Um Raspberry Pi parado numa gaveta rende uma VPN caseira que resolve 90% dos motivos pelos quais você pensaria em pagar um serviço de VPN por assinatura — acessar seus próprios arquivos de fora de casa, usar o Wi-Fi do aeroporto sem se preocupar com quem mais está na rede, ou simplesmente ter uma saída de internet que você controla de ponta a ponta. A diferença é que aqui o servidor é seu, fica na sua casa, e você não depende de terceiros guardando (ou vendendo) seus logs.
Já montei esse esquema em mais de uma casa e o processo é bem mais tranquilo do que parece à primeira vista, principalmente depois que o WireGuard virou o padrão de fato — ele é mais rápido, mais leve e muito mais simples de depurar do que o OpenVPN. Neste guia vou direto ao ponto: o que comprar, como instalar, como abrir a porta certa no roteador (a parte que mais trava gente) e o que fazer quando algo não conecta.
Por que montar sua própria VPN em vez de assinar um serviço pronto
Um serviço de VPN comercial esconde seu tráfego da sua operadora, mas ainda passa tudo pelos servidores da empresa que você contratou — ou seja, você troca um “espião” por outro. Com uma VPN caseira no Raspberry Pi, o tráfego sai do seu celular ou notebook, passa pelo túnel criptografado até sua casa, e só depois vai para a internet usando a sua própria conexão. Serve para:
- Acessar a sua rede local (câmeras, NAS, servidor de arquivos) quando você está fora de casa, sem abrir dezenas de portas no roteador.
- Navegar com segurança em redes Wi-Fi públicas.
- Ter um IP fixo “de casa” mesmo estando em outro lugar, útil para acessar serviços que bloqueiam por região.
O que não resolve: se o objetivo é trocar seu IP para parecer que você está em outro país, uma VPN caseira não ajuda — ela sai pela sua própria conexão residencial, com o seu IP de sempre.
O que você precisa
- Raspberry Pi — qualquer modelo a partir do 3B+ funciona bem para esse uso; o Pi 4 ou 5 aguenta tranquilamente vários dispositivos conectados ao mesmo tempo.
- Cartão microSD de pelo menos 8 GB (16 GB dá mais folga se você quiser usar o mesmo Pi para outras coisas).
- Raspberry Pi OS Lite instalado (não precisa de interface gráfica — isso só consome recursos à toa num servidor).
- Acesso ao painel do seu roteador para redirecionar uma porta.
- De preferência, um IP fixo local para o Pi na sua rede (configurado por DHCP reservado no roteador, não precisa mexer no Pi).
Passo a passo: instalando o WireGuard com PiVPN
O PiVPN existe justamente para evitar que você tenha que configurar chaves, interfaces de rede e regras de firewall na mão. É um instalador que faz praticamente tudo sozinho.
- Atualize o sistema antes de qualquer coisa:
sudo apt update && sudo apt full-upgrade -y
Pular esse passo é a causa mais comum de instalação que trava no meio — o script do PiVPN espera pacotes atualizados. - Rode o instalador:
curl -L https://install.pivpn.io | bash - Siga o assistente: ele vai perguntar o IP local do Pi (confirme se está correto — se você não reservou um IP fixo, o Pi pode mudar de endereço depois de reiniciar e sua VPN para de funcionar do nada), o usuário local, e o protocolo. Escolha WireGuard.
- Escolha a porta. A padrão é a UDP 51820 — pode deixar como está, não há motivo real para mudar a menos que sua operadora bloqueie essa faixa (raro, mas já vi acontecer com uma operadora específica de internet via rádio no interior).
- DNS dos clientes: o instalador pergunta qual DNS os dispositivos conectados vão usar. Se você tem um Pi-hole na rede, aponte para ele — assim a VPN também bloqueia anúncios nos seus dispositivos móveis. Se não, pode usar 1.1.1.1.
- Finalize e reinicie:
sudo reboot
Abrindo a porta no roteador (o passo que mais gera dor de cabeça)
O PiVPN instala o servidor, mas ele só recebe conexões de fora de casa se o seu roteador redirecionar a porta 51820 (UDP) para o IP local do Raspberry Pi. Entre no painel do roteador (geralmente 192.168.0.1 ou 192.168.1.1, tem uma etiqueta embaixo do aparelho com usuário e senha padrão) e procure por “Port Forwarding”, “Redirecionamento de portas” ou “Virtual Server”, dependendo da marca.
