WireGuard na DigitalOcean (2026): a sua própria VPN num Droplet de $4

O essencial

Um Droplet da DigitalOcean é um dos sítios mais simples para executar a sua própria VPN WireGuard. O Droplet Basic mais barato chega para uso pessoal, a configuração demora cerca de quinze minutos e a faturação ao segundo significa que um servidor de que só precisa para uma viagem custa apenas as horas em que existe.

A 17 de outubro de 2026, a página de preços da DigitalOcean listava os planos relevantes para uma VPN deste tipo:

Para uma pessoa, o Droplet de $4 chega. O WireGuard funciona dentro do kernel Linux e precisa de muito pouca memória. Escolha o plano de $6 se várias pessoas partilharem o servidor ou se fizer muito streaming, porque a quota de transferência duplica.

Como funciona a faturação, e porque é importante para uma VPN

A DigitalOcean indica que os Droplets são faturados ao segundo desde 1 de janeiro de 2026, com uma cobrança mínima de 60 segundos ou $0,01, e que os planos incluídos nunca custam mais do que o seu preço mensal. Duas consequências:

• Uma VPN de viagem quase não custa nada. Crie um Droplet na cidade de que precisa, use-o durante uma semana, destrua-o. Paga apenas essa semana.
• Desligar não é parar. Um Droplet desligado continua a existir e continua a ser faturado. Para deixar de pagar, destrua-o (faça primeiro um snapshot se quiser recriá-lo mais tarde).

A quota conta apenas a transferência de saída; a DigitalOcean diz que a entrada é sempre gratuita. Num servidor VPN, os ficheiros que descarrega através do túnel saem do Droplet em direção ao seu dispositivo, por isso são as suas próprias transferências que gastam os 500 GiB.

Passo 1: criar o Droplet

1. Crie um Droplet com Ubuntu 24.04 LTS (o WireGuard está no kernel, sem módulo extra para compilar).
2. Escolha a região onde quer que o seu tráfego apareça. A DigitalOcean lista São Francisco, Richmond, Nova Iorque, Kansas City, Atlanta, Toronto, Amesterdão, Londres, Frankfurt, Bangalore, Singapura e Sydney.
3. Escolha o plano Basic de $4 e adicione a sua chave SSH em vez de uma palavra-passe.
4. Anote o endereço IPv4 público do Droplet: será o Endpoint dos seus clientes.

Passo 2: instalar o WireGuard e escrever a configuração do servidor

Ligue-se por SSH e instale o WireGuard:

apt update && apt install -y wireguard

A forma mais rápida de obter configurações compatíveis é o nosso gerador de configuração WireGuard gratuito: introduza o IP do Droplet, escolha o número de clientes e ele escreve a configuração do servidor e uma configuração por cliente no seu navegador, com as chaves geradas localmente e um código QR para cada telemóvel. Cole a parte do servidor em /etc/wireguard/wg0.conf. O gerador é gratuito até 10 dispositivos; acima disso, o WireGuard Pro (o nosso próprio produto, 9 EUR uma única vez, sem subscrição) aumenta o limite para 250 e acrescenta um ZIP com todos os .conf de cliente e o respetivo código QR em PNG, prático para configurar um escritório ou uma família inteira de uma só vez.

Se preferir fazê-lo à mão, gere um par de chaves com wg genkey | tee server.key | wg pubkey > server.pub e siga os nossos modelos de configuração WireGuard.

Passo 3: reencaminhamento, firewall e arranque

Permita que o servidor encaminhe o tráfego dos seus clientes:

echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-wireguard.conf
sysctl --system

Abra a porta do WireGuard e mantenha o SSH aberto (51820/udp é a predefinição; veja que porta usar para o WireGuard):

ufw allow OpenSSH
ufw allow 51820/udp
ufw enable

Certifique-se de que o seu wg0.conf contém as regras de NAT para que o tráfego dos clientes saia pela interface pública do Droplet (na DigitalOcean é normalmente eth0; confirme com ip route):

PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Depois inicie o túnel e ative-o no arranque:

systemctl enable --now wg-quick@wg0
wg show

Importe a configuração de cliente no telemóvel (código QR) ou no computador, ligue-se e verifique que o seu IP público é agora o do Droplet. Se o cliente não mostrar nenhum handshake, o nosso guia de resolução de problemas de handshake percorre as causas por ordem.

DigitalOcean ou um VPS mensal?

A DigitalOcean é a melhor ferramenta quando o servidor é temporário ou muda de sítio: a faturação ao segundo e doze localizações tornam-na ideal para uma VPN que cria para uma viagem e destrói depois. Para um servidor que mantém durante meses, um VPS mensal como um Cloud VPS da Contabo dá mais CPU, RAM e transferência por um preço semelhante. Comparamos os dois plano a plano em Contabo vs DigitalOcean.

Ver os preços atuais dos Droplets da DigitalOcean · Ver os planos atuais de Cloud VPS da Contabo