O que é rastreamento de VPN? Como evitar ser rastreado?

Introdução: por que uma VPN não é um "passe livre"

A suposição típica é: instalar NordVPN / Surfshark / um WireGuard próprio, trocar o IP de saída e "ninguém mais consegue saber quem você é". Essa é uma mentalidade dos anos 2010. A tecnologia de rastreamento já foi muito além da "camada IP":

• Detectar que "você está usando uma VPN" é uma capacidade básica de controle de risco (verificar se o IP pertence ao ASN de um provedor de VPN — quase todas as faixas de datacenter das VPNs comerciais já estão marcadas)
• Identificar "o seu IP real anterior" só exige a camada IP — vazamentos de WebRTC / IPv6 / DNS, contorno da CDN até a origem — e um único deslize basta para você ficar marcado para sempre com um cookie
• Identificar "exatamente quem você é" nem depende de IP — depende de impressão digital do navegador, padrões de comportamento e correlação entre contas
• Em casos extremos, a cooperação jurídica (intimações / investigações internacionais) pode obrigar provedores de VPN a entregar logs

Em outras palavras, o que rastreia você não é uma única vulnerabilidade — é a interseção de N dimensões — você precisa se defender em todas, enquanto o rastreador só precisa ter sucesso em uma delas. É por isso que o "anonimato completo" é quase impossível do ponto de vista de engenharia, mas "reduzir bastante a correlação" é viável — e este artigo mostra como.

① Vazamentos na camada IP — seu IP real exposto diretamente

O caso mais clássico e mais comum. A VPN só assume o tráfego HTTP / TCP do navegador, mas os canais abaixo podem contornar a VPN por completo e entregar o IP público da sua casa direto para o outro lado:

1.1 Vazamentos de WebRTC

O WebRTC embutido no navegador (usado em chamadas de vídeo) usa ativamente o protocolo STUN para descobrir o IP público que ele enxerga, e o JavaScript consegue ler esse valor diretamente. Proxies HTTP / SOCKS só interceptam TCP, enquanto o STUN roda sobre UDP, contornando totalmente o proxy pelo adaptador de rede da sua casa e expondo seu IP real.

Defesa: Use uma VPN em modo TUN (Mihomo / Clash Premium / WireGuard TUN / Tailscale), que assume todo o tráfego TCP+UDP no adaptador de rede virtual. Com um proxy só no navegador, restrinja o WebRTC com uma política em vez de removê-lo: política corporativa do Chrome / Edge WebRtcIPHandling = disable_non_proxied_udp; Brave: ative "Disable Non-Proxied UDP"; Firefox: about:config → media.peerconnection.ice.proxy_only_if_behind_proxy = true.

Teste: Use nosso detector de vazamento /leak para verificar se o IP público retornado pelo STUN do WebRTC é o mesmo da sua saída HTTP.

1.2 Vazamentos de IPv6 em pilha dupla

Sua VPN só faz proxy do IPv4, mas sua banda larga também tem IPv6 — o navegador prefere sair por IPv6, contornando totalmente a VPN. Essa é uma vulnerabilidade muito comum entre usuários de banda larga residencial da China Telecom.

Defesa: Use uma VPN que faça proxy de IPv4 e IPv6 ao mesmo tempo, ou desative o IPv6 no sistema / navegador. No Windows, edite o registro; no macOS, use networksetup.

1.3 Vazamentos de DNS (tratados à parte, veja ② Camada DNS)

1.4 Contorno da CDN até a origem

Se um site usa uma CDN como a Cloudflare, você na verdade acessa o IP de um nó de borda da CDN — mas, se um atacante descobrir o IP real do servidor de origem, ele pode contornar a CDN e acessar o site diretamente. O inverso também vale para rastreadores: se o nó da CDN que você acessa fica na China, mas algum recurso estático da mesma sessão é buscado direto da origem (sem cobertura da CDN), seu IP real acaba nos logs de acesso do servidor de origem.

Defesa: Esse caso extremo depende principalmente de o próprio site de destino ter uma configuração rigorosa — há pouco que o usuário possa fazer do lado dele.

② Vazamentos na camada DNS — os domínios que você consulta expõem sua identidade

Seu tráfego IP passa pela VPN, mas as consultas DNS ainda podem passar pelo ISP local. Há duas formas de vazamento:

2.1 País do resolvedor divergente

A saída da sua VPN está na Holanda, mas, quando o sistema faz consultas DNS, o stub resolver usa o DNS configurado pelo provedor de banda larga da sua casa (China Telecom). Quando o servidor de nomes autoritativo recebe a consulta, vê um IP de origem da China Telecom — revelando sua localização real aos operadores por trás de cada domínio que você visita.

2.2 Vazamentos de sub-rede via ECS

Resolvedores recursivos públicos (o 8.8.8.8 do Google tem EDNS Client Subnet ativado por padrão) encaminham sua sub-rede /24 real ao servidor autoritativo de destino para o "roteamento de CDN por localização". Mas, nesse momento, sua sub-rede foi revelada ao autoritativo remoto — algo mais preciso que o IP de saída do resolvedor, apontando a sub-rede do seu próprio bairro.

