais são antigos — tanto pelo motivo pelo qual o registo lhe atribui pontuação como porque, no processador de um router, é várias vezes mais rápido do que o antigo. Um router antigo que só disponibiliza o protocolo antigo será lento, além de ficar mal pontuado.
Confirme que está realmente a funcionar
Faça a verificação a partir de um dispositivo ligado atrás do router, não a partir da própria página de estado do router, que apenas indica aquilo em que o router acredita. Faça três verificações, por esta ordem:
- O endereço mudou, num dispositivo sem cliente próprio. Abra qualquer página de “qual é o meu IP” num portátil ou telemóvel ligado ao Wi-Fi do router, com os dados móveis desligados e sem nenhuma aplicação VPN em execução. O país deve ser o da saída que escolheu.
- As consultas estão dentro do túnel. Execute um teste de fugas de DNS a partir do mesmo dispositivo. Qualquer elemento pertencente ao seu fornecedor de internet significa que a definição de DNS acima não foi aplicada ou que foi fornecido o resolvedor errado a um dispositivo.
- O interruptor de emergência faz o que promete. Com uma transferência em curso nesse dispositivo, desative o perfil VPN na página do router ou desligue por um momento o cabo WAN do router e volte a ligá-lo. Durante a interrupção, a transferência deve parar imediatamente e, quando a ligação regressar, não deve ser retomada até o túnel voltar. Se continuar, o interruptor está ausente ou desligado.
A bateria de testes mais completa, e aquilo que cada teste pode ou não mostrar, está no guia próprio.
O que estas verificações comprovam
+Todos os dispositivos nessa rede saem pelo servidor de saída, no país que selecionou, sem nada instalado neles
+O fornecedor de internet vê uma ligação encriptada da casa e nenhuma consulta
+Um túnel interrompido falha de forma segura para toda a casa, quando o firmware tem o interruptor
O que não comprovam
−Não dizem nada sobre aquilo que o fornecedor guarda — essa é uma questão documental, respondida nas páginas sobre retenção
−Não tornam ninguém anónimo: todas as contas em todos os dispositivos continuam com sessão iniciada; veja contra o que uma VPN não o protege
−Um teste aprovado num dispositivo nada diz sobre um dispositivo noutra rede ou sobre um dispositivo com a sua própria aplicação
Uma casa, duas redes
A queixa sobre um túnel no router é sempre a mesma: algo precisa de ficar fora dele. A resposta simples são duas redes, em vez de uma com exceções. Pode ser um segundo router atrás do primeiro, a executar o túnel, com os dispositivos que devem ficar dentro dele ligados ao seu Wi-Fi e tudo o resto ao Wi-Fi do primeiro; ou, quando o firmware permite uma VPN por rede, uma rede de convidados ou secundária que seja a rede ligada ao túnel. Assim, cada dispositivo escolhe pela rede à qual se liga: a televisão fica dentro, a consola fica fora e ninguém desliga o túnel para toda a casa.
O segundo router também responde à questão da velocidade: transporta apenas os dispositivos que precisam do túnel, pelo que o seu processador limita apenas esses dispositivos.
Quando não funciona
Tudo em casa ficou mais lento
O router está agora a encriptar cada byte enviado pela casa, num processador concebido para encaminhar pacotes e não para os encriptar. Esse limite é do router, não do fornecedor, e é atingido muito abaixo do que um portátil consegue com a mesma subscrição.
O protocolo moderno é muito mais leve do que o antigo, por isso utilize-o quando o firmware o disponibilizar. Além disso, a solução é um router mais rápido ou um túnel em menos dispositivos — veja a última secção.
Um dispositivo precisa de ficar fora do túnel
Uma aplicação bancária que recusa um endereço estrangeiro, uma consola de jogos, uma coluna inteligente: há sempre algo que precisa de ficar de fora. Alguns firmwares permitem excluir um dispositivo pelo endereço, o que corresponde à divisão de túnel no router. Quando o firmware não permite fazê-lo, a resposta está na última secção: uma segunda rede para o túnel, para que o dispositivo simplesmente se ligue à outra.
Não desligue o túnel para toda a casa só para servir um dispositivo.
O túnel cai e nada volta a ligar-se
A maioria dos firmwares estabelece novamente a ligação por si; alguns só o fazem quando recebem essa instrução. Procure uma definição de manutenção da ligação, reconexão automática ou watchdog na página do cliente VPN e ative-a. Se o firmware tiver um interruptor de emergência e este estiver ligado, um túnel interrompido deixa a casa sem ligação até à reconexão — é o interruptor a funcionar.
Se o túnel cair sempre à mesma hora, o fornecedor de internet está a renovar o seu endereço e o router demora a perceber. Um intervalo de manutenção da ligação mais curto ajuda.
Alguns dispositivos mostram o meu país real e outros não
Esses dispositivos não estão a passar pelo túnel do router: um telemóvel a utilizar dados móveis, um dispositivo com a sua própria aplicação VPN ou um dispositivo numa segunda rede que o túnel não abrange. Verifique a que rede cada um está ligado.
Se um dispositivo estiver ligado à rede com túnel e continuar a mostrar o seu país real, o respetivo DNS ou IPv6 está a chegar à internet contornando o router. A secção sobre verificações explica como interpretar essa situação.
Os mesmos passos, outras máquinas
O resto das plataformas
Cada plataforma tem o seu próprio guia, em vez de um separador neste. Os passos divergem assim que o instalador abre, e uma página que responde a três plataformas ao mesmo tempo não responde bem a nenhuma delas.