VPN não conecta? Causas, códigos de erro e como resolver

Você toca em Conectar no app de VPN e o círculo fica girando, até desistir com uma mensagem como "Não foi possível conectar", ou o Windows mostra uma janela com um número como 809 ou 691. Ontem funcionava em casa e hoje falha no Wi-Fi do hotel, ou é o notebook do trabalho e você precisa da rede da empresa daqui a dez minutos.

Este post trata de um túnel VPN que nunca chega a subir. Passamos pelas verificações rápidas, pelas etapas que uma VPN percorre ao conectar, pelos protocolos dos apps, pela rede em que você está, pelos ajustes do celular, pelos códigos de erro do Windows com o significado que a Microsoft dá a cada um, por firewalls, roteadores e pelo lado do servidor. Se o seu app diz Conectado, mas as páginas não carregam, veja VPN conectada mas sem internet? Causas e soluções.

O que significa "VPN não conecta"?#

Uma VPN (rede privada virtual) coloca o tráfego do seu dispositivo em um túnel criptografado que termina em um servidor VPN, como explicamos em O que é uma VPN e como ela funciona?. "Não conecta" significa que o túnel nunca é construído: o app fica em "Conectando" ou mostra um erro, enquanto a sua internet normal continua funcionando.

A falha costuma ter uma de duas formas. Uma espera longa que termina em tempo esgotado significa que o servidor nunca ouviu você. Uma recusa rápida que fala da sua senha, da sua conta ou de um certificado significa que o servidor ouviu você e disse não.

Como uma VPN se conecta, passo a passo?#

1. O app procura o endereço do servidor. Um nome como vpn.example.com é transformado em endereço IP pelo DNS, a agenda de endereços da internet. Se o nome não for encontrado, o Windows mostra o erro 868.
2. Os primeiros pacotes viajam até o servidor pelo seu Wi-Fi, pelo roteador, pelo provedor de internet e por qualquer firewall no meio do caminho. Se um deles descartar os pacotes, o app esgota o tempo de espera; o Windows mostra 809.
3. Os dois lados verificam um ao outro com um certificado (uma identidade digital) ou uma chave pré-compartilhada (uma senha comum para a conexão). Um certificado só vale entre duas datas, então um relógio errado no dispositivo pode fazer esta etapa falhar. Em conexões L2TP, o Windows relata essa etapa como 789.
4. Você faz login. Uma senha errada ou uma conta expirada interrompe a conexão; no Windows, isso é o 691.
5. O servidor confere as regras dele, como quais métodos de login aceita. Uma incompatibilidade gera o 812.
6. O túnel se abre e o app mostra Conectado. No Windows, um escudo azul aparece na barra de tarefas.

Verificações rápidas antes de tudo#

1. Desligue a VPN e abra um site. Se nada carregar, o problema é a sua conexão com a internet, não a VPN.
2. Confira a conta. No site do provedor, confirme que a assinatura está ativa e que o limite de dispositivos não foi atingido. Em uma VPN do trabalho, verifique se a sua senha do trabalho não expirou.
3. Deixe a data e a hora no automático. Windows: Configurações > Hora e idioma > Data e hora > Definir horário automaticamente. iPhone: Ajustes > Geral > Data e Hora > Definir Automaticamente. Android: app Relógio, Configurações > Mudar data e hora > Data e hora automáticas.
4. Atualize o app, reinicie o dispositivo e escolha outro servidor.
5. Tente outra rede. Conecte o notebook ao hotspot do celular ou troque o celular do Wi-Fi para os dados móveis.

A última verificação divide o problema em dois. Se a VPN conectar na outra rede, o seu dispositivo e a sua conta estão em ordem e a causa é a primeira rede.

