Guia
Como configurar a divisão de túnel
Como enviar algumas aplicações ou endereços para fora do túnel enquanto tudo o resto permanece dentro, quanto custa cada exceção e qual é a verificação que comprova que a divisão é a que pediu. Escrito com base nos clientes do final de 2026 e no Android 17.
O que isto resolve
A divisão de túnel envia um conjunto escolhido de aplicações ou endereços para fora do túnel e deixa tudo o resto dentro dele. Cada item da lista é tráfego que a VPN já não toca, na totalidade, na rede normal. Configurada corretamente, resolve o acesso à impressora e à aplicação bancária sem afetar mais nada; configurada de forma imprecisa, é uma fuga que configurou por sua conta. Os passos abaixo apresentam a versão restrita.
Dois tipos de regra
Por aplicação
A regra identifica um programa, e as ligações desse programa contornam o túnel. Os clientes para Windows, macOS e Android oferecem esta opção; desde o Android 17, um cliente pode entregar a lista a um ecrã gerido pelo sistema, pelo que as exclusões são aplicadas pelo sistema operativo e não pelo cliente — um cliente que abre esse ecrã a partir das suas próprias definições está a utilizá-lo. O iOS não oferece divisão por aplicação aos clientes comuns; o mais próximo é o botão de rede local abaixo.
Por endereço ou sub-rede
A regra identifica um destino, e o tráfego para esse destino, a partir de qualquer programa, contorna o túnel. É mais abrangente e mais difícil de interpretar depois, porque uma regra de endereço abrange tudo o que responder nesse endereço amanhã. É a ferramenta certa para um dispositivo na sua própria rede e a errada para um serviço na internet.
O que fica de fora
- Um dispositivo na sua própria rede — uma impressora, um NAS, um servidor multimédia — que o encaminhamento do túnel lhe oculta. Experimente primeiro o botão de rede local; é a definição mais pequena e abrange a maioria destes casos sem uma regra.
- Uma aplicação que recusa ligações a partir dos endereços de saída, normalmente a de um banco. A regra permite que apenas essa aplicação veja o seu endereço real. O banco fica então a saber onde está, e esse é o custo.
- Nada mais por predefinição. Cada entrada é uma aplicação cujo tráfego pode ser lido pela rede em que se encontra. Uma lista longa é uma VPN que protege o navegador e pouco mais.
Uma exceção destina-se a uma aplicação que não funciona através do túnel. Não é uma forma de aceder a um serviço que decidiu não servir o país da saída; essa é uma decisão do serviço, e contorná-la está fora do âmbito desta página.
Configurar a regra
- Abra a secção de divisão de túnel do cliente, muitas vezes nas definições de ligação ou avançadas. No Android 17 e posteriores, o cliente pode abrir um ecrã gerido pelo sistema para a mesma lista; em qualquer dos casos, existe uma única lista, e é a secção própria do cliente que conduz a ela.
- Verifique o modo antes de adicionar qualquer coisa. A maioria dos clientes oferece dois: as aplicações listadas contornam o túnel, ou apenas as aplicações listadas o utilizam. O segundo é a divisão de túnel inversa e, com uma lista vazia, significa que nada passa pelo túnel. Confirme que o modo está definido como pretende.
- Adicione a aplicação, não a respetiva pasta, e adicione o executável que estabelece a ligação. Uma suite com vários processos pode precisar de cada um; adicionar a pasta de instalação acrescenta também o atualizador.
- Feche completamente a aplicação e volte a ligar o cliente. As regras aplicam-se a novas ligações. Uma aplicação que ficou aberta mantém o caminho antigo e produz uma leitura falsa na verificação.
Modo inverso
No modo inverso, apenas as aplicações listadas utilizam o túnel e tudo o resto o contorna. É o formato certo quando uma aplicação precisa do túnel e o resto do computador deve comportar-se como se nenhum cliente estivesse instalado, e o formato errado para qualquer outra situação, porque todas as aplicações que se esqueceu de listar ficam na rede aberta. Se o utilizar, o interruptor de emergência abrange apenas as aplicações listadas na maioria dos clientes; as restantes nunca estiveram dentro do túnel.
