Guia de Sobrevivência para uma Internet Censurada

Papo reto: depois do texto sobre o Discord e a ECA Digital, a pergunta que mais caiu foi a óbvia. Tá, e o que eu faço? A ANPD mandou desligar o Go Live no país inteiro porque a criptografia de ponta a ponta impede vigiar o conteúdo. No mesmo pacote veio a primeira majorante de pena da história pra quem comete crime usando VPN. Este guia é a resposta, do mais fácil ao mais chato, pra manter canal de pé enquanto o cerco fecha. Antes de escolher ferramenta, entende o ritmo.

Quem se surpreendeu não tava prestando atenção, tá ligado? O Judiciário brasileiro bloqueia serviço de comunicação há mais de uma década, sempre por cima de milhões de inocentes pra acertar meia dúzia de investigado. WhatsApp, em 2015 e 2016: bloqueado três vezes por juiz de primeira instância, sempre porque a empresa não entregava conversa que, por projeto, ela não consegue ler. Telegram, em 2022 e 2023: suspenso por dois dias por ordem do Moraes em março de 2022, e de novo por um juiz federal no ano seguinte. O Migalhas tem a linha do tempo inteira.

Ontem? O WhatsApp foi ensaio. O X, 2024, foi o marco. Suspensão nacional de 30 de agosto a 8 de outubro, uns quarenta dias, por ordem monocrática. A decisão metia multa de uns cinquenta mil por dia pra qualquer pessoa física que acessasse o X por VPN. Mandava loja de app remover aplicativo de VPN, recuou horas depois. PF e Anatel produzindo relatório de quem burlou o bloqueio pra subsidiar multa. Pela primeira vez, usar uma ferramenta neutra de privacidade virou, por si só, conduta punível no Brasil.

Ninguém foi multado no fim das contas, fato. Mas a infraestrutura pra multar foi montada, testada e documentada. Em 2026 o Congresso votou e o presidente sancionou a majorante de pena pra crime cometido com VPN. O precedente do X deixou de ser exceção e virou repertório. Estado já tratou usuário de VPN como infrator, já tentou tirar VPN da loja e já pediu relatório de quem burlou. Tudo em decisão judicial e relatório público.

Não me resta dúvida: gente bem posicionada no governo olha pra Grande Muralha da China com inveja, não com horror. Ela vai muito além de bloquear site. É inspeção profunda de pacotes em escala nacional, rodando na espinha da internet do país. Todo tráfego classificado em tempo real. Protocolo de VPN conhecido identificado pelo formato do aperto de mão e derrubado. Tor bloqueado por padrão. Só VPN homologada pelo Estado, com porta dos fundos, opera legal. Cidadão comum pego com VPN não autorizada toma multa.

Não. Não pra cidadão comum. Contra um firewall estatal desse nível, nenhuma ferramenta doméstica te deixa invisível. No máximo te deixa caro demais pra valer a pena perseguir em massa. Quem te vender invisibilidade total está mentindo. A boa notícia é que o Brasil não está nem perto desse ponto. Censura raramente chega de uma vez: vem em degrau, e cada degrau tem defesa correspondente. Censura é custo. Nosso trabalho é deixar o bloqueio caro, técnica e politicamente, até massificar ele virar impraticável.

Uma VPN cria um túnel criptografado entre o seu aparelho e um servidor do provedor. Seu provedor de internet passa a ver só um fluxo cifrado indo pra um endereço só. Os sites veem o IP da VPN, não o seu. Eu explico a teoria de rede no Akitando 126. O que ela faz: esconde tráfego do provedor, troca IP de saída, te tira de bloqueio geográfico e de bloqueio judicial por DNS ou IP. O que ela não faz é te deixar anônimo. O provedor da VPN vê todo o seu tráfego no lugar do seu provedor de internet. Você não eliminou o vigia, só trocou de vigia.

Propaganda vende anonimato. Cartão entrega CPF. Não esconde identidade se você pagou com cartão. Assinatura amarra a conta ao CPF. Se a autoridade chegar com ordem no provedor, seu nome está lá. E não protege o conteúdo depois do túnel: da saída da VPN até o site final vale a criptografia normal da web. A VPN cobre um trecho do caminho. Dito isso, pras fases iniciais do cerco ela resolve. Minhas recomendações, em ordem: ProtonVPN, Suíça, fora de jurisdição fácil, código aberto e auditado, política de não guardar registro já testada em tribunal, plano gratuito decente, aceita até dinheiro pelo correio.

