Por que minha VPN não funciona no Wi-Fi do hotel, da faculdade ou do escritório?
Atualizado em
Muitas redes Wi-Fi de visitantes ou administradas bloqueiam VPN reconhecendo o handshake do protocolo ou fechando todas as portas, menos as de tráfego web (80 e 443). WireGuard e OpenVPN são fáceis de identificar. Um protocolo que se parece com HTTPS comum na porta 443, como VLESS com Reality, geralmente ainda conecta, desde que a rede permita.
Você entra no Wi-Fi do hotel, aceita os termos na página de login, abre o app de VPN e ele fica girando em "Conectando…" para sempre. Sem a VPN, os sites carregam normalmente. É um dos problemas de VPN mais comuns, e quase nunca é culpa do seu celular ou do servidor VPN. É a rede no meio do caminho que está filtrando a conexão.
Este guia explica o que esse tipo de rede bloqueia de fato, como descobrir em qual caso você está e o que mudar no Android para conseguir conectar de novo.
Resumo rápido
| O que você vê | Causa mais provável | O que costuma ajudar |
|---|---|---|
| A VPN nunca conecta; os sites funcionam sem ela | A rede reconhece e descarta o handshake da VPN (inspeção profunda de pacotes) | Um protocolo que se parece com HTTPS: VLESS com Reality, na porta 443 |
| A VPN nunca conecta; até alguns apps falham sem ela | Só as portas 80 e 443 estão abertas | Qualquer modo de VPN que rode em TCP 443 |
| Conecta e cai depois de alguns segundos | O UDP é limitado ou cortado depois dos primeiros pacotes | Trocar o WireGuard (UDP) por um modo baseado em TCP |
| Nada funciona, nem os sites | Você não concluiu a página de login do Wi-Fi (portal cativo) | Desligue a VPN, abra qualquer site, aceite os termos e reconecte |
| Funciona nos dados móveis, falha só em um Wi-Fi | A política dessa rede | Confira as regras primeiro; se VPN for permitida, tente o modo que imita HTTPS |
Por que algumas redes Wi-Fi bloqueiam VPN?
Hotéis, aeroportos, trens, universidades e escritórios colocam um firewall na frente da rede. Os motivos geralmente são banais: economizar banda, impedir que os hóspedes usem torrent ou regras de segurança da empresa que exigem que todo o tráfego passe por um proxy de inspeção. Bloquear VPN é um efeito colateral dessas regras ou, às vezes, uma política explícita.
Há três técnicas comuns:
- Bloqueio de portas. O firewall só libera as portas web (80 para HTTP, 443 para HTTPS) e o DNS. A porta UDP padrão do WireGuard, 51820, e a 1194 do OpenVPN simplesmente ficam fechadas.
- Identificação do protocolo (DPI). A inspeção profunda de pacotes analisa os primeiros pacotes de uma conexão. O handshake do WireGuard tem tamanho e estrutura fixos, e o OpenVPN tem um cabeçalho reconhecível, então o firewall consegue identificá-los em qualquer porta e descartá-los.
- Limitação de UDP. Algumas redes deixam o UDP passar, mas o deixam lento ou cortam sessões longas. O WireGuard só funciona sobre UDP, então é o primeiro a sofrer.
Como descobrir o que a minha rede está bloqueando?
Dá para chegar à resposta em dois minutos no Android:
- Descarte a página de login. Desligue a VPN e abra
http://neverssl.comno navegador. Se aparecer uma página de login do hotel ou da faculdade, aceite e tente a VPN de novo. A maioria dos casos de "VPN não funciona" termina aqui. - Compare com os dados móveis. Desligue o Wi-Fi e conecte pelos dados móveis. Se a VPN conectar na hora, o problema é a rede Wi-Fi, não o app nem o servidor.
- Teste um modo TCP na porta 443. Se o seu app deixa escolher o protocolo, troque o WireGuard por um modo que roda sobre TCP 443. Se conectar, a rede estava bloqueando o UDP ou a assinatura do WireGuard.
- Confira data e hora. Um relógio muito errado quebra os handshakes criptografados. Deixe no automático.
Qual protocolo de VPN funciona melhor em Wi-Fi restritivo?