Visão geral das causas comuns#

VPN em apps: o que significa a opção de protocolo#

Os apps dos provedores costumam ter uma opção Protocolo ou Tipo de VPN. O que importa é o tráfego que cada um usa:

• WireGuard, um protocolo mais novo e leve, envia todos os seus pacotes por UDP, o tipo de tráfego que não espera confirmação (veja Diferença entre TCP e UDP).
• OpenVPN, um protocolo de código aberto muito usado, roda sobre UDP ou TCP, conforme a configuração do provedor.
• IKEv2/IPsec vem embutido no Windows, no iPhone e no Mac, lida bem com a troca entre Wi-Fi e dados móveis e precisa que as portas UDP 500 e 4500 passem.

Uma rede que deixa passar páginas web, mas não UDP ou essas portas, deixa o navegador funcionar e barra a VPN. Se o seu app oferece mais de um protocolo, trocar uma vez é um teste justo em casa ou na rede de um hotel; se um conecta e o outro não, avise o provedor. Há mais duas causas no próprio app: um segundo app de VPN rodando ao mesmo tempo (feche um deles) e uma instalação corrompida (desinstale, reinicie e instale de novo pela loja oficial).

A rede está bloqueando a VPN?#

Wi-Fi de hotel, café e aeroporto. Muitas redes públicas mostram primeiro uma página de login, um portal cativo, onde você aceita termos ou digita o número do quarto. Até você concluir essa página, a rede bloqueia todo o resto, inclusive a VPN. Desligue a VPN, abra qualquer site para a página aparecer, conclua o processo e depois conecte. Há mais sobre essas redes em Wi-Fi público é seguro?.

Redes do trabalho e de instituições de ensino. Muitas organizações não permitem conexões VPN na rede delas, para que esse tráfego passe pelas próprias verificações de segurança. Se a VPN falha só ali, é a regra funcionando; pergunte ao administrador em vez de tentar contorná-la.

Países. Alguns países e redes restringem VPNs; este post não trata dessa situação. Se usar VPN é legal onde você está, explicamos em Usar VPN ou proxy é legal?.

iPhone e Android: causas específicas do celular#

iPhone. Serviços de VPN costumam vir como app, enquanto as VPNs do trabalho e da escola muitas vezes chegam como um perfil de configuração listado em Ajustes > Geral > Gerenciamento de VPN e Dispositivos. Um perfil de VPN que sobrou de um emprego ou app antigo pode atrapalhar; remova só os que você sabe que não precisa mais, e nunca o do seu empregador sem perguntar. O último recurso é Ajustes > Geral > Transferir ou Redefinir o iPhone > Redefinir > Redefinir os Ajustes de Rede. O manual de redefinição da Apple diz que isso remove as redes salvas e os ajustes de VPN que não foram instalados por um perfil de configuração ou gerenciamento de dispositivos, então você vai precisar configurar o Wi-Fi e o app de VPN de novo.

Android. As VPNs ficam em Configurações > Rede e Internet > VPN (pesquise "VPN" se o fabricante do seu celular usa outro nome). Uma VPN adicionada ali manualmente tem a chave VPN sempre ativa atrás do ícone de configurações. A página de ajuda do Android sobre VPN do Google observa que VPNs configuradas por um app não têm essa opção ali, então procure nas configurações do próprio app. A economia de bateria é o outro suspeito de sempre: Configurações > Bateria > Economia de bateria limita as atividades em segundo plano, e o Google avisa que as conexões de rede podem ficar lentas. Se a VPN cair com a tela desligada, teste uma vez com a Economia de bateria desativada.

Códigos de erro da VPN nativa do Windows#

O cliente VPN do próprio Windows, em Configurações > Rede e Internet > VPN, mostra um erro numerado quando falha; muitas VPNs do trabalho usam esse cliente. Os significados vêm da lista de códigos de erro de roteamento e acesso remoto da Microsoft; as dicas para 800, 809 e 812 seguem o guia de solução de problemas da VPN Always On.

