Como usar um arquivo de configuração do WireGuard

O que tem dentro de um arquivo .conf, linha por linha

Toda configuração do WireGuard tem a mesma estrutura em duas partes. [Interface] descreve a sua ponta do túnel; [Peer] descreve a máquina à qual você se conecta. Veja uma configuração de cliente completa, com os segredos trocados por marcadores:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

O bloco [Interface]: o seu lado

• PrivateKey: esta é a sua identidade na VPN. Quem tiver essa chave pode se passar por você. São 44 caracteres base64 terminados em =; se a sua tiver outro tamanho, o arquivo foi cortado em algum momento da cópia.
• Address: o IP que o seu dispositivo usa dentro do túnel, não o seu IP público. O /32 quer dizer "só este endereço", o que é normal para um cliente.
• DNS: o resolvedor usado enquanto o túnel está ativo. Sem ele, o dispositivo continua consultando o resolvedor antigo, o que vaza o que você está acessando e muitas vezes impede de resolver qualquer coisa do outro lado.
• MTU: opcional, e a linha mais útil de conhecer. Ela não aparece na maioria dos arquivos porque o valor padrão é o certo; veja a seção de solução de problemas para o caso em que não é.

O bloco [Peer]: o lado do servidor

• PublicKey: a chave pública do servidor. A sua nunca aparece no seu próprio arquivo; quem guarda ela é o servidor.
• Endpoint: para onde enviar os pacotes, no formato host:port. O WireGuard funciona só em UDP, e 51820 é a porta convencional, não uma porta obrigatória.
• AllowedIPs: quais destinos passam pelo túnel. 0.0.0.0/0, ::/0 significa tudo, que é justamente para o que serve uma VPN de privacidade. Uma lista mais restrita (por exemplo, só a faixa interna da sua empresa) manda apenas isso pelo túnel e deixa o resto na sua conexão normal. Esse arranjo se chama split tunnel (túnel dividido), e é uma escolha deliberada, não um túnel completo quebrado.
• PersistentKeepalive: envia um pacote pequeno a cada 25 segundos para que o dispositivo de NAT entre você e o servidor mantenha aberto o caminho de volta. É necessário sempre que você está atrás de NAT, e no celular ou numa conexão residencial você sempre está.

Windows: importar o túnel

O Windows tem um app oficial do WireGuard, e importar um arquivo nele é todo o trabalho.

1. Instale o WireGuard a partir de wireguard.com/install.
2. Clique em Adicionar túnel no canto inferior esquerdo, o que abre um seletor de arquivos filtrado para Arquivos de configuração (*.zip, *.conf). Escolha o seu .conf e ele aparece na lista de túneis, com o nome do arquivo.
3. Ou cole o conteúdo. A seta ao lado de Adicionar túnel oferece Adicionar túnel vazio…, que abre uma caixa de texto: útil quando a configuração chegou numa mensagem e não como arquivo. Ela já vem com uma chave privada nova preenchida, então apague essa linha e cole a sua configuração por cima.
4. Clique em Ativar. O status muda para Ativo e o painel começa a contar os bytes transferidos. Esse contador é a checagem mais rápida que você tem: se ele mostra dados saindo e nada voltando, o seu handshake não está se completando.

Android e iPhone: escaneie o QR code ou importe o arquivo

No celular você tem dois caminhos, e o QR code existe justamente porque digitar uma chave de 44 caracteres numa tela sensível ao toque é um sofrimento.

Android

1. Instale o WireGuard pela Play Store e toque no botão +.
2. A tela Criar túnel WireGuard oferece Ler código QR, Criar a partir de arquivo e a criação de um túnel do zero. Escolha a opção que corresponde ao que você recebeu.
3. Dê um nome ao túnel se for pedido e ligue a chave dele. O Android pede uma vez permissão para adicionar uma configuração de VPN: esse aviso é do sistema operacional, não do app.

iPhone e iPad

1. Instale o WireGuard pela App Store e toque em Add a tunnel.
2. Em Add a new WireGuard tunnel, escolha Create from QR code ou Create from file or archive. A tela do leitor se chama Scan QR code; depois de uma leitura bem-sucedida, ele pede que você dê um nome ao túnel.
3. Ative o túnel e permita a configuração de VPN quando o iOS pedir.

