Existe sim um filtro que funciona mesmo se você ligar uma VPN, e ele não tenta adivinhar para onde o túnel vai. A resposta curta é mudar de camada: bloquear a VPN e o proxy antes do túnel abrir, fixar o DNS para não ser desviado, e deixar uma camada de tela no dispositivo julgar o que de fato aparece, algo que nenhum túnel esconde. É assim que a TKO’T empilha as três defesas, de graça, no Mac e no iPhone. Tudo aqui é defesa: o objetivo é fechar a rota, não ensinar a usá-la.
Por que os filtros de rede morrem dentro de um túnel
Um filtro de roteador ou um serviço de DNS funciona vendo os destinos do seu tráfego e recusando os ruins. A função inteira de uma VPN é tornar os destinos invisíveis para o que estiver entre você e a internet, e um proxy de web ou site espelho faz o mesmo dentro de uma aba. Nenhum dos dois é tecnologia maligna, mas os dois têm o efeito que importa aqui: o filtro que guardava a rede não consegue mais ver o que deveria julgar. Isso é um problema de posição, não de força. Um guarda no portão não inspeciona um caminhão lacrado, e guardar melhor no mesmo portão não conserta isso, e é por isso que a resposta nunca é uma lista de bloqueio mais longa no roteador. Você move o guarda para dentro.
Mude de camada, não de lista
Duas camadas no dispositivo, juntas, tornam a pergunta do túnel irrelevante:
- Antes do túnel abrir: bloqueie VPN e proxy como categorias, os apps de serem instalados, os sites de proxy e espelho de resolverem. O bloqueio por categoria importa porque esses serviços geram endereços novos todo dia; você bloqueia a família, não os membros.
- Depois que qualquer coisa passa: uma camada de tela no dispositivo julga o conteúdo que de fato é renderizado, lendo a tela em vez do endereço. Um túnel esconde de onde uma página veio; ele não esconde a página de quem está olhando, e a camada de tela fica exatamente aí, fechando a janela em menos de 80 milissegundos.
Essa segunda camada é o que responde à versão de Mac dessa busca, um bloqueio que pega o player de vídeo de verdade, não só domínios: na tela, uma janela de vídeo servida por um proxy é só conteúdo explícito renderizando, e ela é fechada como qualquer outra. O mesmo princípio aparece no mapa completo das portas laterais: quando o truque esconde o endereço, pare de brigar no endereço.
As duas camadas dividem o trabalho de um jeito que cobre as duas metades do problema:
| Camada | O que ela vence | Onde ela age |
|---|---|---|
| Bloqueio de categoria VPN/proxy | A instalação e os apps de túnel | Antes do túnel abrir |
| DNS fixado | A troca silenciosa de resolvedor | Na consulta de endereço |
| Camada de tela no dispositivo | Qualquer coisa que o túnel deixou passar | Na hora da renderização |
A leitura prática: as duas primeiras linhas tentam impedir o túnel, e a terceira torna o túnel irrelevante, porque julga o que aparece e não de onde veio.
Como bloquear proxies e sites espelho no computador
No Mac, a defesa tem duas frentes que se reforçam. Primeiro, o bloqueio por categoria de DNS recusa a massa conhecida de proxies e espelhos, e fixar o resolvedor com a documentação de um filtro familiar impede que um navegador escolha o próprio DNS por baixo dos panos, inclusive o DNS sobre HTTPS que os navegadores trazem. Segundo, numa conta diária padrão sem administrador, instalar um app de VPN ou trocar os ajustes de rede exige uma senha que você não tem. Ninguém digita todo espelho à mão, e ninguém deveria tentar: o bloqueio por categoria cobre a massa conhecida, e a camada de tela cobre o que foi registrado hoje de manhã. A mesma dupla responde ao acesso remoto: bloquear as categorias de desktop remoto e compartilhamento de tela fecha a porta de conectar a uma máquina sem filtro.
Como bloquear o tradutor usado como proxy
Um serviço de tradução reentrega uma página bloqueada a partir de um domínio permitido, então o endereço que o filtro vê é legítimo e a página passa. Uma lista de domínios não vence aqui, porque o domínio do tradutor é legítimo. A única coisa que fecha essa porta é a camada de tela que avalia o que de fato é renderizado, na hora da renderização, e fecha a janela independentemente de qual domínio permitido reentregou a página. É o mesmo conserto dos visualizadores de cache e dos encurtadores: julgue o destino e o conteúdo, não o endereço. Por isso a camada de tela não é um luxo, é a metade que pega tudo que a rede foi enganada a deixar passar.
Feche as portas antes de elas abrirem
Bloqueie a instalação no iPhone. As restrições da Apple podem bloquear a instalação de apps por completo, o que fecha a rota de baixar uma VPN no celular de um filho, ou no seu, e pelo controle parental o ajuste fica travado atrás de um código. Trave-o atrás de um código que outra pessoa guarda, e as regras de resistência a violação valem por inteiro.
Fixe o DNS. Um perfil de dispositivo pode fixar o resolvedor para que apps e navegadores não apontem as consultas para outro lugar em silêncio; a Apple documenta a carga de ajustes de DNS gerenciada que faz a escolha grudar. Junte a um resolvedor de filtragem familiar e o caminho padrão já está limpo antes de qualquer app carregar.
Trave o download da VPN de madrugada. Travar a tela à noite não basta se o app de VPN ainda pode ser baixado; a peça que segura é bloquear a instalação de apps no perfil, com o código na mão de outra pessoa, para que a madrugada não tenha como adicionar um túnel novo. E o espelhamento de tela para a TV da sala é só mais uma tela que o setup das telas além do celular deve cobrir: desative o espelhamento na TV ou restrinja quais aparelhos podem espelhar nela.
