O que é o PPTP?
O PPTP, abreviatura de Point-to-Point Tunneling Protocol, é um dos protocolos VPN mais antigos. O Windows continua a incluir um cliente VPN PPTP, pelo que aí uma ligação PPTP não precisa de nenhuma aplicação adicional. O PPTP é rápido, mas a sua segurança é fraca. Os 7 protocolos do SHP.network não incluem o PPTP. Se quer um protocolo VPN moderno no seu próprio servidor, o SHP.network configura por si o WireGuard, o IKEv2 ou o OpenVPN no prazo de 10 minutos após o pagamento.
- Declarado obsoleto pela Microsoft para futuras versões do Windows Server
- Funciona sobre a porta TCP 1723, com os dados transportados dentro do GRE
- Código de ataque publicado recupera as credenciais de início de sessão MS-CHAP v2
Noções básicas do protocolo VPN PPTP
O protocolo PPTP foi uma das primeiras tecnologias VPN de uso generalizado. Engenheiros da Microsoft escreveram a especificação do PPTP, o RFC 2637, em conjunto com colegas da Ascend, 3Com, Copper Mountain Networks e ECI Telematics; foi publicada em julho de 1999. O RFC é informativo: documenta o protocolo, mas não faz dele uma norma da internet. Na configuração que o RFC descreve, um concentrador de acesso em linhas telefónicas PSTN ou ISDN transporta a sua sessão PPP (Point-to-Point Protocol) sobre IP até um servidor dentro da rede de destino. A Apple removeu o PPTP no iOS 10 e no macOS Sierra, e no Android 12 e versões posteriores o cliente integrado já não o disponibiliza.
Como funciona o PPTP
Um túnel PPTP é composto por quatro peças:
- O seu dispositivo abre uma ligação de controlo sobre TCP para a porta 1723 do servidor, e esse canal estabelece, mantém e encerra o túnel.
- Os dados circulam em separado, como tramas PPP dentro de uma versão alargada do GRE (Generic Routing Encapsulation, protocolo IP 47).
- O PPP faz a sua autenticação, normalmente com o MS-CHAP v2.
- A encriptação também vem do PPP, através do MPPE (Microsoft Point-to-Point Encryption), que usa a cifra RC4 com chaves de 40, 56 ou 128 bits.
Segurança do PPTP: porque é considerado inseguro
A segurança do PPTP tem vulnerabilidades conhecidas suficientemente graves para excluir o protocolo de qualquer uso privado.
O PPTP é seguro?
Não, para dados privados não. A Microsoft não recomenda o PPTP porque o protocolo carece de funcionalidades de segurança, e a Apple também o desaconselha. O principal argumento a favor do PPTP é a velocidade, e não compensa o risco. Os dois pontos fracos são a autenticação e a encriptação. O MS-CHAP v2, o método amplamente usado com o PPTP, tem fragilidades criptográficas conhecidas: em 2012, a Microsoft alertou que existe código de ataque publicado que recupera as credenciais do utilizador a partir de uma negociação de autenticação intercetada, capturada numa rede Wi-Fi aberta ou através de um ataque man-in-the-middle. O aviso recomendava envolver a autenticação em PEAP ou migrar para L2TP, IKEv2 ou SSTP. Com o MS-CHAP v2, o MPPE deriva as chaves de sessão iniciais da sua palavra-passe e usa o RC4, uma cifra proibida no TLS desde 2015 devido às suas fragilidades. O protocolo tem também lacunas próprias. A sua especificação admite que as mensagens de controlo não são autenticadas nem têm proteção de integridade. Os pacotes GRE que formam o túnel também não têm qualquer proteção criptográfica.
