A comparação surge constantemente e está subtilmente mal formulada, e é por isso que as respostas que encontra são insatisfatórias. O WireGuard é um protocolo: uma forma de transportar pacotes cifrados entre duas máquinas que já se conhecem. O Nebula é uma rede: identidade, descoberta, política e transporte fornecidos em conjunto. Perguntar qual é melhor é quase como perguntar se um carril é melhor do que um caminho de ferro.
A pergunta útil é a que está por baixo: quer manter a configuração dos pares à mão à medida que a frota cresce, ou delegar isso num sistema?
Em qualquer dos casos, uma máquina precisa de um IP público acessível a todos os nós: a lighthouse do Nebula ou o hub do WireGuard. Um Contabo Cloud VPS 4 a 5,50 €/mês (link de afiliado) cumpre esse papel com o seu próprio IPv4, e o nosso gerador de configuração WireGuard gratuito escreve as configurações do hub e dos pares se ficar pelo WireGuard simples. Se preferir um anfitrião nos EUA com garantia de reembolso de 30 dias, o Ultahost VPS Basic custa 5,52 $ por mês num prazo de 24 meses (1 GB de RAM, IPv4 dedicado, consultado a 21 de outubro de 2026), o suficiente para um servidor WireGuard para alguns dispositivos. O gerador é gratuito até 10 dispositivos; acima disso, o WireGuard Pro (o nosso próprio produto, 9 EUR uma única vez, sem subscrição) sobe o limite para 250 e acrescenta um ZIP com cada .conf de cliente e o respetivo código QR em PNG, prático para configurar um escritório ou uma família inteira de uma só vez.
O que cada um lhe entrega realmente
O WireGuard dá-lhe um túnel e fica por aí. Gera um par de chaves por máquina, lista a chave pública de cada par e os seus AllowedIPs, e esse é todo o modelo. Não há descoberta, nem noção de grupo, nem linguagem de política. Esse minimalismo é deliberado e é o que torna o WireGuard auditável: cerca de 4000 linhas de código de kernel e um conjunto criptográfico moderno fixo, sem negociação para correr mal.
O Nebula dá-lhe uma autoridade de certificação que gere você mesmo. Cada anfitrião tem um certificado com a sua identidade e os seus grupos, laptop, db, ci, assinado pela sua CA. Os nós lighthouse acompanham quem está onde para que os pares se possam encontrar. E cada anfitrião tem uma firewall na sua própria configuração, escrita em termos desses grupos e não de endereços IP.
A curva que decide
Esta é a parte que vale a pena interiorizar, porque é a verdadeira razão pela qual as pessoas migram, e não tem nada a ver com velocidade.
Uma malha WireGuard completa exige uma entrada de par em cada máquina para cada uma das outras. A configuração cresce, portanto, com o quadrado da frota:
| Máquinas | Pares a manter |
|---|---|
| 3 | 3 |
| 5 | 10 |
| 10 | 45 |
| 20 | 190 |
Adicionar uma máquina a uma malha de 20 nós significa editar vinte configurações existentes. Nada disso é tecnicamente difícil; é simplesmente o tipo de trabalho que os humanos deixam de fazer corretamente ao fim de algum tempo. O Nebula, o Tailscale e o Headscale existem todos para eliminar essa matriz, diferem no como, não no porquê.
Se usar antes uma topologia em hub, em que tudo liga a um servidor, o WireGuard simples continua gerível indefinidamente. O quadrado só pesa numa malha completa.
Onde o WireGuard simples é a resposta certa
- Poucas máquinas, composição estável. Três portáteis e um VPS são trabalho para o WireGuard, e recorrer a um overlay seria sobrecarga sem retorno.
- Quer a menor superfície de ataque possível. Nada mais neste espaço tem 4000 linhas.
- A velocidade do kernel importa e os seus anfitriões são Linux. Os transportes em espaço de utilizador pagam uma mudança de contexto por pacote; numa ligação de 10 Gb saturada, isso nota-se.
- Ligações site-to-site que nunca mudam. Dois routers, um túnel, nenhum problema de descoberta para resolver.
Onde o Nebula justifica as peças extra
- A composição muda frequentemente. As máquinas entram e saem sem que ninguém edite pares.
- Precisa de política, não só de conectividade. "Só os anfitriões em
cipodem chegar à porta 5432 dos anfitriões emdb" é uma linha de configuração no Nebula e uma peça de infraestrutura à parte só com o WireGuard. - Quer que a aplicação das regras sobreviva a um plano de controlo comprometido. A firewall do Nebula vive em cada anfitrião, por isso nada central pode abrir uma porta silenciosamente.
- Redes mistas e complicadas. As lighthouses tratam do atravessamento de NAT que, de outra forma, teria de resolver ligação a ligação.
Uma VPN muda o seu IP. Não muda o seu navegador.
Um túnel substitui o endereço que um serviço vê. Não muda nada no que o seu navegador anuncia por si só (tipos de letra, ecrã, fuso horário, pilha gráfica) e essa combinação é muitas vezes estável o suficiente para o reconhecer de uma sessão para outra, com ou sem túnel.
Meça a impressão digital do seu navegador: passivo, sem perguntas, sem conta, sem email.
O resumo honesto
O WireGuard simples não é um Nebula inferior; é uma coisa mais pequena que faz menos de propósito, e fá-lo muito bem. Escolha-o enquanto a sua frota for pequena ou a sua topologia for um hub. Escolha o Nebula quando a matriz de pares se tornar um fardo, ou quando precisar de identidade e política e não apenas de túneis, e aceite em troca que passa a gerir uma autoridade de certificação.
Se quer a malha mas prefere não operar uma CA, o terceiro caminho é uma malha baseada em WireGuard com um servidor de coordenação: é o que o Headscale faz com o problema do Nebula e o plano de dados do WireGuard.
★ Datacenter GDPR em Nuremberg · ✓ IPv4 dedicado incluído · porta de 200 Mbit/s
Aloje a sua VPN no seu próprio VPS → ContaboAcesso root completo · IPv4 público · escolha a sua região→
