# Como configuro o WireGuard em um VPS? > Configure uma VPN WireGuard em uma VPS em 7 passos no Debian 13 ou no Ubuntu 24.04. O Ember, com 1 vCPU e 1 GB de RAM, a executa a partir de $3.74 por mês. - URL: https://gloamport.com/pt/guides/how-to-set-up-wireguard-on-a-vps/ - Última atualização: 2026-11-10 - Editor: Gloamport (https://gloamport.com) Um servidor WireGuard completo em uma VPS 1 GB, com os comandos exatos para o Debian 13 e o Ubuntu 24.04. **Resposta rápida — Como configuro o WireGuard em um VPS?** Para configurar o WireGuard em uma VPS, instale o pacote wireguard no Debian 13 ou no Ubuntu 24.04, gere um par de chaves com wg genkey, escreva /etc/wireguard/wg0.conf com uma ListenPort e inicie-o com wg-quick up wg0. Um plano Ember da Gloamport, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, o executa por $3.74 por mês em um período de 12 meses. ## O que preciso para configurar o WireGuard em uma VPS? | Item | Valor usado neste guia | | --- | --- | | Plano | Ember: 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic | | Preço | $3.74 por mês no período de 12 meses, $7.48 por mês no período de 1 mês | | Sistema | Debian 13 ou Ubuntu 24.04 | | Pacote | `wireguard` (instala `wg` e `wg-quick`) | | Arquivo de configuração | `/etc/wireguard/wg0.conf` | | Porta UDP | 51820 (a porta usada no guia rápido do WireGuard) | | Sub-rede do túnel | 10.8.0.0/24 (uma faixa privada escolhida para este guia) | *Preços verificados em 10 de novembro de 2026.* Os comandos vêm do guia rápido do WireGuard, da página de manual do wg-quick e da documentação do kernel, verificados em 2026-11-10. ## Qual plano da Gloamport roda um servidor WireGuard? O Ember basta para um servidor WireGuard: a Gloamport o indica para "Uma VPN WireGuard para alguns dispositivos". Ele tem 1 vCPU, 1 GB de RAM e 1 TB de tráfego por mês, e o WireGuard usa pouco dos dois primeiros. Segundo o levantamento da Gloamport sobre 10 de novembro de 2026, o preço mediano de uma VPS comparável de 1 vCPU e 1 GB em 32 hosts foi de $10.55 por mês. Não afirmamos ser os mais baratos em todos os tamanhos; o ponto é que um servidor de VPN não precisa de um plano grande. Virtualização KVM completa: seu próprio kernel, suas próprias regras de firewall e sua própria criptografia de disco, se você configurar. Para o lado da conta, veja [Como compro uma VPS com Monero (XMR)?](https://gloamport.com/pt/buy-vps-with-monero/ "Como compro um VPS com Monero (XMR)?"). ## Como configuro o WireGuard em uma VPS, passo a passo? Sete passos, de um login root novo até um túnel funcionando. 1. **Faça login e instale o WireGuard** — Abra uma sessão SSH como root na VPS nova e execute apt update e depois apt install wireguard. O pacote fornece wg e wg-quick. 2. **Gere as chaves do servidor** — Defina umask 077, depois crie uma chave privada e derive a chave pública dela. A chave privada nunca sai do servidor. 3. **Gere as chaves do cliente** — Faça o mesmo no seu notebook ou celular. Cada dispositivo tem seu próprio par de chaves; você troca apenas chaves públicas. 4. **Escreva o wg0.conf no servidor** — Dê ao servidor um endereço dentro da sub-rede do túnel, uma ListenPort, a chave privada dele e um [Peer] por dispositivo, com a chave pública desse dispositivo e um único endereço de túnel. 5. **Escreva a configuração do cliente** — Aponte Endpoint para o endereço IPv4 e a porta da VPS, defina AllowedIPs e acrescente PersistentKeepalive = 25 se o cliente estiver atrás de NAT. 6. **Inicie a interface** — Execute wg-quick up wg0 nas duas pontas e depois systemctl enable --now wg-quick@wg0 no servidor, para que ela volte após uma reinicialização. 7. **Verifique o handshake** — Execute wg show. Uma linha "latest handshake" abaixo do peer significa que as chaves coincidem e que a porta UDP está acessível. ## Como gero as chaves e escrevo a configuração do servidor? Gere as chaves com `wg genkey` e `wg pubkey`, com `umask 077` definido antes, para que o arquivo da chave privada seja legível somente pelo root. O guia rápido do WireGuard traz a mesma linha única usada abaixo. *Instale e gere o par de chaves do servidor* ```bash apt update apt install wireguard umask 077 wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub cat /etc/wireguard/server.pub ``` */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Como escrevo a configuração do cliente e inicio o túnel? Escreva um segundo arquivo no cliente com a própria chave privada, a chave pública do servidor e o endereço da VPS, depois ative-o com `wg-quick up`. A linha `AllowedIPs` decide qual tráfego entra no túnel: `10.8.0.0/24` envia somente o tráfego do túnel, `0.0.0.0/0, ::/0` envia tudo. *wg0.conf no notebook (túnel completo)* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 0.0.0.0/0, ::/0 PersistentKeepalive = 25 ``` *Inicie-o e verifique o handshake* ```bash # on the VPS wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show # on the laptop wg-quick up wg0 ``` ## Como encaminho todo o meu tráfego pela VPS? Para usar a VPS