Fexyn
Fexyn
All posts

Como bypassar censura na internet em 2026

Fexyn Team··20 min read

A Freedom House publicou seu relatório de 2025 em outubro. Liberdade na internet declinou pelo 15º ano consecutivo. 57 de 72 países pesquisados tinham prendido pessoas por expressão online, recorde alto. China pontuou 9 de 100, empatada com Mianmar pela pior nota de liberdade na internet do planeta.

Essas não são estatísticas abstratas. Traduzem diretamente em sites bloqueados, mensagens interceptadas e pessoas indo presas por rodar software de VPN.

Se você precisa bypassar censura na internet em 2026, o protocolo que sua VPN usa é a única coisa que importa. Não a marca. Não a contagem de servidores. Não o texto de marketing na landing page. O protocolo determina se seu tráfego passa ou é sinalizado, estrangulado e descartado em nível de ISP antes de sair do país. (O que é resistência à censura cobre o conceito subjacente; esse texto é a avaliação concreta protocolo-por-protocolo.)

Esse artigo ranqueia todo protocolo que importa pela sua eficácia real contra deep packet inspection estatal. Testamos contra infraestrutura de censura real, não simulações de laboratório. Parte do que segue vai contradizer o que você leu em outros lugares.

A infraestrutura de censura em 2026

Os governos fazendo isso não estão improvisando. Estão rodando sistemas construídos com propósito com equipes de engenharia reais e orçamentos reais.

A Grande Muralha de Fogo da China continua o aparato de censura mais avançado já construído. Combina DPI passivo com classificação alimentada por IA/ML e probing ativo. Quando a GFW suspeita que uma conexão pode ser um proxy, não apenas bloqueia. Conecta ao próprio servidor, envia payloads construídos e tenta provocar resposta específica de protocolo. Se o servidor responde de uma forma que um servidor web normal não responderia, o IP vai pra blacklist. Esse sistema de probing ativo roda de dezenas de milhares de IPs de origem e pode atingir um servidor sinalizado em um segundo após a conexão suspeita original.

A GFW também faz algo que nenhum outro sistema de censura replicou em escala: faz fingerprint de implementações TLS em si. Sua VPN pode usar TLS 1.3, mas se o ClientHello que seu cliente gera não casa com nenhum fingerprint de browser conhecido, a conexão morre. A GFW mantém base de dados atualizada de fingerprints TLS de browser e mata qualquer coisa que não case.

O TSPU da Rússia (Sistemas Técnicos pra Contra-Ataque a Ameaças) fica dentro de todo ISP licenciado na Rússia. É hardware obrigatório. Em fevereiro de 2026, Rússia tinha bloqueado 469 serviços de VPN. O orçamento do TSPU pra 2025 a 2027 é aproximadamente $600 milhões, com 2,27 bilhões de rublos especificamente alocados pra filtragem de tráfego com IA. Esse dinheiro compra modelos de classificação, dados de treino e a equipe de engenharia pra manter o sistema atualizado.

TSPU não é tão sofisticado quanto a GFW. Não faz probing ativo em escala. Mas não precisa, porque a maioria dos protocolos VPN é trivialmente identificável só por análise passiva. WireGuard, OpenVPN e Shadowsocks todos caem pro TSPU em segundos.

Irã roda um sistema de filtragem multi-camada construído em importações de tecnologia DPI chinesa. Durante o "blackout stealth" de junho de 2025, Irã não cortou a internet. Essa abordagem gerou atenção internacional demais durante os protestos de Mahsa Amini em 2022. Em vez disso, autoridades seletivamente bloquearam protocolos VPN e proxy enquanto deixavam navegação HTTPS normal funcional. Esse é o novo manual de censura: bloqueio específico de protocolo, alvejado, que é invisível pra observadores casuais e difícil pra jornalistas documentarem.

Mianmar foi mais longe que qualquer outro país. Uso de VPN carrega sentença de três anos de prisão. Soldados conduzem checagens aleatórias de rua dos celulares de civis, procurando aplicações VPN. A aplicação é física, não só técnica.

