WireGuard, OpenVPN ou VLESS Reality: qual protocolo de VPN você deve usar?

A maioria dos apps de VPN esconde o protocolo atrás de um botão "Conectar", e tudo bem até algo dar errado: a VPN fica lenta, gasta a bateria ou não conecta no Wi-Fi do hotel. Aí o protocolo faz diferença. Este guia compara, em linguagem simples, os três que você mais encontra hoje no Android e diz qual escolher.

A comparação rápida

Os três criptografam seu tráfego direito quando bem configurados. As diferenças estão na velocidade, na bateria e em quão fácil é reconhecê-los e bloqueá-los.

WireGuard: rápido, pequeno e leve na bateria

O WireGuard é o padrão moderno. Ele usa um conjunto fixo de criptografia atual (Curve25519, ChaCha20, Poly1305, BLAKE2) em vez de um cardápio de opções, e o código é pequeno o bastante para ser auditado. Ele entrou no kernel do Linux na versão 5.6, em março de 2020, e o Android adicionou suporte no kernel logo depois (histórico na Wikipédia).

No que ele se sai bem num celular:

• Velocidade e bateria. Pouco trabalho por pacote, e ele fica em silêncio quando nada está sendo enviado.
• Mudança de rede. Quando você passa do Wi-Fi para os dados móveis, o túnel continua sem uma reconexão completa.

O ponto fraco: ele roda sobre UDP com um handshake reconhecível. Muitas redes de hotéis, escolas e escritórios bloqueiam o UDP ou detectam o WireGuard, e aí ele simplesmente não conecta.

OpenVPN: o veterano

O OpenVPN é de 2001 e é baseado em TLS e na biblioteca OpenSSL. É extremamente configurável, roda sobre UDP ou TCP e vem sendo revisado e usado há duas décadas. Por isso muitas VPNs corporativas e apps mais antigos ainda o usam.

No Android, é a opção mais pesada: mais processamento por pacote, mais tráfego de controle para manter a conexão viva e uma reconexão mais lenta quando a rede muda. Rodá-lo sobre TCP na porta 443 pode ajudar em redes restritivas, mas o handshake continua reconhecível, então redes que procuram VPNs ainda conseguem identificá-lo.

VLESS com Reality: tráfego de VPN que parece HTTPS

O VLESS é um protocolo de proxy leve do projeto Xray. Sozinho, ele é simples. A parte interessante é o Reality, que substitui a configuração de TLS habitual. O servidor responde ao handshake com o certificado real de um site conhecido que existe de verdade. Para quem observa a rede, a conexão parece uma visita HTTPS normal a esse site na porta 443, então não há um handshake com cara de VPN para bloquear.

O que isso significa na prática:

• Ele conecta onde o WireGuard e o OpenVPN são bloqueados, por exemplo num Wi-Fi de visitantes que só libera tráfego web. Nosso guia sobre VPN no Wi-Fi de hotel e escritório explica como esses bloqueios funcionam.
• Ele é rápido, perto do WireGuard para navegar e assistir a vídeos no dia a dia, embora rode sobre TCP e tenha um pouco mais de sobrecarga.
• Ele é mais novo e menos padronizado. Vem de um projeto comunitário de código aberto, e não de um órgão de padronização, e menos apps têm suporte a ele.

Parecer HTTPS comum não é licença para quebrar regras. Se a sua escola ou empresa proíbe VPN na rede dela, essa regra continua valendo.

Qual protocolo usar no Android?

• Uso diário, em casa e nos dados móveis: WireGuard. O mais rápido e o melhor para a bateria.
• Wi-Fi de hotel, universidade, escritório ou aeroporto que não conecta: VLESS com Reality.
• Uma empresa ou serviço mais antigo que só oferece OpenVPN: OpenVPN, de preferência sobre UDP.
• Não quer pensar nisso: um modo automático que tenta o WireGuard primeiro e recorre ao Reality.

Num celular, a bateria muitas vezes é o fator decisivo. Falamos disso em detalhes em a VPN gasta a bateria?.

Como o SimpleV usa esses protocolos

• Automático (padrão): primeiro WireGuard, VLESS com Reality quando o WireGuard não passa. Se o WireGuard está bloqueado, o app para de tentá-lo por um tempo, para você não ficar esperando.
• Escolha manual: escolha WireGuard ou Xray Reality nas configurações se preferir um deles. Uma escolha explícita nunca é trocada sem aviso.
• Por que não tem OpenVPN: num celular, o WireGuard faz o mesmo trabalho mais rápido e gastando menos bateria, e o Reality cobre as redes onde o WireGuard é bloqueado. Um terceiro protocolo só acrescentaria peso, sem cobrir nenhum caso que os outros dois deixam de fora.
• Grátis: 500 MB por dia sem conta. Premium: sem limite diário e com mais locais.

Perguntas frequentes

O WireGuard é mais seguro que o OpenVPN?

Os dois são seguros quando bem configurados. A vantagem do WireGuard é a simplicidade: um único conjunto moderno de algoritmos e um código pequeno deixam menos espaço para erros de configuração. A vantagem do OpenVPN é um histórico muito longo.

O que significa VLESS Reality?

O VLESS é o protocolo de proxy que transporta seu tráfego. O Reality é a camada que faz a conexão parecer uma sessão TLS normal com um site real, então as redes não conseguem diferenciá-la facilmente de um HTTPS comum.

Por que o WireGuard não funciona em algumas redes Wi-Fi?

Ele usa UDP e tem um handshake reconhecível. Redes que só liberam tráfego web, ou que procuram padrões de VPN, o bloqueiam. Um protocolo na porta TCP 443 que parece HTTPS, como o Reality, geralmente ainda conecta.

O VLESS Reality é mais lento que o WireGuard?

Um pouco, porque roda sobre TCP e adiciona um pouco de sobrecarga. Para navegar, trocar mensagens e ver vídeos, você raramente vai notar. O WireGuard continua sendo o melhor padrão onde funciona.

Qual protocolo gasta menos dados móveis?

O WireGuard tem a menor sobrecarga, cerca de 4–5% além do seu tráfego. As diferenças entre protocolos são pequenas perto do que seus apps usam; veja quantos dados uma VPN usa.