Como gerar um QR code a partir de um arquivo de configuração que você já tem

O QR code não é algo que o provedor precisa te dar: é só o seu arquivo de configuração desenhado como imagem, e você mesmo pode gerá-lo com um comando. O próprio app do WireGuard sugere isso:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

No Debian ou Ubuntu, o qrencode é instalado com apt install qrencode; no macOS, com brew install qrencode.

macOS e Linux

macOS

Instale o WireGuard pela Mac App Store. O app do Mac não é o app do iPhone numa tela maior: ele fica na barra de menus, e a janela dele abre em Manage Tunnels. Clique em Import tunnel(s) from file (a barra de menus tem a mesma opção como Import Tunnel(s) from File…), escolha o seu .conf, selecione o túnel e clique em Activate. O Mac não tem leitor de QR code (QR code é coisa de celular), então use o próprio arquivo, ou escolha Add Empty Tunnel… e cole a configuração.

Se você prefere trabalhar no terminal, brew install wireguard-tools te dá os mesmos comandos wg-quick do Linux, descritos a seguir.

Linux

1. Instale as ferramentas. No Debian ou Ubuntu: sudo apt install wireguard. A maioria das distribuições tem um pacote com o mesmo nome.
2. Coloque o arquivo onde o wg-quick procura. Este é o passo em que o pessoal erra, porque o nome do arquivo vira o nome da interface:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   O 600 importa: o arquivo contém a sua chave privada e não deve ser legível por outros usuários da máquina. Use um nome curto e simples; ele precisa ser um nome de interface de rede válido.
3. Suba o túnel:

   sudo wg-quick up wg0
   sudo wg show

   wg show é o comando que vale a pena guardar. Ele mostra o peer, o endpoint, uma linha latest handshake e os contadores de transferência. Um horário de handshake que nunca aparece é a marca registrada do problema da próxima seção.
4. Iniciar junto com o sistema: sudo systemctl enable --now wg-quick@wg0. Para derrubar o túnel manualmente, sudo wg-quick down wg0.

No roteador, para cobrir a casa inteira

Colocar o túnel no roteador cobre todos os dispositivos conectados a ele, inclusive os que não rodam nenhum app de VPN: um videogame, uma TV, uma caixa de som inteligente. Se dá para fazer ou não depende totalmente do firmware.

Se o seu roteador é o aparelho que a operadora de internet te entregou, as opções realistas são colocar atrás dele um roteador que você controla, ou continuar usando configurações por dispositivo. Nenhuma das duas é um fracasso; a configuração por dispositivo muitas vezes é até melhor, porque você pode deixar o túnel desligado nos dispositivos que não precisam dele.

Uma coisa para decidir antes de passar a casa inteira por um túnel: a partir daí, tudo passa por ele. Sites de banco que não gostam de endereços estrangeiros, streaming que verifica a sua região e qualquer coisa que converse com dispositivos da sua própria rede podem se comportar de outro jeito. É aqui que um AllowedIPs mais restrito mostra o seu valor: mande só o que precisa ir e deixe o resto como está.

Conecta mas não carrega nada, e outros problemas reais

O WireGuard é incomumente silencioso quando falha, e isso é uma decisão de projeto proposital: um pacote não autenticado não recebe resposta nenhuma, então um scanner não consegue saber se tem algo escutando. O efeito colateral é que uma chave errada, uma porta errada e uma rede bloqueada parecem idênticas do seu lado: silêncio. Comece pelo sintoma.

"Handshake did not complete"

O seu dispositivo enviou um pacote de iniciação e não recebeu nada de volta. Verifique, nesta ordem:

• O endpoint. Host certo, porta certa, e a porta precisa ser UDP. Um erro de digitação aqui produz exatamente esse sintoma e nenhum outro.
• Se o UDP chega mesmo ao lado de fora. Wi-Fi de visitantes, redes de hotel, algumas redes corporativas e algumas operadoras móveis liberam só TCP nas portas comuns. Se a mesma configuração funciona na sua internet de casa e falha numa rede específica, a configuração está certa e o problema é a rede.
• Se as chaves estão no lugar certo. A PublicKey em [Peer] é a chave pública do servidor, e o servidor precisa ter, do lado dele, a chave pública que corresponde à sua PrivateKey. Uma configuração copiada de outro dispositivo falha aqui.
• O seu relógio. O handshake do WireGuard inclui um carimbo de tempo e rejeita os que estão muito fora. É raro, mas acontece em dispositivos que perderam a hora.

