Por que minha VPN funciona nos dados móveis mas não no Wi-Fi, ou o contrário?
Atualizado em
Quando a VPN funciona em uma rede e falha em outra, o celular e o servidor estão bem: a diferença é a rede. No Wi-Fi, costuma ser o firewall do roteador, UDP bloqueado, uma página de login ou controle parental. Nos dados móveis, geralmente é uma restrição de dados no app, uma rede só IPv6 ou o MTU.
A VPN conecta na hora pelos dados móveis, mas em casa fica girando em "Conectando…". Ou o contrário: tudo certo no Wi-Fi, nada no 4G ou 5G. As duas situações são comuns, e as duas apontam para a mesma coisa: uma das redes trata o tráfego da VPN de outro jeito. Reinstalar o app quase nunca resolve. Descobrir o que a rede faz e mudar uma configuração, geralmente sim.
Este guia cobre os dois casos, com uma tabela para você achar o seu rapidinho e verificações passo a passo no Android.
Diagnóstico rápido: sintoma, causa, solução
| Sintoma | Causa provável | Solução |
|---|---|---|
| Falha só em um Wi-Fi (hotel, escritório, faculdade); funciona nos dados móveis | O firewall da rede bloqueia protocolos de VPN ou tudo que não seja porta web | Use um protocolo em TCP 443 que se pareça com HTTPS, como VLESS com Reality |
| Falha só no Wi-Fi de casa | Firewall do roteador, "VPN passthrough" desligado, filtragem de UDP ou controle parental no roteador | Confira as configurações do roteador abaixo ou mude para um protocolo em TCP 443 |
| Nada carrega em um Wi-Fi novo, com ou sem VPN | Portal cativo: uma página de login ou de termos que você ainda não aceitou | Desligue a VPN, abra http://neverssl.com, aceite a página e reconecte |
| Conecta no Wi-Fi, mas alguns sites travam ou carregam pela metade | MTU: pacotes grandes são descartados em algum ponto do caminho | Tente outro protocolo; reinicie o roteador; só reduza o MTU do roteador se souber o que está fazendo |
| Conecta, mas nenhum site abre em uma rede específica | DNS privado ou um filtro de DNS nessa rede | Coloque o DNS privado em Automático e teste de novo |
| Funciona no Wi-Fi, nunca conecta nos dados móveis | O app de VPN não tem acesso aos dados móveis, ou a Economia de dados está bloqueando | Libere os dados móveis e o uso irrestrito de dados para o app de VPN |
| Funciona no Wi-Fi, conecta nos dados móveis mas nada carrega | Rede da operadora só IPv6 ou NAT da operadora derrubando UDP ocioso | Troque de protocolo; confira o APN; reinicie os dados móveis |
| Funciona no Wi-Fi, falha nos dados móveis no exterior | Roaming desligado, ou rede parceira de roaming filtrando o tráfego | Ative o roaming de dados; tente um protocolo em TCP 443 |
| Falha nos dados móveis só com um plano ou chip pré-pago | A operadora restringe VPN ou ancoragem nesse plano | Leia as condições do plano ou pergunte à operadora |
Quando a VPN funciona nos dados móveis mas não no Wi-Fi
A rede Wi-Fi bloqueia o tráfego de VPN
Redes de visitantes e redes administradas muitas vezes só liberam as portas web (80 e 443) ou reconhecem os handshakes do WireGuard e do OpenVPN e os descartam. Nosso guia sobre VPN que não funciona no Wi-Fi do hotel ou do escritório explica como isso funciona. A solução curta é um protocolo que roda sobre TCP na porta 443 e se parece com HTTPS comum. Respeite as regras da rede: se o empregador ou a instituição de ensino proíbe VPN no Wi-Fi, use os dados móveis.
Configurações do roteador de casa
No seu próprio Wi-Fi, você pode olhar o roteador diretamente. Entre na página de administração (o endereço geralmente está numa etiqueta no próprio aparelho) e procure:
- Nível do firewall. Predefinições "Alta" ou "rígida" em alguns roteadores bloqueiam UDP de saída em portas incomuns. O WireGuard usa UDP. Deixe o firewall no nível padrão.
