Guia
Como configurar uma VPN no Windows
O instalador, as três definições que vale a pena verificar antes de a usar e como confirmar que o túnel está realmente a transportar o seu tráfego, em vez de ficar ali a parecer ligado. Escrito com base no Windows 11, versão 26H2.
Antes de começar
Este guia não escolhe uma por si
Todos os passos abaixo são iguais, independentemente do fornecedor que usar, razão pela qual nenhum é aqui identificado. Escolher é outra tarefa, feita no registo, onde a escolha é feita com base numa pontuação publicada, não numa página de transferência.
Instale o cliente a partir do próprio site do fornecedor ou da Microsoft Store, nunca a partir de um resultado de pesquisa ou de um portal de transferências. Um cliente VPN executa um controlador de rede com privilégios de sistema; um instalador recompilado é a pior coisa a que pode conceder esses privilégios.
Instalar o cliente
- Inicie sessão primeiro no site do fornecedor e transfira o cliente para Windows a partir da área da conta. Assim, o ficheiro que executa veio da mesma sessão que comprovou que tem uma subscrição, e não há nada para procurar.
- Execute o instalador e aceite o pedido relativo ao controlador. O Windows perguntará uma vez se pretende instalar um adaptador de rede — essa é a interface do túnel, e recusá-la deixa-o com uma aplicação que não consegue estabelecer ligação. Depois, aparece em
Network Connectionscom o nome do fornecedor. - Inicie sessão no cliente com a mesma conta. A maioria dos clientes permite indicar um nome para o dispositivo neste momento; esse nome é guardado pelo fornecedor, por isso escolha algo que não o identifique pessoalmente.
- Ainda não estabeleça ligação. Abra primeiro as definições. Na maioria dos clientes, duas das três definições abaixo estão desativadas por predefinição, e estabelecer ligação antes de as configurar é a forma de deixar escapar dados na primeira sessão.
As três definições que vale a pena verificar
Os menus dos clientes diferem, mas as definições não. Cada uma das três tem uma entrada no glossário, caso o nome não lhe seja familiar.
O interruptor de emergência
Bloqueia todo o tráfego se o túnel cair, em vez de deixar silenciosamente a ligação regressar à rede normal. Geralmente está desativado por predefinição porque faz o produto parecer menos fiável — um túnel interrompido transforma-se numa ligação inativa, em vez de numa ligação que falha sem ser notada, que é precisamente o objetivo da definição.
Ative-o. Se o cliente distinguir entre um interruptor que só se aplica enquanto está ligado e outro que se aplica no arranque, escolha o segundo: o intervalo entre o arranque do Windows e a ligação do cliente é uma janela real e, num portátil que retoma a atividade em redes inesperadas, é essa que importa.
DNS dentro do túnel
As consultas de nomes podem sair do computador fora do túnel mesmo quando tudo o resto está dentro dele, o que informa a sua rede exatamente sobre os sites que visitou e esconde apenas o que fez neles. Procure DNS leak protection, use provider DNS ou um campo de DNS personalizado.
Defina-o para o resolvedor do próprio fornecedor, em vez de um de terceiros. Já está a confiar o tráfego ao fornecedor; acrescentar uma segunda parte que vê apenas as consultas aumenta o número de partes envolvidas sem reduzir o que qualquer uma delas sabe.
O protocolo
Deixe-o na predefinição moderna, a menos que algo esteja avariado — a página de protocolos indica quais são atuais e quais são antigos. Se o cliente disponibilizar uma opção mais antiga para resolver um problema de ligação, essa é uma troca que deve fazer conscientemente e depois desfazer: o registo assinala o protocolo mais fraco que um fornecedor ainda disponibiliza, e selecioná-lo manualmente é escolher essa marca para si.
Confirme que está realmente a funcionar
Estabeleça ligação e depois verifique, em vez de presumir. Três verificações, por esta ordem, todas gratuitas e sem necessidade de software:
- O seu endereço mudou. Abra qualquer página do tipo “qual é o meu IP” e confirme que o país corresponde à saída que escolheu. Se mostrar o seu próprio país enquanto o cliente indica que está ligado, o cliente está em execução, mas o tráfego não está a passar por ele.
- As consultas estão dentro do túnel. Execute um teste de fugas de DNS e leia os resolvedores apresentados. Qualquer resolvedor pertencente ao seu fornecedor de Internet significa que a definição de DNS acima não foi aplicada.
- O interruptor de emergência faz o que promete. Com uma transferência em curso, termine o serviço em segundo plano do cliente no Gestor de Tarefas, para que o túnel caia sem pedir ao cliente que o faça. A transferência deve parar imediatamente. Se continuar, o interruptor é meramente decorativo.
O que estas verificações comprovam
+O seu tráfego sai pelo servidor de saída, no país que selecionou
+A rede a que está ligado já não consegue ler a que sites acede
+Um túnel interrompido falha de forma segura, em vez de regressar silenciosamente à ligação normal
O que não comprovam
−Não dizem nada sobre o que o fornecedor guarda — essa é uma questão documental, respondida nas páginas de retenção
−Não o tornam anónimo: o seu navegador e os seus inícios de sessão não mudam; consulte o que uma VPN não faz
−Um teste de fugas sem problemas hoje não é uma promessa sobre a atualização do cliente de amanhã
Quando o próprio aplicativo é o problema
Um cliente que não instala, bloqueia o adaptador ou se recusa a estabelecer ligação numa rede, embora funcione noutra, pode geralmente ser contornado: a maioria dos fornecedores publica ficheiros de configuração que pode carregar no cliente oficial WireGuard ou OpenVPN, em vez de usar o cliente do fornecedor. Perde o interruptor de emergência e o seletor de servidores, mas mantém o túnel.
Quando não funciona
Tudo fica lento depois de estabelecer ligação
É esperado, até certo ponto: o seu tráfego está a percorrer um caminho mais longo. Escolha uma saída mais próxima de si e experimente um segundo servidor no mesmo país antes de culpar o fornecedor — uma única saída sobrecarregada é a causa mais comum e a hipótese mais fácil de excluir.
Se todas as saídas forem lentas numa rede e normais noutra, é a rede que está a limitar o tráfego VPN, não o fornecedor que está lento.
A ligação cai a cada poucos minutos
Normalmente é a rede, não o cliente: as redes Wi-Fi de hotéis e com portal cativo interrompem frequentemente ligações de longa duração. Mudar o protocolo no cliente é o primeiro teste, uma vez que o protocolo moderno usa um transporte diferente e muitas vezes sobrevive ao que o antigo não consegue.
Com o interruptor de emergência ativado, estas quedas são visíveis como ligações inativas, em vez de regressos silenciosos à ligação normal — isso significa que o interruptor está a funcionar, não que está avariado.
Um site diz que consegue ver que estou a usar uma VPN
Consegue. Os endereços dos servidores de saída são publicados e amplamente listados, por isso qualquer site que queira saber pode consultar o seu. Uma VPN esconde o seu tráfego da rede que o transporta; não se disfarça do site a que acede.
Nada no cliente resolve isso, e um fornecedor que prometa o contrário está a vender algo que o mecanismo não pode oferecer.
Os mesmos passos, outras máquinas
O resto das plataformas
Cada plataforma tem o seu próprio guia, em vez de um separador neste. Os passos divergem assim que o instalador abre, e uma página que responde a três plataformas ao mesmo tempo não responde bem a nenhuma delas.