Defesa:

• Force o cliente da VPN a usar um DNS personalizado — use o DNS do próprio provedor de VPN (NordVPN / Mullvad / ProtonVPN oferecem)
• Não deixe consultas DNS vazarem para fora do túnel — o resolvedor veria seu IP real, que não bate com o seu tráfego web e entrega você na hora. Observe que 1.1.1.1 / 8.8.8.8 são anycast: desde que a consulta passe pelo túnel, ela chega perto da saída da VPN e não revela nada. O problema real é o sistema contornar o túnel e acessá-los diretamente
• Se você optar por um resolvedor recursivo público, no mínimo garanta que ele esteja no mesmo país da saída da VPN
• Use DoH (DNS-over-HTTPS) para forçar a criptografia das consultas DNS e impedir a inspeção man-in-the-middle pelo ISP

Teste: Nosso detector de vazamento de DNS /leak roda o próprio servidor de nomes autoritativo, direcionando de fato as consultas do seu navegador para o nosso servidor para que você veja o IP do resolvedor + a sub-rede ECS. Para o funcionamento completo, veja o guia completo de resolvedores DNS públicos.

③ Impressão digital de TLS (ja3 / ja4) — quem é o seu cliente

Durante o handshake HTTPS, o cliente envia ao servidor um pacote ClientHello listando as versões de TLS, conjuntos de cifras, extensões, curvas elípticas e outros recursos que suporta. A ordem exata e o conteúdo desses campos diferem de um cliente para outro (Chrome 124 vs Firefox 123 vs curl vs Python requests), e a impressão digital combinada resultante é o que o setor chama de ja3 / ja4.

Os sites podem registrar a impressão digital ja3 / ja4 de cada visitante e compará-la com o User-Agent — se o seu UA diz ser Chrome 124, mas a sua impressão digital ja3 corresponde a Python requests, é tráfego de bot ou script. Esse também é um dos sinais centrais usados por serviços antibot como Cloudflare e Akamai.

Defesa:

• Use um navegador popular de verdade (Chrome / Firefox / Edge) — não rode Selenium / Puppeteer puros, as impressões digitais ja3 deles são extremamente peculiares
• Quando precisar de automação, use undetected-chromedriver / Playwright + curl-impersonate
• Não instale extensões de navegador "anti-impressão digital" — isso na verdade deixa o seu ja3 mais peculiar que o de um Chrome comum, praticamente marcando você como alguém que usa ferramentas de antirrastreamento

④ Impressão digital HTTP / do navegador — Canvas / WebGL / fontes / fuso horário

As impressões digitais expostas na camada de aplicação são mais ricas e mais difíceis de neutralizar:

Armadilha principal: Ter fuso horário / idioma / fontes que não batem com o país de saída da VPN é um sinal fortíssimo de "uso de VPN". Sua VPN salta para os EUA, mas o fuso horário do navegador continua Asia/Shanghai e o idioma é zh-CN — fica óbvio na hora.

Defesa:

• "Parecer comum" — não instale extensões antifingerprint no navegador; isso em si já é anormal. A impressão digital de um Chrome comum de um usuário comum é o melhor disfarce.
• Separe os usos: use o navegador principal para sua identidade real e um perfil de navegador separado / VM / Tails / Whonix para atividades sensíveis à privacidade
• Mantenha consistentes o país de saída da VPN, o fuso horário do sistema e o idioma do navegador — no mínimo, não deixe vazar o sinal revelador "sou um usuário chinês passando por uma VPN dos EUA"
• O Tor Browser foi projetado exatamente para isso — todos os usuários parecem idênticos, ao custo de desempenho

Teste: Use nosso verificador de impressão digital do navegador /fingerprint para ver a unicidade das suas 14 dimensões de impressão digital.

⑤ Impressão digital da camada TCP/IP — Initial Window / TTL / MTU

Antes mesmo de chegar à camada de aplicação, já existem impressões digitais na camada de rede. A implementação da pilha TCP/IP de cada sistema operacional difere um pouco:

• TTL inicial: Windows usa 128 por padrão, Linux 64, macOS 64, iOS 64
• Tamanho da janela inicial do TCP: Windows 64KB, Linux 14600, macOS 65535
• Ordem das opções TCP: sistemas operacionais diferentes enviam as opções MSS / SACK / Timestamp em ordens diferentes
• MTU: banda larga residencial comum usa 1500, PPPoE 1492, túneis VPN geralmente 1380-1450

A ferramenta p0f (impressão digital passiva de SO) explora exatamente esses campos, identificando o sistema operacional do outro lado sem enviar nenhum pacote de sondagem. Os sites podem coletar essas informações e compará-las com o UA declarado — se o seu UA diz Mac Safari, mas o TTL é 128 e a Initial Window bate com os valores do Windows, você na verdade está no Windows com um UA de Mac falsificado.

