Guia
Como configurar uma VPN no iPhone e no iPad
A aplicação da App Store, o pedido de configuração e onde este fica, a definição a pedido que faz o túnel sobreviver a um reinício e a única coisa honesta que precisa de saber sobre um interruptor de emergência no iPhone. Escrito para o iOS 27.
Antes de começar
Este guia não escolhe por si
Todos os passos abaixo são iguais, independentemente do fornecedor que utiliza, e é por isso que nenhum é nomeado aqui. Escolher é uma tarefa à parte, feita no registo, onde a escolha é feita com base numa pontuação publicada, não numa ficha da loja.
Instale a aplicação a partir da App Store, através da ficha para a qual o próprio site do fornecedor remete. A loja está cheia de aplicações VPN com a palavra certa no nome e nenhuma empresa por trás; a ligação a partir da conta pela qual paga leva à aplicação pela qual pagou.
Instalar a aplicação
- Inicie sessão primeiro no site do fornecedor e siga a ligação para a App Store. Se comprou a subscrição através da própria loja, a mesma regra aplica-se: abra a ficha a partir do site do fornecedor, não a partir de uma pesquisa.
- Abra a aplicação, inicie sessão e aceite o pedido de configuração. O iOS pergunta uma vez se a aplicação pode adicionar uma configuração VPN e pede o seu código ou o Face ID. É o sistema a instalar o perfil do túnel; este fica em Definições › Geral › Gestão de VPN e dispositivos, e uma aplicação sem ele não pode ligar-se.
- Dê ao dispositivo um nome que não seja o seu. A maioria das aplicações pede um nome para o dispositivo neste momento; o fornecedor armazena-o.
- Ainda não se ligue. Na maioria das aplicações, a definição que faz o túnel sobreviver a um reinício está desativada por predefinição, e ligar-se antes de a configurar é a forma de o túnel desaparecer silenciosamente na primeira vez que o telefone reiniciar durante a noite.
As definições que vale a pena verificar
Os menus das aplicações diferem, mas as definições não. Todas têm uma entrada no glossário se o nome não lhe for familiar.
Connect On Demand
É a única definição que mais importa no iOS. Sem ela, a aplicação liga-se quando toca no botão e o túnel permanece ativo enquanto o iOS permitir que a aplicação permaneça ativa, o que em segundo plano não é por muito tempo. Com ela, o próprio iOS passa a controlar o túnel: este é ativado quando o telefone tem uma rede, restaurado depois de um reinício e ligado novamente depois de sair do modo de suspensão, esteja ou não a aplicação em execução.
Na aplicação, chama-se On Demand, auto-connect ou always-on; em Definições › Geral › Gestão de VPN e dispositivos, a página do perfil mostra o mesmo interruptor como Connect On Demand. Ative-o na aplicação em vez de nas Definições, para que sejam as próprias regras da aplicação — que redes, que exceções — a ser aplicadas pelo iOS.
O interruptor de emergência e o que ele é num iPhone
O iOS não tem um interruptor ao nível do sistema como o Android. Aquilo a que a aplicação chama interruptor de emergência é a aplicação a pedir ao iOS que interrompa o tráfego enquanto o túnel está inativo, e só funciona enquanto a configuração estiver ativa. Entre um reinício e a primeira ligação da aplicação, e quando um perfil é desativado manualmente, não há interruptor nenhum. Ative-o; cobre o caso comum, em que um túnel cai enquanto está a usar o telefone. Mas não conte com mais do que isso. A função do interruptor está explicada na sua própria página.
DNS dentro do túnel
As pesquisas de nomes podem sair do telefone fora do túnel mesmo quando tudo o resto está dentro dele, indicando à rede que sites visitou e ocultando apenas o que fez nesses sites. Procure na aplicação DNS leak protection, use provider DNS ou um campo de DNS personalizado, e configure-o para o próprio resolvedor do fornecedor em vez do de terceiros: uma segunda entidade que veja apenas as pesquisas é mais uma entidade. A forma como ocorre uma fuga está explicada na página sobre fugas de DNS.
O iOS tem os seus próprios perfis de DNS encriptado, instalados por algumas aplicações de DNS. Um desses perfis e a definição de DNS da VPN podem entrar em conflito; mantenha a do fornecedor e remova a outra.
iCloud Private Relay
O Private Relay envia o tráfego do Safari através dos relays da Apple. Com uma VPN ativa, os dois encadeiam-se, resultando em páginas mais lentas e, ocasionalmente, num site que não carrega através de nenhum dos dois. Desative o Private Relay em Definições › o seu nome › iCloud enquanto usa a VPN. O túnel já faz, para todas as aplicações, aquilo que o Private Relay fazia pelo Safari.
O protocolo
Deixe-o na predefinição moderna — a página dos protocolos indica quais são atuais e quais são antigos. Se a aplicação oferecer uma opção mais antiga para resolver um problema de ligação, essa é uma troca a fazer conscientemente e depois a desfazer: o registo assinala o protocolo mais fraco que um fornecedor ainda oferece, e selecioná-lo manualmente é escolher essa marca para si.