Acesso à rede local
A maioria dos clientes tem um único botão que permite a passagem dos endereços da sua própria rede, mantendo tudo o resto dentro do túnel. É uma divisão de túnel por sub-rede, escolhida por si, e abrange a impressora e o NAS sem uma regra. Numa rede que gere, tem um custo reduzido; numa rede pública, permite que todos os dispositivos dessa rede cheguem aos seus, razão pela qual vem desativado por predefinição e vale a pena voltar a desativá-lo antes de sair.
Confirme que a divisão é a que pediu
- Na aplicação excluída, procure a verificação do próprio endereço — os detalhes da sessão de uma aplicação bancária, o painel de endereços de um cliente de torrents, qualquer página aberta num navegador excluído — e espere ver o seu próprio endereço e país.
- Em qualquer aplicação que não tenha excluído, execute a verificação do endereço e espere ver o da saída. Faça isto num navegador que não tenha adicionado à lista e noutra aplicação, se tiver alguma que mostre o respetivo endereço.
- Execute uma vez a bateria completa a partir de como verificar se a sua VPN está a funcionar, com as regras aplicadas. Uma regra que abranja mais do que pretendia aparece aí como uma fuga em algo que esperava que ficasse dentro.
O que estas verificações comprovam
+As aplicações que listou, e apenas essas, estão na rede normal
+Tudo o resto continua a sair pela saída, incluindo as consultas
+O modo é o que pretendia, e não o seu inverso
O que não comprovam
−Não dizem nada sobre o que o fornecedor retém do tráfego que está dentro — isso é explicado nas páginas sobre retenção
−Um teste de fugas não consegue detetar uma exceção deliberada; a aplicação excluída é verificada a partir do seu interior ou não é verificada de todo
−Um conjunto de regras definido hoje acompanha a aplicação nas suas atualizações, e uma aplicação atualizada pode abrir ligações a partir de um processo que não listou
Quando a divisão não é aplicada
A aplicação excluída continua a mostrar o endereço da saída
A regra não foi aplicada, e a razão habitual é que a aplicação já estava em execução. A divisão de túnel aplica-se às ligações feitas depois de a regra ser definida; feche completamente a aplicação, volte a ligar o cliente e abra-a novamente. No Android, verifique se a regra está no cliente ou na definição do sistema, porque uma aplicação excluída num deles e não no outro segue o que o sistema operativo aplicar.
Um navegador é o caso mais difícil: os seus processos em segundo plano mantêm as ligações abertas quando uma janela é fechada, por isso é necessário fechá-lo a partir do próprio menu, e não da janela.
Uma aplicação que não excluí está a mostrar o meu próprio endereço
Está em vigor algo mais abrangente do que uma regra por aplicação. Uma regra por endereço ou sub-rede que cubra por acaso o destino, um modo inverso ativado por engano para que apenas as aplicações listadas passem pelo túnel ou um botão de rede local ativado numa rede que atribui endereços públicos produzirão esse resultado. Leia todas as regras, não apenas a lista de aplicações, e desative toda a funcionalidade para confirmar que o endereço volta a ser o da saída; depois volte a adicionar as regras uma de cada vez.
Continuo sem conseguir aceder à impressora ou ao NAS
O acesso à rede local é uma definição mais pequena do que a divisão de túnel e, por vezes, uma definição separada: permite a passagem dos endereços da sua própria rede, encaminhando tudo o resto. Se o cliente a tiver, ative-a antes de adicionar manualmente uma regra de sub-rede. Se o dispositivo for acedido pelo nome e não pelo endereço, o nome pode estar a ser resolvido através do DNS do túnel, que não consegue ver a sua rede; utilize antes o endereço.
Um teste de fugas passa, mas excluí uma aplicação
O teste foi executado no navegador, e o navegador está dentro do túnel. Uma exceção deliberada é invisível para um teste de fugas por definição: o tráfego da aplicação excluída está na rede normal, na totalidade, e nenhuma página que abra noutro local o irá comunicar. A verificação de uma exceção é o próprio endereço da aplicação excluída, como descrito na última secção, e não o da página de teste.
Os mesmos passos, outras máquinas
O resto das plataformas
Cada plataforma tem o seu próprio guia, em vez de um separador neste. Os passos divergem assim que o instalador abre, e uma página que responde a três plataformas ao mesmo tempo não responde bem a nenhuma delas.