O MTU também pode vazar "você está usando uma VPN" — como túneis VPN geralmente têm MTU abaixo de 1500, o tráfego fica visivelmente diferente do de uma banda larga nativa.

Defesa:

• Use uma VPN em modo TUN: a pilha do próprio servidor VPN assume, então a impressão digital TCP/IP que os sites veem é a do servidor VPN, não a do seu cliente
• OpenVPN / WireGuard usam modo TUN por padrão; proxies HTTP/SOCKS não — essa é a diferença principal
• Não force o MTU do túnel para 1500 só para "parecer menos uma VPN" — o próprio encapsulamento do túnel consome dezenas de bytes, e exagerar causa fragmentação ou um buraco negro de PMTUD (pacotes grandes travam, páginas carregam pela metade). Mantenha o padrão do seu cliente (WireGuard 1420, OpenVPN automático)

⑥ Análise comportamental — horários de tráfego + hábitos de digitação

Esta é a dimensão mais difícil de se defender, porque ela não depende de nenhuma impressão digital técnica, e sim inteiramente de aprendizado de máquina:

• Distribuição dos horários de acesso: se seus horários diários on-line coincidem em várias contas, é a mesma pessoa
• Trajetória do mouse / velocidade de rolagem / ritmo de digitação: únicos para cada pessoa e coletados por bancos / sistemas antifraude
• Duração da sessão / padrões de navegação: seus hábitos de navegação são únicos
• Características do texto digitado: sua taxa de erros de digitação, preferências de vocabulário e gramática

Defesa:

• Separe rigorosamente os horários de uso entre contas — não entre na "conta A + conta B" ao mesmo tempo; espace-as em várias horas
• Quando você realmente precisar de anonimato, troque de dispositivo (do notebook para o celular / tablet)
• É impossível se defender totalmente disso, mas dá para tornar a correlação bem mais difícil

⑦ Logs do provedor de VPN + jurisdição legal

Para a VPN, este é o pecado original. Você confia que o provedor de VPN não guarda logs, mas na prática:

• Provedores comerciais de VPN podem ser adquiridos (a Avast foi adquirida pela NortonLifeLock → sua política de privacidade mudou)
• Um provedor pode coletar logs em segredo (em 2017, a PureVPN entregou logs de usuários ao FBI, apesar de antes se declarar "no-log")
• Intimações judiciais podem forçar a cooperação — EUA / Reino Unido / Canadá / Austrália / Nova Zelândia (Five Eyes) aceitam investigações internacionais
• Nine Eyes = Five Eyes + Dinamarca / França / Holanda / Noruega
• Fourteen Eyes = Nine Eyes + Alemanha / Bélgica / Itália / Espanha / Suécia

Critérios de escolha:

Uma VPN auto-hospedada dá mais controle — mas os provedores de VPS (Vultr / Hetzner / DigitalOcean) mantêm seus próprios logs e também podem cooperar com investigações. O anonimato de verdade exige comprar uma VPS com dinheiro em espécie / criptomoeda e se cadastrar com identidade falsa, o que exige um esforço de engenharia considerável.

⑧ Correlação entre contas — várias contas compartilhando cookies / impressões digitais

Depois que você entra na conta A, o navegador armazena cookies / localStorage / cache. Se você trocar para a conta B no mesmo navegador, o site percebe na hora que é a mesma pessoa.

• Mesma impressão digital + login em várias contas em um curto intervalo = correlação entre contas
• Rastreamento entre sites por cookies (embora os navegadores modernos estejam começando a restringir isso)
• Scripts de rastreamento de terceiros (Google Analytics / Facebook Pixel) que ligam a atividade entre sites

Defesa:

• Extensão Multi-Account Containers do Firefox: cada conta tem cookies / armazenamento isolados
• Vários perfis no Chrome (avatar no canto superior direito → adicionar usuário)
• Medida extrema: rode cada conta em uma máquina virtual separada, cada VM com uma saída de VPN diferente

Tabela-resumo das estratégias de defesa

Conselho prático: quanto anonimato você realmente precisa?

Antes de decidir até onde suas defesas precisam ir, descubra primeiro quem está de fato rastreando você:

• Anunciantes + corretores de dados (baixa intensidade): uBlock Origin + recusar cookies de terceiros + uma VPN comum dão conta da grande maioria dos cenários do dia a dia
• Controle de risco antifraude (intensidade média): o anterior + DNS da VPN coerente + fuso horário/idioma compatíveis + perfis de navegador isolados
• Concorrentes comerciais / web scrapers (intensidade média-alta): o anterior + modo TUN + um navegador de verdade (sem rastros de Selenium) + limpeza de cookies residuais
• Governos / investigações internacionais (intensidade extrema): tudo acima é só o mínimo. Você precisa de Tor / Whonix / Tails / uma VPS comprada em dinheiro + XMR + dispositivos totalmente isolados

A maioria das pessoas só precisa dos níveis 1-2; do nível 3 em diante é território de especialistas. Não sobrecarregue seu uso diário com um anonimato de que você não precisa.