Como Configurar o Split Tunneling de VPN via PowerShell no Windows 11

Você quer enviar apenas tráfego específico pela sua conexão VPN, deixando o restante usar sua conexão normal com a internet. Isso é chamado de split tunneling. O Windows 11 oferece suporte nativo a split tunneling, mas o aplicativo Configurações não expõe as opções de configuração. Você precisa usar o PowerShell para definir qual tráfego passa pelo túnel VPN e qual tráfego permanece na rede local.

A Microsoft adicionou suporte a split tunneling de VPN no Windows 11 por meio do módulo VpnConnection do PowerShell. Este artigo explica como configurar o split tunneling usando os cmdlets Add-VpnConnectionRoute e Remove-VpnConnectionRoute. Você aprenderá a adicionar rotas para endereços IP ou sub-redes específicos, como excluir determinado tráfego da VPN e como verificar se a configuração funciona corretamente.

Ao final deste guia, você conseguirá controlar exatamente quais aplicativos e serviços usam o túnel VPN. Você também entenderá as diferenças entre forced tunneling e split tunneling, e como evitar erros comuns, como rotear todo o tráfego pela VPN acidentalmente.

O Que é Split Tunneling de VPN e Por Que Usar PowerShell

O split tunneling de VPN permite escolher qual tráfego de rede passa pelo túnel VPN e qual tráfego vai diretamente para a internet. Isso é o oposto do forced tunneling, onde todo o tráfego passa pela VPN. O split tunneling é útil quando você precisa de acesso VPN apenas para recursos específicos, como uma intranet corporativa, um banco de dados remoto ou um aplicativo na nuvem. Todo o restante do tráfego, como navegação na web, streaming e jogos online, permanece na sua conexão local, preservando largura de banda e reduzindo latência.

O Windows 11 oferece suporte a split tunneling por meio do cliente VPN integrado. No entanto, a interface gráfica em Configurações > Rede e internet > VPN permite apenas ativar ou desativar a conexão VPN. Você não pode adicionar ou remover rotas pelo aplicativo Configurações. O PowerShell fornece o módulo VpnConnection com cmdlets que permitem gerenciar rotas VPN diretamente. Você deve executar o PowerShell como administrador para fazer alterações nas configurações de conexão VPN.

Pré-requisitos para Configurar Split Tunneling

Antes de começar, verifique o seguinte:

• Você tem uma conexão VPN existente configurada no Windows 11. A conexão deve usar o cliente VPN integrado do Windows (IKEv2, SSTP, L2TP ou PPTP). Aplicativos VPN de terceiros, como OpenVPN ou WireGuard, não oferecem suporte aos cmdlets VpnConnection do PowerShell.
• Sua conta de usuário tem privilégios administrativos no dispositivo Windows 11.
• Você sabe o nome exato da sua conexão VPN conforme aparece em Configurações > Rede e internet > VPN.
• Você conhece os endereços IP ou sub-redes que deseja rotear pela VPN. Por exemplo, 10.0.0.0/8 para uma rede corporativa ou 192.168.1.100 para um servidor específico.

Passos para Adicionar Rotas de Split Tunneling Usando PowerShell

Siga estes passos para configurar o split tunneling na sua conexão VPN do Windows 11. Todos os comandos devem ser executados em uma janela elevada do PowerShell.

1. Abra o PowerShell como administrador
   Pressione a tecla Windows, digite PowerShell, clique com o botão direito em Windows PowerShell nos resultados da pesquisa e selecione Executar como administrador. Clique em Sim no prompt de Controle de Conta de Usuário.
2. Verifique o nome da sua conexão VPN
   Execute o comando Get-VpnConnection | Format-Table Name. Isso exibe todas as conexões VPN configuradas no dispositivo. Anote o nome exato da conexão que você deseja modificar. Por exemplo, o nome pode ser “VPN do Trabalho” ou “Túnel da Empresa”.
3. Adicione uma rota para uma sub-rede específica
   Execute o comando Add-VpnConnectionRoute -ConnectionName "Nome da Sua VPN" -DestinationPrefix 10.0.0.0/8 -PassThru. Substitua “Nome da Sua VPN” pelo nome real da conexão do passo 2. Substitua 10.0.0.0/8 pela sub-rede que você deseja rotear pela VPN. O parâmetro -PassThru exibe o objeto de conexão atualizado após a adição da rota.
4. Adicione uma rota para um único endereço IP
   Execute o comando Add-VpnConnectionRoute -ConnectionName "Nome da Sua VPN" -DestinationPrefix 192.168.1.100/32 -PassThru. A máscara /32 informa ao Windows para rotear apenas aquele único endereço IP pela VPN.
5. Verifique as rotas adicionadas
   Execute o comando Get-VpnConnection -Name "Nome da Sua VPN" | Select-Object -ExpandProperty Routes. Isso lista todas as rotas atualmente configuradas para split tunneling naquela conexão. Cada rota mostra o DestinationPrefix e a métrica.
6. Conecte-se à VPN e teste
   Abra Configurações > Rede e internet > VPN, selecione sua conexão VPN e clique em Conectar. Após conectar, use o comando ping para testar o tráfego para um endereço IP roteado: ping 10.0.0.1. Se a rota estiver funcionando corretamente, você deve receber uma resposta. O tráfego para endereços IP que não estão na lista de rotas passará pela sua conexão normal com a internet.