PPTP vs. outros protocolos VPN
Numa comparação PPTP vs L2TP ou PPTP vs OpenVPN, o PPTP ganha em velocidade e perde em segurança. O L2TP/IPsec, o IKEv2, o WireGuard e o OpenVPN são todos mais seguros, embora nenhum dos cinco resista bem a DPI.
| PPTP | L2TP/IPsec | IKEv2 | WireGuard | OpenVPN | |
|---|---|---|---|---|---|
| Velocidade | alta | moderada: o duplo encapsulamento acrescenta sobrecarga | alta | alta | moderada |
| Segurança | fraca: as credenciais MS-CHAP v2 podem ser recuperadas | não recomendado pela Microsoft | norma IETF com anos de revisão por pares | protocolo formalmente verificado | auditado várias vezes, mais recentemente pela SRLabs em 2026 |
| Resistência a DPI | fraca: TCP 1723 e GRE | fraca: portas fixas UDP 500, 4500 e 1701 | fraca: portas UDP fixas 500 e 4500 | fraca: não foi concebido para contornar bloqueios | fraca: não foi concebido para contornar bloqueios |
| Integrado no sistema | Windows | Windows, macOS, iOS | Windows, macOS, iOS | através da aplicação WireGuard | através da aplicação OpenVPN Connect |
Quando é que o PPTP ainda é usado?
O PPTP sobrevive em configurações antigas que ainda não migraram para um protocolo mais recente:
- Servidores empresariais atualizados sem reinstalação para o Windows Server 2025, onde as configurações PPTP existentes continuam a funcionar e os clientes Windows se ligam como antes.
- Alguns routers que ainda oferecem um servidor VPN PPTP, entre eles os routers de viagem da TP-Link.
- Clientes Linux como o pptpclient, cujo próprio site classifica o PPTP como perigosamente inseguro, e o NetworkManager-pptp.
As novas instalações do Windows Server 2025 rejeitam ligações PPTP por predefinição, e a Microsoft declarou o protocolo obsoleto para versões futuras. Uma rede nova não deve começar com PPTP.
Alternativas modernas ao PPTP
Estas alternativas fazem parte dos protocolos VPN que o SHP.network instala no seu próprio servidor, pronto no prazo de 10 minutos após o pagamento.
Alta velocidade
O WireGuard é rápido, ao nível do PPTP. O seu tráfego circula pela porta UDP 51820, encriptado com ChaCha20-Poly1305. Uma prova feita com o Tamarin verifica formalmente o protocolo. Cada dispositivo tem o seu próprio par de chaves, como no SSH.
Integrado como o PPTP
O IKEv2 funciona com os clientes VPN integrados no Windows, macOS e iOS, pelo que nenhum destes sistemas precisa de uma aplicação adicional. O protocolo é rápido. No Android, o IKEv2 liga-se através da aplicação strongSwan.
Funciona em quase todo o lado
O OpenVPN funciona em Windows, macOS, iOS, Android e Linux, e muitos routers (incluindo modelos ASUS, MikroTik, GL.iNet e Keenetic) suportam-no no firmware de origem. O seu código foi auditado várias vezes, mais recentemente pela SRLabs em 2026.
Perguntas frequentes
Point-to-Point Tunneling Protocol. Um protocolo VPN especificado em 1999 que transporta o seu tráfego PPP dentro de pacotes GRE.
A porta TCP 1723 trata da ligação de controlo, enquanto os dados circulam em GRE (protocolo IP 47). Abrir apenas a porta PPTP não chega: a firewall também tem de deixar passar o GRE, já que esse protocolo não tem porta própria.
Sim, desde que o servidor VPN PPTP da sua empresa ainda aceite ligações: o Windows tem o cliente integrado. A Microsoft desaconselha o PPTP e recomenda o IKEv2 ou o SSTP. As novas configurações do Windows Server 2025 rejeitam o PPTP por predefinição, por isso fale com a sua equipa de TI sobre a mudança.
Mais rápido do que o L2TP/IPsec e o OpenVPN, e ao nível do IKEv2 e do WireGuard. O WireGuard oferece essa velocidade com criptografia moderna e um protocolo formalmente verificado.
O WireGuard para velocidade, o IKEv2 com os clientes VPN integrados no Windows, macOS e iOS, ou o OpenVPN, que também funciona em muitos routers. O SHP.network instala qualquer um destes protocolos no seu próprio servidor no prazo de 10 minutos após o pagamento.