VPN para Wi-Fi público

O que uma rede Wi-Fi pública consegue ver mesmo com HTTPS?

Ela vê os endereços IP de destino, os nomes dos sites nas consultas DNS e, na abertura de quase toda conexão TLS, o domínio pedido em texto claro. O conteúdo das páginas continua cifrado, mas quem administra a rede sai com uma lista de sites e horários do seu dia.

Esse campo do domínio tem nome: SNI, a extensão server_name da RFC 6066. Ele existe porque um mesmo endereço IP hospeda muitos sites, e o servidor precisa saber qual certificado apresentar antes de a criptografia começar. O resultado é que o primeiro pacote de cada conexão HTTPS carrega o nome do site legível. Já existe uma extensão que cifra esse campo, mas ela depende do navegador e do site.

O DNS conta a mesma história por outro caminho. Ao digitar um endereço, o aparelho pergunta a um servidor DNS qual é o IP correspondente, e essa pergunta sai em texto claro para o servidor que a própria rede indicou. Alguns sistemas já usam DNS cifrado, mas isso depende de configuração e nem todo app respeita.

A senha na parede muda menos do que parece: mantém quem está na calçada fora da rede, mas não separa você dos outros hóspedes que digitaram a mesma senha, nem altera o que o operador do roteador enxerga.

Como funciona um ponto de acesso com o nome da rede oficial

O nome de uma rede Wi-Fi é só um rótulo anunciado pelo equipamento, sem prova de origem. Qualquer aparelho pode anunciar o nome da rede do hotel, e o seu celular, que guardou esse nome da visita anterior, reconecta sozinho ao que estiver com sinal melhor. Sem aviso, porque para o sistema nada de errado aconteceu.

Quem controla aquele ponto de acesso controla o que costuma passar despercebido: o DHCP, que entrega ao seu aparelho o endereço, o roteador padrão e o servidor DNS a usar. Ele vira o resolvedor de todo nome que você digitar e o primeiro salto de todo pacote que sair.

É aí que entra o DNS manipulado. Você digita o endereço do banco, o resolvedor responde com o IP de um servidor do atacante e o navegador abre uma cópia da página de login. Um clone no domínio verdadeiro não consegue apresentar certificado válido, e o navegador reclama; é justamente esse aviso que muita gente ignora. O caminho mais comum contorna isso com um domínio parecido, de certificado legítimo e cadeado fechado. O cadeado prova que a conexão é cifrada até aquele domínio, não que o domínio é o que você queria.

Por que o portal de login precisa abrir antes do túnel

O portal cativo do hotel funciona interceptando o primeiro acesso do aparelho: enquanto você não aceita os termos, a rede responde a qualquer requisição com um redirecionamento para a página de login e bloqueia o resto do tráfego. Se o túnel já está ativo, não há requisição em texto claro para interceptar, e a página nunca aparece.

O sintoma engana: o Wi-Fi aparece conectado, o app do WireGuard tenta o handshake, os pacotes são descartados antes de chegar ao servidor e o campo do último handshake nunca atualiza. Parece serviço fora do ar, e é só o portal esperando. Existe um padrão para o sistema detectar esse estado, a API de portal cativo da RFC 8908, mas a adoção é irregular.

A ordem que funciona em hotel, aeroporto e cafeteria:

• Conecte ao Wi-Fi com o túnel desligado. No Android, desative "VPN sempre ativa" antes; no iPhone, desative a ativação sob demanda, senão ela religa o túnel sozinha e derruba o portal.
• Se a página de login não abrir sozinha, force a interceptação abrindo um endereço http:// simples no navegador. Um endereço https:// que você já visitou pode vir do cache e não acionar o portal.
• Aceite os termos e confirme que a internet funciona sem VPN, abrindo qualquer site.
• Ative o túnel no app oficial do WireGuard e confira, nos detalhes do túnel, se o "último handshake" é de segundos atrás.
• Religue "VPN sempre ativa" ou a ativação sob demanda, para não depender da sua memória na próxima rede.
• Se o túnel parar de passar tráfego horas depois, o provável é que a sessão do portal expirou: desligue, recarregue uma página, aceite de novo e religue.
• Se o handshake não completa nem com o portal aceito, a rede pode estar bloqueando o tipo de tráfego que o WireGuard usa. Confira a página de status; se a localização está no ar, o problema é a rede local, e o hotspot do celular costuma contornar o bloqueio.

