Por que WireGuard ou OpenVPN não funciona onde eu estou?

Sistemas de inspeção profunda de pacotes (DPI) no Irã, na China e na Rússia identificam protocolos VPN pela assinatura do handshake. O handshake UDP do WireGuard e o padrão do OpenVPN são ambos reconhecíveis, então o DPI os bloqueia ou limita em segundos — muitas vezes antes de o túnel sequer se estabelecer. VLESS + Reality evita isso fazendo seu tráfego parecer uma conexão HTTPS comum com um site real, sem assinatura de VPN para casar.

O que é VLESS + Reality, em termos simples?

VLESS é um protocolo de proxy leve do projeto Xray. Reality é um transporte em cima dele que, durante a configuração da conexão, se passa por um handshake TLS genuíno com um site real (como um domínio da Microsoft ou Apple) usando o certificado real desse site. Para o DPI, sua conexão é estatisticamente indistinguível de alguém abrindo uma página HTTPS normal — sem padrão de proxy, sem certificado estranho, nada para identificar. Em 2026 é o protocolo que melhor resistiu ao DPI.

Preciso de um IP dedicado, ou o plano NAT mais barato basta?

Você precisa de um IP dedicado. Um servidor VLESS aceita conexões de entrada na porta 443, o que exige seu próprio endpoint público de entrada. Planos NAT compartilham um IP de saída e não têm ponto de entrada, então um servidor VLESS fisicamente não roda num deles. O mínimo que funciona é o plano Nano-IP a US$8/mês — o plano NAT de US$3 não dá. É um requisito técnico, não uma venda casada.

Meu IP acabará sendo bloqueado de qualquer forma?

Possivelmente, nas redes mais agressivas. A Reality em si não tem assinatura detectável, mas alguns provedores (notadamente no Irã) colocam em lista cinza endereços IP que carregam tráfego pesado de proxy — um IP empurrando grandes volumes pode ser sinalizado em alguns dias. A resposta prática é que um IP dedicado que você controla é fácil de reconstruir: reinstale num servidor novo, obtenha um novo IP, e você volta. Não vamos fingir que um IP dura para sempre nos ambientes mais difíceis — mas self-hosting significa que você não fica esperando ninguém consertar.

Seus servidores estão na Alemanha e na Finlândia — isso funciona do Irã ou da China?

Sim. VLESS + Reality de uma saída europeia é uma configuração padrão que funciona contra DPI. O trade-off honesto é a latência: uma ida e volta do Irã ou da China até a UE adiciona cerca de 100–150 ms, o que é bom para navegação, mensagens e a maioria do trabalho, mas não ideal para jogos sensíveis a latência. Para contornar censura no dia a dia funciona bem.

Não — e não vamos dizer o contrário. Sem KYC significa que não pedimos sua identidade para se cadastrar, e você paga em stablecoins sem cartão. Mas seu VPS tem um IP público que é só seu (você não se mistura numa multidão), e pagamentos em blockchain são registrados publicamente. Este é um endpoint privado que resiste à censura, não uma ferramenta de anonimato. Se seu modelo de ameaça precisa de anonimato, essa é outra configuração.

VPS para contornar a censura (VLESS + Reality)

Quando WireGuard e OpenVPN são derrubados pelo DPI, um servidor VLESS + Reality self-hosted no seu próprio VPS ainda passa. Veja por que funciona, quanto custa e onde não funciona.

Se você está num país com filtragem séria de internet, provavelmente já viu isto acontecer: você instala um app de VPN conhecido, ele conecta por alguns segundos, e então tudo trava. Tente outro — a mesma coisa. Os botões de "modo furtivo" não ajudam. Não é sua conexão instável. É a inspeção profunda de pacotes (DPI) fazendo seu trabalho.

WireGuard e OpenVPN não foram feitos para se esconder. Foram feitos para velocidade e privacidade em redes que não os caçam ativamente. Sistemas de DPI no Irã, na China e na Rússia identificam seus handshakes e matam o túnel — muitas vezes antes de terminar de conectar. Os modos de ofuscação acoplados a VPNs comerciais também são casados por padrão. Esta página é sobre a única abordagem que ainda passa, e sobre rodá-la você mesmo num VPS que você controla.

O trade-off honesto de cara

Fazer self-hosting de um servidor VLESS + Reality não é um botão mágico de "sempre funciona", e não vamos vendê-lo como um. Veja o formato real disso:

O que você ganha: um endpoint pessoal sem assinatura de VPN para o DPI casar, rodando num IP que é só seu — então você nunca é bloqueado por causa do abuso de algum estranho num servidor compartilhado.
Quanto custa: um pouco mais que o plano mais barato (você precisa de um IP dedicado), mais alguns minutos de configuração com um cliente de proxy em vez de um app de um toque.
Onde ele se estica: nas redes mais agressivas, um único IP carregando tráfego pesado pode acabar na lista cinza. Self-hosting torna isso corrigível em minutos, mas é um limite real, não algo que vamos maquiar.

Se esse trade-off soa certo, veja por que o protocolo funciona.

