Uma rede pode bloquear uma VPN assim que reconhece o tráfego. Esta página mostra o que denuncia um túnel, o que o Modo invisível e Bloquear QUIC mudam nisso e o que eles não conseguem esconder.
Como uma rede detecta uma VPN
A criptografia esconde o que está dentro de um túnel, não o próprio túnel. Um filtro de rede com inspeção profunda de pacotes (DPI) não consegue ler o tráfego dos seus usuários, mas vê a forma dele: pacotes indo e voltando em uma única conexão longa não se parecem em nada com as requisições separadas de um navegador. Isso basta para reconhecer o túnel e descartá-lo.
Uma rede também pode sondar um servidor suspeito: ela se conecta a ele e vê como ele responde.
Modo invisível: seu servidor parece um servidor web
Os aplicativos se conectam ao seu servidor por TLS, como os navegadores a um site, e tudo o que não for um aplicativo VpnHood recebe a recusa de um servidor web. No Modo invisível, cada conexão aberta por um dispositivo também ganha uma conexão própria com o seu servidor. Assim, para uma rede que o observa, o tráfego mantém a forma do que seus usuários fazem todos os dias:
Navegação na web. Uma página abre algumas conexões ao mesmo tempo. Cada uma envia uma requisição pequena, traz uma resposta maior e termina, e depois nada se move enquanto o usuário lê.
Downloads. Um arquivo chega por uma única conexão que fica ativa até o fim, com muito mais dados entrando do que saindo.
Nada disso é encenado: são a navegação e os downloads reais dos seus usuários, transportados uma conexão por vez. Sem o Modo invisível, o mesmo tráfego passa por um único túnel longo.
Bloquear QUIC: como dificulta a detecção do tráfego VPN
O Modo invisível precisa de uma conexão TCP para encerrar no dispositivo. Muitos sites e aplicativos de vídeo usam QUIC em vez disso, que funciona sobre UDP, então no Modo invisível o tráfego deles ainda vai como pacotes, por um único túnel longo que um filtro de rede pode reconhecer e descartar.
Com Bloquear QUIC ligado, o aplicativo descarta esse tráfego no dispositivo, antes de entrar no túnel. A maioria dos navegadores e aplicativos de streaming muda então para TCP, que o Modo invisível pode transportar, mas um aplicativo que só funciona com QUIC fica sem conexão. A configuração vem desligada por padrão, e o aplicativo só a mostra no Modo invisível. Um servidor que não transporta QUIC a liga para seus usuários. Trata-se do QUIC dos próprios aplicativos dos seus usuários, não do que está na configuração de protocolo do aplicativo.
O que o Modo invisível não consegue esconder
O Modo invisível é uma semelhança, não uma garantia. O UDP ainda segue como pacotes, assim como o QUIC, a menos que Bloquear QUIC esteja ativado, e um servidor novo tem um certificado autoassinado, ao contrário de um site. Evite o bloqueio do endereço IP do seu servidor mostra como fechar essas brechas. O Modo invisível também esconde o que é o tráfego, não para onde ele vai: uma rede ainda pode ver o tráfego de um dispositivo indo para um único endereço e bloquear esse endereço.
