Acesso remoto seguro: VPN, WireGuard, Tailscale e por que não abrir portas

Por que não abrir portas no roteador

Dentro de casa, o roteador funciona como um porteiro que só deixa entrar quem foi chamado: seus aparelhos iniciam conexões para fora e recebem as respostas, mas ninguém de fora consegue iniciar uma conexão para dentro. É o NAT, descrito em Rede doméstica básica, e ele é, por acidente, a melhor proteção que a maioria das casas tem.

“Abrir uma porta” (encaminhamento de porta, port forwarding) é dizer ao porteiro: “tudo que chegar na porta 445 da internet, mande para o servidor”. A partir desse momento, o serviço que estava protegido pelo lado de dentro passa a atender qualquer um no planeta. E o planeta está interessado:

• Varreduras automáticas são permanentes. Programas percorrem todos os endereços da internet procurando portas abertas. Um serviço exposto é encontrado em horas, não em meses; não existe “ninguém vai achar o meu”.
• Serviços têm falhas. SMB, painéis de NAS, câmeras e até o SSH já tiveram vulnerabilidades que permitiam entrar sem senha. Dentro de casa, isso é um problema teórico; exposto, é uma invasão agendada.
• Senhas são adivinhadas por tentativa. Um painel exposto recebe milhares de tentativas de login por dia, com listas de senhas vazadas.
• Uma porta compromete a rede toda. Quem entra no servidor está dentro da sua rede local, de onde enxerga todos os outros aparelhos.

O que uma VPN faz de diferente

VPN, rede privada virtual, é um túnel criptografado entre o seu aparelho (onde quer que ele esteja) e a sua rede de casa. Para o celular no 4G, é como se ele tivesse puxado um cabo muito longo até o roteador: ele recebe um endereço da rede doméstica e passa a enxergar o servidor, a pasta compartilhada e o painel como se estivesse na sala. Para o resto da internet, nada mudou: nenhum serviço ficou exposto.

A diferença decisiva está em quem pode bater à porta. Com port forwarding, qualquer um tenta, e é o serviço (SMB, painel web) que precisa resistir. Com VPN, só aparelhos com uma chave criptográfica cadastrada conseguem iniciar a conversa; os demais recebem silêncio, como se não houvesse nada ali. A única coisa voltada para fora é um protocolo pequeno, auditado e feito para isso.

CGNAT: quando a operadora não lhe dá um IP público

Para que o celular encontre a sua casa pela internet, a casa precisa de um endereço público alcançável. Muitas operadoras brasileiras, principalmente nos planos de fibra residencial, não entregam mais um IP público exclusivo a cada cliente: elas colocam vários clientes atrás de um único endereço, num NAT da própria operadora. É o CGNAT (NAT de nível de operadora). O efeito prático: nada de fora consegue iniciar uma conexão até você, mesmo que o roteador esteja configurado para receber. Isso inviabiliza qualquer VPN que dependa de uma porta aberta em casa, como o WireGuard auto-hospedado por IPv4.

Como saber se você está em CGNAT

1. Veja o endereço WAN do roteador. Na página do roteador, procure “WAN”, “Internet” ou “Status”. Anote o endereço IPv4 que aparece ali.
2. Compare com o seu IP público. Pesquise “qual é o meu IP” em um buscador, a partir de um aparelho da sua rede, e compare. Se os dois endereços forem iguais, você tem IP público direto no roteador. Se forem diferentes, há um NAT da operadora no caminho.
3. Reconheça a faixa reservada. Se o endereço WAN do roteador começar com 100.64 até 100.127 (a faixa reservada especificamente para CGNAT), ou com 10. ou 192.168., ele é privado: você está em CGNAT.