Configure: porta externa 51820, porta interna 51820, protocolo UDP, IP de destino = o IP local do seu Pi. Se sua operadora usa CGNAT (comum em planos de fibra mais baratos, principalmente fora das capitais), esse redirecionamento não vai funcionar porque o seu roteador nem tem um IP público de verdade — nesse caso a saída é usar um serviço de túnel reverso tipo Tailscale ou Cloudflare Tunnel em vez do port forward tradicional. Dá para saber se você está atrás de CGNAT comparando o IP que aparece no painel do roteador com o IP que aparece em um site como “meu ip” no navegador — se forem diferentes, você está atrás de CGNAT.
Adicionando dispositivos e conectando
Para cada dispositivo (celular, notebook, tablet), gere um perfil separado — não reutilize o mesmo:
- No Pi, rode:
pivpn add - Dê um nome para o perfil (ex: “celular-leandro”).
- O PiVPN gera um QR code direto no terminal. Instale o app oficial do WireGuard no celular e escaneie o código — pronto, conectado.
- Para notebook, o comando gera um arquivo
.confque fica salvo em/home/pi/configs/; baixe esse arquivo e importe no cliente WireGuard do seu sistema.
Problemas comuns e como resolver
1. Conecta na rede local mas não fora de casa. Quase sempre é a porta não redirecionada corretamente, ou CGNAT. Teste primeiro com o celular usando dados móveis (4G/5G) desligando o Wi-Fi — se não conectar assim, o problema é no roteador ou na operadora, não no Pi.
2. A VPN para de funcionar depois que a energia cai ou o roteador reinicia. Geralmente o IP local do Pi mudou porque não foi reservado no DHCP do roteador. Entre no painel do roteador e reserve o IP do Pi pelo endereço MAC dele — assim ele sempre recebe o mesmo IP.
3. Conecta, mas a internet no celular fica lenta ou trava. Se você configurou “full tunnel” (todo o tráfego passa pela VPN), a velocidade de upload da sua internet residencial vira o teto de tudo que você navega fora de casa — e a maioria dos planos residenciais tem upload bem menor que download. Para navegar rápido, prefira “split tunnel”, que só manda pela VPN o tráfego destinado à sua rede doméstica (acessar câmeras, NAS, etc.), deixando o resto (Instagram, YouTube) direto na internet do lugar onde você está.
4. Erro de “handshake” que nunca completa. Confira se a data e hora do Raspberry Pi estão corretas — o WireGuard é sensível a isso. Rode date no terminal do Pi e compare com a hora real; se estiver muito errado, o NTP pode não estar sincronizando, o que costuma acontecer quando o Pi não tem acesso à internet no momento do boot.
Vale a pena manter o Pi ligado 24 horas?
Sim, e o consumo de energia é bem menor do que as pessoas imaginam — um Raspberry Pi 4 rodando só o WireGuard consome entre 3 e 5 watts, o equivalente a poucos reais por mês na conta de luz. O maior cuidado real é térmico: se o Pi ficar em um cantinho abafado, sem ventilação nenhuma, com o tempo o cartão SD sofre mais desgaste. Um case simples com um dissipador passivo já resolve.
Perguntas frequentes
Preciso de IP fixo da operadora para isso funcionar?
Não é obrigatório, mas ajuda. Sem IP fixo, use um serviço de DNS dinâmico (DuckDNS é gratuito e integra direto com o PiVPN durante a instalação) para ter um endereço que se atualiza sozinho sempre que seu IP mudar.
WireGuard é seguro o suficiente para uso sério?
Sim — é o protocolo que a maioria dos serviços comerciais de VPN também usa hoje em dia, com uma base de código muito menor e mais auditada que o OpenVPN, o que reduz a superfície de ataque.
Posso usar essa VPN para acessar Netflix de outro país?
Não faz sentido para isso — como o tráfego sai pela sua própria conexão de casa, o IP que aparece é sempre do seu país. Serve para o caminho contrário: acessar serviços brasileiros estando você no exterior.
Dá para rodar isso e o Pi-hole no mesmo Raspberry Pi?
Dá, e é uma combinação ótima — os dois consomem pouquíssimo recurso. Só recomendo Pi 3B+ ou superior para rodar os dois ao mesmo tempo sem gargalo.
Depois que a VPN estiver de pé, vale revisar também a segurança do restante da sua rede doméstica — configurar um servidor de mídia (NAS) na rede local é o próximo passo natural para quem já montou esse tipo de infraestrutura em casa. E se o objetivo inicial era só assistir conteúdo de streaming sem restrição de região em algum dispositivo específico, vale entender por que nem toda Smart TV aceita VPN configurada diretamente e quais são as alternativas nesse caso.
