Como usar o OpenVPN e quando escolher

• Aparelhos que só falam OpenVPN: firmware de roteador (OpenWrt, Merlin, DD-WRT), NAS (Synology, QNAP), servidores Linux, sistemas antigos. O Hiddify não instala ali e o AnyConnect não tem cliente.
• Instalações sem ninguém por perto, que conectam ao ligar: a configuração é um único arquivo que as configurações de VPN do sistema conseguem iniciar no boot, sem mexer em interface nenhuma.
• Uso diário no celular e no notebook: o AnyConnect não precisa de importação e o Hiddify lida melhor com perda de pacotes; os dois são mais práticos no dia a dia. O OpenVPN tenta primeiro o UDP e, quando o UDP está bloqueado, passa automaticamente para o TCP, então continua conectado; nessas redes, o AnyConnect é mais rápido.
• Uma conta funciona com os três; não precisa escolher só um.

Escolha o seu sistema e siga as capturas de tela. O botão à direita toca o vídeo, e qualquer captura amplia quando você clica nela.

• iPhone e iPad não têm vídeo: instale o OpenVPN Connect oficial pela tabela da página do OpenVPN deste site, faça login e clique na bandeira de uma região para baixar o arquivo .ovpn dela, depois abra ou importe no cliente e conecte.
• Além do OpenVPN Connect, no Windows dá para usar o OpenVPN GUI e no macOS o Tunnelblick; todos leem o mesmo perfil.
• Os perfis de Windows, macOS, Android e iOS já trazem as credenciais, então não há nada para digitar; só o Linux pede o e-mail e a senha do site na primeira conexão.
• Um arquivo por região; baixe quantos precisar.

• Roteador OpenWrt: instale o luci-app-openvpn, envie o .ovpn, ative, e a rede local inteira passa pela rota. Um roteador com o firmware deste site pula essa etapa — é só fazer login com a conta.
• NAS Synology: Control Panel → Network → Network Interface → Create → VPN → OpenVPN (via importing a .ovpn file) (no DSM em português: Painel de Controle → Rede → Interface de rede → Criar → VPN → OpenVPN, importando o arquivo .ovpn). Marque “Use default gateway on remote network” (usar o gateway padrão da rede remota) só se o tráfego de saída do NAS deve passar pela rota; deixe desmarcado se você só quer que o NAS fique acessível.
• NAS QNAP: QVPN → VPN Client → Add → OpenVPN (cliente VPN → adicionar), e importe o arquivo.
• Desktop Linux: Configurações de rede → VPN → Importar de arquivo (Network settings → VPN → Import from file). Pela linha de comando (instale antes o pacote openvpn no Debian/Ubuntu): openvpn --config <file> Para iniciar no boot, coloque o arquivo em /etc/openvpn/client/ e ative a unidade systemd correspondente.

Conectado de dentro da China, todo o tráfego sai para o exterior, e os sites chineses ficam lentos com o desvio. Este site oferece uma ferramenta “China direto”: baixe, dê dois cliques, e os IPs chineses vão direto enquanto todo o resto passa pela rota — a mesma ferramenta serve para as seções do Cisco e do OpenVPN. A rede local já vai direto e não precisa de nada.

Quem está no exterior deve ignorar essa ferramenta — ela manda os sites chineses por fora da rota, o contrário do que é preciso para assistir a vídeos chineses.

Para regras mais finas (por domínio, por aplicativo), use a opção do roteador ou as regras de roteamento do Hiddify.

1. Tente o perfil de outra região. Se outra região conectar, aquele servidor está temporariamente inacessível.
2. Leia o log. AUTH_FAILED quer dizer credenciais erradas ou conta vencida; um tempo esgotado no UDP seguido de conexão bem-sucedida por TCP quer dizer que a sua rede restringe o UDP — funciona, só que mais devagar; TLS handshake failed / TLS key negotiation failed tanto no UDP quanto no TCP quer dizer que o servidor está inacessível a partir dessa rede — troque de rede ou de região; depois de trocar a senha, baixe o perfil de novo, porque a senha do antigo não vale mais.
3. Troque de rede. Se a internet de casa falhar, tente uma vez os dados móveis, e vice-versa; em redes de faculdade e de escritório que bloqueiam o UDP, o OpenVPN passa para o TCP e ainda conecta, mas devagar — se ficar lento demais, mude para o AnyConnect sobre TLS.
4. Atualize o cliente. Clientes OpenVPN antigos não entendem as configurações de criptografia mais novas e mostram erros de importação ou falhas de conexão.
5. Depois que a conta vence, o servidor encerra a sessão; reconecte depois de renovar, o perfil continua válido.

O perfil carrega as suas credenciais — ele é a conta. Não mande para outras pessoas nem publique em lugar nenhum. Se vazar, troque a senha no site: os arquivos antigos param de funcionar na hora; depois baixe de novo.

O próprio handshake é criptografado: sem a chave que está no seu perfil, ninguém consegue nem começar um, então os servidores ficam invisíveis para quem faz varredura. É também por isso que clientes antigos precisam ser atualizados — as versões do OpenVPN anteriores à 2.5 não suportam esse handshake.

A criptografia é AES-256-GCM, de força comparável à do AnyConnect.