Se estiver em CGNAT, há três saídas. Pedir à operadora um IP público (“IP fixo”, “IP válido”, “saída do CGNAT”): algumas atendem sem custo, outras cobram, outras recusam. Usar IPv6: a maioria das operadoras brasileiras já o entrega, endereços IPv6 são públicos por natureza, e um WireGuard escutando em IPv6 funciona mesmo sob CGNAT; a limitação é que o aparelho remoto também precisa ter IPv6 onde estiver, comum no 4G e 5G, nem sempre em Wi-Fi de terceiros. Ou usar um serviço que contorna o problema por você, como Tailscale ou ZeroTier, em que os dois lados iniciam conexões para fora e se encontram no meio.

As opções: WireGuard, Tailscale, ZeroTier e Cloudflare Tunnel

WireGuard auto-hospedado

WireGuard é um protocolo de VPN moderno, pequeno e rápido, integrado ao núcleo do Linux. Você instala no servidor, gera um par de chaves para ele e um para cada aparelho, e troca as chaves públicas. É a opção com menos intermediários: tudo fica sob seu controle, não há conta em serviço de terceiros e não há limite de aparelhos. O preço é precisar de uma porta aberta no roteador, apenas para o WireGuard (UDP, em geral 51820), além de IP público ou IPv6 alcançável. Abrir essa única porta é aceitável porque o WireGuard não responde a quem não tem chave válida: para a varredura, ela parece fechada.

Tailscale

Tailscale é um serviço construído sobre o WireGuard que elimina a parte difícil: troca de chaves, descoberta de endereços e travessia de NAT e CGNAT. Você instala em cada aparelho, faz login com uma conta (Google, Microsoft, GitHub e outras), e os aparelhos passam a se enxergar numa rede privada, com endereços fixos e nomes. O tráfego vai direto entre eles, criptografado; os servidores do Tailscale coordenam, mas não veem o conteúdo. A dependência é a conta em um terceiro. Há plano gratuito para uso pessoal; confira os limites atuais no site.

ZeroTier

ZeroTier faz algo parecido com o Tailscale, com protocolo próprio em vez de WireGuard, e também atravessa CGNAT. Tem a particularidade de permitir hospedar o próprio controlador, para quem quer menos dependência. Menos popular em casa, mas igualmente válido.

Cloudflare Tunnel

Resolve um problema diferente: publicar um serviço web específico (um painel, um Nextcloud, uma galeria) num endereço da internet, sem abrir portas, com o tráfego passando pela Cloudflare. Funciona sob CGNAT. Não é uma VPN: não leva você para dentro da rede e não serve para SMB nem SSH. É a escolha certa para “um site meu acessível de qualquer navegador” e a errada para “acessar minha rede”. O tráfego passa por um terceiro e os termos de uso restringem alguns conteúdos, como streaming de vídeo em volume; leia-os antes.

Comparativo e critérios de escolha

Critérios de escolha: caminho mais curto e uma conta de terceiro aceitável, Tailscale. IP público (ou IPv6 nas duas pontas) e nenhum intermediário, WireGuard próprio. Só uma página sua acessível de qualquer navegador, Cloudflare Tunnel. Abrir portas de serviço não entra na lista. Muita gente começa com Tailscale e migra para WireGuard próprio depois; os dois convivem sem conflito.

Tailscale passo a passo

O roteiro abaixo coloca o servidor Ubuntu (ou Debian, Raspberry Pi OS, OpenMediaVault) na sua rede Tailscale e conecta o celular. Você precisa de acesso ao terminal do servidor, como descrito em SSH básico.

1. Crie a conta. No site do Tailscale, entre com um provedor de identidade de sua preferência. Ative a verificação em duas etapas nessa conta: ela passa a ser a chave da sua rede.
2. Instale no servidor. O projeto oferece um script de instalação que detecta a distribuição, adiciona o repositório oficial e instala o pacote:
   Terminal

   curl -fsSL https://tailscale.com/install.sh | sh

   O curl baixa o script e o sh o executa.
3. Conecte o servidor à sua rede.
   Terminal

   sudo tailscale up

   O comando imprime um endereço; abra-o no navegador de qualquer aparelho, faça login e autorize. Em seguida, veja o endereço e o estado:
   Terminal