- VPN passthrough. Muitos roteadores têm chaves de passthrough para IPsec, PPTP e L2TP. Elas importam para esses protocolos mais antigos, e desligá-las pode quebrá-los. O WireGuard e o Reality são tráfego UDP e TCP normal e não precisam de passthrough, mas se o passthrough estiver desligado e as VPNs falharem, isso costuma indicar que há uma predefinição mais rígida ativa.
- Controle parental ou "proteção para a família". Esses recursos muitas vezes bloqueiam VPN de propósito, porque a VPN contornaria o filtro. Se o seu roteador ou provedor tem algo assim, é ele que decide o que é permitido nessa rede.
- Firmware do roteador. Firmware antigo tem bugs com sessões UDP. Uma atualização resolve mais do que você imagina.
Um teste rápido: reinicie o roteador. Isso limpa tabelas de conexão travadas, que podem fazer o WireGuard falhar depois de horas ligado.
Portais cativos
Hotéis, cafés e trens mostram uma página de login antes de liberar a internet. Enquanto essa página está pendente, a rede bloqueia tudo, inclusive a VPN. Desligue a VPN (e desative temporariamente "Bloquear conexões sem VPN" se você usa a VPN sempre ativa), abra http://neverssl.com, aceite os termos e reconecte.
DNS privado
O DNS privado do Android (Configurações → Rede e internet → DNS particular) criptografa as consultas de DNS. Se você digitou o nome de um provedor personalizado e esse provedor não é alcançável a partir de uma rede, os nomes deixam de ser resolvidos nela e parece que a VPN está com defeito. Coloque em Automático, que é o padrão do Android, e teste de novo (ajuda do Google sobre configurações de rede).
Quando a VPN funciona no Wi-Fi mas não nos dados móveis
O app de VPN não pode usar dados móveis
O Android pode negar totalmente os dados móveis a um app. Abra Configurações → Apps → seu app de VPN → Dados móveis e Wi-Fi (o nome muda conforme o celular) e verifique se os dados móveis e os dados em segundo plano estão permitidos. Se a Economia de dados estiver ativada, os apps só usam dados móveis em segundo plano quando estão marcados como irrestritos (ajuda da Economia de dados). Ative o Uso irrestrito de dados para o app de VPN.
Redes só IPv6 e NAT da operadora
Muitas operadoras hoje dão aos celulares apenas um endereço IPv6 e fazem a tradução para IPv4 dentro da rede delas. A maioria dos apps nem percebe, e os apps de VPN modernos que usam a pilha de rede normal do celular também não. Os problemas aparecem quando a tradução derruba sessões UDP longas ou quando um app espera IPv4 em todo lugar.
As operadoras também compartilham um único IPv4 público entre muitos clientes (NAT de operadora, ou CGNAT). Esse NAT esquece rápido as sessões UDP ociosas. As VPNs compensam isso com pacotes keep-alive a cada 20 a 30 segundos. Se o túnel conecta e depois fica mudo, mudar para um protocolo baseado em TCP costuma resolver.
Configurações de APN
O APN diz ao celular como chegar à rede de dados da operadora. Um APN errado ou desatualizado pode deixar o navegador funcionando e quebrar o resto do tráfego. Abra Configurações → Rede e internet → Chips → Nomes dos pontos de acesso e escolha Redefinir para o padrão. Não altere valores a menos que a sua operadora os informe.
Problemas de MTU
Toda rede tem um tamanho máximo de pacote. A VPN acrescenta o próprio cabeçalho, então um pacote de tamanho máximo deixa de caber. Se a rede descarta em silêncio os pacotes grandes demais, o túnel conecta, as requisições pequenas funcionam e as páginas grandes ou os downloads travam. Redes móveis com tunelamento extra dentro da operadora são as suspeitas de sempre. VPNs bem configuradas escolhem um MTU de túnel conservador justamente por isso. Do seu lado, trocar de protocolo é o teste prático.
