Wireguard VPS Tutorial: Tuning de Kernel e Firewall

Configurar uma VPN robusta e de alta performance em um ambiente VPS (Virtual Private Server) exige mais do que apenas instalar o software. Para garantir throughput máximo, baixa latência e segurança adequada, é fundamental otimizar as configurações do kernel Linux e estruturar corretamente o firewall. Este tutorial foca na implementação do WireGuard, atualmente a solução de tunelamento mais eficiente para VPS modernos, abordando desde o tuning de rede até a configuração de regras de firewall seguras.

1. Preparação do Ambiente e Instalação

O primeiro passo é garantir que seu sistema esteja atualizado e que os repositórios necessários estejam disponíveis. O WireGuard está incluído nos kernels Linux modernos (5.6+), mas a instalação dos usuáriospace tools varia conforme a distribuição. Para este guia, utilizaremos uma base Debian/Ubuntu, que é comum em ambientes de desenvolvimento e produção.

Execute os comandos abaixo para atualizar o sistema e instalar as dependências básicas:

sudo apt update
sudo apt upgrade -y
sudo apt install wireguard resolvconf curl net-tools -y

Após a instalação, verifique se o módulo do kernel está carregado. Isso confirma que seu VPS suporta nativamente o protocolo:

modprobe wireguard
lsmod | grep wireguard

Se o comando lsmod retornar informações sobre o módulo, o ambiente está pronto para a geração de chaves criptográficas.

2. Geração de Chaves e Configuração Básica do Servidor

O WireGuard utiliza criptografia assimétrica. Você precisará gerar um par de chaves privada/pública para o servidor e, posteriormente, para cada cliente. Utilize a ferramenta wg genkey para isso.

Gere a chave privada do servidor:

sudo wg genkey | tee /etc/wireguard/private.key

A partir da chave privada, gere a chave pública correspondente:

sudo cat /etc/wireguard/private.key | sudo wg pubkey | tee /etc/wireguard/public.key

Agora, crie o arquivo de configuração principal do servidor em /etc/wireguard/wg0.conf. Este arquivo define a interface, as portas e os peers conectáveis.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = (cole aqui o conteúdo do private.key)
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Nota importante: Substitua (cole aqui o conteúdo do private.key) pelo valor real gerado. A diretiva PostUp configura regras temporárias de NAT e Forwarding para permitir que o tráfego passe pela VPN, mas configuraremos isso permanentemente via firewall nas etapas seguintes.

3. Tuning de Kernel para Alta Performance em VPS

Ao utilizar uma VPN própria com VPS, especialmente para uso intensivo ou site-to-site, as configurações padrão do kernel Linux podem limitar a velocidade e a estabilidade da conexão. O tuning de kernel ajusta parâmetros de memória, buffer e roteamento para lidar melhor com o tráfego encapsulado.

Crie um arquivo de configuração de sysctl em /etc/sysctl.d/99-wireguard.conf e insira as seguintes diretrizes:

# Habilita forwarding IP (essencial para VPN)
net.ipv4.ip_forward = 1

# Aumenta a memória do socket TCP para evitar congestionamento em conexões rápidas
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216

# Aumenta o tamanho da fila de conexões pendentes
net.core.netdev_max_backlog = 5000
net.core.somaxconn = 4096

# Otimizações específicas para WireGuard (UDP)
net.ipv4.udp_rmem_min = 16384
net.ipv4.udp_wmem_min = 16384

Para aplicar essas configurações imediatamente sem reiniciar o servidor, execute:

sudo sysctl --system

Essas otimizações são cruciais para quem busca performance comparável ao OpenVPN VPS Linux passo a passo tradicional, mas com overhead de CPU significativamente menor. Elas previnem gargalos de buffer que podem causar lentidão em transferências de arquivos grandes ou streaming via túnel privado.

4. Configuração Avançada do Firewall (UFW e Iptables)

A segurança do seu WireGuard depende estritamente da configuração correta do firewall. Diferente de outras soluções como ZeroTier auto hospedado ou SoftEther VPS Linux, o WireGuard não possui autenticação em nível de aplicação; a segurança reside toda na chave criptográfica e no bloqueio de portas não autorizadas.

Vamos utilizar o UFW (Uncomplicated Firewall), que é mais amigável para gerenciar regras em Ubuntu/Debian.