Removendo uma Rota de Split Tunneling

Se precisar remover uma rota, use o cmdlet Remove-VpnConnectionRoute. A sintaxe é idêntica à do Add-VpnConnectionRoute. Por exemplo:

Remove-VpnConnectionRoute -ConnectionName "Nome da Sua VPN" -DestinationPrefix 10.0.0.0/8 -PassThru

Após a remoção, execute Get-VpnConnection novamente para confirmar que a rota desapareceu.

Erros Comuns e Coisas a Evitar

Roteando Todo o Tráfego pela VPN por Engano

Se você adicionar uma rota para 0.0.0.0/0, o Windows roteará todo o tráfego da internet pelo túnel VPN. Isso efetivamente desativa o split tunneling e transforma sua conexão em forced tunneling. Use 0.0.0.0/0 apenas se você pretende enviar todo o tráfego pela VPN. Para split tunneling, sempre use sub-redes ou endereços IP específicos.

Nome da Conexão VPN Contém Espaços

Se o nome da sua conexão VPN contiver espaços, você deve colocar o nome entre aspas duplas no comando PowerShell. Por exemplo: -ConnectionName "VPN Contoso". Não usar aspas causa um erro de parâmetro.

Rotas Não São Aplicadas Imediatamente

As rotas adicionadas com Add-VpnConnectionRoute são armazenadas no perfil VPN. Elas entram em vigor somente após você se conectar à VPN. Se você adicionar rotas enquanto a VPN já está conectada, é necessário desconectar e reconectar para que as novas rotas sejam aplicadas.

Usando a Máscara de Rede Errada

O parâmetro DestinationPrefix requer uma notação CIDR válida. Para um único endereço IP, use /32. Para uma sub-rede Classe C, use /24. Para uma sub-rede Classe B, use /16. Usar uma máscara de rede incorreta pode rotear mais ou menos endereços IP do que o pretendido.

Clientes VPN de Terceiros Não São Suportados

O cmdlet Add-VpnConnectionRoute funciona apenas com conexões VPN criadas pelo cliente VPN integrado do Windows. Se você usa um aplicativo VPN de terceiros como NordVPN, ExpressVPN ou OpenVPN GUI, essas conexões não aparecem no Get-VpnConnection e não podem ser modificadas com esses cmdlets. Você deve configurar o split tunneling dentro do próprio aplicativo de terceiros.

Split Tunneling vs Forced Tunneling: Principais Diferenças

Item	Split Tunneling	Forced Tunneling
Roteamento de tráfego	Apenas o tráfego especificado passa pela VPN	Todo o tráfego passa pela VPN
Uso de largura de banda	Menor; o tráfego local ignora a VPN	Maior; todo o tráfego consome largura de banda da VPN
Latência	Menor para tráfego não-VPN	Maior para todo o tráfego devido ao salto da VPN
Segurança	Menos seguro; o tráfego local não é criptografado	Mais seguro; todo o tráfego é criptografado
Método de configuração	PowerShell Add-VpnConnectionRoute	Comportamento padrão da VPN; nenhuma rota necessária
Caso de uso	Acessar recursos corporativos específicos	Privacidade total ou geolocalização falsa

Esta tabela resume as principais diferenças. Escolha split tunneling quando precisar de acesso VPN para serviços específicos, mas quiser manter o tráfego local rápido. Escolha forced tunneling quando precisar que todo o tráfego seja criptografado.

Agora você sabe como configurar o split tunneling de VPN no Windows 11 usando PowerShell. Você pode adicionar rotas para sub-redes específicas ou endereços IP únicos, verificar a configuração com Get-VpnConnection e remover rotas quando não forem mais necessárias. Para gerenciamento avançado, considere criar um script PowerShell que adicione várias rotas de uma vez usando um loop ou importando rotas de um arquivo CSV. Essa abordagem economiza tempo ao configurar split tunneling em vários dispositivos na sua organização.