Evite o bloqueio do endereço IP do seu servidor

Em algumas redes, o IP de um servidor VPN é bloqueado em poucas horas de uso. Pequenas alterações tornam seu servidor muito mais difícil de bloquear. Comece usando um segundo endereço IP para o tráfego de saída: isso também revela como a rede detecta seu servidor.

Como uma rede detecta um servidor VPN

A rede pode identificar a própria conexão: o padrão do tráfego ou como o servidor responde a sondagens. O Cloak Mode quase não deixa vestígios para detecção. O seu servidor já tem suporte nativo, e cada usuário pode ativá-lo no aplicativo.

Ou pode monitorar o destino do tráfego. Alguns países usam sistemas de reputação: quando muitos acessos a bancos locais, serviços do governo e sites nacionais partem do mesmo IP estrangeiro, ele pode ser classificado como VPN ou proxy e bloqueado.

Ou por simples vazamento. Como uma chave de acesso não é criptografada, qualquer pessoa que a tenha pode ver o endereço do servidor. Por isso, compartilhe suas chaves com o menor número possível de pessoas.

Use um IP para conexão e outro para navegação

Configure o servidor com dois endereços IP públicos, cada um com uma função:

O IP de conexão é o endereço ao qual os aplicativos dos usuários se conectam. É o que consta nas chaves de acesso.
O IP de saída é o endereço usado pelo servidor para acessar os sites. É o único que os sites conseguem ver.

Os sites só conseguem identificar o endereço que veem. Assim, se um IP for bloqueado, será apenas o IP de saída — e seus usuários continuarão conectados pelo outro endereço. Você pode até trocar o IP de saída bloqueado sem precisar reenviar chaves, já que ele não faz parte de nenhuma delas.

O VpnHood! SERVER não tem uma configuração para o IP de saída. Ele acessa a internet como qualquer outro aplicativo do sistema, cabendo ao próprio sistema operacional decidir por onde o tráfego sai. Você define o IP de saída no sistema operacional e o IP de conexão no VpnHood.

Adicione um segundo endereço IP

Contrate um endereço IPv4 adicional com seu provedor de hospedagem e adicione-o ao servidor conforme a documentação dele. Fora do Docker, o próprio servidor cuida disso: ele adiciona automaticamente o endereço em que está configurado para operar.

Mantenha o endereço principal do servidor como IP de saída e use o novo como IP de conexão. Como o sistema operacional já envia o tráfego pelo endereço principal, há menos ajustes a fazer. E se os usuários não conseguirem mais acessar o endereço principal, ele ainda funcionará para essa função.

Defina o IP de saída

Este comando mostra o endereço usado pelo servidor para enviar tráfego: o que aparece após src.

ip route get 1.1.1.1

O resultado exibido, com 198.51.100.20 como IP de saída

1.1.1.1 via 198.51.100.1 dev eth0 src 198.51.100.20 uid 0
    cache

Se for exibido o novo endereço em vez do principal, o sistema foi configurado de forma invertida. A solução mais prática é trocar os papéis: use o endereço exibido como IP de saída e o outro como IP de conexão.

No Docker, o servidor compartilha a rede do host, usando as configurações dele.

Em nuvens onde a máquina possui apenas endereços privados (como AWS, Google Cloud, Azure ou Oracle Cloud), cada IP público é mapeado para um deles. Use os IPs privados no sistema e onde o servidor escuta, e o IP público de conexão nas chaves de acesso.

Configure o servidor para usar o IP de conexão

Configure o VpnHood! SERVER para escutar apenas no IP de conexão e incluir somente esse endereço nas chaves de acesso. Dessa forma, o IP de saída não responderá como servidor VPN, mesmo se for rastreado.

Defina ambos manualmente: por padrão, tanto em servidores gerenciados quanto avulsos, o servidor detecta seu IP a partir do tráfego de saída e acabaria usando o IP de saída. Veja como fazer em Configurar os endereços IP do servidor.

Chaves geradas anteriormente contêm o endereço antigo. Mantenha o servidor escutando nele por alguns dias para que os aplicativos atualizem para a nova chave sozinhos. Depois, remova-o — até lá, o IP de saída ainda responderá como servidor VPN.

Verifique o resultado

Conecte-se a partir de um dispositivo e consulte seu endereço IP em qualquer site que o exiba. Você deverá ver o IP de saída.

Se o IP de conexão continuar acessível a partir de então, a rede estava localizando seu servidor pelo destino do tráfego. Se ele ainda for bloqueado em poucas horas, a rede está reconhecendo a própria conexão: peça aos seus usuários para ativarem o Modo Camuflado e atribua um nome de domínio ao servidor.

Conecte-se por meio de um nome de domínio

Por padrão, o servidor apresenta um certificado autoassinado com um nome fictício. Ao configurá-lo com um domínio próprio e um certificado de uma autoridade certificadora como a Let's Encrypt, a conexão se parecerá com a visita a um site comum.

Um domínio também ajuda caso o IP de conexão seja bloqueado. As chaves passam a incluir o domínio, e os aplicativos o consultam ao se conectar — permitindo mudar o servidor para um novo endereço e apontar o domínio para ele sem que as chaves parem de funcionar.

Conectar-se por meio de um nome de domínio explica como fazer isso, seja em um servidor gerenciado ou autônomo.

Coloque o servidor atrás de um proxy reverso

Se a sua infraestrutura permitir, você também pode colocar o servidor atrás de um proxy reverso ou de uma CDN como a Cloudflare. Assim, seus usuários se conectam ao proxy em vez de ao IP direto do seu servidor. A disponibilidade e a eficiência desse método dependem do país e da rede.

Mantenha os sites locais dos seus usuários fora do servidor

Peça aos seus usuários para ativarem a opção Excluir Meu País no aplicativo. Assim, sites locais — como bancos e serviços governamentais — são acessados diretamente em vez de passarem pelo servidor, evitando o padrão que leva ao bloqueio de endereços estrangeiros.