O protocolo importa mais que a localização do servidor. Veja como os mais comuns se comportam em uma rede filtrada:
| Protocolo | Transporte | Porta padrão | Facilidade de detecção | Velocidade |
|---|---|---|---|---|
| WireGuard | UDP | 51820 (qualquer) | Fácil: padrão de handshake fixo | A mais rápida |
| OpenVPN | UDP ou TCP | 1194 (qualquer) | Fácil: cabeçalho reconhecível | Média |
| IKEv2 / IPsec | UDP | 500, 4500 | Fácil: portas padrão, muitas vezes fechadas | Rápida |
| VLESS com Reality | TCP | 443 | Difícil: o handshake é um handshake TLS real com um site conhecido | Rápida |
O que é o Reality? O Reality é um transporte do projeto Xray. Quando seu celular conecta, o handshake é um handshake TLS 1.3 genuíno que apresenta o certificado de um site real e popular. Para o firewall, parece uma visita normal a esse site na porta 443. Só um cliente com a chave certa recebe um túnel VPN. Qualquer outro é encaminhado para o site verdadeiro. Por isso ele continua funcionando em redes que bloqueiam WireGuard e OpenVPN.
O WireGuard ainda é a melhor escolha quando a rede permite: é mais simples e um pouco mais rápido. Na prática, o ideal é usar o WireGuard por padrão e recorrer ao Reality só quando o WireGuard não consegue conectar.
Tudo bem usar VPN no Wi-Fi da faculdade ou do trabalho?
Depende das regras da rede, e você deve respeitá-las. Muitos empregadores exigem que o tráfego da empresa passe pelas próprias ferramentas de segurança, e algumas instituições de ensino proíbem VPN nas regras de uso. Se uma rede bloqueia VPN de propósito e você concordou com os termos dela, fale com o administrador ou use os dados móveis para a navegação pessoal.
No Wi-Fi de hotéis, cafés, aeroportos e trens a situação é outra: a rede é compartilhada com desconhecidos, o operador não precisa ver o que você faz, e uma VPN é uma forma razoável de manter seu tráfego privado. Nesses lugares, o bloqueio de VPN geralmente é efeito colateral de uma configuração genérica de firewall, não uma política voltada contra você.
Como o SimpleV lida com redes restritivas
O SimpleV VPN para Android traz os dois protocolos e escolhe entre eles por você:
- O modo automático tenta primeiro o WireGuard e muda para VLESS com Reality em TCP 443 quando o WireGuard não passa.
- Você também pode fixar um protocolo nas configurações, se já conhece a rede.
- Os dois protocolos estão disponíveis no plano grátis: 500 MB de dados todos os dias, sem precisar de conta nem e-mail.
- O Premium remove o limite diário e libera 33 locais em 20 países em até 5 dispositivos. Um passe de 7 dias, que não renova, é prático para uma viagem só.
Perguntas frequentes
Por que minha VPN conecta nos dados móveis mas não no Wi-Fi?
Porque a rede Wi-Fi filtra o tráfego de VPN e a sua operadora não. O celular e o servidor VPN estão bem. Tente um protocolo que roda sobre TCP 443 e se parece com HTTPS, como VLESS com Reality, ou conclua antes a página de login do Wi-Fi, se houver.
Mudar a localização do servidor VPN resolve um Wi-Fi bloqueado?
Geralmente não. O firewall bloqueia o protocolo ou a porta, não um país específico. O que faz diferença é mudar o protocolo (por exemplo, do WireGuard para o Reality na porta 443).
O VLESS Reality é mais lento que o WireGuard?
Um pouco, porque roda sobre TCP e adiciona o enquadramento TLS. Numa conexão típica de hotel ou escritório, a diferença quase não se nota, e uma conexão que funciona é mais rápida que uma que nunca conecta. Nossa comparação WireGuard vs OpenVPN vs VLESS Reality entra nos detalhes.
A rede consegue saber que estou usando o Reality?
Ela vê uma conexão criptografada na porta 443 com o que parece ser um site conhecido, que é como a maior parte do tráfego dela se parece. Redes muito rígidas ainda podem bloquear todos os destinos desconhecidos, então nenhum protocolo pode prometer que funciona em qualquer lugar.
Preciso de uma VPN paga para isso?
Não. No SimpleV, tanto o WireGuard quanto o Reality funcionam no plano grátis, com 500 MB de dados por dia. O Premium acrescenta dados ilimitados, todos os locais e até 5 dispositivos.