PiVPN 2026: auto-hospedar WireGuard ou OpenVPN com um único comando

Auto-hospedar uma VPN costumava significar editar ficheiros de configuração à mão e esperar ter acertado nas chaves, no encaminhamento e no firewall. O PiVPN elimina quase tudo isso: é um instalador de um único comando que configura WireGuard ou OpenVPN num Raspberry Pi ou em qualquer VPS Debian/Ubuntu, e depois gere os seus dispositivos cliente com alguns comandos simples. Este guia explica como funciona, a instalação, os limites honestos e onde se situa face às VPNs de malha.

Raspberry Pi em casa ou VPS? Em casa, o PiVPN exige um router onde reencaminhar uma porta UDP, o que o CGNAT impede. Num VPS a questão desaparece: um Contabo Cloud VPS 4 (link de afiliado) dá um IPv4 público fixo por 5,50 € por mês com fidelização de 24 meses, e a instalação abaixo é a mesma. Se preferir um fornecedor dos EUA com 30 dias de reembolso, o VPS Basic da Ultahost custa 5,52 $ por mês em 24 meses (1 GB de RAM, IPv4 dedicado, lido a 21 de outubro de 2026), suficiente para um servidor WireGuard com poucos dispositivos. Outra opção: HostPapa Unmanaged VPS Lite (link de afiliado) a 2,95 $ por mês num prazo de 3 anos, depois ao preço normal (1 núcleo, 1 GB de RAM, 25 GB NVMe, acesso root por SSH, garantia de reembolso de 30 dias, consultado a 28 de outubro de 2026).

O que é o PiVPN, e o que não é?

O PiVPN é um wrapper/instalador, não um novo protocolo. Configura por si o verdadeiro software VPN, bem auditado:

• Escolha WireGuard (recomendado em 2026) ou OpenVPN durante a configuração.
• Trata das chaves, da configuração do servidor, do encaminhamento e das regras de firewall com predefinições sensatas.
• Gira os clientes com pivpn add, pivpn -qr (código QR para telemóveis) e pivpn -l para listar os perfis.

Dá-lhe um servidor VPN clássico único: cada dispositivo liga-se de volta a essa única máquina. Essa simplicidade é a sua força. Se preferir escrever o wg0.conf à mão em vez de depender das predefinições do instalador, os nossos modelos de configuração WireGuard prontos a usar cobrem a mesma configuração de servidor único, além das variantes split-tunnel, kill-switch e multi-peer para colar e adaptar.

Deve executar o PiVPN num Raspberry Pi ou num VPS?

A resposta curta: um Pi se quiser voltar à sua rede doméstica, um VPS se quiser um ponto de saída rápido. Resolvem problemas diferentes, e é comum usar os dois.

• Raspberry Pi em casa → um túnel de volta para a sua rede doméstica; depende da velocidade de upload da sua casa e de um IP público estável / DNS dinâmico. Veja o nosso guia de auto-hospedagem no Raspberry Pi 5.
• VPS na nuvem → um ponto de saída privado rápido e sempre ligado, com um IP público fixo, por alguns euros por mês: ideal para acesso remoto em viagem. Um Contabo Cloud VPS 4 a €5,50/mês aguenta confortavelmente o tráfego de uma VPN pessoal.

Como instalar o PiVPN com um único comando?

Num host Debian/Ubuntu acabado de instalar:

# review the script before running it (open the URL in a browser first)
curl -L https://install.pivpn.io | bash

O instalador guiado pede o protocolo (escolha WireGuard), a interface de rede, um IP estático, o fornecedor de DNS e o endpoint público (IP ou domínio). Quando terminar, adicione o seu primeiro cliente:

pivpn add            # create a client profile
pivpn -qr            # show a QR code to import on a phone

Abra e leia sempre um script de instalação antes de o canalizar para bash. Para o reforço básico de um VPS, que também se aplica aqui, veja o guia de configuração do Contabo VPS e, para a escolha do protocolo, WireGuard vs OpenVPN.

O PiVPN é gratuito?

Sim, totalmente. O PiVPN é software de código aberto instalado numa máquina que já controla, sem conta, sem plano de licença e sem custo por dispositivo. A única coisa que paga é a máquina onde corre: nada, se reutilizar um Raspberry Pi que já tem, ou o custo mensal de um pequeno VPS se quiser um IP público fixo e um ponto de saída sempre ligado.

É todo o modelo de custos, e é o que distingue um túnel auto-hospedado de uma assinatura de VPN comercial: está a comprar hardware ou alojamento, não um serviço. O que não obtém é o anonimato de IP partilhado de um fornecedor comercial: o seu túnel sai por um endereço que pertence apenas a si.

Como adicionar e remover clientes PiVPN?