Como bloquear o espelhamento de tela do celular para a TV da sala
O espelhamento é uma porta lateral própria: mesmo uma TV travada pode virar tela para conteúdo não filtrado jogado nela de um celular, por cast ou espelhamento, então o bloqueio da TV é furado se você esquecer dessa rota. O conserto tem dois passos. Primeiro, na TV, desative o espelhamento ou restrinja quais aparelhos podem espelhar nela, para que um celular qualquer não possa transmitir. Segundo, lembre que o celular que espelha já deveria estar dentro da própria parede, porque o conteúdo precisa renderizar nele antes de ir para a TV, e a camada de tela o fecha na origem. Fechar o espelhamento na TV mais a camada de tela no celular cobre a rota dos dois lados, e a credencial dos ajustes da TV fica com quem não está em risco à meia-noite.
Para pais: pare de caçar o roteador
Se o seu filho fica dando a volta nos limites do roteador, você está perdendo um jogo fora de casa: o roteador não vê os dados móveis, não para um túnel, e reinicia a disputa toda vez que ele aprende mais um truque que você. Mova o bloqueio para o próprio aparelho, onde ele vai montado em toda conexão, e torne-o resistente a violação com o código de desbloqueio no seu bolso, não no dele. Uma nota honesta para todos, pais inclusive: bloquear toda VPN da Terra é uma corrida armamentista que você não precisa vencer. Você precisa que a rota do túnel seja mais lenta e mais barulhenta do que o desejo é longo, enquanto a camada de tela faz o prêmio sumir mesmo quando uma rota funciona. Essa combinação encerra o jogo sem exigir perfeição de nenhuma parede sozinha.
Por onde começar, em ordem
Quatro frentes parecem muito, então feche na ordem de maior alavanca. Primeiro, entregue o código de desbloqueio a outra pessoa, porque sem isso bloquear a instalação de uma VPN é uma sugestão que você mesmo levanta. Segundo, trave a instalação de apps, que de uma vez fecha a VPN, o proxy e o navegador novo de chegarem. Terceiro, fixe o DNS de filtragem e trave o ajuste, para o caminho padrão já estar limpo e o resolvedor não ser desviado. Quarto, adicione a camada de tela, que torna o túnel irrelevante ao julgar o que aparece. As frentes de rede e de tela cobrem dois lados do mesmo problema, e fazê-las nessa ordem tira a rota fácil da mesa antes de você terminar. Você não precisa vencer toda VPN da Terra; precisa que a rota do túnel seja mais lenta que o desejo e que o prêmio suma quando uma rota funciona.
O limite honesto
Nenhuma defesa de túnel é hermética, e um bloqueador é suporte, não terapia. Uma pessoa muito determinada, com um segundo aparelho ou um serviço que você nunca viu, ainda encontra uma volta; o que essa dupla fecha é a rota rápida e silenciosa que o desejo de fato usa. Combine as camadas técnicas com uma pessoa para conversar a parte que a parede não resolve, e se o uso está prejudicando seriamente a sua vida, traga ajuda profissional ao lado das camadas, não no lugar delas.
Perguntas frequentes (FAQ)
Existe algum filtro que funciona mesmo se eu ligar uma VPN? Sim, se ele não depender de ver para onde o tráfego vai. Bloqueie a VPN e o proxy como categorias antes do túnel abrir e fixe o DNS para não ser desviado, e por cima rode uma camada de tela no dispositivo que julga o que de fato é renderizado, porque um túnel esconde de onde a página veio, mas não a esconde de quem está olhando. A TKO’T empilha as três de graça, no Mac e no iPhone, e fecha a janela em menos de 80 milissegundos quando algo passa.
Como bloqueio proxies e sites espelho no computador para não burlar o bloqueio? Por duas frentes: o bloqueio por categoria de DNS recusa a massa conhecida de proxies e espelhos e fixar o resolvedor impede o navegador de escolher o próprio DNS, e numa conta padrão sem administrador instalar um proxy ou trocar a rede exige uma senha que você não tem. Ninguém digita todo espelho à mão; a categoria cobre a massa e a camada de tela cobre o que foi registrado hoje.
Como travo o celular para não baixar VPN de madrugada? Bloqueie a instalação de apps no perfil de restrições, com o código na mão de outra pessoa, para que a madrugada não tenha como adicionar um túnel novo. Travar a tela ajuda, mas a peça que segura é tirar a capacidade de instalar, e no iPhone o controle parental tranca esse ajuste atrás do código. Por baixo, o DNS fixado garante que, mesmo sem VPN nova, o caminho padrão já esteja filtrado.
Como bloqueio o uso do tradutor como proxy para acessar sites? Uma lista de domínios não pega, porque o domínio do tradutor é legítimo. A única coisa que fecha essa porta é a camada de tela que avalia o que de fato é renderizado e fecha a janela independentemente de qual domínio permitido reentregou a página. Julgue o destino e o conteúdo, não o endereço, que é o mesmo conserto dos visualizadores de cache e dos encurtadores de link.
Como bloqueio o acesso remoto a outro computador para não ver besteira? Bloqueie as categorias de desktop remoto e compartilhamento de tela no aparelho protegido, para que a máquina sem filtro não seja alcançável, e use uma conta sem administrador para o cliente de acesso remoto não ser instalado. A camada de tela é a rede de segurança, porque a tela da máquina remota se renderiza no seu monitor e ali pode ser julgada e fechada como qualquer outra janela.