Como o HopFox VPN funciona

Esta página descreve apenas o que está funcionando hoje. Quando algo muda, a mudança aparece aqui e nas notícias.

O protocolo: VLESS Reality

O HopFox VPN conecta com VLESS sobre a porta TCP 443, envolto em Reality, usando o motor de código aberto Xray-core (versão 26.3.27 nos servidores e em cada app).

A porta 443 é a porta do HTTPS, e o Reality faz a conexão parecer exatamente uma sessão TLS 1.3 com um site público conhecido: o handshake é real, o certificado pertence a esse site, e não há nada nos primeiros pacotes que diga "VPN". Equipamentos de filtragem que reconhecem e desaceleram protocolos VPN convencionais veem tráfego web normal. Só um cliente que conhece a chave do servidor recebe um túnel; qualquer outro que se conecte ao mesmo endereço é encaminhado de forma transparente ao site real e vê uma página normal.

Por que o escolhemos:

• Indistinguível do HTTPS. Não há um handshake próprio para identificar nem uma porta específica de VPN. É a propriedade que mais nos importa, porque decide se o app funciona na rede em que você estiver.
• Sem certificados para confiar. O Reality toma emprestada a identidade TLS de um site real, então não há nada para instalar ou aprovar no telefone, e nada que possa ser revogado.
• Rápido. Com o XTLS Vision, dados de aplicativos que já estão cifrados com TLS não são cifrados uma segunda vez, então o túnel adiciona muito pouca sobrecarga. A latência é a mesma de uma conexão direta com o servidor.
• Código aberto e auditado por muitos olhos. O Xray-core é desenvolvido abertamente; usamos a versão mais recente e não modificamos o protocolo.

Automatic é o padrão: o app escolhe entre os dois para cada rede. Reality é a escolha certa quando a rede é hostil. Desde a versão 0.5.0 existe uma segunda opção, descrita abaixo.

O segundo protocolo: AmneziaWG

AmneziaWG é o WireGuard com ofuscação: o mesmo túnel UDP rápido, mas o handshake recebe preenchimento e é precedido de pacotes de lixo, por isso equipamentos de filtragem não o reconhecem como WireGuard. Funciona na porta UDP 443 em todas as localizações, ao lado do Reality, com o motor de código aberto amneziawg-go nos servidores e nos apps.

Quando escolhê-lo: numa boa rede costuma ser mais rápido e ter menos latência do que um túnel TCP, e mantém a conexão enquanto o telefone alterna entre Wi-Fi e dados móveis. Quando ficar no Reality: quando o UDP está bloqueado ou limitado, o que é comum em redes corporativas e em algumas redes móveis; o Reality usa TCP e passa por HTTPS. A escolha fica em cada app, em Settings, Protocol. Automatic, o padrão, sempre conecta primeiro com o Reality, então numa rede filtrada nada é enviado por UDP. Se o Reality não passa numa rede, o app tenta o AmneziaWG uma vez e lembra por uma semana qual protocolo funciona ali.

Nos apps

No Android o app registra uma interface VPN do sistema, então todo app do telefone passa pelo túnel, DNS incluído. No Windows e no Linux um pequeno serviço auxiliar cria o adaptador do túnel, e todo o computador passa por ele; no Mac, o Reality funciona como proxy do sistema e o AmneziaWG como um túnel de verdade. Dentro de cada app uma cópia do Xray-core ou do amneziawg-go abre a conexão. A conversa do próprio app com o painel e a verificação do seu IP visível vão direto.

A latência é medida no seu dispositivo, não estimada do nosso lado: o app abre uma conexão com cada localização e cronometra. A escolha Automatic é simplesmente a localização com o menor número naquele momento. A lista não se reordena enquanto você olha; ela é atualizada uma vez por hora e quando você pede.

Nos servidores

• Servidores próprios, Debian 13, sempre atualizados. Dois processos em cada um: Xray-core na porta TCP 443 e amneziawg-go na porta UDP 443.
• O registro fica limitado a avisos e vai para a memória, não para o disco. Nada sobre usuários é gravado no armazenamento de um servidor.
• Um pequeno agente em cada servidor conversa com o nosso painel: quais contas são permitidas, quantas estão online, quanto tráfego passou. Esse é todo o modelo de dados.
• O painel conhece o seu número de conta, o plano, a quantidade de dispositivos e o horário das conexões. Ele não sabe o que você faz dentro do túnel.

Contas sem identidade

Na primeira abertura, o app gera uma chave no seu dispositivo e pede ao painel um número de conta. Esse número é a conta. Sem e-mail, sem número de telefone, sem senha: não há nada para vazar nem para redefinir. Se quiser a mesma conta em um segundo dispositivo, você digita o número lá. Se apagar a conta, o painel fecha o número e todo dispositivo vinculado perde o acesso de imediato.

O que ainda não existe

• App para iPhone: em desenvolvimento.

Atualizado em 26 de outubro de 2026.