O que parou de funcionar

Se sua VPN roda um desses protocolos e você está num país censurado, não funciona. Ponto.

OpenVPN é fingerprintado em menos de 30 segundos por todo grande sistema DPI. Um paper de 2022 de USENIX Security demonstrou 85% de precisão de identificação com zero falsos positivos contra tráfego de ISP real. Pesquisadores testaram 41 configurações de ofuscação diferentes e ainda identificaram 34 delas. O framing do canal de controle, a estrutura de byte de opcode, o timing do handshake TLS são todos assinaturas identificáveis. Obfsproxy e wrappers similares compram semanas no máximo antes dos classificadores se adaptarem.

OpenVPN está bom pra privacidade em redes não restritas. Pra circumvention de censura, está morto. Está morto há anos.

WireGuard está bloqueado com precisão próxima a 100% na China e Rússia. A razão é estrutural: todo handshake WireGuard é exatamente 148 bytes com padrão de header fixo. Um único condicional na regra DPI pega. Sem necessidade de machine learning. Tráfego UDP, porta 51820, primeiros quatro bytes 0x01 0x00 0x00 0x00, comprimento de pacote 148. Pronto.

AmneziaWG 2.0 adiciona padding aleatório e pacotes de junk, o que ajuda contra fingerprinting ingênuo. Não ajuda contra análise estatística de distribuições de tamanho de pacote. Protocolos baseados em UDP que não casam com nenhuma aplicação legítima conhecida são suspeitos por padrão em ambientes pesadamente censurados.

Túneis SSH são fingerprintados desde pelo menos 2020. O handshake SSH começa com troca de versão em texto plano (SSH-2.0-OpenSSH_9.6), o que é mais ou menos tão furtivo quanto anunciar suas intenções num alto-falante.

Proxies HTTP/SOCKS básicos não sobrevivem ao primeiro contato com qualquer sistema DPI implantado após 2018.

Shadowsocks (versões pré-2022) sofreu de uma falha de design que permitia ataques de replay. Sistemas DPI gravavam handshakes criptografados e replayavam pro servidor. A resposta do servidor (ou falta) confirmava que estava rodando Shadowsocks. China explorou isso em escala começando em 2020.

Protocolos ranqueados por resistência a DPI

Ranqueamos esses por taxas de sucesso medidas contra os três sistemas de censura mais difíceis: GFW da China, TSPU da Rússia e infraestrutura de filtragem do Irã. Taxa de sucesso significa a porcentagem de tentativas de conexão que estabelecem um túnel funcional e passam tráfego.

1. VLESS Reality com Vision flow

Taxa de sucesso: 98% na rede CN2 da China. Taxa de detecção sub-5% em todos os sistemas DPI testados.

VLESS Reality com Vision flow (xtls-rprx-vision) é o melhor protocolo anti-censura disponível em 2026. Nada mais chega perto contra DPI avançado.

A razão é arquitetural. Reality não tenta ofuscar tráfego VPN. Não adiciona padding ou injeta ruído. Em vez disso, faz com que conexões VPN produzam handshakes TLS que são byte-por-byte idênticos a conexões a um site real. Quando você conecta a um servidor VLESS Reality, a negociação TLS que seu cliente realiza é indistinguível de uma conexão genuína a, digamos, www.microsoft.com. O sistema DPI vê um handshake TLS 1.3 normal com SNI normal, suítes de cifra normais e cadeia de certificado que pertence a um site real.

Isso funciona porque Reality usa o certificado real do alvo de camuflagem durante o handshake TLS, depois realiza troca de chave autenticada escondida dentro da sessão TLS. O sistema DPI precisaria fazer MitM na conexão pra detectar, o que quebra TLS inteiramente e é impraticável em escala nacional.

O Vision flow (xtls-rprx-vision) adicionado no fim de 2023 elimina o sinal de detecção TLS-em-TLS que análise de tráfego produziria de outra forma. Combinados, Reality+Vision produz um stream que é estatisticamente indistinguível de uma sessão real de browser pro host de camuflagem.

