Como configuro o WireGuard em um VPS?

O que vai no wg0.conf do servidor?

O arquivo do servidor contém a chave privada do servidor, seu endereço de túnel, a porta de escuta, as regras de NAT e um bloco [Peer] por dispositivo. O heredoc abaixo preenche as duas chaves a partir dos arquivos criados no passo 3. Substitua eth0 pela interface do passo 4 antes de rodar.

O WireGuard identifica cada dispositivo pela sua chave pública: um pacote só é aceito se for assinado por uma chave conhecida e vier do AllowedIPs desse peer.

cd /etc/wireguard
cat > wg0.conf <<EOF
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = $(cat server.key)
# Forward tunnel traffic and hide it behind the VPS address (eth0 = your interface)
PostUp = iptables -I FORWARD -i %i -j ACCEPT
PostUp = iptables -I FORWARD -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostUp = iptables -t nat -I POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

[Peer]
# phone
PublicKey = $(cat phone.pub)
AllowedIPs = 10.8.0.2/32
EOF
chmod 600 wg0.conf

O que vai na configuração do cliente?

O arquivo do cliente contém a chave privada do dispositivo, seu endereço de túnel, um servidor DNS e a chave pública e o endereço do servidor. AllowedIPs = 0.0.0.0/0, ::/0 envia todo o tráfego para o túnel, IPv6 incluído, então nada vaza para fora dele. Com o servidor somente IPv4 acima, o tráfego IPv6 simplesmente para, e a maioria dos apps volta para IPv4.

cd /etc/wireguard
cat > phone.conf <<EOF
[Interface]
PrivateKey = $(cat phone.key)
Address = 10.8.0.2/32
DNS = 9.9.9.9

[Peer]
PublicKey = $(cat server.pub)
Endpoint = YOUR_VPS_IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
EOF

# Phone: scan this QR code in the WireGuard app
apt install -y qrencode
qrencode -t ansiutf8 < phone.conf

# Linux computer: copy phone.conf to /etc/wireguard/, then
# wg-quick up phone

Preciso abrir uma porta no firewall?

Somente se um firewall rodar na VPS: ele precisa liberar a entrada UDP 51820 e deixar o tráfego do túnel passar. Com ufw, rode ufw allow 51820/udp. As regras FORWARD em wg0.conf são inseridas no topo da chain, à frente da política padrão DROP que ufw define para o tráfego roteado. Mantenha a porta 22 aberta antes de ativar qualquer firewall, ou você se tranca para fora.

Como adiciono outro dispositivo?

Cada dispositivo recebe seu próprio par de chaves, seu próprio endereço de túnel e seu próprio bloco [Peer]. Rode wg genkey | tee laptop.key | wg pubkey > laptop.pub em /etc/wireguard. Adicione um [Peer] com PublicKey definido para a nova chave pública e AllowedIPs = 10.8.0.3/32. Aplique sem derrubar os outros dispositivos: systemctl reload wg-quick@wg0, que executa wg syncconf. Monte laptop.conf como phone.conf, com Address = 10.8.0.3/32.

Como roteio IPv6 pelo túnel?

Adicione um intervalo IPv6 privado dos dois lados, encaminhe-o e faça NAT como no IPv4. Escolha um intervalo local único aleatório, como fd42:42:42::/64.

• Servidor: Address = 10.8.0.1/24, fd42:42:42::1/64, e no peer AllowedIPs = 10.8.0.2/32, fd42:42:42::2/128.
• NAT: copie as três linhas PostUp e PostDown com ip6tables e o intervalo IPv6.
• Cliente: Address = 10.8.0.2/32, fd42:42:42::2/128.
• Encaminhamento: adicione net.ipv6.conf.all.forwarding=1 em /etc/sysctl.d/99-wireguard.conf.

Verifique uma coisa antes. Com o encaminhamento ativado, o kernel Linux ignora anúncios de roteador a menos que accept_ra seja 2. Se sua VPS aprende sua rota IPv6 dessa forma, defina net.ipv6.conf.eth0.accept_ra=2 no mesmo arquivo.

Por que o túnel conecta, mas nenhum site carrega?

O handshake funciona, mas o tráfego para no servidor, quase sempre por um de quatro motivos.

• O encaminhamento está desligado: sysctl net.ipv4.ip_forward precisa mostrar 1.
• Interface errada na regra de NAT: compare eth0 em wg0.conf com ip route show default.
• Nenhum handshake: o IP ou a porta do endpoint está errado, ou um firewall bloqueia a UDP 51820.
• Os nomes não resolvem: o cliente não tem uma linha DNS funcionando, ou falta resolvconf em um cliente Linux.

Depois de cada ajuste, rode systemctl restart wg-quick@wg0 e teste de novo.

Qual VPS devo usar para WireGuard?

Qualquer VPS KVM com um endereço IPv4 funciona; o plano depende de quanto tráfego passa pelo túnel. A página sobre qual é o melhor VPS offshore para WireGuard compara planos, cotas e localizações. Os preços de cada plano estão em quanto custa um VPS offshore na OffshoreKVM. Antes de confiar nele para privacidade, leia o que seu provedor de VPS pode ver no seu servidor.