OpenVPN lento no Windows 11? 7 causas e como resolver na prática

Poucas coisas irritam mais um usuário corporativo do que abrir a VPN para trabalhar e ver tudo arrastando. No Windows 11, alguns comportamentos novos do sistema (e do próprio cliente OpenVPN) somam-se às causas clássicas de lentidão. Abaixo estão as 7 causas que mais aparecem no dia a dia e como tratar cada uma.

1. MTU mal ajustado (a causa nº 1)

Quando o tamanho do pacote (MTU) é maior do que o link suporta, os pacotes são fragmentados — e a performance despenca, especialmente em links com PPPoE. O sintoma clássico: a conexão estabelece normalmente, mas transferências grandes ou SSH/RDP ficam intermitentes.

No arquivo .ovpn do cliente, force valores menores:

tun-mtu 1400
mssfix 1360

Comece em 1400 e, se ainda houver problema, teste 1300. Para descobrir o valor ideal, use o ping com flag de não-fragmentação:

ping 8.8.8.8 -f -l 1472

Vá baixando o -l até parar de retornar “É preciso fragmentar o pacote”. Some 28 ao maior valor que passar — esse é o seu MTU real.

2. Criptografia pesada para o hardware

AES-256-GCM é seguro, mas se o servidor ou o cliente não tiverem aceleração AES-NI, a CPU vira gargalo. Verifique no servidor Linux:

grep -m1 aes /proc/cpuinfo

Se não retornar nada, considere AES-128-GCM (ainda seguro) ou habilite AES-NI na BIOS/hypervisor.

3. O DNS está vazando ou resolvendo errado

No Windows 11, o recurso de DNS é mais agressivo e às vezes ignora o DNS empurrado pela VPN. O efeito não é “lentidão de banda”, e sim demora para abrir sites — o que parece lentidão. Force o push do DNS no servidor:

push "dhcp-option DNS 10.8.0.1"
push "block-outside-dns"

A diretiva block-outside-dns é específica para Windows e resolve o vazamento na maioria dos casos.

4. Compressão legada ligada

A antiga comp-lzo além de inseseguir é contraproducente em tráfego já comprimido (vídeo, HTTPS). Remova-a dos dois lados e deixe a compressão desativada.

5. Antivírus inspecionando a interface TAP/Wintun

Soluções de endpoint às vezes inspecionam o tráfego da interface virtual, dobrando o trabalho. Teste desativar temporariamente a inspeção de rede do antivírus — se a velocidade voltar, crie uma exceção para a interface da VPN em vez de deixar desligado.

6. Use Wintun em vez de TAP

O driver Wintun (do projeto WireGuard, suportado pelo OpenVPN 2.5+) é bem mais eficiente que o TAP tradicional no Windows. No .ovpn:

windows-driver wintun

Em máquinas Windows 11 essa única mudança costuma render ganhos perceptíveis.

7. UDP vs TCP

Se o seu .ovpn usa proto tcp, você paga o preço do “TCP sobre TCP”, que degrada muito sob perda de pacotes. Sempre que o firewall permitir, use UDP:

proto udp

Só caia para TCP/443 quando o ambiente do cliente bloquear UDP.

Roteiro rápido de diagnóstico

1. Teste velocidade sem VPN para ter a linha de base.
2. Conecte a VPN e refaça o teste.
3. Ajuste MTU/mssfix primeiro — resolve a maioria.
4. Troque para Wintun + UDP.
5. Só então investigue criptografia e antivírus.

Na prática, a dupla MTU + Wintun resolve a grande maioria dos casos de OpenVPN lento no Windows 11. Comece sempre por aí antes de mexer em criptografia.

Comandos úteis para diagnosticar a lentidão

Tenha estes à mão para investigar antes de mudar configurações no escuro:

# Descobre o MTU real do seu link (vá baixando o -l até parar de fragmentar)
ping 8.8.8.8 -f -l 1472

# Mostra as interfaces de rede e o MTU de cada uma
netsh interface ipv4 show subinterfaces

# Testa a latência até o servidor da VPN
ping SEU_SERVIDOR_VPN

# No servidor Linux: confirma se o processador tem aceleração AES
grep -m1 aes /proc/cpuinfo

Se o ping -f -l 1472 falhar com “É preciso fragmentar o pacote”, seu MTU é menor que o padrão — esse é o caminho mais comum para resolver a lentidão.

Perguntas frequentes

Por que a VPN conecta normal, mas tudo fica lento depois? Quase sempre é MTU. A conexão estabelece, mas pacotes grandes são fragmentados e a performance despenca. Ajustar tun-mtu e mssfix resolve a maioria desses casos.

Wintun ou TAP, qual usar no Windows 11? Wintun. É mais eficiente que o driver TAP tradicional e costuma melhorar bastante a velocidade. Use windows-driver wintun no arquivo .ovpn (OpenVPN 2.5+).

UDP ou TCP na VPN? UDP, sempre que o firewall permitir. TCP sobre TCP degrada muito sob perda de pacotes. Só use TCP/443 quando o ambiente bloquear UDP.

A criptografia deixa a VPN lenta? Pode, se o hardware não tiver aceleração AES-NI. Verifique no servidor; se faltar, considere AES-128-GCM (ainda seguro) ou habilite o AES-NI na BIOS/hypervisor.

O antivírus pode estar causando a lentidão? Sim. Algumas soluções inspecionam o tráfego da interface virtual, dobrando o trabalho. Teste criar uma exceção para a interface da VPN em vez de desligar a proteção.