Mullvad, Suécia. A mais paranoica do mercado: não pede nem e-mail, sua conta é um número aleatório. Preço fixo de uns cinco euros por mês, aceita dinheiro vivo num envelope e criptomoeda. É o mais perto de VPN sem identidade que existe em produto comercial. NordVPN e similares funcionam tecnicamente, mas o dinheiro delas vai mais pra marketing do que pra postura de privacidade. Entre as grandes, fico com as duas de cima.

Exato. Os IPs de saída das VPNs famosas são públicos e catalogados. Uma ordem da ANPD ou da Anatel pros provedores nacionais bloquearem essas faixas é tecnicamente trivial. O caso do X mostrou que remover o app da loja também está no cardápio. Quando, e não se, isso acontecer, a VPN comercial morre num dia. Por isso existe a Fase 2. Use sempre, mas saiba que ela depende de três coisas fora do seu controle: o app na loja, os IPs desbloqueados e o provedor honesto.

Porque as nuvens grandes têm faixas de IP enormes, públicas e mapeadas. Bloquear elas inteiras é uma linha numa tabela de roteamento. O freio é só o dano colateral, muita empresa brasileira legítima está lá, e outros países já pagaram esse preço em crise. Provedor menor dilui o alvo. Uma máquina de uns três a cinco dólares por mês, com um giga de memória, sobra pra VPN pessoal. A jogada muda: você é um usuário de um IP desconhecido, indistinguível de qualquer outro tráfego até alguém olhar de perto.

Deixa rastro igual, papo reto. Seu nome está no cadastro do provedor, e o provedor pode ser compelido. Alguns aceitam criptomoeda, o que reduz, não elimina, o rastro. Pra maioria nesta fase, o risco de cadastro é aceitável: você não está se escondendo de uma investigação, está saindo da mira de um bloqueio em massa. Servidor fora do Brasil. Amsterdã, Frankfurt, Helsinque são escolha clássica por jurisdição e latência que dá pra viver.

wg-easy empacota o WireGuard, o protocolo moderno, rápido e auditável, num container Docker com painel web e QR code pra celular em segundos. Aluga a VPS, Ubuntu recente, a menor máquina, região fora. Acessa, atualiza o sistema, instala o Docker. Gera o hash da senha do painel, porque ele não aceita senha em texto puro, e sobe o container. Os comandos certinhos estão no post. A porta de UDP do túnel é uma. A porta de TCP do painel é outra. E essa do painel você não deixa exposta pra internet, nunca.

O jeito certo é abrir o painel só via túnel SSH e acessar no navegador local, ou liberar a porta só pra criar os clientes e fechar em seguida. No painel, um clique gera cliente com QR code. Aponte a câmera do app oficial do WireGuard no celular e está pronto. No notebook, baixa o arquivo de configuração e importa no cliente. Pronto: todo o tráfego do seu aparelho sai pelo servidor europeu. Seu provedor brasileiro vê apenas um fluxo cifrado pra um IP qualquer da Alemanha.

Android ou iOS: instala o app oficial do WireGuard pela loja, ou pelo F-Droid no Android. Toque no mais, escolha escanear QR e aponte pro código do painel. Aparece um túnel na lista: um toque no interruptor e você está dentro. No iOS, ative o modo sob demanda nas configurações do túnel pra ele religar sozinho quando trocar de Wi-Fi pro 4G. No notebook, Windows ou macOS: baixa o cliente oficial, importa o arquivo de configuração, um clique em ativar. Detalhe que vale ouro: ligue o interruptor de bloquear tráfego fora do túnel. Se o túnel cair, a internet para em vez de vazar pelo IP real.

No Linux, copia o arquivo pra pasta do WireGuard e sobe com o comando de subir a interface, e habilita no boot. Ou importa no gerenciador de rede pela interface gráfica, se preferir clicar. Dois detalhes: o keepalive persistente de uns vinte e cinco segundos mantém o túnel vivo atrás de NAT, rede doméstica ou 4G, evitando a conexão morrer calada. E a linha que manda todo IP pelo túnel é o que faz o tráfego inteiro entrar; sem ela, só o pedaço da própria VPN sai criptografado. A linha de DNS funciona bem no Windows, no macOS e no celular. No Linux com systemd-resolved ela pode atrapalhar, a gente chega nisso nos erros.

Com o túnel ligado, rode no terminal a consulta do seu IP público, ou abra o ipleak.net. Tem que aparecer o IP da sua VPS, não o da sua casa. Se a rede tiver IPv6, confira os dois lados separado: os dois precisam mostrar o servidor. Visite o dnsleaktest.com: o DNS também tem que sair pelo túnel. Se aparecer o DNS do seu provedor de internet, tem vazamento. Manutenção mínima: atualização automática do sistema, chave SSH em vez de senha, e não instala mais nada nessa máquina. Superfície pequena, risco pequeno.

