Como funciona uma VPN: guia completo para navegares com mais privacidade e livre

Uma VPN cria um “túnel” encriptado entre o teu dispositivo e um servidor remoto, escondendo o teu endereço IP real e impedindo que o teu ISP e terceiros vejam o que fazes online, pelo menos ao nível do tráfego bruto. Além disso, permite simular que estás noutro país, o que pode abrir acesso a conteúdos e serviços com restrições geográficas.

O que é afinal uma VPN?

Uma VPN (Virtual Private Network) é uma forma de aceder à internet através de uma ligação segura e encriptada, em vez de te ligares diretamente via ISP sem proteção adicional. Originalmente foi pensada para empresas ligarem trabalhadores remotos às redes internas, mas nos últimos 10–15 anos tornou‑se um produto de consumo, com serviços como Proton VPN e ExpressVPN a crescerem imenso entre utilizadores domésticos.

No contexto dos serviços comerciais, a VPN é desenhada para encaminhar todo o teu tráfego para qualquer ponto na internet, não apenas para uma rede privada específica. Isto significa que, depois de ligares o cliente VPN, tudo o que o teu sistema enviar (navegador, apps, atualizações, etc.) passa por esse “túnel”.

Componentes básicos: cliente e servidor

Uma VPN típica tem dois elementos principais: o servidor, que é o intermediário entre ti e o destino final, e o cliente, que é o software que instalas no PC, telemóvel, router ou outro dispositivo. O cliente trata de encriptar os dados e de estabelecer a ligação segura ao servidor, enquanto o servidor os desencripta e encaminha para a internet “normal”.

Do ponto de vista de qualquer site ou serviço, quem está a fazer os pedidos é o servidor VPN, não o teu dispositivo. Por isso, o IP que aparece é o do servidor (por exemplo, “Lisboa”, “Frankfurt”, “Londres”) e não o IP que o teu ISP te atribui em casa.

O que acontece quando ligas a uma VPN

Sempre que ligas a uma VPN e começas a navegar, a sequência de passos muda ligeiramente face a uma ligação sem VPN. Em vez de o teu pedido ir diretamente do modem para o ISP e daí para o servidor do site, ele passa primeiro pelo cliente VPN, é encriptado, enviado ao servidor VPN, desencriptado e só depois segue para o ISP e para o destino final.

Na prática, todos os pedidos que fazes (clicar num link, abrir uma app que usa internet, etc.) são primeiro embalados e encriptados pelo cliente VPN. O servidor VPN recebe esse “pacote” encriptado, desencripta‑o, vê que queres, por exemplo, aceder a um site específico, e faz esse pedido em teu nome, devolvendo‑te a resposta também encriptada.

Como funciona a internet sem VPN (versão simples)

Sem VPN, o percurso é mais direto: o teu computador envia um pedido ao modem/roteador, este passa ao ISP, e o ISP usa servidores DNS para descobrir o IP associado ao domínio que pediste (por exemplo, o IP por trás de um “.com” ou “.pt”). A seguir, o pedido segue por vários nós até ao servidor que aloja o site, que devolve o conteúdo em pequenos pacotes de dados, normalmente entre 1 e 1,5 KB cada.

Esses pacotes regressam por rotas potencialmente diferentes, são reunidos pelo teu navegador e tu vês a página em frações de segundo. Todo este processo é governado pelo conjunto de protocolos TCP/IP, que define como os dispositivos se identificam (via endereços IP) e como os dados circulam entre eles.

O que a VPN muda nesse percurso

Quando usas VPN, ela “interrompe” dois momentos críticos: o envio inicial de dados do teu modem para o ISP e o retorno dos pacotes do ISP até ti. Em vez de o ISP ver diretamente o conteúdo dos pedidos, vê apenas tráfego encriptado entre ti e o servidor VPN, com a VPN a assumir o papel de origem aparente dos pedidos.

Assim, o ISP vê que estás a enviar dados para um servidor VPN específico, mas não vê que site exato estás a visitar ou que conteúdo estás a requisitar dentro desse fluxo encriptado. O mesmo acontece no regresso: para o ISP, os pacotes vêm do servidor VPN e vão para ti, sem detalhes sobre o conteúdo real.

