Acesso remoto ao homelab: WireGuard, Tailscale ou Tunnel
WireGuard, Tailscale ou Cloudflare Tunnel para acessar o homelab de fora: porta aberta, CGNAT, quem coordena as chaves e para que serve cada um.
- Publicado
- Leitura
- 6 min
Acessar o homelab de fora de casa é uma das primeiras coisas que a gente quer resolver, e uma das que mais dão problema. Eu aprendi do jeito difícil: deixei o SSH aberto na porta 22 e sofri com bots o tempo todo, até trocar pelo Cloudflare Tunnel. Conto a história no post sobre SSH sem porta 22 aberta.
Hoje uso dois caminhos: o Cloudflare Tunnel, que publica as aplicações e o SSH, e a VPN do próprio roteador Ubiquiti. Mas os nomes que mais aparecem quando alguém pergunta “como acesso meu homelab de fora?” são outros dois: WireGuard e Tailscale. Neste post comparo os três pela documentação oficial de cada um e, no fim, mostro as opções de quem tem um gateway UniFi.
A pergunta certa: quem precisa acessar o quê #
Antes de escolher, vale separar dois casos:
- Acesso só seu (ou da família) a tudo: você quer entrar na rede de casa como se estivesse lá, com SSH, painel do Proxmox e qualquer serviço. É trabalho para VPN.
- Um serviço aberto para quem tem o link: um blog, um app, uma página de status. É trabalho para publicar o serviço, com um tunnel ou um proxy reverso.
Muita confusão vem de usar a ferramenta de um caso no outro.
WireGuard: a VPN que você monta #
O WireGuard é um protocolo de VPN, moderno e enxuto. Você instala nos dois lados, gera um par de chaves em cada um e diz quem conversa com quem. A documentação mostra a geração das chaves assim:
umask 077
wg genkey | tee privatekey | wg pubkey > publickey
O exemplo da documentação usa a porta UDP 51820. E é aqui que está o ponto principal: o WireGuard puro precisa de uma porta aberta no roteador de casa, encaminhada para o servidor da VPN. Se a sua operadora usa CGNAT (você não tem um IP público só seu), essa porta não chega até você.
Bom para: quem quer controle total, sem depender de empresa nenhuma, e tem IP público.
Tailscale: WireGuard sem abrir porta #
O Tailscale usa o WireGuard por baixo e resolve a parte chata. Pela documentação deles:
- um servidor de coordenação só troca as chaves e as regras; o tráfego não passa por ele;
- as máquinas se conectam direto entre si, com técnicas de travessia de NAT, sem porta aberta no roteador;
- quando a conexão direta não dá, o tráfego vai por servidores DERP, que só repassam pacotes já criptografados e não conseguem ler o conteúdo.
O plano gratuito para uso pessoal, pela página de preços em outubro de 2026, aceita até 6 usuários e dispositivos ilimitados.
Bom para: quem está atrás de CGNAT, quer algo que funcione em minutos e aceita uma empresa coordenando as chaves.
Cloudflare Tunnel: publicar sem abrir porta #
O Cloudflare Tunnel funciona ao contrário de uma VPN. Pela documentação, o cloudflared abre uma conexão de saída da sua rede até a Cloudflare, e por ela chegam os acessos. Dá para bloquear todo o tráfego de entrada no firewall e manter só essas conexões de saída. A Cloudflare diz que o tunnel conecta servidores web, SSH, área de trabalho remota e outros protocolos.
No meu caso, o cloudflared roda num container LXC e publica as aplicações e o SSH. No iPhone, uso o app Cloudflare One para chegar ao SSH, com o Termius, como contei no post sobre o Termius no iPhone.
Bom para: publicar serviços web para outras pessoas e acessar SSH sem porta aberta. O detalhe é que o tráfego passa pela rede da Cloudflare.
Lado a lado #
| WireGuard | Tailscale | Cloudflare Tunnel | |
|---|---|---|---|
| Porta aberta em casa | Sim (UDP) | Não | Não |
| Funciona com CGNAT | Não, sem ajuda | Sim | Sim |
| Quem coordena | Você | Tailscale | Cloudflare |
| Melhor para | VPN sob seu controle | VPN fácil para a família | Publicar serviços e SSH |
| Cliente no aparelho | App do WireGuard | App do Tailscale | Navegador, ou app para SSH e rede privada |
E a VPN do roteador? O caso do UniFi #
Muitos roteadores trazem um servidor de VPN pronto. É o caminho mais simples se o roteador já tem: a configuração fica num lugar só, sem servidor a mais para manter. O meu é um UDR da Ubiquiti, e quem tem um gateway UniFi encontra as opções na área de VPN das configurações do app Network.
Pela documentação da Ubiquiti, o gateway oferece quatro tipos de servidor de VPN:
- Teleport: a opção sem configuração. Você gera um convite e manda para a pessoa, que entra pelo app WiFiman (iOS, Android ou desktop). Usa WireGuard por baixo e, segundo a Ubiquiti, funciona mesmo com o gateway e o aparelho atrás de NAT. O convite expira em 24 horas e vale para um aparelho por vez. Em alguns casos, o Teleport pede IPv6 na WAN do gateway.
- WireGuard: o mesmo WireGuard da seção acima, só que o gateway gera a configuração do cliente, com QR code para o celular. A porta padrão é a UDP 51820. Se o gateway estiver atrás de outro roteador, essa porta precisa ser encaminhada até ele.
- OpenVPN: pede o app Network 7.4 ou mais novo. A própria Ubiquiti diz que ele entrega menos velocidade que o WireGuard e recomenda usá-lo num gateway com IP público.
- L2TP: o tradicional, que a Ubiquiti descreve como perdendo suporte em vários sistemas operacionais e com problemas atrás de NAT.
A recomendação da documentação é Teleport no celular, e Teleport ou WireGuard no computador. Para quem já tem a rede da Ubiquiti, é uma alternativa ao Tailscale sem instalar nada a mais no homelab.
Resumindo #
- Separe os casos: acesso seu a tudo (VPN) ou serviço aberto por link (tunnel ou proxy).
- WireGuard: controle total, mas precisa de porta UDP aberta e IP público.
- Tailscale: WireGuard sem porta aberta, funciona com CGNAT, coordenação na empresa (ou no Headscale).
- Cloudflare Tunnel: conexão de saída, sem porta aberta, bom para web e SSH.
- Gateway UniFi: Teleport (sem porta aberta, pelo WiFiman) ou WireGuard, direto no roteador.
- Painéis de administração nunca abertos direto na internet.
Não existe um vencedor único. Aqui, o tunnel cuida do que é público e do SSH, e a VPN do roteador cuida do resto. O importante é que nenhuma porta fique aberta sem necessidade.