Como configurar o reencaminhamento de portas para utilizar uma VPN WireGuard em routers GL.iNet

Configurar um servidor VPN WireGuard num router GL.iNet permite o acesso remoto seguro, com túnel completo, à sua rede local. Se o router GL.iNet estiver ligado a um router principal, por exemplo à porta LAN de um router do fornecedor de Internet, terá de configurar o reencaminhamento de portas no router principal para direcionar o tráfego VPN para o dispositivo GL.iNet. Este artigo irá orientá-lo ao longo dos passos, esclarecer as definições e explicar os principais termos para tornar o processo mais claro.

Porque é necessário o reencaminhamento de portas

Quando o router GL.iNet está ligado a um router principal, é necessário configurar o reencaminhamento de portas no router principal para que o tráfego externo chegue ao servidor WireGuard. Ative o reencaminhamento de portas no router principal para garantir que a rede externa consegue ligar-se ao servidor VPN, abrindo especificamente apenas a porta do servidor VPN (por exemplo, 51820). Assim que um dispositivo na rede externa estabelece um túnel VPN com o router GL.iNet, é possível aceder à rede local do router principal através da VPN. Isto significa que não só a LAN do router GL.iNet fica acessível, como também a LAN do router principal.

Guia passo a passo para reencaminhar portas para o WireGuard

1. Inicie sessão no painel de administração do router principal (ou transfira e inicie sessão na aplicação móvel do seu fornecedor de Internet):

Aceda à interface de administração introduzindo o endereço IP do router principal num navegador Web. Normalmente, é 192.168.1.1 ou 10.0.0.1. Uma forma rápida de determinar este IP é consultar o IP «Gateway» na página Internet do router GL.iNet enquanto estiver ligado à sua rede doméstica.

2. Aceda à secção de reencaminhamento de portas:

Esta secção pode ter o nome «Port Forwarding», «Virtual Server» ou «NAT Forwarding», consoante a marca do router.

3. Configure as regras de reencaminhamento de portas:

• Porta externa (External Port / Public Port): Defina-a com a porta que o seu servidor Wireguard está configurado para utilizar (predefinição: 51820).
• Porta interna (Internal Port / Private Port): Defina-a também como 51820, para corresponder à porta em que o Wireguard está à escuta no router GL.iNet.
• Protocolo (Protocol): Escolha UDP, pois o WireGuard funciona através do protocolo UDP.
• Endereço IP interno (Internal IP Address / Destination IP): Deve ser o endereço IP LAN do router GL.iNet, semelhante a 192.168.x.x ou 10.x.x.x, consoante a sua rede. Este endereço é atribuído pelo router principal depois de ligar a porta WAN do router GL.iNet à porta LAN do router do fornecedor de Internet. Pode encontrá-lo na lista de dispositivos do router principal ou simplesmente consultar a interface do router GL.iNet na página Internet.

4. Defina a porta de origem (opcional):

Se o router disponibilizar uma opção «Source Port», defina-a como «Any» (ou deixe-a em branco) para evitar restringir as ligações com base na porta de origem. Os clientes WireGuard podem utilizar uma porta de origem aleatória, especialmente se estiverem atrás de NAT, e restringir esta porta pode bloquear ligações legítimas.

5. Guarde e teste a configuração:

• Depois de introduzir todas as informações necessárias, guarde as definições e reinicie o router principal, se necessário.
• Para testar a configuração, experimente ligar-se ao servidor WireGuard a partir de uma rede externa (como um hotspot móvel), para confirmar que o reencaminhamento de portas funciona corretamente. Para obter instruções sobre a configuração do servidor Wireguard e do respetivo perfil de cliente, aceda aqui: https://docs.gl-inet.com/router/en/4/interface_guide/wireguard_server/

Principais termos e respetivos significados

• Porta externa (pública): É a porta do router principal exposta à Internet. Os pedidos VPN recebidos serão direcionados para esta porta.
• Porta interna (privada): É a porta do router GL.iNet em que o WireGuard está à escuta de ligações.
• Porta de origem: Refere-se à porta utilizada pelo cliente para iniciar a ligação. Normalmente, recomenda-se defini-la como «Any» para evitar bloquear ligações legítimas, pois a maioria dos clientes utiliza portas aleatórias.
• Endereço IP interno (IP de destino): O endereço IP do router GL.iNet na sua rede local.

Dicas adicionais

• Tenha em conta a segurança: Limite a regra de reencaminhamento de portas ao protocolo necessário (UDP), para minimizar a exposição.
• Utilizar DNS dinâmico (DDNS): Se o seu IP público for dinâmico (mudar periodicamente), ative o serviço DDNS integrado no router GL.iNet para manter a VPN acessível.

Para obter mais instruções específicas para cada router, consulte a lista de documentação da GL.iNet aqui: https://docs.gl-inet.com/router/en/4/tutorials/how_to_set_up_port_forwarding/

Uma breve explicação sobre CGNAT

Muitos fornecedores de Internet utilizam CGNAT para gerir a disponibilidade limitada de endereços IPv4, atribuindo um IP público partilhado a vários clientes. Isto impede o acesso direto aos dispositivos e torna impossível o reencaminhamento de portas. Se estiver atrás de CGNAT, considere utilizar serviços VPN como Astrowarp ou Tailscale, que permitem acesso remoto seguro sem necessidade de reencaminhamento de portas. Clique na ligação para verificar se o seu router GL.iNet suporta Tailscale ou AstroWarp. Para obter instruções de configuração da VPN passo a passo, consulte esta lista de reprodução de vídeos.

Sobre o autor

O Adam, natural da Virgínia e apaixonado por viagens internacionais, é licenciado em Engenharia Eletrotécnica pela Virginia Tech. É engenheiro de soluções e gestor de uma unidade de centro de atendimento na GL.iNet, além de ser o criador do The Wired Nomad, um recurso para nómadas digitais. Entre em contacto com ele através do seu site.