Se o túnel funciona em casa mas nunca nos dados móveis, a causa pode estar do lado da sua operadora, e não do seu: o CGNAT e esquemas parecidos mudam o que consegue chegar até você. O guia de redirecionamento de portas explica como identificar isso pelo seu próprio roteador em poucos minutos.

O problema de MTU, que vale a pena entender de uma vez

Este é o caso clássico de "conectado, mas a internet não funciona", e o padrão é inconfundível: o ping funciona, o DNS funciona, páginas pequenas carregam e qualquer coisa mais pesada fica travada para sempre.

A causa é o tamanho. Encapsular o tráfego para o túnel adiciona cabeçalhos, então um pacote que cabia certinho na sua conexão normal deixa de caber quando está dentro do WireGuard. Pacotes pequenos passam sem problema; os grandes são descartados. Normalmente a rede avisa o remetente para usar pacotes menores, mas a mensagem que faz isso é filtrada com frequência, então, em vez de um erro, você simplesmente fica esperando.

A solução é dizer ao WireGuard para usar pacotes menores desde o início. O wg-quick já tenta: ele pega o MTU da sua rota normal e subtrai 80 bytes para a sobrecarga do túnel, então numa conexão comum de 1500 bytes você fica com 1420. Quando isso ainda é demais (algumas redes móveis, a maioria das conexões que já passam por outro túnel), defina o valor explicitamente e vá descendo:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 é o piso que vale a pena testar, porque é o menor tamanho de pacote que o IPv6 exige que tudo transporte, então ele sobrevive a praticamente qualquer caminho. Custa um pouco de eficiência e é muito melhor do que um túnel que trava.

O túnel está ativo, mas nada passa por ele

Confira primeiro o AllowedIPs. Ele não é um firewall nem uma lista de permissões: ele decide quais destinos são roteados para dentro do túnel. Se não incluir 0.0.0.0/0, o tráfego para o resto da internet nunca foi feito para passar por ali, e a sua conexão está se comportando exatamente como foi configurada. No Linux, ip route show table all | grep wg0 mostra o que foi realmente roteado.

Se o roteamento está certo e os nomes simplesmente não resolvem, é a linha DNS: ou está faltando, ou existe mas não é aplicada porque o resolvconf não está instalado.

De onde vem o arquivo de configuração

Tudo o que vimos até aqui parte do princípio de que você tem um arquivo. Existem exatamente duas formas de conseguir um.

Rodar o servidor você mesmo

Você gera um par de chaves, instala o WireGuard numa máquina com endereço público, adiciona o seu dispositivo como peer e escreve a configuração do cliente à mão. Não é difícil, e é algo que vale muito a pena aprender. O custo é contínuo: um servidor para pagar e manter atualizado, e uma edição manual nas duas pontas toda vez que você adiciona um dispositivo, porque, lembre-se, um peer é um dispositivo.

Conseguir com um provedor

A alternativa é o arquivo ser gerado para você, e você só baixar. Com a HytHost VPN, a partir de €0.99/mês, ele fica aqui:

1. Contrate o serviço e faça login na área do cliente, depois abra o seu serviço de VPN na lista.
2. Encontre a seção WireGuard Configuration. Ela tem dois botões: Copy to Clipboard, que copia o texto da configuração para a área de transferência, e Download Configuration, que te entrega o arquivo pronto.
3. Se você copiou, cole num editor de texto simples e salve com a extensão .conf; wg0.conf é um bom nome. Confira se o editor não acrescentou .txt no final.
4. Importe seguindo a seção acima referente ao seu dispositivo. No celular, transforme antes em QR code com o qrencode.

A mesma página mostra se o túnel está conectado ao servidor naquele momento, o que resolve a dúvida "o problema é comigo ou com eles?" antes de você sair mudando configurações. Não existe botão de QR code: gere você mesmo a partir do arquivo, o que também significa que o código nunca vai parar em lugar nenhum onde não precisava estar.