OpenVPN lento no Windows 11? 7 causas e como resolver na prática

Poucas coisas irritam mais um usuário corporativo do que abrir a VPN para trabalhar e ver tudo arrastando. No Windows 11, alguns comportamentos novos do sistema (e do próprio cliente OpenVPN) somam-se às causas clássicas de lentidão. Abaixo estão as 7 causas que mais aparecem no dia a dia e como tratar cada uma.

1. MTU mal ajustado (a causa nº 1)

Quando o tamanho do pacote (MTU) é maior do que o link suporta, os pacotes são fragmentados — e a performance despenca, especialmente em links com PPPoE. O sintoma clássico: a conexão estabelece normalmente, mas transferências grandes ou SSH/RDP ficam intermitentes.

No arquivo .ovpn do cliente, force valores menores:

tun-mtu 1400
mssfix 1360

Comece em 1400 e, se ainda houver problema, teste 1300. Para descobrir o valor ideal, use o ping com flag de não-fragmentação:

ping 8.8.8.8 -f -l 1472

Vá baixando o -l até parar de retornar “É preciso fragmentar o pacote”. Some 28 ao maior valor que passar — esse é o seu MTU real.

2. Criptografia pesada para o hardware

AES-256-GCM é seguro, mas se o servidor ou o cliente não tiverem aceleração AES-NI, a CPU vira gargalo. Verifique no servidor Linux:

grep -m1 aes /proc/cpuinfo

Se não retornar nada, considere AES-128-GCM (ainda seguro) ou habilite AES-NI na BIOS/hypervisor.

3. O DNS está vazando ou resolvendo errado

No Windows 11, o recurso de DNS é mais agressivo e às vezes ignora o DNS empurrado pela VPN. O efeito não é “lentidão de banda”, e sim demora para abrir sites — o que parece lentidão. Force o push do DNS no servidor:

push "dhcp-option DNS 10.8.0.1"
push "block-outside-dns"

A diretiva block-outside-dns é específica para Windows e resolve o vazamento na maioria dos casos.

4. Compressão legada ligada

A antiga comp-lzo além de inseseguir é contraproducente em tráfego já comprimido (vídeo, HTTPS). Remova-a dos dois lados e deixe a compressão desativada.

5. Antivírus inspecionando a interface TAP/Wintun

Soluções de endpoint às vezes inspecionam o tráfego da interface virtual, dobrando o trabalho. Teste desativar temporariamente a inspeção de rede do antivírus — se a velocidade voltar, crie uma exceção para a interface da VPN em vez de deixar desligado.

6. Use Wintun em vez de TAP

O driver Wintun (do projeto WireGuard, suportado pelo OpenVPN 2.5+) é bem mais eficiente que o TAP tradicional no Windows. No .ovpn:

windows-driver wintun

Em máquinas Windows 11 essa única mudança costuma render ganhos perceptíveis.

7. UDP vs TCP

Se o seu .ovpn usa proto tcp, você paga o preço do “TCP sobre TCP”, que degrada muito sob perda de pacotes. Sempre que o firewall permitir, use UDP:

proto udp

Só caia para TCP/443 quando o ambiente do cliente bloquear UDP.

Roteiro rápido de diagnóstico

1. Teste velocidade sem VPN para ter a linha de base.
2. Conecte a VPN e refaça o teste.
3. Ajuste MTU/mssfix primeiro — resolve a maioria.
4. Troque para Wintun + UDP.
5. Só então investigue criptografia e antivírus.

Na prática, em atendimentos de campo, a dupla MTU + Wintun resolve a grande maioria dos casos de OpenVPN lento no Windows 11. Comece sempre por aí antes de mexer em criptografia.

Precisa de uma VPN corporativa configurada do jeito certo, sem dor de cabeça? É exatamente o tipo de serviço que a Plataforma do TI entrega.