O “túnel” VPN e a encapsulação

A metáfora mais usada é a do “túnel”: entre o teu dispositivo e o servidor VPN cria‑se um canal opaco onde o tráfego circula encriptado, invisível para terceiros. É como se os dados fossem por um túnel onde ninguém de fora consegue ver o que está a passar, apenas que existe tráfego entre dois pontos.

Tecnicamente, é útil pensar nisto como encapsulação: cada pacote de dados normal é envolvido num segundo pacote, que o encripta e inclui apenas a informação necessária para chegar ao servidor VPN seguinte. Nenhuma camada externa tem o caminho completo nem a identidade original, o que ajuda a manter a origem (tu) escondida.

Porque é que a VPN abranda a ligação

Todo este processo de encriptar, desencriptar e reenviar naturalmente acrescenta algum atraso. Além disso, os pacotes dão uma volta extra: vão primeiro ao servidor VPN, depois ao destino, e no regresso passam novamente pela VPN antes de chegar a ti.

Os melhores serviços conseguiram otimizar bastante isto, ao ponto de a perda ser pequena, mas continua a haver sempre algum impacto na velocidade e, por vezes, no ping (latência). Serviços como o Surfshark, por exemplo, são apontados como dos mais rápidos, precisamente porque conseguem reduzir este overhead de forma eficiente.

O papel da encriptação

A encriptação é o coração de uma VPN: sem ela, o “túnel” seria apenas um desvio de tráfego, mas ainda legível. O objetivo é transformar os dados em algo ilegível para qualquer pessoa que os intercepte entre o teu dispositivo e o servidor VPN.

A maioria dos serviços comerciais usa AES‑256, um algoritmo de encriptação simétrica considerado extremamente forte e utilizado também por instituições financeiras e pelo próprio governo dos EUA em contextos sensíveis. Em alternativa ou complemento, alguns protocolos usam cifragem como ChaCha20, igualmente robusta para proteger o conteúdo dos pacotes.

Encriptação simétrica vs assimétrica

AES‑256 é um exemplo de encriptação simétrica: a mesma chave serve para encriptar e desencriptar os dados. Isto é rápido e eficiente, mas tem um problema óbvio: se a chave for intercetada, alguém consegue tanto codificar como descodificar o tráfego.

Para resolver esse ponto fraco, muitos protocolos combinam encriptação simétrica com encriptação assimétrica, onde há um par de chaves diferentes (uma pública para encriptar, uma privada para desencriptar), normalmente geridas através de TLS (Transport Layer Security). O TLS é usado para estabelecer a relação de confiança inicial entre cliente e servidor, garantindo que ambos têm chaves compatíveis e emitidas por uma autoridade de confiança.

O “handshake” TLS

Antes de a VPN começar a transportar tráfego normal, cliente e servidor fazem um “aperfeiço de mão” digital, conhecido como TLS handshake. Trocam dados encriptados um com o outro e tentam descodificá‑los usando as chaves que receberam da autoridade certificadora.

Se ambos conseguirem descodificar com sucesso, ficam a saber que estão a falar com a entidade certa (e não com alguém que se fez passar por ela), e a partir daí trocam as chaves simétricas que vão ser usadas durante a sessão. Depois desse ponto, a comunicação passa a ser feita com cifragem simétrica, que é muito mais rápida para volumes grandes de dados.

Porque não usar só encriptação assimétrica?

A encriptação assimétrica é mais segura para o processo de autenticação inicial, mas é demasiado pesada para ser usada permanentemente em todo o tráfego. Envolve operações matemáticas muito complexas que iriam tornar a navegação lenta e consumir mais recursos do dispositivo.

Por isso, os protocolos adotam um modelo híbrido: usam encriptação assimétrica apenas para negociar e validar as chaves e, depois, encriptação simétrica para o tráfego contínuo. Desta forma conseguem um equilíbrio entre segurança forte e desempenho aceitável.

Principais protocolos de VPN

Um protocolo de VPN é, na prática, o “conjunto de regras” que define como os dados são encriptados, encapsulados e encaminhados entre cliente e servidor. Cada protocolo decide que tipo de cifragem usa, como é feito o handshake, como são tratados os pacotes e como se gere a ligação.

