Sua rede está “organizada”?

A primeira pergunta raramente é feita. A configuração comum usa o modem do provedor de internet, no qual instalar uma VPN costuma ser impossível por falta de acesso ao firmware. Adicionar um roteador próprio atrás do modem cria um NAT duplo (dois equipamentos que traduzem os endereços separadamente): incomoda pouco na navegação, mas causa problemas em jogos online (NAT estrito, salas inacessíveis), alguns serviços P2P e qualquer redirecionamento de portas. As soluções são conectar o roteador diretamente à conexão da operadora quando a ONT é separada, colocar o modem em modo bridge (a solução mais organizada, em que o modem passa a ser apenas um modem), ou em DMZ (uma alternativa que reduz o problema do NAT duplo sem sempre eliminá-lo). Verifique antes de investir em equipamentos.

O que ela protege e o que não altera

Uma VPN no notebook ou celular cobre apenas esse dispositivo; Smart TV, console, NAS e aparelhos inteligentes ficam de fora quando não há cliente compatível. A VPN no roteador resolve isso desde a origem: todo o tráfego da rede local para a internet passa pelo túnel. Mas — um ponto raramente explicado — o túnel criptografa o tráfego rede ↔ internet, não o tráfego interno (a TV que consulta o NAS, um aparelho inteligente que se comunica com o gateway). Essa é a natureza de uma VPN de camada 3: dizer “toda a rede está criptografada” é impreciso — o que está criptografado é a saída para a internet.

O trio dos vazamentos: IPv6, DNS e WebRTC

IPv6: o ponto cego mais frequente. Dependendo do firmware e do provedor, o IPv6 pode não ser encaminhado pelo túnel — mesmo sendo cada vez mais utilizado. Suas consultas IPv6 saem então com seu IP real. As únicas configurações defensáveis são um túnel em dual-stack IPv4/IPv6 (WireGuard® oferece suporte, OpenVPN exige uma configuração explícita), ou o IPv6 bloqueado corretamente por uma regra de firewall. Confira com uma ferramenta de teste de vazamentos.

DNS: “eu gerencio meus DNS” é mais complicado do que parece. Alguns dispositivos (Smart TV, Chromecast, consoles) ignoram o DNS do roteador e consultam um servidor fixado no código — suas consultas saem fora do túnel se o roteador não as redireciona. A abordagem realista é a interceptação com redirecionamento para o resolvedor desejado (porta 53), não um bloqueio indiscriminado que impede o funcionamento dos aparelhos. O DoH (DNS sobre HTTPS, porta 443) continua indistinguível do tráfego web sem inspeção profunda: é difícil restringi-lo adequadamente em uma rede doméstica.

WebRTC: é um vazamento no navegador, sobre o qual o roteador não tem controle — o ajuste é feito no dispositivo (configurações ou extensão).

Os tipos de configuração

Roteador pré-configurado (como os Aircove da ExpressVPN que já estão em uso, agora retirados de venda): pronto para usar, mas vinculado a um único provedor — sem renovação, o roteador continua sendo um equipamento Wi-Fi sem acesso aos servidores, e não é possível trocar o provedor por outro. Firmware alternativo (DD-WRT, OpenWrt, Asuswrt-Merlin): flexível, mas técnico; um erro pode inutilizar o roteador. Configuração direta em um roteador com suporte nativo a OpenVPN/WireGuard®: você importa os arquivos do provedor (NordVPN, Proton VPN, Surfshark…) — a opção mais acessível para manter a liberdade de escolha do provedor, desde que confira a compatibilidade real do modelo.

As limitações que você precisa conhecer

CPU = verdadeiro gargalo: a criptografia exige processamento; um roteador de entrada costuma entregar muito menos do que a velocidade da fibra, sobretudo com OpenVPN (raramente acelerado por hardware). WireGuard® muda essa equação. Kill switch não automático: em um roteador com firmware modificado, ele precisa ser configurado manualmente (regras de firewall) — sem isso, se o túnel cair, tudo sai sem criptografia e sem alerta (teste interrompendo o servidor e conferindo seu IP). MTU/overhead mal configurados provocam fragmentação e sintomas frequentemente mal diagnosticados (sites lentos, tempos de espera excedidos). Um único servidor para toda a rede (sem servidor por dispositivo sem VLAN). Por fim, o suporte a roteadores varia entre provedores (arquivos de configuração para download direto, documentação atualizada) — um critério a conferir.

Decisão

Sim se você precisa cobrir dispositivos sem cliente nativo, quer proteção permanente, aceita um único servidor para toda a rede e tem uma rede simples ou sabe colocar o modem em bridge. Não, ou não apenas se seu uso é principalmente móvel, se troca frequentemente de servidor ou país por dispositivo, se o jogo exige boa latência ou NAT, ou se você não se sente à vontade com a configuração de rede (uma configuração errada cria uma falsa segurança). Muitas vezes, o mais adequado é um sistema híbrido — VPN no roteador para dispositivos fixos, cliente nativo nos dispositivos móveis. Bem configurado, é sólido; mal configurado, cria uma falsa segurança com vazamentos que ferramentas básicas não detectam.