Confirme que está realmente a funcionar
Ligue-se e depois verifique, em vez de presumir. Três verificações, por esta ordem, todas gratuitas e sem precisar de outra aplicação:
- O seu endereço mudou. Abra no Safari qualquer página do tipo “qual é o meu IP” e confirme que o país corresponde à saída que escolheu. Repita uma vez através de Wi-Fi e outra através de dados móveis.
- As pesquisas estão dentro do túnel. Execute um teste de fugas de DNS e leia os resolvedores que este indica. Qualquer resolvedor pertencente à sua operadora ou ao seu fornecedor de internet doméstico significa que a definição de DNS acima não foi aplicada.
- O túnel regressa sozinho. Reinicie o telefone e desbloqueie-o sem abrir a aplicação. O símbolo da VPN deve regressar sozinho à barra de estado alguns segundos depois de a rede voltar. Se não regressar, o Connect On Demand está desativado.
O interruptor de emergência é mais difícil de testar no iOS do que noutros sistemas, porque o iOS não permite interromper o túnel por baixo da aplicação como num computador; o guia sobre o interruptor de emergência apresenta o único método que funciona. A bateria de testes mais longa está no seu próprio guia.
O que estas verificações comprovam
+O seu tráfego sai através do servidor de saída, no país que selecionou
+Nem a operadora nem o Wi-Fi que está a utilizar conseguem ler a que sites acede
+O iOS repõe o túnel depois de um reinício sem que o utilizador ou a aplicação façam alguma coisa
O que não comprovam
−Não dizem nada sobre o que o fornecedor retém — essa é uma questão documental, respondida nas páginas sobre retenção
−Não o tornam anónimo: as contas com sessão iniciada no telefone continuam com sessão iniciada; consulte aquilo de que uma VPN não o protege
−Um teste aprovado hoje não é uma promessa sobre a próxima atualização da aplicação ou do iOS
Quais redes e quais não
A maioria das aplicações permite que o On Demand siga uma lista: ligar-se em todas as redes, ligar-se através de dados móveis e de Wi-Fi desconhecido, ou permanecer desligado em redes identificadas nas quais confia. A última opção é aquela que exige cuidado. Uma rede doméstica é considerada confiável porque é o utilizador que a gere, não porque seja privada; o fornecedor de internet que está por trás dela continua a ver todas as pesquisas que faz fora do túnel. A exceção defensável é uma rede em que a VPN interrompa algo de que precisa — uma impressora, uma transmissão para a televisão — e, nesse caso, a regra da rede confiável é uma solução temporária para um dispositivo, não uma avaliação da segurança. Aquilo que uma rede pública consegue ver sem o túnel está explicado na página sobre Wi-Fi público.
Independentemente do que a lista disser, mantenha ativa a opção connect on mobile data. A operadora é a única rede que não pode escolher.
Quando não funciona
A VPN desliga-se quando bloqueio o telefone
O iOS suspende as aplicações em segundo plano, e um túnel que a aplicação tenha de manter ativo por si próprio desaparece com ela. A solução é o Connect On Demand: quando está ativo, o iOS controla o túnel e repõe-no assim que o telefone sai do modo de suspensão, sem que a aplicação esteja em execução.
Se o On Demand estiver ativo e o túnel continuar a desaparecer depois do modo de suspensão, o Modo de baixo consumo ou um dispositivo muito antigo é normalmente a causa. O primeiro é uma definição; o segundo não.
O Safari está lento ou alguns sites não carregam enquanto estou ligado
Verifique o iCloud Private Relay em Definições > o seu nome > iCloud. O Private Relay encaminha o Safari através dos relays da Apple, enquanto uma VPN encaminha tudo através do fornecedor; os dois, empilhados, acrescentam latência e por vezes interrompem um dos saltos.
Desative o Private Relay enquanto a VPN estiver ativa. Não perde nada: o túnel já oculta o tráfego do Safari da rede, que era a função do Private Relay.
A aplicação diz que estou ligado, mas um site mostra a minha localização real
A ideia que um site tem de onde se encontra não depende apenas do seu endereço. Os Serviços de Localização, uma conta com sessão iniciada e uma definição de idioma indicam onde está, e a VPN não altera nenhum deles. Verifique o próprio endereço numa página do tipo “qual é o meu IP”; se mostrar o país de saída, o túnel está a funcionar.
Se mostrar o seu próprio país enquanto a aplicação diz que está ligada, o perfil de configuração não foi instalado. Definições > Geral > Gestão de VPN e dispositivos deve apresentá-lo; se estiver em falta, reinstale a aplicação e aceite o pedido.
A ligação cai de poucos em poucos minutos numa rede Wi-Fi
As redes de hotéis e com portal cativo interrompem ligações de longa duração, e algumas bloqueiam a porta utilizada por um protocolo. Mudar o protocolo na aplicação é o primeiro teste, pois o protocolo moderno utiliza um transporte diferente e muitas vezes sobrevive àquilo que o mais antigo não consegue.
Se nenhum protocolo se mantiver nessa rede e todos se mantiverem noutras, a rede está a bloquear tráfego VPN. Isso é um facto sobre a rede, e este guia termina aqui.
Os mesmos passos, outras máquinas
O resto das plataformas
Cada plataforma tem o seu próprio guia, em vez de um separador neste. Os passos divergem assim que o instalador abre, e uma página que responde a três plataformas ao mesmo tempo não responde bem a nenhuma delas.