VPNSmith
Ferramenta gratuita - porta WireGuard

Verificador de porta WireGuard

Os scanners de portas online não conseguem testar o WireGuard: ele não responde a desconhecidos, por isso cada scan diz "open|filtered". Esta ferramenta responde às perguntas reais: o seu router consegue reencaminhar uma porta, que linha de firewall a abre e que comando prova que um cliente passa.

Atrás de CGNAT? Um VPS com IPv4 público próprio dispensa reencaminhamento: ver a oferta Contabo

Funciona no seu navegador. O IP público só é pedido à API gratuita ipify se clicar no botão; nada é enviado para nós nem guardado.

51820 por omissão. Só UDP: o WireGuard não tem modo TCP.

Onde corre o servidor?

Procure "IP WAN", "endereço IPv4" ou "IP da internet" na página de estado da ligação do router.

O seu IP público visto da internet

O endereço local da máquina com WireGuard, idealmente com reserva DHCP.

Um nome DNS ou IP para a linha Endpoint. Vazio = o IP detetado, ou um texto a substituir.

Firewall do servidor

Um reencaminhamento de porta consegue chegar a este servidor?

Introduza o endereço WAN do router e detete o seu IP público: a comparação diz se um reencaminhamento pode funcionar. Entretanto, as regras abaixo assumem que sim.

Regra de reencaminhamento no router

ProtocoloPorta externaIP internoPorta interna
UDP51820192.168.1.1051820
Abrir a porta na firewall do servidor
sudo ufw allow 51820/udp comment 'WireGuard'
sudo ufw status numbered
Linhas ListenPort e Endpoint coerentes
# Server: /etc/wireguard/wg0.conf
[Interface]
ListenPort = 51820

# Every client: [Peer] section pointing at the server
[Peer]
Endpoint = <server public IP or DNS name>:51820
O único teste que prova que a porta está aberta
# 1. Is WireGuard listening on the port you think?
sudo wg show wg0 listen-port
sudo ss -ulnp | grep ':51820 '
# 2. Watch the port while a client connects from OUTSIDE (phone on mobile data, Wi-Fi off)
sudo tcpdump -ni any udp port 51820
#    Packets arrive  -> router and firewall are fine; check keys and AllowedIPs.
#    Nothing arrives -> blocked before the server: port forward, ISP box, CGNAT or cloud firewall.
# 3. Final proof
sudo wg show wg0 latest-handshakes

Porquê não um teste de portas online? O WireGuard é silencioso por conceção: não responde a pacotes que não sejam um handshake válido de uma chave conhecida. Um scanner UDP mostra por isso "open|filtered" tanto para uma porta aberta como para uma bloqueada. Só o tcpdump no servidor, ou um handshake de fora, mostram a diferença.

Prefere dispensar as regras do router?

Num VPS com IPv4 público, a porta que abre é a que a internet vê: uma linha de firewall, sem router. O VPS de entrada da Contabo inclui um IPv4 público e acesso root completo.

Ligação de afiliado: podemos receber uma comissão, sem custo extra para si. A ferramenta continua gratuita.

Ver o VPS da Contabo

O que diz o endereço WAN do seu router

Abra a página de estado do router e leia o endereço IPv4 do lado da internet (WAN). Esse único número decide se um reencaminhamento de porta pode funcionar.

Endereço WANSignificadoReencaminhamento
100.64.0.0 a 100.127.255.255NAT do operador (RFC 6598): o ISP partilha um IP público entre clientesImpossível do seu lado
10.x, 172.16-31.x, 192.168.xPrivado (RFC 1918): outro router ou o router do ISP está à frenteNecessário nos dois equipamentos
169.254.x.xLink-local: a WAN não tem endereço realCorrigir primeiro a ligação
Público, igual ao IP detetadoO router tem o endereço públicoFunciona
Público, diferente do IP detetadoOutro NAT, ou está a testar através de uma VPN ou proxyVerificar antes de reencaminhar
Guia completo: portas WireGuard, mudar ListenPort, UDP 443 e reencaminhamento →Atrás de CGNAT: todas as soluções comparadas (IPv6, IP público do ISP, relé VPS) →

Perguntas frequentes

Como verifico se a minha porta WireGuard está aberta?
Não com um scanner de portas online. O WireGuard descarta sem responder qualquer pacote que não seja um handshake válido de um par conhecido, por isso um scan UDP mostra "open|filtered" quer o túnel escute quer não. O teste fiável tem três passos: confirmar que o servidor escuta (wg show wg0 listen-port, ss -ulnp), correr tcpdump -ni any udp port 51820 no servidor e ligar um cliente de fora da rede (telemóvel com dados móveis e Wi-Fi desligado). Pacotes no tcpdump provam que a porta é alcançável; um handshake recente no wg show prova que o túnel funciona.
Que porta usa o WireGuard?
UDP 51820 por omissão, definida por ListenPort na secção [Interface] do wg0.conf. O WireGuard nunca usa TCP. Pode escolher qualquer porta UDP livre de 1 a 65535, desde que a firewall do servidor, o reencaminhamento do router e a linha Endpoint de cada cliente usem o mesmo número.
Como sei se estou atrás de CGNAT?
Compare o endereço WAN mostrado pelo router com o seu IP público visto da internet. Se a WAN começar entre 100.64 e 100.127, o ISP usa NAT do operador. Se for pública mas diferente do seu IP público, há outra camada de NAT à frente. Em ambos os casos, um reencaminhamento no router nunca recebe tráfego da internet. A ferramenta acima faz a comparação por si.
É possível ter um servidor WireGuard atrás de CGNAT?
Não como servidor alcançável diretamente. As saídas habituais: pedir um IPv4 público ao ISP (alguns fazem-no grátis ou com custo), usar IPv6 se o ISP der um prefixo encaminhado e os clientes também tiverem IPv6, ou colocar à frente um pequeno VPS com IPv4 público ao qual a sua casa se liga em saída. A via do VPS funciona em qualquer rede porque os dois lados só abrem ligações de saída.
Um VPS precisa de reencaminhamento de portas para o WireGuard?
Não. Um VPS tem normalmente o IPv4 público diretamente na interface de rede, por isso não há router a atravessar. Basta permitir a porta UDP na firewall do servidor e, se o fornecedor tiver uma, na firewall cloud.