Se você travou em algum passo, não precisa mais dominar cada comando desse guia. Eu mesmo fui por esse caminho. Aluguei a VPS, entreguei o acesso SSH pro agente de IA e pedi a configuração completa. Do outro lado, na minha máquina, ele importou o arquivo, subiu a interface, ativou no boot e conferiu vazamento no final. Hoje meu servidor é um playbook Ansible reproduzível: derrubou a VPS, sobe outra e roda um comando. A config do notebook segue o mesmo padrão. Tudo em repositório privado, e privado de propósito. Configuração de VPN não é o tipo de coisa que eu quero estranho espiando.

Pedido genérico devolve servidor genérico, e genérico nesse caso é isca. Pula isso e entrega requisito de verdade. Dual-stack, firewall fechado, SSH sem senha, os clientes como dado, reprodutibilidade. A diferença entre um servidor funcionando e um servidor sólido está inteirinha nisso. A barreira técnica deste artigo, na prática, virou uma conversa. O texto de pedido que eu uso está no post, não vou recitar prompt aqui.

Expor o painel do wg-easy pra internet. O painel é a chave do cofre: aberto, qualquer scan de botnet acha em horas. Túnel SSH sempre, porta aberta nunca. Senha fraca ou reciclada no painel e no SSH. A VPN inteira protegida por senha de aniversário é pior que não ter VPN. Desligue o login SSH por senha de vez depois de configurar sua chave. E o erro de paranoia invertida: achar que está anônimo porque o IP é seu. A VPS está no seu nome, paga com o seu cartão. Ela te tira da mira de um bloqueio em massa. Investigação com o seu nome no cadastro é outro jogo. Paranoia no nível errado vira falsa segurança, e isso é pior do que não ter VPN.

Já vi gente montar VPN de privacidade em provedor nacional. Se a ordem judicial chega no mesmo país, você não saiu do alcance, só mudou de prateleira. Servidor fora, jurisdição fora. Não distribui acesso pra meio mundo: cada pessoa extra é um dispositivo a mais, um padrão a mais, uma boca a mais. Família próxima, ok; grupo enorme, não. Quanto mais gente no mesmo IP, mais rápido ele entra em alguma lista. E não usa a mesma máquina pra outras coisas. Blog, bot, seedbox: aumenta superfície de ataque e amarra identidade que você queria separada. VPS da VPN é só da VPN.

Confiar sem testar vazamento é amadorismo. Depois de configurar, testa com a VPN ligada. Se aparecer seu IP real ou o DNS do seu provedor, algo está errado, e você só descobre assim. Esquecer o IPv6 pegou até eu: túnel só de IPv4 numa rede com IPv6 nativo, e todo o tráfego seis passa por fora, às claras, sem você perceber. Ou o túnel é dos dois lados, ou metade vaza. Teste a consulta seis. E a linha de DNS quebrando o cliente Linux: em sistema com systemd-resolved, o wg-quick chama o openresolv, ele se recusa a mexer no resolv.conf e a interface inteira falha ao subir. Se o DNS do sistema já funciona bem, simplesmente ​​remova a linha. As consultas vão pelo túnel de qualquer jeito.

A impressora não pediu asilo na Alemanha. Com a regra de mandar tudo pelo túnel, até o tráfego pra dentro da sua casa tenta ir embora. A correção é uma regra de roteamento de política avaliada antes das regras do próprio WireGuard, apontando a rede local de volta pra tabela principal, e a regra inversa no desligar. Não encadeie desligar e ligar com e comercial: o desligar retorna erro quando a interface já está morta, e o ligar nunca executa. Rode o ligar sozinho. Não instala e abandona: servidor sem atualização por um ano é servidor com buraco conhecido. Teste a conexão de tempos em tempos. O que funciona hoje pode estar reconhecido amanhã. E backup: o diretório do wg-easy guarda chave e cliente. Cópia criptografada local. Se a VPS morrer, você sobe outra em dez minutos em vez de recomeçar do zero.

Até aqui assumi que o censor bloqueia endereço. O próximo nível é bloquear formato. Mesmo criptografado, um túnel de VPN tem assinatura. O aperto de mão inicial do WireGuard e do OpenVPN tem tamanho de pacote, sequência e tempo característico. O conteúdo é ilegível, mas o formato grita eu sou uma VPN. A China faz exatamente isso em escala nacional: não precisa ler seu tráfego, basta reconhecer o protocolo e derrubar a conexão. Por isso a ofuscação existe: fazer o túnel parecer outra coisa.

