Este artigo contém links de afiliado. Eu contratei pessoalmente o VPS da RackNerd usado aqui e testei a configuração e a conexão WireGuard.

Como montei minha própria VPN WireGuard em um VPS KVM da RackNerd (teste no macOS)

Aluguei um VPS pequeno no exterior e transformei-o em uma VPN WireGuard pessoal. O caminho real foi: RackNerd 1 GB KVM VPS, Ubuntu 24.04, autenticação SSH por chave, bloqueio de login root e senha via SSH, UFW, WireGuard e cliente macOS. No final confirmei a troca do IPv4 público e o handshake do WireGuard.

VPS usado no teste

Em 14 de setembro de 2026, contratei um “1 GB KVM VPS Special” exibido por US$ 21,99/ano. O valor em moeda local depende do câmbio e das taxas do cartão. Preço, estoque e localidades podem mudar.

Por que montar uma VPN própria?

Serviços de VPN comerciais são mais práticos para trocar de país rapidamente. Uma VPN própria oferece um servidor e uma saída IP controlados por você, mas também traz responsabilidade por atualizações, firewall, chaves e backups. Neste teste eu queria entender cada etapa e ter uma saída dedicada.

1. Iniciar o VPS e conferir o painel

Depois do pedido, a RackNerd enviou IP, credenciais root e acesso ao NerdVM/SolusVM. O painel mostrava Ubuntu 24.04 64-bit, 20 GB de disco, 1 GB de RAM e o servidor online.

2. Conectar pelo Mac e atualizar o Ubuntu

ssh root@YOUR_VPS_IP

whoami
hostname
cat /etc/os-release
ip addr
free -h
df -h

apt update
apt upgrade -y

Durante a atualização mantive English (US). Quando o OpenSSH perguntou sobre o sshd_config modificado localmente, mantive a versão local e fiz o hardening manual depois.

reboot
# reconectar
uname -r
systemctl --failed
apt list --upgradable

3. Criar usuário administrador e usar chave SSH

adduser vpnadmin
usermod -aG sudo vpnadmin
id vpnadmin

No Mac:

ssh-keygen -t ed25519 -a 100 \
  -f ~/.ssh/racknerd_wireguard \
  -C "racknerd-wireguard"

scp ~/.ssh/racknerd_wireguard.pub \
  root@YOUR_VPS_IP:/tmp/racknerd_wireguard.pub

No VPS:

install -d -m 700 -o vpnadmin -g vpnadmin /home/vpnadmin/.ssh
cat /tmp/racknerd_wireguard.pub > /home/vpnadmin/.ssh/authorized_keys
chown vpnadmin:vpnadmin /home/vpnadmin/.ssh/authorized_keys
chmod 600 /home/vpnadmin/.ssh/authorized_keys
rm /tmp/racknerd_wireguard.pub

ssh -i ~/.ssh/racknerd_wireguard vpnadmin@YOUR_VPS_IP
whoami
sudo whoami

4. Desativar root e senha no SSH

sudo nano /etc/ssh/sshd_config.d/00-racknerd-hardening.conf

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes

sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -E \
'permitrootlogin|passwordauthentication|pubkeyauthentication|kbdinteractiveauthentication'

O resultado efetivo foi: root via SSH desativado, chave pública ativa e autenticação por senha/teclado desativada. Antes de fechar a sessão atual, teste outra sessão usando a chave.

5. Ativar UFW

sudo ufw allow 22/tcp
sudo ufw allow 51820/udp
sudo ufw enable
sudo ufw status verbose

6. Instalar WireGuard e habilitar encaminhamento IPv4

sudo apt install -y wireguard
sudo nano /etc/sysctl.d/99-wireguard-forward.conf

net.ipv4.ip_forward=1

sudo sysctl --system
sysctl net.ipv4.ip_forward
sudo ufw route allow in on wg0 out on eth0

7. Criar chaves do servidor e a interface wg0

sudo install -d -m 700 /etc/wireguard
sudo sh -c 'umask 077; wg genkey > /etc/wireguard/server_private.key'
sudo sh -c 'wg pubkey < /etc/wireguard/server_private.key > /etc/wireguard/server_public.key'

sudo bash -c 'umask 077
{
  echo "[Interface]"
  echo "Address = 10.66.66.1/24"
  echo "ListenPort = 51820"
  printf "PrivateKey = "
  cat /etc/wireguard/server_private.key
  echo "PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE"
  echo "PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE"
} > /etc/wireguard/wg0.conf'
sudo chmod 600 /etc/wireguard/wg0.conf
sudo systemctl enable --now wg-quick@wg0

8. Criar o cliente do macOS

mkdir -p ~/.wireguard
chmod 700 ~/.wireguard
umask 077
wg genkey | tee ~/.wireguard/mac_private.key | \
  wg pubkey > ~/.wireguard/mac_public.key

Peer no servidor:

[Peer]
PublicKey = MAC_PUBLIC_KEY
AllowedIPs = 10.66.66.2/32

sudo wg-quick strip wg0 | sudo wg syncconf wg0 /dev/stdin

Configuração do Mac:

[Interface]
PrivateKey = MAC_PRIVATE_KEY
Address = 10.66.66.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = YOUR_VPS_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

9. Teste real

sudo wg-quick up ~/.wireguard/racknerd-us.conf
ping -c 4 10.66.66.1
curl -4 ifconfig.me

Recebi 4/4 respostas, 0% de perda. A latência média para o VPS em New York ficou perto de 300 ms. Com o túnel desligado, aparecia o IPv4 normal da conexão japonesa; com WireGuard ligado, aparecia o IPv4 do VPS. No servidor, sudo wg show mostrava handshake recente e tráfego transferido.

10. IPv6 ainda precisa de tratamento

Na hora do teste havia também outra VPN WireGuard japonesa ativada no app do macOS. Por isso ainda é preciso separar se o IPv6 saiu pela conexão original ou pelo outro túnel. O que este artigo confirma é um túnel IPv4 pelo VPS no exterior, não uma VPN totalmente livre de vazamentos. Para full tunnel estrito, trate IPv6 e verifique DNS separadamente.

Prós e cuidados

Para quem faz sentido

• Quem quer aprender Linux, SSH e WireGuard na prática
• Quem quer uma saída IPv4 dedicada no exterior
• Quem aceita administrar a segurança do próprio servidor
• Quem quer experimentar com um VPS pequeno

Confira os termos

Os VPS da RackNerd são não gerenciados por padrão. SO, firewall, aplicativos, dados e backups ficam sob responsabilidade do cliente. Atividades ilegais, spam, brute force e DDoS de saída são proibidos.

• RackNerd Terms of Service
• RackNerd Affiliate Terms of Service

Conclusão

« Voltar aos tutoriais