   tailscale ip -4
   tailscale status

4. Instale no celular e no notebook. Aplicativos oficiais existem para Android, iOS, Windows, macOS e Linux. Faça login com a mesma conta. O painel de administração no site lista todos os aparelhos.
5. Teste de fora de casa. Desligue o Wi-Fi do celular, fique no 4G, e acesse a pasta compartilhada ou o SSH pelo endereço 100.x.y.z do servidor (ou pelo nome, se o MagicDNS estiver ativo, assunto de DNS local e nomes). Se funcionar, o túnel está pronto.
6. Opcional: alcance a rede inteira. Com sudo tailscale up --advertise-routes=192.168.0.0/24 (ajuste para a sua faixa) e aprovação no painel, o servidor vira ponte para aparelhos da casa sem o Tailscale. Exige habilitar o encaminhamento de IP no servidor, conforme a documentação; faça só se precisar.

WireGuard auto-hospedado, em resumo

O WireGuard merece um guia próprio, mas o esqueleto ajuda a decidir se é o seu caminho. Para o servidor Ubuntu:

1. Instale e gere as chaves do servidor.
   Terminal

   sudo apt install wireguard
   wg genkey | tee chave-privada | wg pubkey > chave-publica

   O wg genkey cria a chave privada; o wg pubkey deriva a pública. Repita em cada aparelho cliente (os aplicativos oficiais fazem isso com um toque).
2. Escreva a configuração em /etc/wireguard/wg0.conf, com a chave privada do servidor, a porta de escuta e um bloco [Peer] por aparelho, contendo a chave pública dele e o endereço interno que ele vai usar. A documentação oficial traz o modelo; nunca copie chaves de tutoriais.
3. Ative o serviço com sudo systemctl enable --now wg-quick@wg0.
4. Encaminhe a porta UDP escolhida no roteador (apenas ela) para o servidor, ou libere-a no firewall IPv6 do roteador se for usar IPv6.
5. Aponte os clientes para o endereço público da casa. Como ele pode mudar, um serviço de DNS dinâmico (muitos roteadores têm suporte embutido) mantém um nome atualizado.

Trabalhoso em comparação com o Tailscale, mas inteiramente seu. Faz mais sentido depois de você já ter sentido na prática, com o Tailscale, o que é viver com uma VPN.

Cuidados que valem para qualquer opção

• A conta e as chaves são a porta da casa. Verificação em duas etapas na conta do Tailscale; chaves privadas do WireGuard nunca enviadas por e-mail ou mensagem. Um celular perdido deve ser removido da rede no mesmo dia.
• Fixe o endereço do servidor na rede local, como em IP fixo, DHCP e reserva; VPN que aponta para um endereço móvel falha de forma confusa.
• Mantenha o servidor atualizado. O túnel protege contra quem está fora, não contra uma falha no próprio serviço de VPN. A rotina de manutenção cobre isso.
• Revise as regras do roteador periodicamente: encaminhamentos antigos, DMZ ligada por um jogo, UPnP ativo. Tudo desligado.
• Adicione só aparelhos seus e de quem você confia. Cada aparelho na VPN que for comprometido está dentro da sua rede. Use as regras de acesso do serviço (ACLs, no Tailscale) quando o uso crescer.

Erros comuns

Abrir a porta 445 ou a porta do painel “só por uns dias”

Dias bastam para a varredura encontrar e para alguém tentar. SMB e painéis web nunca devem ser alcançáveis pela internet. Se já fez, remova a regra e troque as senhas dos usuários do servidor.

Encaminhar a porta do WireGuard e descobrir que está em CGNAT

A regra está certa, mas a conexão nunca chega, porque o NAT da operadora a descarta antes. Confira o endereço WAN do roteador: se começar com 100.64 a 100.127, 10. ou 192.168., você precisa de IPv6, de IP público pedido à operadora, ou de um serviço que atravesse o CGNAT, como o Tailscale.

Testar a VPN de dentro de casa e achar que está funcionando

No Wi-Fi de casa, o servidor é alcançável de qualquer jeito. O teste válido é com o celular no 4G, Wi-Fi desligado, acessando pelo endereço da VPN.