Restrições da operadora
Alguns planos pré-pagos e de baixo custo restringem o uso de VPN, e algumas operadoras limitam ou filtram o tráfego que não conseguem classificar. Leia as condições do seu plano. Se o uso de VPN é permitido mas um protocolo falha, tente outro.
Roaming
No exterior, o roaming de dados precisa estar ativado, e a rede parceira pode tratar o tráfego de forma diferente da sua operadora. Veja usar VPN nos dados móveis em roaming.
Passo a passo no Android
- Compare as duas redes. Desligue o Wi-Fi e conecte pelos dados móveis, depois faça o contrário. Anote qual delas falha.
- Descarte uma página de login. No Wi-Fi que falha, desconecte a VPN e abra
http://neverssl.com. - Troque de protocolo. No app de VPN, passe do WireGuard para um modo em TCP 443 ou para a seleção automática.
- Confira o acesso a dados do app. Configurações → Apps → app de VPN → dados móveis e uso irrestrito de dados ativados.
- Volte o DNS privado para Automático.
- Reinicie o lado da rede. Ative o modo avião por dez segundos (dados móveis) ou reinicie o roteador (Wi-Fi de casa).
- Deixe data e hora no automático. Um relógio errado quebra os handshakes criptografados em qualquer rede.
Se a VPN conecta mas as páginas continuam sem carregar, nosso guia sobre VPN conectada mas sem internet vai mais fundo. Se ela cai a cada poucos minutos, veja por que a VPN fica desconectando no Android.
Como o SimpleV lida com redes diferentes
- Protocolo automático. O SimpleV tenta primeiro o WireGuard. Se o WireGuard não recebe handshake em poucos segundos, ele conecta com VLESS com Reality, que roda sobre TCP na porta 443 e se parece com HTTPS comum. Depois de uma falha do WireGuard, o modo Automático vai direto para o Reality por um tempo, para você não ficar esperando a cada reconexão.
- Protocolo fixo. Você pode escolher WireGuard ou Xray Reality em Configurações → Protocolo. Se você fixou o WireGuard e a rede o bloqueia, o app avisa e sugere o Automático.
- Configurações pensadas para redes móveis. O WireGuard roda com MTU de 1280 bytes e keep-alive a cada 25 segundos, o que combina com redes de operadora com pacotes pequenos e tempos de NAT curtos. O tráfego IPv6 também vai pelo túnel.
- Plano grátis: 500 MB por dia sem conta, nos dois protocolos. Premium: sem limite diário, mais locais, até 5 dispositivos.
Perguntas frequentes
Por que minha VPN funciona nos dados móveis mas não no Wi-Fi de casa?
Seu roteador ou provedor de internet trata o tráfego de VPN de forma diferente da sua operadora. Confira o nível do firewall e o controle parental do roteador, reinicie o roteador e tente um protocolo na porta TCP 443.
Por que minha VPN funciona no Wi-Fi mas não nos dados móveis?
Geralmente o app de VPN não tem permissão para usar dados móveis, a Economia de dados o restringe ou a rede da operadora descarta o protocolo. Libere o uso irrestrito de dados para o app e tente outro protocolo.
Preciso ativar o VPN passthrough no roteador?
Só para protocolos mais antigos, como IPsec, L2TP e PPTP. O WireGuard e o VLESS com Reality são tráfego UDP e TCP comum e funcionam sem ele.
A operadora pode bloquear VPN?
Alguns planos restringem nas condições de uso, e algumas redes filtram o tráfego que não conseguem classificar. Um protocolo que se parece com HTTPS comum na porta 443 é o menos afetado, mas confira o que o seu plano permite.
O DNS privado entra em conflito com a VPN?
Não na configuração padrão, Automático. Um nome de DNS privado personalizado que não é alcançável em uma rede pode parar todas as consultas de nomes nela, o que parece uma falha da VPN.