Para mudar essas configurações, abra Configurações > Rede e Internet > VPN, selecione a conexão e depois Opções avançadas e Editar, como mostra a página de ajuda da Microsoft sobre VPN no Windows. No Automático, o Windows tenta vários tipos de túnel e mostra 800 quando todos falham. Se o 868 aparecer para um nome que funcionava antes, o servidor DNS da rede pode ser o culpado; O que é DNS e como mudar o seu servidor DNS? mostra como trocá-lo. Clientes corporativos como FortiClient, GlobalProtect e Cisco Secure Client mostram mensagens próprias, mas os mesmos passos valem.

Firewall, antivírus e roteador#

Software de segurança. Depois de uma atualização, o firewall de um pacote de segurança pode começar a bloquear um app de VPN que antes permitia. Pause o firewall por um minuto, tente conectar e reative-o logo em seguida. Se a VPN conectar com ele pausado, adicione o app de VPN como exceção em vez de deixar a proteção desligada. Em um computador do trabalho, deixe isso com a TI.

VPN passthrough. O roteador da sua casa dá a todos os dispositivos um único endereço público compartilhado, reescrevendo o endereço de cada pacote, uma técnica chamada NAT. Os tipos de VPN mais antigos, PPTP e L2TP/IPsec, enviam tráfego que o roteador precisa reconhecer antes de repassar; o recurso do roteador para isso costuma se chamar VPN Passthrough e muitas vezes vem ativado de fábrica. Se o Windows mostrar 809 ou 800 só em casa, abra a página de configurações do roteador (o endereço costuma estar numa etiqueta no aparelho), verifique se o passthrough de VPN ou de IPsec está ativado e reinicie o roteador. WireGuard e OpenVPN normalmente não precisam disso.

Um servidor VPN na sua própria casa. Se você acessa a sua casa por uma VPN no seu próprio roteador, o endereço público da sua conexão pode ter mudado, como explica IP estático e IP dinâmico: qual a diferença e qual usar?. Se o seu provedor coloca a sua linha atrás de CGNAT, conexões de fora não conseguem chegar à sua casa de jeito nenhum; O que é CGNAT, como saber se você tem e como sair mostra como verificar.

Quando o problema está no servidor#

Se a VPN falha em todas as redes e dispositivos enquanto outros servidores funcionam, ou se o provedor informa uma instabilidade, a falha não está do seu lado. Escolha outra localização, saia da conta e entre de novo, depois fale com o suporte. Uma VPN corporativa também pode falhar por motivos que você não vê, como um certificado de servidor expirado ou uma regra de login alterada; o 812 é um deles. Não instale uma segunda VPN para contornar isso. Envie ao suporte ou à TI a mensagem ou o código exato (uma captura de tela é o ideal), o horário, a rede em que você estava, se o teste do hotspot também falha e a versão do app.

Quando um proxy é a ferramenta melhor?#

Uma VPN muda a rota do dispositivo inteiro. Se você só quer que um navegador ou programa use um endereço de outro país, por exemplo para conferir como a sua própria loja online mostra preços em outro mercado, um proxy muda a rota apenas daquele programa. Os Proxies residenciais oferecem endereços de conexões residenciais no país e na cidade que você escolher, e os Proxies SOCKS5 funcionam em qualquer programa com um campo SOCKS5. A comparação está em Diferença entre proxy e VPN. Um proxy não substitui a VPN do seu empregador nem criptografa o seu tráfego no Wi-Fi público; para esses casos, conserte a VPN.

Nível avançado: verifique se o servidor VPN pode ser alcançado#

Esta seção é para quem tem familiaridade com a linha de comando. O Windows PowerShell consegue testar se um servidor responde em uma porta; troque example.com pelo endereço do seu servidor VPN e 443 pela porta que o seu provedor ou a equipe de TI usa:

Test-NetConnection example.com -Port 443

Quando o servidor pode ser alcançado, a saída (resumida aqui) fica assim:

ComputerName     : example.com
RemoteAddress    : 104.20.23.154
RemotePort       : 443
TcpTestSucceeded : True

Um aviso com Name resolution of … failed corresponde ao erro 868. TcpTestSucceeded : False significa que nada respondeu naquela porta, como no 809. True significa que o servidor pode ser alcançado, então confira os dados de login e o protocolo. O teste cobre só TCP; para WireGuard e IKEv2, que usam UDP, confie no teste do hotspot.

