Evite o bloqueio do endereço IP do seu servidor

Em algumas redes, o endereço IP de um servidor VPN é bloqueado poucas horas após o primeiro uso. Pequenos ajustes tornam seu servidor muito mais difícil de bloquear. Comece usando um segundo IP para o tráfego de saída: isso também ajuda a entender como a rede está identificando seu servidor.

Como uma rede identifica um servidor VPN

A rede pode reconhecer a própria conexão: o padrão do tráfego ou as respostas do servidor a sondagens. O Cloak Mode elimina praticamente qualquer vestígio identificável. Seu servidor já suporta esse recurso, e cada usuário pode ativá-lo no aplicativo.

Ou ela pode monitorar para onde o tráfego vai. Alguns países usam sistemas de reputação: quando muitos acessos a bancos locais, sites governamentais e outros serviços partem do mesmo IP estrangeiro, esse endereço pode ser classificado como VPN ou proxy e entrar em uma lista de bloqueio.

Ou alguém simplesmente o denuncia. Como uma chave de acesso não é criptografada, qualquer pessoa que tiver uma poderá ver o endereço do servidor. Por isso, compartilhe suas chaves apenas com quem realmente precisa.

Use um IP para conexão e outro para saída

Configure o servidor com dois endereços IP públicos, cada um com uma função:

O IP de conexão é o endereço ao qual os aplicativos dos usuários se conectam. É o endereço presente nas chaves de acesso.
O IP de saída é o endereço por onde sai o tráfego do servidor rumo aos sites. É o único que os sites conseguem ver.

Os sites só conseguem identificar o endereço visível para eles. Se um IP for bloqueado, será apenas o IP de saída — seus usuários continuarão conectados pelo outro endereço. Você pode trocar o IP de saída bloqueado sem precisar reenviar novas chaves de acesso a ninguém.

O VpnHood! SERVER não possui uma configuração dedicada para o IP de saída. Ele acessa sites como qualquer outro programa no sistema, cabendo ao próprio sistema operacional definir a rota de saída desse tráfego. Você ajusta o IP de saída no sistema operacional e o IP de conexão no VpnHood.

Adicione um segundo endereço IP

Contrate um endereço IPv4 adicional com seu provedor de hospedagem e adicione-o à máquina conforme a documentação dele. Fora do Docker, o próprio servidor pode cuidar disso: ele adiciona automaticamente o endereço configurado para escuta.

Mantenha o endereço principal da máquina como o IP de saída e use o novo como o IP de conexão. O sistema operacional já direciona o tráfego pelo endereço principal, reduzindo ajustes necessários; além disso, mesmo se o IP principal for bloqueado para acesso direto dos usuários, ele continuará funcionando para saída.

Defina o IP de saída

Este comando exibe o endereço que a máquina utiliza para enviar o tráfego: o valor logo após src.

ip route get 1.1.1.1

A saída exibindo 198.51.100.20 como o IP de saída

1.1.1.1 via 198.51.100.1 dev eth0 src 198.51.100.20 uid 0
    cache

Se for exibido o novo endereço em vez do principal, inverta as funções de forma simples: utilize o endereço exibido como o IP de saída e o outro como o IP de conexão.

No Docker, o servidor compartilha a rede do host, aplicando as configurações da própria máquina hospedeira.

Em nuvens onde a máquina possui apenas endereços privados (como AWS, Google Cloud, Azure ou Oracle Cloud), cada IP público é mapeado internamente. Utilize os endereços privados na máquina e nas portas de escuta do servidor, e utilize o IP público de conexão nas chaves de acesso.

Configure o servidor para usar o IP de conexão

Configure o VpnHood! SERVER para escutar apenas no IP de conexão e incluir somente esse endereço nas chaves de acesso. Dessa forma, o IP de saída não responderá como um servidor VPN, mesmo em caso de varreduras de rede.

Configure ambos manualmente: por padrão, o servidor detecta seu próprio endereço a partir do tráfego de saída (tanto em servidores gerenciados quanto autônomos) e acabaria usando o IP de saída. Veja em Configure os endereços IP do seu servidor como fazer isso.

As chaves geradas anteriormente apontam para o endereço antigo. Mantenha o servidor escutando nele por alguns dias para que os aplicativos recebam a nova chave automaticamente antes de desativá-lo — até lá, o IP de saída ainda responderá como servidor VPN.

Confira o resultado

Conecte-se usando um dispositivo e verifique seu IP em qualquer site de verificação. Você deverá ver o IP de saída.

Se o IP da conexão continuar acessível depois disso, a rede estava identificando seu servidor para onde o tráfego ia. Se ainda for bloqueado em poucas horas, a rede está reconhecendo a própria conexão: peça para seus usuários ativarem o Cloak Mode e configure um nome de domínio para o servidor.

Conectar usando um nome de domínio

Por padrão, o servidor usa um certificado autoassinado com um nome fictício. Ao usar um domínio próprio com um certificado emitido por uma autoridade como o Let's Encrypt, a conexão se parece com uma visita comum a um site.

Um domínio também ajuda caso o IP da conexão seja bloqueado. Como as chaves usam o domínio e os aplicativos o consultam ao se conectar, basta apontar o domínio para o novo IP do servidor sem que nenhuma chave pare de funcionar.

O guia Conectar usando um nome de domínio mostra o passo a passo para servidores gerenciados e independentes.

Colocar o servidor atrás de um proxy reverso

Se a sua configuração permitir, você também pode colocar o servidor atrás de um proxy reverso ou de uma CDN como o Cloudflare. Dessa forma, os usuários se conectam ao proxy e não ao IP real do seu servidor. A disponibilidade e a eficiência dependem do país e da rede utilizada.

Manter sites locais fora do servidor

Peça aos usuários para ativarem a opção Excluir Meu País no aplicativo. Sites locais, como bancos e serviços governamentais, serão acessados diretamente sem passar pelo servidor, evitando padrões de tráfego suspeitos em endereços estrangeiros.