como saída de todo o seu tráfego, ative o encaminhamento IPv4 e adicione uma regra de masquerade no servidor. A documentação do kernel define `net.ipv4.ip_forward` como a chave que encaminha pacotes entre interfaces, e seu padrão é 0. O alvo MASQUERADE é válido somente na tabela nat, na cadeia POSTROUTING. Coloque as duas linhas na seção `[Interface]` do arquivo do servidor com `PostUp` e `PostDown`, que `wg-quick` executa no bash, e onde `%i` se expande para o nome da interface. Descubra antes o nome da interface pública com `ip route show default`, depois substitua `eth0` abaixo. *Linhas extras para a seção [Interface] do servidor* ```ini PostUp = sysctl -w net.ipv4.ip_forward=1 PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE ``` > **Abra a porta UDP e proteja as chaves** Permita a UDP 51820 no firewall que você executa na VPS, porque o WireGuard responde somente aos peers que conhece. Nunca cole uma chave privada em um chat ou em um chamado: se uma vazar, gere um novo par e substitua a chave pública na outra ponta. ## Como sei que o túnel WireGuard funciona? Execute `wg show` no servidor: um peer com um "latest handshake" recente e contadores de transferência diferentes de zero está conectado. Se o handshake nunca aparecer, confira se as duas chaves públicas estão do lado certo, se o endereço Endpoint é o endereço IPv4 da VPS e se a UDP 51820 está aberta. Quando funcionar, um Ember de 12 meses a $3.74 por mês cobre uma VPN pessoal para alguns dispositivos, como diz a descrição do plano. Compare esse caminho com um comercial em [Uma VPN própria em uma VPS é melhor que um serviço de VPN?](https://gloamport.com/pt/self-hosted-vpn-vs-vpn-service/ "Uma VPN auto-hospedada em uma VPS é melhor do que um serviço de VPN?"). Se a outra ponta for um servidor doméstico atrás de um CGNAT de operadora, continue com [Como conecto minha rede doméstica a uma VPS com WireGuard (atrás de CGNAT)?](https://gloamport.com/pt/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ "Como conecto minha rede doméstica a um VPS com WireGuard (atrás de CGNAT)?"). Depois, feche a VPS com [Como reforço o SSH em uma VPS nova?](https://gloamport.com/pt/guides/how-to-harden-ssh-on-a-vps/ "Como reforço o SSH em uma VPS nova?"). **Resumo** - Instale `wireguard` com apt no Debian 13 ou no Ubuntu 24.04. - Crie as chaves com `umask 077` e `wg genkey | tee … | wg pubkey`. - O arquivo do servidor precisa de Address, ListenPort, PrivateKey e um Peer por dispositivo. - O arquivo do cliente precisa da chave pública do servidor, de Endpoint e de AllowedIPs. - `PersistentKeepalive = 25` mantém aberto um mapeamento NAT. - O uso de túnel completo precisa de `net.ipv4.ip_forward=1` e de uma regra MASQUERADE. - O Ember custa $3.74 por mês no período de 12 meses. ## WireGuard em uma VPS: perguntas frequentes ### Qual porta o WireGuard usa? O WireGuard usa a porta UDP definida por ListenPort na configuração. O exemplo do guia rápido usa 51820, e este guia faz o mesmo. Abra essa porta no seu firewall. ### O Ember é grande o suficiente para o WireGuard? A Gloamport indica o Ember (1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic) para uma VPN WireGuard de alguns dispositivos. O limite de tráfego de 1 TB por mês é o que você deve observar. ### O que faz o PersistentKeepalive? Ele envia um pacote a cada N segundos para que um dispositivo NAT mantenha o mapeamento aberto. O guia rápido do WireGuard chama 25 segundos de intervalo sensato, e 0 o desativa. ### Como inicio o WireGuard na inicialização? Execute `systemctl enable --now wg-quick@wg0`. O pacote wireguard-tools do Debian traz a unidade `wg-quick@.service`. ### Posso adicionar um segundo dispositivo depois? Sim. Gere um par de chaves no novo dispositivo, acrescente outro bloco `[Peer]` com a chave pública dele e um novo endereço de túnel, como 10.8.0.3/32, depois recarregue com `wg syncconf wg0 <(wg-quick strip wg0)`. ## Fontes 1. [Guia rápido do WireGuard](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Página de manual wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [Lista de arquivos do pacote wireguard-tools (trixie)](https://packages.debian.org/trixie/amd64/wireguard-tools/filelist) — Debian (checked 2026-11-10) 4. [sysctl de IP: ip_forward](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) 5. [iptables-extensions(8): MASQUERADE](https://manpages.debian.org/trixie/iptables/iptables-extensions.8.en.html) — Debian (checked 2026-11-10) --- Gloamport: A Gloamport é um provedor de VPS que vende servidores Linux KVM sem KYC, pedidos com número de conta e pagos em cripto, Monero em primeiro lugar; é operada pela DomaineGoat LLC, empresa registrada no Panamá. Um pedido pede um plano, uma moeda e, só se você quiser, um endereço de e-mail: sem nome, sem endereço postal, sem telefone e sem documento de identidade. No prazo de 12 meses, cada plano custa pelo menos 25% menos que um plano comparável nomeado, de uma pesquisa com 38 hosts de VPS cripto sem KYC lida em 10 de novembro de 2026.