Como configuro o WireGuard em um VPS?

Qual plano da Gloamport roda um servidor WireGuard?

O Ember basta para um servidor WireGuard: a Gloamport o indica para "Uma VPN WireGuard para alguns dispositivos". Ele tem 1 vCPU, 1 GB de RAM e 1 TB de tráfego por mês, e o WireGuard usa pouco dos dois primeiros.

Segundo o levantamento da Gloamport sobre 10 de novembro de 2026, o preço mediano de uma VPS comparável de 1 vCPU e 1 GB em 32 hosts foi de $10.55 por mês. Não afirmamos ser os mais baratos em todos os tamanhos; o ponto é que um servidor de VPN não precisa de um plano grande. Virtualização KVM completa: seu próprio kernel, suas próprias regras de firewall e sua própria criptografia de disco, se você configurar. Para o lado da conta, veja Como compro uma VPS com Monero (XMR)?.

Como gero as chaves e escrevo a configuração do servidor?

Gere as chaves com wg genkey e wg pubkey, com umask 077 definido antes, para que o arquivo da chave privada seja legível somente pelo root. O guia rápido do WireGuard traz a mesma linha única usada abaixo.

apt update
apt install wireguard
umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
cat /etc/wireguard/server.pub

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of /etc/wireguard/server.key>

[Peer]
# laptop
PublicKey = <public key of the laptop>
AllowedIPs = 10.8.0.2/32

Como escrevo a configuração do cliente e inicio o túnel?

Escreva um segundo arquivo no cliente com a própria chave privada, a chave pública do servidor e o endereço da VPS, depois ative-o com wg-quick up. A linha AllowedIPs decide qual tráfego entra no túnel: 10.8.0.0/24 envia somente o tráfego do túnel, 0.0.0.0/0, ::/0 envia tudo.

[Interface]
Address = 10.8.0.2/24
PrivateKey = <private key of the laptop>

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# on the VPS
wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show

# on the laptop
wg-quick up wg0

Como encaminho todo o meu tráfego pela VPS?

Para usar a VPS como saída de todo o seu tráfego, ative o encaminhamento IPv4 e adicione uma regra de masquerade no servidor. A documentação do kernel define net.ipv4.ip_forward como a chave que encaminha pacotes entre interfaces, e seu padrão é 0. O alvo MASQUERADE é válido somente na tabela nat, na cadeia POSTROUTING.

Coloque as duas linhas na seção [Interface] do arquivo do servidor com PostUp e PostDown, que wg-quick executa no bash, e onde %i se expande para o nome da interface. Descubra antes o nome da interface pública com ip route show default, depois substitua eth0 abaixo.

PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Como sei que o túnel WireGuard funciona?

Execute wg show no servidor: um peer com um "latest handshake" recente e contadores de transferência diferentes de zero está conectado. Se o handshake nunca aparecer, confira se as duas chaves públicas estão do lado certo, se o endereço Endpoint é o endereço IPv4 da VPS e se a UDP 51820 está aberta.

Quando funcionar, um Ember de 12 meses a $3.74 por mês cobre uma VPN pessoal para alguns dispositivos, como diz a descrição do plano. Compare esse caminho com um comercial em Uma VPN própria em uma VPS é melhor que um serviço de VPN?. Se a outra ponta for um servidor doméstico atrás de um CGNAT de operadora, continue com Como conecto minha rede doméstica a uma VPS com WireGuard (atrás de CGNAT)?. Depois, feche a VPS com Como reforço o SSH em uma VPS nova?.