Como o VpnHood funciona
O aplicativo VpnHood direciona o tráfego do dispositivo por um túnel criptografado até o seu servidor, que o envia para a internet. Veja como o tráfego percorre esse caminho do início ao fim.
No dispositivo
O aplicativo captura o tráfego do dispositivo usando o adaptador de rede virtual fornecido pelo sistema para apps de VPN. Ele suporta três tipos de tráfego: TCP, UDP e ping. Quaisquer outros pacotes são descartados.
O Túnel dividido também é definido no dispositivo. O tráfego excluído pelo usuário — seja por aplicativo, país, domínio ou endereço — vai direto para a internet e nunca passa pelo seu servidor. Saiba mais em Túnel dividido.
O aplicativo também configura o DNS do dispositivo: usando os servidores DNS definidos pelo usuário ou os do seu servidor (que usam o DNS público do Google por padrão). As consultas permanecem protegidas dentro do túnel, mesmo quando o Túnel dividido envia o tráfego do site por fora.
O túnel
Por padrão, o aplicativo se conecta à porta TCP do seu servidor (443, a menos que você a altere) via TLS — a mesma criptografia usada pelo HTTPS — e se comunica usando mensagens WebSocket. Tudo dentro do túnel é protegido por TLS, do primeiro ao último byte.
Antes de enviar qualquer dado, o aplicativo verifica o certificado do seu servidor. Ele aceita certificados assinados por uma autoridade de certificação para o nome indicado na chave de acesso ou apenas o certificado exato com a impressão digital correspondente na chave. Por isso, um servidor pode começar com um certificado autoassinado, e as chaves continuam funcionando mesmo após a renovação de um certificado confiável.
Nas configurações de protocolo do aplicativo, você pode escolher UDP ou QUIC em vez de TCP. O UDP envia os pacotes do dispositivo para a porta UDP do servidor em datagramas criptografados com AES-GCM. O QUIC transporta as mesmas mensagens do TCP, aproveitando sua própria criptografia TLS integrada. O servidor informa a cada aplicativo quais opções estão disponíveis, e o app usa TCP automaticamente se a escolha não for suportada, como ao usar um proxy reverso. No entanto, se a rede bloquear a porta UDP, o aplicativo configurado para UDP não transmitirá tráfego até que volte para TCP.
Qualquer solicitação ao seu servidor que não venha de um aplicativo VpnHood recebe apenas um erro HTTP, exatamente como em um site protegido por login.
TCP: em pacotes ou uma solicitação por conexão
Por padrão, o aplicativo envia TCP como pacotes pelo túnel, e o servidor os repassa para a internet por meio do seu próprio adaptador de rede, assim como um roteador. Essa é a alternativa mais rápida e que consome menos bateria.
No Modo Camuflagem, o aplicativo finaliza cada conexão no próprio dispositivo e solicita ao servidor que a abra. Seu servidor se conecta diretamente ao site de destino e faz a ponte dos dados em ambas as direções. Para a rede, o tráfego não se parece com um túnel contínuo, mas com requisições normais de um navegador. Isso consome um pouco mais de velocidade e bateria, e o aplicativo reutiliza conexões concluídas para a próxima solicitação.
O aplicativo também opera dessa maneira sem o Modo Camuflagem: quando o servidor não possui um adaptador de rede próprio (como no Docker) ou quando o usuário usa divisão de tráfego por domínio.
UDP e ping
O tráfego UDP é transmitido como pacotes pelo túnel, independentemente do protocolo usado pelo aplicativo. O mesmo vale para o ping — o app transporta solicitações de eco e descarta outros pacotes ICMP. O servidor repassa ambos por meio do seu adaptador de rede ou, caso não tenha um, por meio de sockets próprios, executando o ping pelo dispositivo.
No servidor
Instalado no Linux, o VpnHood! SERVER possui seu próprio adaptador de rede e encaminha pacotes para a internet via NAT, como um roteador. Um contêiner Docker não possui esse adaptador; portanto, o servidor atua como um proxy: os aplicativos enviam TCP com uma solicitação por conexão, e o próprio servidor abre cada conexão, socket UDP e ping. Os aplicativos fazem essa transição automaticamente.
Em ambos os casos, ele não encaminha tráfego para seus próprios endereços nem para as redes locais nas quais reside.
Ele precisa da porta TCP aberta e da porta UDP definida na primeira inicialização para aplicativos configurados com UDP. O QUIC vem desativado por padrão até que você o ative. Veja como localizar a porta UDP em Definir os endereços IP do seu servidor.
Um servidor gerenciado acessa o VpnHood! MANAGER via HTTPS em access.vpnhood.com para validar cada chave quando um aplicativo se conecta e relatar o consumo. O MANAGER nunca se conecta ao servidor, e os aplicativos nunca se comunicam diretamente com o MANAGER. O MANAGER também pode redirecionar um aplicativo para outro servidor da estrutura. Já um servidor independente valida as chaves em seus próprios arquivos locais.
O que contém uma chave de acesso
Uma chave de acesso reúne tudo o que o aplicativo precisa para localizar e autenticar seu servidor: domínio, endereços IP, porta, nome ou impressão digital do certificado e o segredo da chave. Ela é codificada, não criptografada: qualquer pessoa com a chave pode visualizar os endereços do servidor e se conectar a ele. Compartilhe chaves apenas com usuários autorizados e consulte Como evitar que o IP do seu servidor seja bloqueado para saber como proteger seus endereços.