A taxa de falha de 2% em CN2 é principalmente relacionada a timing. Durante períodos conhecidos de repressão (em torno de sessões do Congresso do Partido, aniversário de Tiananmen), a GFW temporariamente aperta heurísticas e pode bloquear conexões a IPs com volumes de tráfego incomumente altos, independente de protocolo. Isso é reputação de IP, não detecção de protocolo.

2. Hysteria 2

Taxa de sucesso: variável. 110-150ms de latência em ambientes testados. Parcialmente bloqueado na China.

Hysteria 2 toma uma abordagem diferente. É construído sobre QUIC (baseado em UDP, como WireGuard) mas adiciona duas features projetadas pra redes hostis. Controle de congestão "Brutal" ignora sinais de perda de pacote e mantém banda mesmo quando a rede está ativamente interferindo com a conexão. Ofuscação "Salamander" modifica headers QUIC pra resistir a fingerprinting.

O protocolo é rápido. Em redes onde funciona, Hysteria 2 frequentemente supera VLESS Reality em throughput porque controle de congestão Brutal não recua quando detecta perda. Isso é útil em ambientes onde o censor está estrangulando em vez de bloquear diretamente.

O problema é que QUIC em si é cada vez mais escrutinado. A GFW da China vem experimentando bloquear todo tráfego QUIC não-padrão, e conexões Hysteria 2 foram pegas nessas varreduras. O protocolo funciona bem na Rússia e Irã hoje. Sua viabilidade de longo prazo na China é incerta. Ser baseado em UDP é um passivo em países onde o censor pode simplesmente derrubar todo tráfego UDP que não case com serviços conhecidos.

3. Trojan-GFW

Taxa de sucesso: declinando. Taxa de detecção de 90% na Rússia em agosto de 2025.

Trojan toma a abordagem "parecer HTTPS real," similar em espírito ao VLESS Reality mas com implementação mais fraca. O servidor Trojan roda um servidor web real (tipicamente Nginx) atrás de TLS. Tráfego Trojan vai pro handler de proxy; tráfego não-Trojan recebe o site real. De fora, o servidor genuinamente está rodando um site.

A fraqueza fatal é probing ativo. Quando a GFW ou TSPU conecta a um suspeito servidor Trojan e envia tráfego não-Trojan, o servidor responde com página web. Isso é esperado. Mas o comportamento do servidor em casos limítrofes (manuseio de conexão, respostas de erro, padrões de timeout) difere sutilmente de um deployment Nginx genuíno. Essas diferenças são consistentes o suficiente pra que TSPU da Rússia estivesse detectando 90% de servidores Trojan até meados de 2025.

Trojan foi um bom protocolo em 2021. Está mostrando idade. Se você está rodando e ainda funciona pra você, ótimo. Não configure infraestrutura nova nele.

4. TUIC v5

Taxa de sucesso: dados limitados. Latência medida de 140-180ms na China.

TUIC multiplexa streams QUIC e adiciona sua própria camada de autenticação. É mais novo que Hysteria 2 e viu menos deployment. Os números de latência são aceitáveis mas não notáveis. Como Hysteria 2, herda a vulnerabilidade do QUIC à filtragem de UDP geral. A base de usuários menor significa menos teste contra sistemas DPI de produção e menos certeza sobre taxas de detecção.

Potencialmente viável, mas não suficientemente testado em batalha pra recomendar como protocolo primário.

5. Shadowsocks 2022 (AEAD-2022)

Taxa de sucesso: 76% na China. Declinando.

A revisão de 2022 do Shadowsocks consertou a vulnerabilidade de ataque de replay e adicionou criptografia AEAD apropriada com derivação de chave por sessão. Isso era necessário e atrasado.

Mas Shadowsocks ainda tem o problema de entropia. O stream criptografado tem entropia uniformemente alta desde o primeiro byte. Conexões HTTPS normais têm elementos estruturados (handshake, cadeias de certificado, framing HTTP) que produzem padrões de entropia reconhecíveis. Classificadores ML treinados em features de tráfego podem distinguir Shadowsocks de HTTPS com 85%+ de precisão usando análise de tamanho de pacote e entropia sozinha.

