Como usar este guia
O conteúdo foi revisado em setembro de 2026 com foco operacional. Procedimentos sensíveis devem ser testados primeiro em laboratório, com backup, acesso de recuperação e rollback documentado. Exemplos usam placeholders e não devem receber credenciais reais.
Não exponha interfaces administrativas, chaves, dumps, amostras de malware ou logs sensíveis no portal público. Em produção, aplique segmentação, privilégio mínimo e retenção definida.
Modelo
WireGuard associa peers a chaves públicas e AllowedIPs. Não existe negociação de usuário/senha; distribuição e rotação de chaves fazem parte da operação.
AllowedIPs
AllowedIPs atua tanto na seleção de rotas quanto na aceitação de origem por peer. Sobreposição mal planejada é causa frequente de tráfego indo ao peer errado.
Implementação
Gere chaves com permissões restritas, configure interface, endereço, ListenPort e peers. Em Linux, wg-quick simplifica, mas entender ip route e wg é indispensável.
CGNAT
Peer atrás de NAT/CGNAT normalmente inicia a sessão e pode usar PersistentKeepalive quando necessário. Não trate keepalive como requisito universal.
Validação
Use wg show para handshake/transfer, ip route get para roteamento, tcpdump para UDP e teste bidirecional. Handshake recente sem tráfego útil costuma apontar para rota/firewall/AllowedIPs.
MikroTik
Em RouterOS, valide interface, peer, allowed-address, rotas e firewall separadamente. Não misture problemas de túnel com política de encaminhamento.
Checklist antes de considerar concluído
- Versão e documentação do componente foram confirmadas.
- Fluxos de rede e privilégios necessários estão explicitamente definidos.
- Configuração foi validada antes de reload/restart quando houver comando de teste.
- Logs e métricas confirmam o comportamento esperado.
- Falha controlada e recuperação foram testadas em ambiente seguro.
- Backup, rollback e acesso de emergência são verificáveis.