Hoje uso dois caminhos: o Cloudflare Tunnel, que publica as aplicações e o SSH, e a VPN do próprio roteador Ubiquiti. Mas os nomes que mais aparecem quando alguém pergunta “como acesso meu homelab de fora?” são outros dois: WireGuard e Tailscale. Neste post comparo os três pela documentação oficial de cada um e, no fim, mostro as opções de quem tem um gateway UniFi.

A pergunta certa: quem precisa acessar o quê #

Antes de escolher, vale separar dois casos:

• Acesso só seu (ou da família) a tudo: você quer entrar na rede de casa como se estivesse lá, com SSH, painel do Proxmox e qualquer serviço. É trabalho para VPN.
• Um serviço aberto para quem tem o link: um blog, um app, uma página de status. É trabalho para publicar o serviço, com um tunnel ou um proxy reverso.

Muita confusão vem de usar a ferramenta de um caso no outro.

WireGuard: a VPN que você monta #

O WireGuard é um protocolo de VPN, moderno e enxuto. Você instala nos dois lados, gera um par de chaves em cada um e diz quem conversa com quem. A documentação mostra a geração das chaves assim:

umask 077
wg genkey | tee privatekey | wg pubkey > publickey

O exemplo da documentação usa a porta UDP 51820. E é aqui que está o ponto principal: o WireGuard puro precisa de uma porta aberta no roteador de casa, encaminhada para o servidor da VPN. Se a sua operadora usa CGNAT (você não tem um IP público só seu), essa porta não chega até você.

Bom para: quem quer controle total, sem depender de empresa nenhuma, e tem IP público.

Tailscale: WireGuard sem abrir porta #

O Tailscale usa o WireGuard por baixo e resolve a parte chata. Pela documentação deles:

• um servidor de coordenação só troca as chaves e as regras; o tráfego não passa por ele;
• as máquinas se conectam direto entre si, com técnicas de travessia de NAT, sem porta aberta no roteador;
• quando a conexão direta não dá, o tráfego vai por servidores DERP, que só repassam pacotes já criptografados e não conseguem ler o conteúdo.

O plano gratuito para uso pessoal, pela página de preços em outubro de 2026, aceita até 6 usuários e dispositivos ilimitados.

Bom para: quem está atrás de CGNAT, quer algo que funcione em minutos e aceita uma empresa coordenando as chaves.

Cloudflare Tunnel: publicar sem abrir porta #

O Cloudflare Tunnel funciona ao contrário de uma VPN. Pela documentação, o cloudflared abre uma conexão de saída da sua rede até a Cloudflare, e por ela chegam os acessos. Dá para bloquear todo o tráfego de entrada no firewall e manter só essas conexões de saída. A Cloudflare diz que o tunnel conecta servidores web, SSH, área de trabalho remota e outros protocolos.

No meu caso, o cloudflared roda num container LXC e publica as aplicações e o SSH. No iPhone, uso o app Cloudflare One para chegar ao SSH, com o Termius, como contei no post sobre o Termius no iPhone.

Bom para: publicar serviços web para outras pessoas e acessar SSH sem porta aberta. O detalhe é que o tráfego passa pela rede da Cloudflare.

Lado a lado #

E a VPN do roteador? O caso do UniFi #

Muitos roteadores trazem um servidor de VPN pronto. É o caminho mais simples se o roteador já tem: a configuração fica num lugar só, sem servidor a mais para manter. O meu é um UDR da Ubiquiti, e quem tem um gateway UniFi encontra as opções na área de VPN das configurações do app Network.

Pela documentação da Ubiquiti, o gateway oferece quatro tipos de servidor de VPN:

• Teleport: a opção sem configuração. Você gera um convite e manda para a pessoa, que entra pelo app WiFiman (iOS, Android ou desktop). Usa WireGuard por baixo e, segundo a Ubiquiti, funciona mesmo com o gateway e o aparelho atrás de NAT. O convite expira em 24 horas e vale para um aparelho por vez. Em alguns casos, o Teleport pede IPv6 na WAN do gateway.
• WireGuard: o mesmo WireGuard da seção acima, só que o gateway gera a configuração do cliente, com QR code para o celular. A porta padrão é a UDP 51820. Se o gateway estiver atrás de outro roteador, essa porta precisa ser encaminhada até ele.
• OpenVPN: pede o app Network 7.4 ou mais novo. A própria Ubiquiti diz que ele entrega menos velocidade que o WireGuard e recomenda usá-lo num gateway com IP público.
• L2TP: o tradicional, que a Ubiquiti descreve como perdendo suporte em vários sistemas operacionais e com problemas atrás de NAT.

A recomendação da documentação é Teleport no celular, e Teleport ou WireGuard no computador. Para quem já tem a rede da Ubiquiti, é uma alternativa ao Tailscale sem instalar nada a mais no homelab.

Resumindo #

• Separe os casos: acesso seu a tudo (VPN) ou serviço aberto por link (tunnel ou proxy).
• WireGuard: controle total, mas precisa de porta UDP aberta e IP público.
• Tailscale: WireGuard sem porta aberta, funciona com CGNAT, coordenação na empresa (ou no Headscale).
• Cloudflare Tunnel: conexão de saída, sem porta aberta, bom para web e SSH.
• Gateway UniFi: Teleport (sem porta aberta, pelo WiFiman) ou WireGuard, direto no roteador.
• Painéis de administração nunca abertos direto na internet.

Não existe um vencedor único. Aqui, o tunnel cuida do que é público e do SSH, e a VPN do roteador cuida do resto. O importante é que nenhuma porta fique aberta sem necessidade.