Copiar um arquivo de configuração do WireGuard de um tutorial, com as chaves

Chaves publicadas são chaves de todo mundo. Gere as suas com wg genkey em cada aparelho, e nunca reutilize a chave de um aparelho em outro.

Esquecer de remover o celular antigo da rede após trocá-lo

Um aparelho vendido ou perdido continua com a chave até você revogá-la. Ao trocar de aparelho, remova o antigo no painel (Tailscale, ZeroTier) ou apague o bloco [Peer] dele (WireGuard) antes de qualquer outra coisa.

Glossário deste guia

Encaminhamento de porta

Regra do roteador que entrega tudo que chega numa porta vinda da internet a um aparelho da rede local. Expõe aquele serviço ao mundo.

VPN

Rede privada virtual: túnel criptografado que coloca um aparelho distante “dentro” da sua rede de casa, sem expor serviços.

WireGuard

Protocolo de VPN moderno, pequeno e rápido, integrado ao Linux. Base do Tailscale e usável diretamente.

Rede overlay

Rede privada construída por cima da internet, em que aparelhos se encontram por meio de um serviço coordenador, mesmo atrás de NAT ou CGNAT. Tailscale e ZeroTier são exemplos.

CGNAT

NAT feito pela operadora, que coloca vários clientes atrás de um mesmo IP público. Impede conexões iniciadas de fora. A faixa 100.64.0.0/10 é reservada para ele.

IPv6

Versão atual do protocolo IP, com endereços públicos para cada aparelho. Muitas operadoras brasileiras a entregam, o que permite VPN própria mesmo sob CGNAT do IPv4.

Par de chaves

Uma chave privada (secreta, fica no aparelho) e uma pública (compartilhada com o outro lado). Só quem tem a privada correspondente consegue entrar no túnel.

UPnP

Recurso do roteador que deixa programas abrirem portas automaticamente. Conveniente para jogos, perigoso numa rede com servidor; mantenha desligado.

Checklist: acesso remoto sem exposição

0 de 6

Marque o que já fez. O progresso fica salvo apenas neste navegador.

• Confirmei que não há encaminhamento de porta, DMZ nem UPnP ativos no roteador.
• Descobri se minha conexão está em CGNAT comparando o IP WAN do roteador com o IP público.
• Escolhi uma opção (Tailscale, WireGuard, ZeroTier ou Cloudflare Tunnel) com base nos critérios da tabela.
• Instalei a VPN no servidor e em pelo menos um aparelho, e os dois se enxergam.
• Testei o acesso com o celular no 4G, Wi-Fi desligado, e funcionou.
• Ativei verificação em duas etapas na conta da VPN (ou guardei as chaves do WireGuard com segurança).

Reiniciar checklist

Próximos passos

Com o túnel funcionando, o SSH passa a ser a sua ferramenta de administração à distância, os nomes substituem os números e a manutenção regular mantém a porta fechada:

1

SSH básico: acessar o servidor pela linha de comando

Administre o servidor por dentro da VPN, de qualquer lugar.

Intermediário13 min

2

DNS local e nomes de dispositivos: acessar o servidor pelo nome

Nomes em casa e dentro da VPN, com MagicDNS.

Avançado12 min

3

Rotina de manutenção: atualizações, logs, temperatura e limpeza

Atualizações em dia são parte da segurança do acesso remoto.

Intermediário12 min

Prefere um caminho montado para o seu caso? Use o navegador de guias por objetivo.

Fontes e leituras complementares

• WireGuard, site oficial: descrição do protocolo, instalação e guia de início rápido com o modelo de configuração.
• Tailscale, base de conhecimento: instalação em Linux, rotas de sub-rede, MagicDNS, ACLs e explicação da travessia de NAT.
• Ubuntu, Ubuntu Server documentation: capítulo sobre VPN com WireGuard.
• Anatel, Agência Nacional de Telecomunicações: informações ao consumidor sobre os serviços de banda larga das operadoras.

Marcar este guia como lido (salvo apenas neste navegador)