Entre os protocolos mais usados tens o OpenVPN, WireGuard, IKEv2, SSTP e L2TP, cada um com as suas vantagens em termos de velocidade, robustez e compatibilidade. PPTP, um dos mais antigos, já não é considerado seguro e é geralmente desaconselhado em contextos modernos. Muitos serviços ainda criam protocolos “proprietários” por cima destes, como o Lightway da ExpressVPN, afinados para objetivos específicos.

Passo a passo: da ligação ao site

Se juntarmos tudo, a sequência com VPN ativa fica mais ou menos assim:

1. Abres o cliente VPN, escolhes um servidor (por exemplo “Portugal” ou “Países Baixos”) e ligas.
2. Cliente e servidor autenticam‑se via handshake TLS e trocam as chaves simétricas para a sessão.
3. O cliente avisa que o “túnel seguro” está estabelecido e, a partir daí, todo o tráfego passa por ali.
4. Abres o navegador e escreves um URL ou clicas num link. O pedido vai primeiro ao cliente VPN, não diretamente ao ISP.
5. O cliente encripta o pedido, encapsula‑o com informação para chegar ao servidor VPN e envia‑o.
6. O servidor VPN desencripta o pedido e só então fala com o ISP, que resolve o DNS e encaminha para o servidor de destino.
7. O servidor do site responde com os pacotes de dados, que vão até ao ISP, depois ao servidor VPN e só então a ti.
8. A VPN volta a encriptar cada pacote para o canal até ao teu dispositivo, onde o cliente os desencripta e entrega ao navegador.
9. Tu vês a página, sem que o ISP tenha visto o que pediste exatamente, apenas que falaste com um servidor VPN.

O que a VPN protege (e o que não protege)

A VPN sobretudo esconde o teu IP real e o conteúdo do tráfego entre o teu dispositivo e o servidor VPN. Isto dificulta que o ISP construa um registo detalhado de que sites visitas, o que ajuda a evitar que o teu histórico de navegação seja vendido a anunciantes.

No entanto, a VPN não encripta automaticamente tudo o que fazes dentro dos sites, porque isso é função do HTTPS do próprio site (a ligação segura que vês com o cadeado no navegador). Se publicares texto em claro numa rede social ou te identificares com a tua conta, continuas identificável para essa plataforma, mesmo que o caminho até lá tenha passado por VPN.

Porque é que a localização virtual interessa

Ao ligares a um servidor noutro país, passas a “aparecer” para os sites como se estivesses nesse país. Isto é útil para aceder a catálogos de streaming, eventos desportivos ou outros conteúdos que só estão disponíveis em certas regiões.

Também ajuda em países com censura forte ou firewalls nacionais, como a China, onde o acesso a fontes de informação externas é bloqueado ou filtrado. Uma VPN bem configurada pode permitir contornar essas barreiras e ver a internet como é apresentada noutros pontos do mundo.

Limitações e mal‑entendidos comuns

Muitos serviços de VPN gostam de slogans do género “encriptação militar”, “anonimato total” ou “proteção completa contra throttling”. Na prática, “military‑grade” costuma ser apenas marketing para AES‑256, que é um algoritmo amplamente utilizado por toda a gente e não algo exclusivo ou mágico.

Da mesma forma, não ficas “completamente anónimo”: se usares a tua conta de redes sociais, fizeres login no email ou publicares dados pessoais, essas plataformas continuam a saber quem és. E quanto ao “dodge ISP throttling”, só funciona em cenários específicos em que o ISP limita com base em IP ou tipo de tráfego visível; se estiver a limitar por volume geral ou por gestão de rede mais profunda, a VPN não é uma bala de prata.

VPN como peça de um kit maior

O artigo sublinha que uma VPN é apenas uma parte de um “pequeno‑almoço completo de cibersegurança”. Continuas a precisar de palavras‑passe fortes, atualizações de software rápidas e atenção a esquemas de engenharia social, phishing e outras formas de ataque que não dependem de interceptar tráfego.

Uma VPN ajuda bastante na privacidade de rede e na gestão da localização aparente, mas não substitui bom senso nem outras camadas como autenticação de dois fatores, backups ou higiene digital básica.