O que a rede local vê com e sem o túnel

Com o túnel ativo, o aparelho encapsula tudo em pacotes cifrados endereçados a um único IP, o do servidor VPN. A rede local deixa de resolver nomes e de escolher rotas, e vira apenas o cano por onde esses pacotes passam. O que sobra para ela observar é volume e horário.

Por que o WireGuard ajuda especificamente em rede pública

Em aeroporto e hotel, a rede embaixo do túnel muda o tempo todo, e o endereço do aparelho muda junto. O WireGuard não fica preso a esse endereço: o servidor atualiza o endereço do par assim que recebe um pacote autenticado corretamente vindo de outro lugar, comportamento descrito no artigo técnico do protocolo. Como o túnel sobe em uma única troca de mensagens, a reconexão costuma ser rápida.

A SuaVPN usa o app oficial do WireGuard, sem aplicativo próprio, e cada dispositivo recebe a sua configuração, importada por QR Code no celular ou por arquivo .conf no computador. Como cada um tem par de chaves separado, um notebook esquecido no saguão pode ser revogado isoladamente no painel, sem derrubar os outros aparelhos. O app oficial de cada sistema está reunido na página de aplicativos. Não há split tunneling: ligado o túnel, ele leva todo o tráfego daquele aparelho. O guia sobre o que é VPN detalha o mecanismo e o de como usar VPN traz a instalação por sistema.

Hotspot do celular ou Wi-Fi público: qual usar?

Compartilhar a internet do celular com o notebook é melhor que uma rede aberta por um motivo simples: a rede é sua e ninguém mais está nela. Ponto de acesso falso e DNS manipulado saem de cena, porque o roteador é o seu aparelho. É a saída quando o Wi-Fi do hotel bloqueia o WireGuard.

O hotspot não cobre o resto. A operadora continua vendo destinos e horários, fora do país cada megabyte pode sair em roaming, e o notebook segue exposto aos sites que abre. A mesma configuração serve para o hotspot e para o Wi-Fi do hotel. O que ela não faz é economizar dados: o encapsulamento acrescenta tráfego em vez de reduzir. O guia de VPN para viagem trata do roteiro completo.

Um detalhe que nenhum túnel cobre: o aparelho continua fisicamente na mesma rede local dos outros hóspedes. Desligue o compartilhamento de arquivos e de impressoras, deixe o AirDrop só para contatos e, no Windows, marque a rede como pública quando o sistema perguntar.

O que a VPN não resolve, e onde a SuaVPN entra

A VPN protege o trajeto entre o aparelho e o servidor. Ela não impede que você abra um site falso a partir de um link recebido, não desarma um anexo malicioso e não conserta senha reutilizada. Também não esconde quem você é dos serviços em que faz login: cookies e impressão digital do navegador seguem funcionando, tema do guia de ocultar IP.

Há ainda uma troca de confiança: sem VPN no Wi-Fi público, você confia no hotel; com VPN, confia no provedor, porque é o servidor dele que vê o tráfego sair para a internet. Por isso a política de privacidade pesa mais do que qualquer lista de recursos.

Do lado prático, a SuaVPN entrega configurações WireGuard, um painel de dispositivos e três planos que diferem só na quantidade de aparelhos: Básico com 3, Pro com 5 e Família com 10, em cobrança mensal ou anual. A localização ativa no momento fica na página de status, e os valores, na página de planos. O pagamento é no cartão, pela Stripe, com renovação automática. Cancelamento a qualquer momento, com acesso até o fim do período pago, e 7 dias de arrependimento pelo Código de Defesa do Consumidor, art. 49.