Erros comuns#

• Reinstalar tudo antes do teste do hotspot. Dois minutos em outra rede mostram se o dispositivo é mesmo o problema.
• Digitar a senha de novo e de novo. Muitos serviços bloqueiam a conta depois de várias tentativas com erro.
• Deixar o tipo de VPN em Automático quando você sabe qual tipo usar.
• Pausar o firewall e esquecer. Adicione uma exceção para o app de VPN.
• Tentar driblar as regras da rede do trabalho ou da escola. Na rede deles, vale a política deles.

Guia de decisão#

Perguntas frequentes#

Por que a minha VPN conecta nos dados móveis, mas não no Wi-Fi?#

Alguma coisa nessa rede Wi-Fi descarta o tráfego de VPN: uma página de login não concluída, uma configuração do roteador ou uma regra da rede. O seu dispositivo e a sua conta estão em ordem. Em casa, confira o roteador; em outros lugares, pergunte a quem administra a rede.

VPN que não conecta significa que ela foi bloqueada?#

Não necessariamente. Contas expiradas, relógios errados, servidores sobrecarregados e firewalls locais causam muitas falhas. Se a VPN falha só em uma rede, essa rede a recusa; se falha em todo lugar, olhe para o dispositivo, a conta ou o provedor.

O que é o erro 809 e como resolver?#

O servidor VPN não respondeu, e a Microsoft diz que um firewall, um dispositivo NAT ou um roteador no caminho pode não permitir conexões VPN. Tente outra rede primeiro; se funcionar, confira o VPN passthrough do roteador e o seu firewall. Em uma VPN do trabalho, avise a TI, porque o lado do servidor pode precisar das portas UDP 500 e 4500 abertas.

Por que a VPN diz que a minha senha está errada se ela está certa?#

Confira o Caps Lock, o idioma do teclado e o formato do nome de usuário; algumas VPNs do trabalho esperam dominio\usuario. Alguns provedores emitem credenciais de VPN separadas na página da sua conta. Uma conta expirada ou bloqueada dá o mesmo erro, o 691 no Windows.

Redefinir os ajustes de rede do iPhone apaga a minha VPN?#

Em parte. A Apple diz que isso remove os ajustes de VPN que não foram instalados por um perfil de configuração ou gerenciamento de dispositivos, então abra o app de VPN depois para configurá-la de novo. VPNs do trabalho instaladas por um perfil continuam lá.

Devo trocar o protocolo da VPN se ela não conecta?#

Em casa ou na rede de um hotel, tentar uma vez o outro protocolo do app é um teste razoável, porque algumas redes deixam passar um tipo de tráfego e outro não. Na rede do trabalho ou da escola, siga as regras do administrador.

Em resumo#

Uma VPN que não conecta para em uma de poucas etapas: o nome do servidor, o caminho de rede, a verificação de identidade, o login ou as regras do servidor. Confira a internet sem a VPN, a conta, a data e a hora, o app e o servidor e depois faça o teste do hotspot para separar o dispositivo da rede. O Wi-Fi do hotel precisa primeiro da página de login; as redes do trabalho e da escola seguem as próprias regras. No Windows, 868 aponta para o nome, 809 e 800 para o caminho, 789 para a verificação de segurança, 691 para a senha e 812 para uma regra do servidor. Se tudo o que você precisa é de um endereço de outro país em um programa, um proxy é a ferramenta mais simples; as opções estão na nossa página de proxy.