Guia
Como configurar uma VPN num Mac
Qual das duas versões do cliente instalar, a aprovação que o macOS pede antes de o túnel poder existir, as definições que vale a pena verificar e como confirmar que o túnel está a transportar o seu tráfego em vez de ficar ali a parecer ligado. Escrito para o macOS 27.
Antes de começar
Este guia não escolhe por si
Todos os passos abaixo são iguais, independentemente do fornecedor que utiliza, e é por isso que nenhum é mencionado aqui. A escolha é uma tarefa separada e é feita no registo, onde a decisão se baseia numa pontuação publicada e não numa página de transferência.
Instale o cliente a partir do site do próprio fornecedor ou da Mac App Store, nunca a partir de um resultado de pesquisa ou de um portal de transferências. Um cliente VPN instala uma extensão de rede que vê todos os bytes enviados pelo Mac; um instalador reempacotado é a pior coisa possível para colocar nessa posição.
Instalar o cliente
- Escolha a versão no site do fornecedor, não na loja, quando ambas existirem. A versão da App Store funciona dentro da sandbox da Apple, e a sandbox impede algumas das funções para que serve um cliente VPN: um interruptor de emergência que se mantém ativo antes de iniciar sessão e a divisão de túnel por aplicação. A transferência direta é normalmente o cliente completo. Escolha a versão da loja apenas quando for a única disponibilizada.
- Inicie primeiro sessão no site do fornecedor e faça a transferência a partir da área da conta, para que o ficheiro executado venha da sessão que comprovou que tem uma subscrição.
- Abra o instalador e aprove a extensão quando o macOS pedir. O sistema dirá que o cliente quer adicionar uma extensão de rede ou uma configuração VPN e encaminhá-lo-á para Definições do Sistema › Geral › Itens de início de sessão & Extensões. Permita-o. Um cliente cuja extensão não seja permitida abre, inicia sessão e nunca estabelece ligação.
- Deixe o item em segundo plano ativado. A mesma página de definições lista o cliente em Permitir em segundo plano. Desativá-lo para arrumar a lista é a forma de impedir que o túnel volte a ligar-se depois da suspensão.
- Inicie sessão no cliente e dê ao dispositivo um nome que não o identifique; o nome é armazenado pelo fornecedor.
- Ainda não estabeleça ligação. Abra primeiro as definições. Na maioria dos clientes, duas das três definições abaixo estão desativadas por predefinição.
As três definições que vale a pena verificar
Os menus dos clientes variam, mas as definições não. As três têm uma entrada no glossário caso o nome não lhe seja familiar.
O interruptor de emergência
Bloqueia todo o tráfego se o túnel cair, em vez de deixar silenciosamente a ligação voltar à rede normal. Normalmente está desativado por predefinição porque faz o produto parecer menos fiável — um túnel interrompido transforma-se numa ligação inativa, em vez de numa interrupção despercebida, que é precisamente o objetivo. Ative-o. Se o cliente distinguir um interruptor que só se aplica enquanto está ligado de outro que se aplica sempre, escolha o segundo: um Mac que acorda numa rede Wi-Fi desconhecida passa vários segundos na rede desprotegida antes de o cliente voltar a ligar-se, e essa é a lacuna que importa. A função do interruptor é explicada na respetiva página.
DNS dentro do túnel
As consultas de nomes podem sair do Mac fora do túnel mesmo quando todo o resto está dentro dele, revelando à sua rede quais os sites que visitou e ocultando apenas o que fez neles. Procure proteção contra fugas de DNS, usar o DNS do fornecedor ou um campo de DNS personalizado e defina-o para o resolvedor do próprio fornecedor, em vez do de terceiros. Já está a confiar o tráfego ao fornecedor; uma segunda parte que veja apenas as consultas aumenta o número de partes envolvidas sem reduzir o que qualquer uma delas sabe. A forma como ocorre uma fuga é explicada na página sobre fugas de DNS.
O protocolo
Deixe o protocolo moderno predefinido, a menos que algo esteja avariado — a página dos protocolos indica quais são atuais e quais são antigos. Se o cliente oferecer uma opção mais antiga para resolver um problema de ligação, essa é uma troca a fazer conscientemente e depois a desfazer: o registo assinala o protocolo mais fraco que um fornecedor ainda disponibiliza, e selecioná-lo manualmente é escolher essa marca para si.
Confirme que está realmente a funcionar
Ligue-se e depois verifique, em vez de presumir. Três verificações, por esta ordem, todas gratuitas e sem necessidade de software:
- O seu endereço mudou. Abra qualquer página do tipo “qual é o meu IP” e confirme que o país corresponde à saída escolhida. Se mostrar o seu próprio país enquanto o cliente indica que está ligado, a extensão está em execução, mas o tráfego não está a passar por ela.
