Nenhum protocolo é o melhor em todas as situações. WireGuard® costuma se destacar pela velocidade e simplicidade; OpenVPN mantém grande flexibilidade e capacidade de adaptação; IKEv2 é especialmente eficaz quando um celular alterna entre Wi-Fi e dados móveis. A escolha depende do dispositivo, da rede e do modelo de ameaça.
Por que os protocolos são tão importantes
Um serviço pode ter um bom aplicativo e uma política de privacidade clara, mas, sem um protocolo sólido, o túnel não oferece garantias técnicas suficientes. O protocolo determina:
- Robustez criptográfica: algoritmos e mecanismos de autenticação utilizados.
- Desempenho: latência, velocidade, estabilidade e consumo de recursos.
- Detectabilidade: capacidade de resistir à inspeção profunda de pacotes, a bloqueios ou à censura.
Os principais protocolos
OpenVPN
OpenVPN é um protocolo de código aberto criado em 2001. Sua maturidade, seu código público e suas auditorias o tornaram uma referência. Usa TLS para negociar o túnel e pode proteger o canal de dados com AES-GCM ou ChaCha20, com sigilo futuro perfeito quando a configuração é correta.
Sua principal vantagem é a flexibilidade. Funciona por UDP para melhorar o desempenho ou por TCP, inclusive na porta 443, e admite camadas externas de ofuscação. Isso o torna útil em redes corporativas, pontos de acesso com muitos filtros e ambientes com inspeção profunda de pacotes.
Limites: sua base de código e suas dependências são amplas, a auditoria completa é mais complexa e o processamento no espaço de usuário pode consumir mais recursos que WireGuard. Os aplicativos atuais escondem boa parte da configuração, mas uma implementação ruim ainda pode afetar a segurança ou o desempenho. A base de código e suas dependências são muito maiores que as de WireGuard, por isso uma auditoria completa exige mais trabalho.
WireGuard®
WireGuard® foi projetado em torno do Noise Protocol Framework para ser pequeno, rápido e simples de auditar. Sua implementação principal tem cerca de 4.000 linhas de código e foi integrada ao núcleo Linux em 2020. Usa um conjunto fixo de primitivas modernas, incluindo ChaCha20-Poly1305 e Curve25519.
A integração próxima ao sistema, o estabelecimento rápido da conexão e a boa adaptação às mudanças de rede explicam seu desempenho. Também costuma consumir menos processador e bateria.
Limites: usa UDP, não inclui camuflagem nativa e seu padrão de tráfego pode ser detectado. Também associa chaves públicas a endereços internos. Um provedor sério deve gerenciar essas associações, renová-las quando necessário e evitar registros persistentes que relacionem sessões. Mecanismos de renovação de endereços internos ou de identidades efêmeras são exemplos: são soluções de arquitetura, não correções de uma falha criptográfica.
Núcleo: é a parte central do sistema operacional que gerencia memória, processos e acesso ao hardware. Executar o protocolo perto do núcleo reduz o custo de processamento, mas também exige uma implementação rigorosa.
IKEv2
IKEv2 negocia o túnel e usa IPsec para criptografar o tráfego. MOBIKE mantém a sessão quando um celular passa do Wi-Fi para o 4G ou 5G, tornando-o uma opção sólida para mobilidade. Está integrado nativamente em vários sistemas e pode usar AES-GCM com sigilo futuro perfeito.
Limites: algumas implementações são fechadas, e suas portas habituais, UDP 500 e 4500, são fáceis de identificar e bloquear. Se uma rede filtra IPsec, IKEv2 tem menos possibilidades de adaptação que OpenVPN.
IPsec
IPsec não é um único protocolo, mas uma família de mecanismos que protege as comunicações na camada de rede. Serve de base para IKEv2 e L2TP/IPsec. Pode operar em modo túnel, encapsulando o pacote completo, ou em modo transporte. ESP protege os dados, e IKE negocia as chaves.
Seu principal limite é a complexidade. Uma configuração extensa aumenta o risco de erros e dificulta a manutenção em comparação com alternativas com menos componentes.
SoftEther
SoftEther é uma plataforma de código aberto multiprotocolo desenvolvida pela Universidade de Tsukuba. Pode encapsular tráfego em HTTPS e oferecer compatibilidade com OpenVPN, L2TP/IPsec e SSTP. Essa flexibilidade é útil para estudar técnicas de contorno de bloqueios.
Sua configuração é mais complexa, e seu uso é pouco difundido entre os serviços VPN para o público geral. É mais adequado a pessoas com conhecimentos técnicos ou a ambientes com restrições específicas.
Shadowsocks
Shadowsocks é um proxy SOCKS5 criptografado criado para superar censura ativa. Protege o tráfego dos aplicativos configurados para usá-lo, mas não cria necessariamente um túnel IP completo nem modifica todo o roteamento do sistema.
As versões modernas podem usar criptografia autenticada. A abordagem seletiva dificulta alguns bloqueios por assinaturas, mas o servidor ainda pode observar metadados e relacionar solicitações. Não é uma VPN e não oferece anonimato. Versões modernas podem resistir a bloqueios simples por criptografia autenticada, mas a ausência de túnel global, a visibilidade de metadados e a configuração técnica limitam seu uso a contextos específicos de censura.
QUIC
QUIC é um protocolo de transporte de rede, não um protocolo VPN. Alguns provedores o usam para transportar seu próprio túnel, melhorar reconexões ou camuflar parte do tráfego por HTTP/3.
QUIC sozinho não cria um túnel, não muda o IP visível e não oferece anonimato. Quando um aplicativo fala em “VPN QUIC”, normalmente combina um protocolo VPN real com QUIC como transporte.
PPTP: um protocolo obsoleto que deve ser evitado
PPTP foi um dos primeiros protocolos VPN amplamente integrados aos sistemas de uso doméstico. Hoje, seus mecanismos criptográficos estão comprometidos:
- MS-CHAPv2 pode ser quebrado com recursos acessíveis.
- RC4 não é mais considerado seguro.
- Não oferece sigilo futuro perfeito.
- Existem ataques práticos documentados há anos.
Não deve ser usado quando privacidade ou segurança são importantes. Um provedor que ainda o apresenta como opção principal dá um sinal negativo. As fragilidades não dependem de uma configuração ruim pontual: MS-CHAPv2, RC4 e a ausência de sigilo futuro perfeito tornam seu projeto inadequado.
Comparativo técnico
| Protocolo | Segurança | Desempenho | Mobilidade | Resistência a bloqueios | Uso adequado |
|---|---|---|---|---|---|
| OpenVPN | TLS, código aberto e auditorias | Bom | Exige reconexão | Muito boa com TCP 443 e ofuscação | Redes hostis, compatibilidade e controle |
| WireGuard® | ChaCha20-Poly1305 e código reduzido | Excelente | Reconexão rápida | Baixa sem uma camada adicional | Uso diário, velocidade e eficiência |
| IKEv2 | AES-GCM, PFS e IPsec | Bom | Excelente com MOBIKE | Média ou baixa se as portas forem filtradas | Celulares e mudanças frequentes de rede |
Para comparar arquitetura e comportamento, consulte OpenVPN vs WireGuard e IKEv2 vs OpenVPN.
Entenda os fatores que cercam o protocolo
O protocolo nunca funciona isoladamente. A eficácia depende da criptografia escolhida, da configuração do servidor, da negociação do túnel, do tratamento das chaves e da prevenção de vazamentos.
Para completar a análise, consulte a velocidade dos protocolos VPN, como detectar um vazamento de DNS e a estrutura de um túnel VPN.