A partir de três ou quatro clientes, as falhas deixam de ser óbvias. Dois dispositivos com o mesmo endereço funcionam bem sozinhos, e o segundo a ligar-se desliga o primeiro, o que parece uma avaria intermitente do servidor e não o é. Escrevemos o wg-clients-audit para ler uma pasta de ficheiros .conf gerados e assinalar exatamente isso: endereços duplicados, uma chave privada reutilizada em dois dispositivos e intervalos AllowedIPs suficientemente largos para engolir a própria LAN do cliente.

O pivpn add trata do primeiro perfil; o resto do uso diário resume-se a mais três comandos:

pivpn list           # every profile, and which are enabled
pivpn -qr <name>     # re-display a profile QR code
pivpn revoke <name>  # disable a lost or retired device

Revogar importa mais do que se pensa. Um peer WireGuard continua válido até o remover, por isso um telemóvel perdido ou um portátil que saiu da empresa mantém uma chave funcional até alguém executar esse comando. Os perfis gerados ficam na pasta pessoal do utilizador da instalação: trate esses ficheiros como palavras-passe, porque é isso que são.

Porque é que o meu PiVPN liga mas não passa tráfego?

Quase todos os casos de "instalou-se bem mas não consigo ligar a partir do exterior" se resumem a uma de duas causas, e nenhuma é culpa do PiVPN. Se a segunda se aplicar a si, a solução não é uma definição: é outra ferramenta.

A porta não está acessível. O WireGuard escuta em UDP, e um router doméstico não a redireciona se não lhe disser para o fazer. Precisa de uma regra de redirecionamento de porta que envie essa porta UDP para o endereço local do Pi, e o Pi precisa de um IP local fixo para que a regra continue a apontar para ele. Se o seu ISP o coloca atrás de CGNAT, nenhuma regra ajuda: esse caso é tratado no nosso guia do WireGuard atrás de CGNAT. Antes de distribuir perfis, o nosso verificador de porta WireGuard gratuito diz-lhe se um redirecionamento pode sequer funcionar na sua linha (compara o endereço WAN do router com o seu IP público para detetar CGNAT e duplo NAT) e escreve a regra de firewall para o Pi.

O endereço público mudou. A maioria das ligações residenciais recebe um IP dinâmico, por isso o endpoint gravado num perfil de cliente deixa de corresponder após a renovação seguinte. Um nome de anfitrião de DNS dinâmico em vez de um IP direto resolve isto de vez, e vale a pena configurá-lo antes de distribuir os perfis, e não depois.

Se o túnel sobe mas não passa tráfego, a causa costuma estar noutro lado: o nosso guia de resolução de problemas de handshake percorre as oito causas por ordem de probabilidade.

Quais são os limites do PiVPN?

• Servidor único, não uma malha. Cada cliente passa por essa única máquina. Ótimo para um nó de saída pessoal; não foi feito para interligar muitos dispositivos e sites.
• A manutenção é sua. Atualizações, rotação de chaves, firewall e disponibilidade ficam a seu cargo: mantenha as atualizações de segurança automáticas ativadas.
• Ressalvas do alojamento em casa. Num Raspberry Pi, a sua velocidade de upload limita o débito e precisa de um IP público estável ou DNS dinâmico.
• É um wrapper. A segurança vem do WireGuard/OpenVPN e da higiene do seu host, não do próprio PiVPN.

PiVPN vs Tailscale: qual escolher?

Se precisar de uma malha em vez de um servidor único, veja o nosso guia de auto-hospedagem do NetBird e a visão geral da melhor VPN auto-hospedada 2026.

A sua VPN esconde o seu IP. Não esconde o seu navegador.

Um túnel WireGuard bem configurado substitui o endereço que um site vê. Não altera nada do que o seu navegador anuncia por conta própria: tipos de letra, ecrã, fuso horário, pilha gráfica. Essa combinação é muitas vezes única o suficiente para o seguir de sessão em sessão, com ou sem túnel.

Meça a impressão digital do seu navegador: passiva, sem perguntas, sem conta, sem e-mail. Indica-lhe quantos navegadores em N se parecem com o seu, e que atributo o faz destacar-se.

Conclusão

O PiVPN é a forma mais rápida e simples de montar o seu próprio servidor WireGuard ou OpenVPN em 2026, num Raspberry Pi para acesso a casa ou num VPS barato para um ponto de saída privado sempre ligado. Escolha-o quando quiser um único servidor pessoal limpo; opte por uma VPN de malha quando precisar de muitos nós ligados. Em qualquer dos casos, o servidor e as chaves são seus.

Assim que o servidor estiver a funcionar, o trabalho do dia a dia é adicionar e revogar peers: veja gerir clientes PiVPN para pivpn add, pivpn -qr, a revogação e o que realmente falha quando algo corre mal.

Crie um VPS Contabo para o PiVPN →

Guia editorial baseado no comportamento documentado do instalador do PiVPN e nas propriedades documentadas do WireGuard e do OpenVPN. A segurança depende dos protocolos subjacentes e da higiene do seu host, o que dizemos claramente. Os links comerciais têm o atributo rel="sponsored nofollow"; pode aplicar-se uma comissão de afiliado sem custo adicional para si.