VPN desconectada, internet ainda bloqueado: interruptor ou regra obsoleta?

O túnel fecha, o navegador para e todos os outros dispositivos na mesma Wi-Fi continuam funcionando, o que descarta o roteador. Esse padrão tem três donos plausíveis: um interruptor de segurança ao qual se ordenou bloquear, o estado deixado por um cliente removido e um resolvedor ou rota que nunca foi restaurado. Da janela do navegador parecem idênticos e exigem reparos diferentes. Decida qual você tem antes de executar uma redefinição de rede.

Dois bloqueios de internet muito diferentes

Um bloqueio deliberado é um recurso: enquanto não há túnel ativo, o cliente descarta o tráfego para que nada escape fora do caminho protegido. Um bloqueio acidental é uma regra, configuração de dispositivo ou resolvedor que sobreviveu à saída do cliente. Um é reparado conectando ou desativando a política de propósito; o outro, limpando o que ficou para trás.

A diferença aparece no erro, não no navegador. Um bloqueio deliberado costuma produzir uma recusa imediata ou um travamento silencioso, enquanto um resolvedor residual produz uma falha de resolução de nomes que persiste mesmo quando um ping para um endereço literal funciona. Nenhum dos dois é o mesmo que uma conexão Wi-Fi quebrada, que afetaria também os outros dispositivos. Ordene as verificações por essa diferença: primeiro um endereço literal, depois um nome.

O que o cliente prometeu ao desconectar

Leia as configurações do próprio cliente para entender o significado de desconectar, porque muitos produtos separam uma pausa de uma parada completa. Uma pausa mantém o bloqueio por projeto, enquanto uma parada pode removê-lo. Algumas plataformas móveis expressam a mesma ideia como uma regra sempre ativa que bloqueia o tráfego quando não há VPN conectada.

Onde a organização exige proteção, o reparo é reconectar o perfil correto, não contornar o bloqueio. Verifique se o nome do servidor ainda é resolvido e se o endpoint é alcançável pelas exceções que a implantação documenta, pois uma reconexão falha parece exatamente um bloqueio persistente.

Estado obsoleto de uma remoção interrompida

Uma desinstalação interrompida, ou um pacote removido enquanto o túnel estava ativo, pode deixar para trás uma cadeia de firewall, uma regra de roteamento, uma entrada de resolvedor ou um adaptador virtual. O processo se foi e os efeitos não.

Comece pelo caminho de limpeza e reparo suportado pela aplicação e, depois, antes de excluir, identifique qual componente instalou cada objeto restante. Desligar o firewall do host restaura a navegação e remove ao mesmo tempo proteção não relacionada. Uma redefinição global de rede é pior, porque descarta configurações de escritório ou Wi-Fi que funcionam sem nomear a causa.

Se houver dois clientes instalados, decida qual possui a política. Dois donos é como um bloqueio sobrevive à remoção de ambos.

Verifique o estado desconectado, não apenas a navegação

A navegação voltar a funcionar é um teste de aceitação fraco. Verifique se a política exigida está intacta e se nada mais foi silenciosamente enfraquecido.

ip rule show
ip route show table all | grep -v '^default'
resolvectl status | head -n 20
sudo nft list ruleset | grep -A 6 'chain output'

Compare as regras de roteamento, o resolvedor e a política de firewall com a aparência de uma máquina desconectada limpa. Depois reconecte e desconecte pelo fluxo de trabalho normal e repita as leituras, para que o estado esperado seja escrito em vez de lembrado.

Guarde esse par antes-e-depois no ticket. A próxima pessoa que vir um navegador bloqueado precisará mais disso do que de outra opinião sobre qual cliente é melhor.