Shadowsocks 2022 é melhor que seus predecessores. Ainda está lutando com uma mão amarrada nas costas comparado a protocolos que produzem tráfego indistinguível de HTTPS legítimo.

6. Protocolos proprietários de VPN comercial

NordVPN lançou NordWhisper em janeiro de 2025, descrevendo como "tecnologia de túnel web" que disfarça tráfego como HTTPS. Projetado pra restrições Wi-Fi e firewalls corporativos. ProtonVPN oferece Stealth, que envolve WireGuard em camada de ofuscação.

Ambos são código fechado. Nenhum foi testado contra a GFW ou TSPU por pesquisadores independentes. NordWhisper foi projetado pra Wi-Fi de hotel e redes corporativas, não DPI estatal. Esse é modelo de ameaça inteiramente diferente. ProtonVPN Stealth envolvendo WireGuard não muda o problema fundamental de que padrões de tráfego do protocolo subjacente vazam por camadas de ofuscação ao longo do tempo.

Protocolos de código fechado não podem ser auditados pela comunidade de pesquisa em circumvention de censura. Quando uma equipe da Universidade de Michigan ou da Open Technology Fund testa ferramentas anti-censura, testa implementações de código aberto. NordWhisper e Stealth não recebem esse escrutínio. Você está confiando em afirmações de marketing sem verificação independente.

7. Tor com transportes plugáveis

Tor ainda funciona via bridges obfs4 e Snowflake. É lento. Espere 200-500ms de latência e throughput medido em kilobytes por segundo, não megabytes. Pra acessar um site bloqueado específico ou enviar uma mensagem, Tor com bridges é viável. Pra qualquer coisa parecida com uso normal de internet (vídeo, downloads grandes, comunicação em tempo real), não é prático.

A força do Tor é o design da rede (roteamento onion provê anonimato que nenhuma VPN consegue casar), não a camada de transporte. Se seu modelo de ameaça exige anonimato do próprio provedor de VPN, Tor é a única opção. Se seu modelo de ameaça é "acessar a internet aberta de uma rede censurada," ferramentas mais rápidas existem.

Por que um protocolo não basta

Aqui está a parte que a maioria dos provedores de VPN não quer falar: sistemas de censura se adaptam.

VLESS Reality tem taxa de sucesso de 98% em CN2 hoje. Esse número era maior um ano atrás e provavelmente será menor um ano daqui. A equipe da GFW lê os mesmos papers de pesquisa que nós lemos. Frequenta as mesmas conferências. Sabe como Reality funciona. Estão trabalhando em métodos de detecção.

Quando um único protocolo falha, uma VPN de protocolo único se torna um tijolo. Você está desconectado sem fallback. Isso acontece com usuários de VPN só-WireGuard na China todo dia.

A arquitetura correta é rotação de protocolo. Seu cliente deve tentar o protocolo mais rápido primeiro. Se falha ou é bloqueado, deve cair automaticamente pra protocolo mais resistente sem intervenção manual. O usuário não deveria precisar saber o que VLESS é ou o que DPI significa. Aperta conectar e o software descobre o que funciona na rede.

Fexyn roda três protocolos com rotação automática: Bolt (WireGuard) pra velocidade em redes não restritas, Stealth (VLESS Reality com Vision flow) pra redes censuradas, e Secure (OpenVPN) como fallback de compatibilidade. O motor de rotação classifica falhas em tempo real. Se WireGuard é bloqueado, a próxima tentativa vai por VLESS Reality+Vision sobre TLS 1.3. Se Stealth falha (raro, mas acontece durante repressões agressivas), OpenVPN sobre TCP porta 443 é o último recurso.

Duas estratégias enviam por padrão. SpeedFirst tenta WireGuard, depois VLESS Reality+Vision, depois OpenVPN. StealthFirst inverte a ordem, começando com Reality+Vision pra usuários que sabem que estão em redes hostis. O kill switch fica ativo durante todo o ciclo de rotação. Seu IP real nunca vaza durante troca de protocolo.