- As consultas estão dentro do túnel. Execute um teste de fugas de DNS e leia os resolvedores que este apresenta. Qualquer resolvedor pertencente ao seu fornecedor de internet significa que a definição de DNS acima não foi aplicada.
- O interruptor de emergência faz o que diz. Com uma transferência em curso, abra o Monitor de Atividade, encontre o processo auxiliar ou daemon do cliente — contém o nome do fornecedor — e termine-o à força, para que o túnel caia sem pedir isso ao cliente. A transferência deve parar imediatamente. Se continuar, o interruptor é apenas decorativo.
A bateria de testes mais completa, e aquilo que cada um pode ou não mostrar, está no respetivo guia.
O que estas verificações comprovam
+O seu tráfego sai pelo servidor de saída, no país que selecionou
+A rede à qual está ligado já não consegue ler quais os sites a que acede
+Um túnel interrompido falha de forma fechada, em vez de voltar silenciosamente à ligação normal
O que não comprovam
−Não dizem nada sobre o que o fornecedor retém — essa é uma questão documental, respondida nas páginas sobre retenção
−Não o tornam anónimo: o seu navegador e os seus inícios de sessão não mudam; consulte aquilo de que uma VPN não o protege
−Um teste de fugas aprovado hoje não é uma promessa sobre a atualização do cliente de amanhã
Suspensão, reativação e redes Wi-Fi desconhecidas
Um portátil é o dispositivo que se liga a redes que nunca viu, e um Mac executa a parte perigosa — ligar-se à rede Wi-Fi, verificar o correio, sincronizar — nos primeiros segundos depois de abrir a tampa, antes de qualquer cliente voltar a ligar-se. Duas definições fecham essa janela. Ligação automática no cliente, para que voltar a ligar-se seja responsabilidade do cliente e não sua; e o interruptor de emergência sempre ativo acima, para que, até voltar a ligar-se, o Mac não envie nada. Com ambos ativados, uma rede de um café vê um portátil que se ligou e depois ficou silencioso até o túnel estar ativo. O que uma rede desse tipo pode ler de outra forma é explicado na página sobre Wi-Fi público.
Se um cliente oferecer uma lista de redes fidedignas nas quais permanece desativado, mantenha a lista curta. A rede de casa está incluída porque a impressora está lá, não porque o fornecedor de internet que a suporta seja incapaz de ver o tráfego.
Quando não funciona
O cliente instala-se, mas nunca estabelece ligação
Quase sempre é uma questão de aprovação. Abra Definições do Sistema > Geral > Itens de início de sessão e extensões e procure em Extensões de rede: o cliente tem de ser permitido aí, e é fácil fechar acidentalmente o pedido durante a instalação.
Se for permitido e ainda assim nada acontecer, remova o cliente com o respetivo desinstalador, reinicie e instale-o novamente para que o pedido apareça uma segunda vez.
O túnel desaparece sempre que o Mac sai da suspensão
É o comportamento esperado sem ligação automática: a interface de rede desliga-se quando a tampa fecha e o cliente fica à espera que lhe seja pedido para ligar. Ative a ligação automática do cliente ou a definição de ligação em redes não fidedignas, para que a ligação seja restabelecida antes de terminar de escrever a palavra-passe.
Com o interruptor de emergência ativado, os segundos entre a reativação e a ligação são uma ligação inativa, não uma fuga. É o interruptor a funcionar.
O AirDrop, uma impressora ou a televisão deixou de funcionar enquanto estava ligado
O tráfego local também está a entrar no túnel e a impressora não está do outro lado dele. A maioria dos clientes tem uma definição chamada acesso à rede local, acesso à LAN ou divisão de túnel; ativá-la envia os endereços da sua própria rede para fora do túnel e mantém tudo o resto dentro dele.
É seguro numa rede que gere. Numa rede que não controla, deixe-a desativada.
A versão da App Store não tem uma definição que existe na versão do site
As duas versões são programas diferentes. A versão da loja funciona dentro da sandbox da Apple, e algumas funções de um cliente VPN — um interruptor de emergência que se mantém ativo no arranque, divisão de túnel por aplicação — não são possíveis dentro dela. A transferência do próprio fornecedor é o cliente mais completo.
Se já instalou a versão da loja e precisa dessa definição, desinstale-a primeiro; duas versões lado a lado entram em conflito pela mesma extensão de rede.
Os mesmos passos, outras máquinas
O resto das plataformas
Cada plataforma tem o seu próprio guia, em vez de um separador neste. Os passos divergem assim que o instalador abre, e uma página que responde a três plataformas ao mesmo tempo não responde bem a nenhuma delas.