Como o firewall do Repel funciona sem ocupar a vaga da sua VPN

O Android tem uma regra que molda todo app de privacidade nele: só um app por vez pode usar o serviço de VPN. Se você paga por uma VPN de privacidade, ela ocupa essa vaga, e a maioria dos firewalls sem root precisa da mesma vaga pra funcionar. Aí as pessoas acabam escolhendo entre a VPN e o firewall. Quando começamos o Repel, não ter que escolher foi a primeira coisa que quisemos resolver.

Este texto explica em palavras simples como o firewall do Repel faz isso e como funciona o filtro de DNS.

Por que a maioria dos firewalls precisa da vaga da VPN?

Num celular sem root, um app comum não tem poder sobre o tráfego de rede de outros apps. O serviço de VPN do Android é a única porta que ele abre: um app que vira a VPN pode ver o tráfego e decidir o que fazer com ele. Um firewall feito assim consegue descartar o tráfego de qualquer app que você escolher. É um projeto inteligente, que funciona bem há anos, como descrevemos em Repel vs NetGuard.

O custo é a vaga. Enquanto esse firewall é a VPN, mais nada pode ser. Ligue sua VPN de privacidade e o firewall para, ou o contrário.

Como o Repel bloqueia apps sem uma VPN?

O próprio Android tem um botão que desliga a rede de um único app. Ele faz parte dos controles de rede do sistema e, no Android 13 e mais recente, pode ser acionado pelo shell do celular, o mesmo nível de acesso que as ferramentas de desenvolvedor têm. Apps comuns não chegam até ele, então o Repel precisa de um jeito de obter esse nível de acesso sem computador e sem root.

Esse jeito é o Modo Avançado. Uma vez, na configuração, você liga a Depuração sem fio e pareia o Repel com ela usando o código que o Android mostra no celular. Aí o Repel inicia um pequeno ajudante próprio com acesso ao shell. O ajudante faz uma lista curta e fixa de tarefas e nada além disso. Ele não aceita comandos arbitrários e confere cada nome de app que recebe.

Quando você desliga um app na aba Apps do Repel, o ajudante pede ao Android que desligue a rede daquele app. A partir daí, o bloqueio vive nas regras de rede do próprio Android, não num túnel. Isso traz algumas consequências de que gostamos:

• Sua VPN continua conectada. O firewall nunca toca no serviço de VPN, então uma VPN de privacidade pode rodar junto.
• As regras valem com o Repel fechado. O bloqueio está no sistema, então continua no lugar mesmo que o Repel não esteja rodando.
• Outros firewalls são respeitados. Alguns outros apps usam os mesmos controles do sistema. O Repel lê o que já está bloqueado antes de mudar qualquer coisa, então não desliga regras que outro app definiu.

O Pro adiciona regras mais inteligentes por cima, como online só no Wi-Fi, só nos dados móveis, nunca em roaming, com a tela apagada ou na hora de dormir, além de perfis para Casa, Trabalho e Viagem.

O que o filtro de DNS faz?

O firewall decide se um app pode ficar online. O filtro de DNS trabalha num nível mais fino: a quais lugares um app pode chegar.

Antes de um app se conectar a um servidor, ele pergunta o endereço do servidor pelo nome, por exemplo um domínio de rastreamento ou de análise. Essa pergunta é uma consulta de DNS. O filtro do Repel roda uma VPN local no celular que cuida das consultas de DNS e de mais nada. Cada consulta é conferida com as listas de bloqueio que você escolheu, como HaGeZi, OISD, 1Hosts ou StevenBlack, que cobrem rastreadores, malware, phishing, lojas falsas e telemetria de fabricantes de celular. Uma consulta bloqueada fica sem resposta, então o app nunca chega àquele domínio. Uma consulta permitida sai criptografada com DNS sobre HTTPS para o servidor que você escolheu.

O resto do seu tráfego nunca passa pelo filtro, e nada é enviado pra nós. O registro de atividade, que mostra qual app consultou qual domínio e se foi bloqueado, fica no celular.

Esta é a única camada que usa a vaga da VPN. O Android só deixa um app ver as consultas de DNS dos outros se elas passarem por ele, e o serviço de VPN é como isso se faz sem root. Então, se você usa uma VPN de privacidade o dia todo, a configuração prática é o firewall mais o DNS privado, que deixam a vaga livre.

Onde o DNS privado entra?

O Android tem uma configuração de DNS privado que envia todas as consultas, criptografadas, para um provedor que você escolhe. Escolha um provedor com filtro, como AdGuard DNS ou Quad9, e ele bloqueia domínios de rastreadores e malware do lado dele, para todos os apps, sem VPN. O Repel pode alternar essa configuração pra você em um toque, e ela continua funcionando com o Repel fechado. Nosso guia sobre DNS privado no Android explica a configuração com mais detalhe.

Teve um detalhe que precisamos acertar. Quando o DNS privado está definido para um provedor específico, as consultas vão direto a ele e passam por cima de qualquer filtro no celular. Então, enquanto o filtro do Repel está ligado, o Repel deixa de lado a sua escolha de DNS privado e a recoloca quando o filtro para. Qualquer mudança que você fizer nesse meio-tempo espera até lá.

O que acontece quando algo dá errado?

Um filtro de DNS fica no caminho de toda conexão, então as falhas dele importam mais que as da maioria. Se o servidor de DNS que o Repel usa cair, o filtro sai da frente em vez de deixar você sem conexão. O Repel também avisa quando a lista de bloqueio falha ao baixar, tenta de novo sozinho e explica o que fazer quando o Android não permite a VPN.

Também somos claros sobre o que um filtro de DNS não faz. Ele trabalha com nomes de domínio, então não consegue mexer em nada servido do mesmo lugar que o conteúdo que você pediu. No Android TV, por exemplo, ele não remove anúncios dentro de streams de vídeo. Ele bloqueia domínios de rastreadores e malware, e é assim que o descrevemos.

Quais camadas você deve usar?

Você pode usar uma camada ou as três. Nosso guia sobre bloquear rastreadores sem VPN mostra as configurações, e Repel vs RethinkDNS compara outra abordagem para o mesmo problema. Seja qual for a sua escolha, não há conta e não há anúncios, o que explicamos em por que nossos apps não têm anúncios.