Nenhum protocolo único vai funcionar em todo lugar pra sempre. A corrida armamentista da censura garante isso. O que funciona é ter múltiplos protocolos e trocar entre eles mais rápido do que o censor pode se adaptar.

Conselho prático por país

O que segue é baseado em relatos de campo de usuários e operadores, não testes de laboratório. Condições mudam. O que funciona em março pode não funcionar em junho. Trate como ponto de partida, não evangelho.

China

Use VLESS Reality com Vision flow. Isso não é sugestão. É o único protocolo com taxas de sucesso confiáveis contra a GFW em 2026. Conecte a servidores fora da China continental; da frota da Fexyn, Cyprus é o mais próximo geograficamente e Frankfurt ou Ashburn são alternativas se Cyprus está congestionado.

Espere degradação durante períodos politicamente sensíveis. Taxas de sucesso de conexão caem durante sessões legislativas anuais, datas de aniversário e qualquer período de inquietação doméstica. Ter servidor backup em país diferente em faixa IP diferente ajuda.

Hysteria 2 (não enviado pela Fexyn; relevante pra auto-hospedeiros) funciona intermitentemente e não é confiável o suficiente pra ser escolha primária.

Não use WireGuard, OpenVPN ou Shadowsocks como protocolo primário. Estão bloqueados.

Rússia

VLESS Reality funciona hoje. TSPU é o adversário primário, e não faz probing ativo em nível da GFW. A camuflagem do Reality aguenta bem contra DPI passivo e classificadores ML.

O risco na Rússia é o ritmo de desenvolvimento do TSPU. O orçamento de 2,27 bilhões de rublos pra IA está comprando melhorias reais de capacidade. TSPU foi de lutar com Shadowsocks em 2023 a bloquear 469 serviços de VPN no início de 2026. O sistema está ficando melhor rápido.

Escolha de servidor importa. Use IPs que não foram sinalizados. IPs de hospedagem compartilhada (onde seu servidor VPN compartilha IP com sites legítimos) são mais difíceis pra TSPU bloquear sem dano colateral. IPs dedicados de servidor VPN em provedores cloud bem conhecidos (AWS, DigitalOcean, Vultr) são bloqueados mais agressivamente porque bloqueá-los causa menos dano colateral.

Irã

VLESS Reality com Vision flow é a classe de protocolo que sobrevive. A tecnologia DPI do Irã é menos sofisticada que da China ou Rússia, mas o governo compensa com shutdowns totais periódicos e estrangulamento agressivo. Durante o blackout stealth de junho de 2025, apenas protocolos que pareciam exatamente HTTPS normal sobreviveram.

ISPs iranianos às vezes estrangulam todo tráfego criptografado a velocidades inutilizáveis em vez de bloquear diretamente. Pra usuários vendo estrangulamento em vez de bloqueio direto, trocar localização de servidor (Cyprus, Frankfurt, Helsinki, Ashburn) frequentemente ajuda mais que trocar protocolo.

Mianmar, Turcomenistão, Coreia do Norte

Esses países combinam censura técnica com aplicação física. Mianmar dá sentenças de três anos de prisão por uso de VPN. Turcomenistão força cidadãos a jurar não usar VPNs. Coreia do Norte manda pessoas pra campos de trabalho.

Conselho técnico de circumvention é secundário a segurança pessoal. Se você está num desses países e precisa acessar conteúdo bloqueado, o protocolo técnico mal importa comparado à segurança operacional em torno de como você obtém, instala e usa o software. Não instale apps VPN num dispositivo que pode ser inspecionado num ponto de checagem. Não discuta ferramentas de circumvention em canais de comunicação monitorados. O protocolo é a parte fácil. Não ser pego é a parte difícil.

Riscos legais são reais

Bypassar censura é ilegal em muitos países. As penalidades variam amplamente.