4.1. Regras Básicas do Firewall

Primeiro, garanta que o SSH e o DNS estejam acessíveis para manter a administração remota:

sudo ufw allow OpenSSH
sudo ufw allow 53
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

4.2. Liberando a Porta do WireGuard

O WireGuard utiliza UDP. É essencial liberar apenas a porta específica configurada no arquivo wg0.conf. No exemplo acima, utilizamos a porta 51820:

sudo ufw allow 51820/udp

Atenção: Nunca libere todas as portas UDP para o mundo. Isso expõe sua VPS a ataques de amplificação DNS e outras vulnerabilidades.

4.3. Ativando o Firewall e Testando

Ative o UFW e verifique o status:

sudo ufw enable
sudo ufw status verbose

O output deve mostrar a porta 51820/udp como ALLOW IN. Se você estiver configurando um cenário de VPN Site to Site Mikrotik VPS, certifique-se de que as portas correspondentes estejam abertas também no firewall do roteador Mikrotik para permitir o tráfego UDP bidirecional.

5. Configuração do Cliente e Conexão

Para estabelecer um túnel privado entre sua máquina local (ou outro VPS) e o servidor, você precisa da chave privada do cliente e da chave pública do servidor.

5.1. Gerando Chaves no Cliente

No seu computador ou na segunda VPS que atuará como cliente:

wg genkey | tee client_private.key
cat client_private.key | wg pubkey > client_public.key

5.2. Adicionando o Peer no Servidor

No arquivo /etc/wireguard/wg0.conf do servidor, adicione a seção [Peer] com a chave pública gerada no cliente:

[Peer]
# Chave Pública do Cliente
PublicKey = (chave_publica_do_cliente)
# Permitir acesso a toda a sub-rede 10.8.0.0/24
AllowedIPs = 10.8.0.2/32

O parâmetro AllowedIPs define quais IPs podem passar por esse peer. Para um cliente único, use /32. Se você quiser rotear todo o tráfego do cliente através da VPN (kill-switch effect), use 0.0.0.0/0, mas tome cuidado com a sobrecarga de roteamento.

5.3. Arquivo de Configuração do Cliente

Crie o arquivo wg.conf no cliente:

[Interface]
Address = 10.8.0.2/24
PrivateKey = (cole aqui a client_private.key)
ListenPort = 51821

[Peer]
PublicKey = (cole aqui o servidor_public_key)
AllowedIPs = 0.0.0.0/0 # Ou 192.168.0.0/16 se for apenas para LAN
Endpoint = (ip_do_seu_vps):51820
PersistentKeepalive = 25

A diretiva PersistentKeepalive é vital em VPS que podem estar atrás de NATs ou firewalls agressivos, garantindo que o túnel permaneça aberto.

6. Automação e Manutenção com Pivpn e Scripts

Embora a instalação manual ofereça controle total, administradores muitas vezes buscam ferramentas como install pivpn ubuntu para automatizar o processo de geração de clientes e gerenciamento de chaves. O PiVPN é uma solução popular que empacota o WireGuard com um menu interativo.

No entanto, para ambientes de infraestrutura crítica ou VPS dedicadas, recomenda-se a automação via scripts bash ou ferramentas como Ansible/Terraform. Isso garante consistência e versionamento das configurações, algo difícil de alcançar em instalações manuais simples.

Se você optar por manter o controle manual, utilize scripts para monitorar o status da interface:

sudo wg show
sudo wg-quick up wg0

O comando wg-quick gerencia o ciclo de vida da interface (up/down) e aplica automaticamente as regras de IPTables definidas no PostUp/PostDown do arquivo de configuração.

7. Considerações Finais sobre Segurança e Escalabilidade

Ao comparar soluções como OpenVPN VPS Linux passo a passo, SoftEther VPS Linux ou mesmo tecnologias mesh como ZeroTier auto hospedado, o WireGuard destaca-se pela simplicidade do código e eficiência criptográfica. Contudo, essa simplicidade exige rigor na configuração do firewall.

• Monitoramento: Utilize ferramentas como iftop ou nethogs para monitorar o tráfego através da interface wg0.
• Fail2Ban: Instale e configure o Fail2Ban para bloquear tentativas de conexão na porta UDP, protegendo contra scans e ataques de força bruta.
• DNS: Considere configurar um DNS resolver (como DoH ou DoT) dentro do túnel para evitar vazamentos de DNS (DNS leaks).

Para cenários complexos de VPN Site to Site Mikrotik VPS, certifique-se de que as tabelas de roteamento no Mikrotik apontem corretamente para o IP da sua VPS WireGuard e que as políticas de firewall no Mikrotik permitam o tráfego UDP na porta configurada.

Com estas configurações de tuning de kernel e firewall, você tem uma infraestrutura de VPN própria com VPS pronta para produção, oferecendo segurança de nível militar com a leveza necessária para ambientes cloud modernos.