Como Configurar WireGuard para várias Ligações VPN a partir de uma Rede privada

Quando vários utilizadores se conectam a partir da mesma rede privada atrás de NAT, L2TP só admite uma sessão simultânea.

Nesta guia instalas WireGuard, uma VPN de túnel encriptado, para aceitar vários clientes de uma vez sem os expor à Internet.

👍 O que obténs

Um servidor WireGuard na tua subscrição a aceitar várias ligações simultâneas a partir de uma rede privada, com a porta aberta no firewall de Plenit.

Por que WireGuard

L2TP por trás de NAT colapsa todas as conexões de uma mesma rede pública numa única sessão. WireGuard trabalha sobre UDP e trata a cada cliente como um peer independente com o seu próprio par de chaves, por isso vários utilizadores da mesma rede se ligam sem se atropelarem.

O modelo de chaves é como o do SSH: cada extremo tem uma chave privada (que guarda) e uma pública (que partilha com o outro lado).

Antes de começar

• Iniciar sessão na plataforma da Plenit com uma organização ativa.
• Ter uma subscrição de Servidores ou Desktop Remoto com um servidor Linux.
• Ter preparado o equipamento cliente onde instalarás WireGuard.

Passo 1. Instala WireGuard no servidor Linux

A instalação muda conforme a distribuição. Em CentOS, com utilizador root:

yum install yum-utils epel-release
yum-config-manager --setopt=centosplus.includepkgs=kernel-plus --enablerepo=centosplus --save
sed -e 's/^DEFAULTKERNEL=kernel$/DEFAULTKERNEL=kernel-plus/' -i /etc/sysconfig/kernel
yum install kernel-plus wireguard-tools
reboot

No Ubuntu, o comando base é:

sudo apt install wireguard

Gera o par de chaves do servidor: a privada fica no servidor e a pública será usada pelos clientes.

wg genkey | tee server_private.key | wg pubkey > server_public.key

Passo 2. Instala o cliente

Neste exemplo o cliente é Windows. Descarrega o instalador a partir do site da WireGuard e executa-o como administrador. Se o instalador principal falhar, usa o pacote MSI do cliente Windows.

{/* 📸 CAPTURA 1 · janela do WireGuard após a instalação no cliente */}

Instalação do WireGuard concluída no equipamento cliente

Passo 3. Cria o túnel no cliente

Com o WireGuard aberto, clica em Add Tunnel → Add empty tunnel…. O cliente gera o seu par de chaves e mostra uma configuração inicial que completas com esta estrutura:

[Interface]
PrivateKey = <CHAVE_PRIVADA_DO_CLIENTE>
Address = 10.0.0.2/32
DNS = 192.168.1.1

[Peer]
PublicKey = <CHAVE_PÚBLICA_DO_SERVIDOR>
AllowedIPs = 0.0.0.0/0
Endpoint = <IP_PÚBLICO_DO_SERVIDOR>:51820

Campo	O que indica
PrivateKey	Chave privada do cliente
Address	IP interno do cliente dentro do túnel (um intervalo privado, p. ex. 10.0.0.2/32)
DNS	Servidor DNS da rede
PublicKey	Chave pública do servidor WireGuard
AllowedIPs	Que tráfego é encaminhado pela VPN. Com 0.0.0.0/0 passa tudo; com uma sub-rede concreta, só essa
Endpoint	IP público e porta do servidor (UDP 51820)

{/* 📸 CAPTURA 2 · configuração do túnel concluída no cliente */}

Configuração final do túnel no cliente

Passo 4. Regista o cliente no servidor

O servidor só deixa passar os clientes que conhece. Adiciona o cliente à secção [Peer] da configuração do servidor, ou a quente com:

wg set wg0 peer <CHAVE_PÚBLICA_DO_CLIENTE> allowed-ips <IP_INTERNO_DO_CLIENTE>

Onde <CHAVE_PÚBLICA_DO_CLIENTE> é a chave gerada pelo cliente e <IP_INTERNO_DO_CLIENTE> o IP interno que usará no túnel (o mesmo Address do Passo 3).

Passo 5. Abre a porta no firewall da Plenit

WireGuard escuta em UDP 51820. Sem essa porta aberta, o cliente não liga, mesmo que o túnel esteja bem configurado. Na subscrição de Servidores, clica em Nova regra e configura-a:

1. Seleciona a rede pela qual o serviço se liga.
2. Define a origem das ligações. Se puderes, filtra os IP permitidos em vez de os abrir a todos.
3. Protocolo UDP.
4. IP público pelo qual o WireGuard se liga.
5. Porta pública 51820.
6. IP e porta privadas correspondentes.

{/* 📸 CAPTURA 3 · regra de firewall com protocolo UDP e porta 51820 */}

Regra de firewall para a porta UDP 51820 do WireGuard

👍 Filtra a origem sempre que puderes

Restringir os IP de origem na regra reduz a exposição face a deixar a porta aberta a toda a Internet.

Passo 6. Valida a ligação

Ativa o túnel no cliente. No servidor, confirma que há handshake com cada peer:

wg show

Um latest handshake recente e contadores de transfer a subir indicam que o túnel está ativo. A partir do cliente, verifica também que sais com o IP público do servidor.

Se não arrancar, revê:

• As chaves públicas do servidor e do cliente estão bem trocadas.
• O cliente está registado no servidor (secção [Peer] ou wg set).
• O firewall da Plenit permite UDP 51820.
• O Endpoint aponta para o IP público correto do servidor.

Limitações e segurança

• Este guia resolve o limite de sessões de L2TP quando vários utilizadores partilham uma rede privada atrás de NAT.
• WireGuard não basta instalá-lo: é preciso registar cada cliente no servidor e abrir a porta UDP 51820.
• Com AllowedIPs = 0.0.0.0/0, todo o tráfego do cliente passa pela VPN.
• Filtrar a origem no firewall reduz a superfície de exposição.

Conclusão

Com o WireGuard montado, uma rede privada atrás de NAT deixa de estar limitada a uma única sessão: cada utilizador entra como um peer próprio.

A chave da implementação são três peças que têm de encaixar: as chaves bem cruzadas entre cliente e servidor, o registo do peer no servidor e a porta UDP 51820 aberta. Para adicionar mais clientes, repete o registo do túnel no cliente (Passo 3) e o seu registo no servidor (Passo 4).