País Penalidade pra uso de VPN
China Até 5 anos de prisão (raramente aplicado contra indivíduos; aplicação mira em vendedores e operadores de VPN)
Rússia Multas até 500.000 rublos pra empresas anunciando VPNs; uso individual está em zona cinza legal mas aplicação está aumentando
Irã Até 2 anos de prisão e multa de $4.000
EAU Multas até $540.000 e prisão por usar VPNs pra atividade ilegal
Mianmar Até 3 anos de prisão
Coreia do Norte Campos de trabalho
Turcomenistão Multas e prisão; cidadãos foram forçados a jurar no Alcorão não usar VPNs

Não somos advogados. Essa tabela não é conselho legal. Leis mudam. Padrões de aplicação mudam. Pesquise a situação legal atual no seu país específico antes de usar qualquer ferramenta de circumvention.

A realidade prática é que na maioria desses países, milhões de pessoas usam VPNs diariamente e aplicação contra usuários individuais é seletiva em vez de universal. China tem centenas de milhões de usuários de VPN e processa um punhado por ano, tipicamente em conexão com outras acusações. Rússia primariamente mira em provedores e anunciantes de VPN, não em usuários finais. Mas "aplicação seletiva" também significa que aplicação pode ser direcionada a qualquer um que o governo decida mirar, por qualquer razão.

Guias específicos por país

Cada um dos países acima tem seu próprio modelo de ameaça, regulador e protocolo recomendado. Os guias mais profundos por país cobrem os detalhes em nível de operadora:

Os guias específicos por app cobrem as plataformas que os censores miram mais:

Pra a foto cross-país, o mapa global de censura é uma visualização interativa dos mesmos 50+ mercados — filtra por VoIP-bloqueado, DPI-implantado ou VPN-restrito pra ver os padrões de relance.

O que vem depois

A corrida armamentista da censura vai continuar. Sempre continuou. Governos gastam mais dinheiro em DPI. Designers de protocolo acham novos jeitos de fazer tráfego VPN ser indistinguível de tráfego legítimo. O ciclo se repete.

Três tendências vão moldar os próximos dois anos.

Primeiro, encrypted client hello (ECH) está sendo lançado em browsers principais. ECH criptografa o campo SNI em handshakes TLS, que atualmente vaza qual site você está conectando. Adoção ampla de ECH tornaria censura baseada em TLS muito mais difícil, porque o censor não consegue ver o nome de domínio no handshake. Também mudaria o cálculo de camuflagem pra protocolos como VLESS Reality, que atualmente dependem do censor poder ver (e confiar) no SNI.

Segundo, classificação de tráfego com IA está ficando melhor. O investimento da Rússia em filtragem baseada em ML não é único. Todo país com programa DPI está experimentando com classificadores de redes neurais que detectam tráfego VPN baseado em padrões comportamentais em vez de assinaturas de protocolo. Esses classificadores produzem mais falsos positivos que detecção baseada em assinatura, o que limita quão agressivamente podem ser implantados. Mas a precisão está melhorando ano após ano.

Terceiro, dano colateral é a restrição principal em censores. Bloquear faixa IP que hospeda servidores VPN e negócios legítimos tem custos econômicos. Designers de protocolo exploram isso fazendo tráfego VPN parecer idêntico a tráfego que o censor não pode bloquear. VLESS Reality imitando microsoft.com funciona porque a China não vai bloquear microsoft.com. Se bloqueassem, metade do software empresarial no país quebraria.

Os protocolos que sobrevivem serão os que elevam o custo de detecção acima do custo que o censor está disposto a pagar. Isso tem sido verdade desde que o primeiro firewall foi implantado, e será verdade em 2030.

Fexyn entrega VLESS Reality com Vision flow, WireGuard e OpenVPN com rotação automática de protocolo. Se você está num país censurado, a estratégia de rotação StealthFirst começa com Reality+Vision e cai automaticamente. O framing de caso de uso está em VPN para jornalistas e VPN para ativistas; pra um cara-a-cara com competidor focado em privacidade que não entrega Reality, veja Fexyn vs Mullvad. Baixe Fexyn e teste na sua rede. Os três protocolos estão incluídos em todo plano. A rotação de protocolo cuida do resto.

Como bypassar censura na internet em 2026 | Fexyn VPN