AmneziaWG: um fork do WireGuard que injeta pacote de lixo e embaralha cabeçalho até a assinatura sumir. Mesma base auditada, app gratuito pra todas as plataformas, aponta pro mesmo tipo de VPS da Fase 2. Se você montou wg-easy, migrar pra Amnezia é o passo natural quando o DPI chegar. udp2raw enfia o tráfego UDP do WireGuard dentro de pacote TCP falso, que parece conexão comum. Shadowsocks nasceu na China exatamente pra isso: um proxy criptografado desenhado pra não ter assinatura reconhecível. Ainda estamos falando de ferramenta gratuita e de uma VPS barata. O custo sobe pro censor muito mais rápido do que pra você.

Se o cenário degradar a esse ponto, as opções reais, em ordem de esforço. Protocolo que se disfarça de HTTPS comum. O estado da arte hoje é o VLESS com Reality, do projeto Xray-core: seu tráfego se apresenta como uma conexão TLS recente e legítima pra um site real e inocente, com certificado, aperto de mão e padrão de pacote indistinguível de um acesso normal. Pra te bloquear, o censor teria que bloquear o site inocente junto, e o dano colateral é a defesa. Trojan-Go segue filosofia parecida. O Outline, da Jigsaw, que é Google, empacota Shadowsocks com um gerenciador amigável se você quiser distribuir acesso pra família.

Tor puro é bloqueado por padrão nos países censurados, mas as pontes obfs4 e o Snowflake foram feitos sob medida: o Snowflake mascara sua entrada na rede Tor como uma videochamada comum de WebRTC. É lento, esquece streaming, mas é a rede mais difícil de extinguir que existe, mantida pra jornalista e ativista em país hostil. Redundância: duas ou três VPS baratas em provedores diferentes, com failover automático. Se uma cair numa lista negra, você troca em minutos, instância nova, IP novo. Seu custo: mais uns cinco dólares. O custo do censor: descobrir e bloquear de novo, toda vez. Acesso alternativo: Starlink e outros links via satélite saem da infraestrutura terrestre nacional. Enquanto não forem também regulados, são o último recurso físico. E pros casos extremos, a sneakernet de sempre: pendrive, disco, cópia física.

Kill switch ligado: se o túnel cai, o aparelho corta a internet em vez de vazar. Consulta de DNS pelo túnel, senão seu provedor continua vendo cada site. WebRTC desligado no navegador, ou use extensão: ele vaza seu IP real mesmo com VPN ativa. VPN ligada quando necessário, não sempre: padrão vinte e quatro horas vira ele mesmo uma assinatura comportamental. Rodar seu próprio servidor pra uso pessoal é legal. Usá-lo pra cometer crime, não. A partir de 2026, com a nova majorante, usando VPN pesa na pena de qualquer crime que você cometeria de qualquer forma. Superfície pequena, teste de dentro do Brasil com regularidade, plano B, cópia offline do que for crítico.

Permanente ninguém tem. Caro pra eles a gente consegue. O objetivo é encarecer o bloqueio em massa até ele virar mau negócio, técnica e politicamente. Um país que precisa derrubar metade da internet legítima pra calar meia dúzia de voz comprou um problema de relações públicas. A tecnologia já fez a parte dela: o bloqueio ficou caro. É nesse custo que a gente aposta. A escada é VPN comercial, depois VPN própria, depois protocolo ofuscado, depois Tor com pontes, depois satélite. Cada degrau sobe pouco o seu custo e muito o do censor. Comece a subir antes de precisar.

O padrão brasileiro é esse. Nenhum degrau isolado parece o apocalipse, e cada um vem com plaquinha de boa intenção. Mas a infraestrutura de bloqueio, uma vez montada, não tem dono moral: serve pro governo de hoje e pro de amanhã, contra o alvo de hoje e contra você. A infraestrutura de comunicação livre funciona igualzinho, tijolo por tijolo. Uma VPN comercial configurada hoje. Uma VPS sua amanhã. Um protocolo ofuscado na gaveta pra quando precisar. Paranoia nenhuma. Isso é backup: você não espera o disco falhar pra começar.

Se você quer acompanhar essa fronteira de perto, siga o Ayub. É hoje a melhor fonte em português sobre infraestrutura de internet e censura estatal no Brasil. Foi ele quem soou o alarme sobre a criminalização de VPNs no PL 3066 de 2025, meses antes de virar lei. E nos últimos dias ele está cobrindo duas coisas que a grande imprensa mal tocou: a entrega de mais de cem bilhões em redes públicas, dutos e imóveis da União pras operadoras e pro BTG Pactual, e o aparato técnico da nova regulamentação do Marco Civil, que segundo ele deu à Anatel acesso remoto aos roteadores de borda dos provedores. Leitura obrigatória pra entender por onde vem o próximo degrau. A melhor hora de montar o seu túnel era antes de precisar dele. A segunda melhor é agora.