Por que VLESS + Reality passa quando o WireGuard não passa

O DPI bloqueia VPNs reconhecendo como elas parecem no fio. Um handshake WireGuard tem uma impressão digital UDP distinta. O OpenVPN tem seu próprio padrão. Uma vez que um sistema de DPI conhece a assinatura, bloqueá-la é trivial.

A Reality segue outra rota. Quando seu cliente conecta, ele realiza um handshake TLS real se passando por um site genuíno e popular — usando o certificado real desse site. Para qualquer coisa observando a conexão, você aparece como uma pessoa abrindo uma página HTTPS comum de um grande site. Não há handshake de proxy, certificado autoassinado nem estranheza estatística. Um artigo da USENIX de 2024 constatou que o tráfego VLESS com o fluxo Vision é estatisticamente indistinguível de uma conexão HTTPS direta com o host personificado, mesmo sob análise de tamanho e tempo de pacotes.

É o truque inteiro: em vez de tentar criptografar mais forte, a Reality tenta parecer chata. E "HTTPS chato para a Microsoft" é exatamente o que um censor não pode se dar ao luxo de bloquear no atacado.

Por que você precisa de um IP dedicado (e o plano de US$3 não vai funcionar)

Este é o único requisito duro, então vale ser preciso. Um servidor VLESS escuta conexões de entrada na porta 443 — é assim que seu telefone ou laptop o alcança. Para aceitar tráfego de entrada numa porta real, o servidor precisa do próprio endereço IP público.

Planos NAT não têm isso. Um VPS NAT compartilha um IP de saída com outros servidores e não tem ponto de entrada próprio — ótimo para um bot que só faz chamadas de saída, inútil para um servidor que precisa ser alcançado. Então o plano NAT de US$3 fisicamente não pode hospedar um servidor VLESS.

O mínimo que funciona é um plano com IP dedicado a partir de US$8/mês (Nano-IP). Isso não é a gente te empurrando para um nível mais caro — é o piso para isto funcionar. Se você vir um guia sugerindo que dá para fazer isso numa configuração de IP compartilhado, ele está errado sobre a rede.

Onde ficam nossos servidores, e o que isso significa para a latência

Nossos nós ficam na Alemanha e na Finlândia — saídas europeias, bem fora das jurisdições que fazem a filtragem. Um servidor VLESS + Reality num VPS europeu é uma configuração padrão que funciona contra DPI no Irã, na China e na Rússia.

O custo honesto é a latência. Uma ida e volta do Irã ou da China até a Europa central adiciona cerca de 100–150 ms. Para navegação, mensagens, streaming e a maior parte do trabalho remoto, você não vai realmente notar. Para jogos competitivos em que cada milissegundo conta, uma saída mais próxima seria melhor — mas para passar da censura, saídas europeias dão conta.

Quanto custa

Plano	Especificações	Bom para
Nano-IP — US$8/mês	2 vCPU · 1 GB · 15 GB	Uma pessoa, contorno do dia a dia — o ponto de partida certo
Micro-IP — US$10/mês	2 vCPU · 2 GB · 25 GB	Alguns dispositivos, mais folga
Small-IP — US$16/mês	4 vCPU · 4 GB · 35 GB	Algumas pessoas compartilhando, ou uso mais pesado

Um servidor VLESS é leve — o Nano-IP basta para um único usuário. Suba só se você compartilha o endpoint com a família ou roda vários dispositivos com força.

O pagamento é em USDC ou USDT (stablecoins, sem cartão), e não há KYC — um e-mail e uma transferência de stablecoin são o cadastro inteiro. Veja como pagar com cripto se for sua primeira vez.

Os limites honestos

Preferimos que você tenha sucesso a comprar por uma falsa promessa, então direto:

Nenhum VPS garante contorno 100%, para sempre. A Reality funciona hoje porque é indistinguível de HTTPS normal. Os censores continuam evoluindo; isto é um alvo em movimento, não um problema resolvido.
Um único IP pode ir para a lista cinza nas redes mais duras. Tráfego pesado de proxy num IP pode atrair sinalização (Irã especialmente). Um IP dedicado que você controla é rápido de reconstruir — reinstale, novo IP, de volta online — mas é um limite real.
Isto não é anonimato. Seu IP é só seu (sem multidão para se esconder), e pagamentos em stablecoins estão numa cadeia pública. Sem KYC ≠ anônimo. Isto resiste à censura, que é outro objetivo.
Só CPU, sem GPU — irrelevante para um proxy, mas vale dizer para não haver surpresas.
É um endpoint pessoal, não um proxy público. Feito para você e talvez sua casa. Revender acesso ou rodá-lo como relay aberto viola nosso uso aceitável e tende a sinalizar o IP rápido de qualquer forma.

Pronto para montar um?

O guia passo a passo VLESS + Xray percorre a instalação do Xray, a configuração da Reality e a conexão de um cliente — com comandos para copiar e colar.

Comece com um plano Nano-IP (US$8/mês) — IP dedicado, acesso root, rodando em cerca de um minuto. Pague em cripto, sem KYC.

Relacionado

Passo a passo: seu próprio servidor VLESS/Xray — o guia completo de configuração
VPN WireGuard self-hosted — se você está numa rede sem DPI, o WireGuard é mais simples
Hospedagem VPS anônima — o que sem KYC significa e não significa
Como pagar com cripto