WireGuard Keys & Peers
WireGuard & Curve25519 Cryptographic Suite

Guia do Desenvolvedor: Gerador de Par de Chaves e Configuração de Peer WireGuard

Gere pares de chaves pública e privada Curve25519, chaves pré-compartilhadas (PSK) e blocos de configuração de peers WireGuard no navegador.

100% Client-Side Privacy
Curve25519 ↔ wg0.conf & wg-client.conf
Predefinições:
Interface Parameters & Cryptographic Handshake Options
UDP 51820•2 Peers
Configured Peers:
Work Laptop(10.8.0.2/32)
iPhone Roaming(10.8.0.3/32)
Definições de peers e entrada de chaves2 Peers
33 lines1076 chars1076 B
Curve25519 Base64Sync Active
# =========================================================
# WireGuard Client Configuration for: Work Laptop
# Save to /etc/wireguard/wg0-client.conf or import into app
# =========================================================

[Interface]
PrivateKey = qIOQti92akyvcSrNxKmDGmOTOqZpyCNpIiRCU1AqIFI=
Address = 10.8.0.2/32, fd86:ea04:1115::2/128
DNS = 1.1.1.1, 8.8.8.8
MTU = 1420

[Peer]
PublicKey = WkT9aMOtAuXEg5bG2/PvXSNJ90Fcf4UejCPG7Fmfs2U=
PresharedKey = WYf+0IeaWwZX2zdozh+ujBc32PJ2NCPhB7vG1OmlluE=
Endpoint = vpn.example.com:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25
18 lines592 chars592 B
wg-client.confWireGuard v1
Peers ativos
2 Client Peers
10.8.0.1/24, fd86:ea04:1115::1/64
Chaves Curve25519
3 RFC 7748 Keypairs
256-bit ECDH Clamped
Túnel WireGuard
PSK Hardened (256-bit)
Port 51820 • MTU 1420

Geração de chaves Curve25519

Multiplicação escalar Diffie-Hellman em curva elíptica pura RFC 7748 X25519 calculada localmente sem transmissão ao servidor.

Execução Zero-Knowledge no navegador

Todas as chaves privadas, chaves pré-compartilhadas e configurações de endpoint permanecem estritamente na memória do seu navegador.

Pronto para WireGuard multiplataforma

Exportação instantânea para Linux wg-quick, macOS, Windows, leitura QR no Android/iOS e implantações Docker Compose.

Referência técnica e guia de arquitetura

Guia do Desenvolvedor: Gerador de Par de Chaves e Configuração de Peer WireGuard — Guia de referência

Gere pares de chaves pública e privada Curve25519, chaves pré-compartilhadas (PSK) e blocos de configuração de peers WireGuard no navegador.

Parâmetros principais e controles

PrivateKeyBase64 (32 bytes Curve25519)

A chave privada secreta usada para descriptografia da interface local e autenticação da sessão WireGuard.

Padrão: Gerada automaticamente
PublicKeyBase64 (32 bytes Curve25519)

Chave pública derivada matematicamente da chave privada via multiplicação escalar X25519 para registro nos pares remotos.

Padrão: Derivada
PresharedKey (PSK)Base64 (32 bytes simétrica)

Chave pré-compartilhada simétrica opcional de 256 bits que adiciona uma camada de segurança pós-quântica aos pares.

Padrão: Opcional
AllowedIPsLista CIDR

Filtro de roteamento de chave criptográfica especificando as faixas de IP permitidas no túnel (0.0.0.0/0 para túnel completo).

Padrão: 0.0.0.0/0, ::/0
EndpointHost / IP:Porta

Endereço IPv4/IPv6 público ou domínio FQDN e porta UDP de escuta do peer remoto.

Padrão: vpn.example.com:51820
PersistentKeepaliveInteiro (segundos)

Intervalo em segundos para envio de pacotes de sinalização keepalive, mantendo tabelas NAT ativas.

Padrão: 25

Dicas profissionais e melhores práticas

Isolamento criptográfico do lado do cliente

Todos os pares de chaves Curve25519 e chaves PSK são computados localmente via WebCrypto no navegador. Nenhuma chave privada trafega pela rede, evitando vazamento no servidor.

Proteção pós-quântica com chave PSK

A combinação de Curve25519 com uma PSK simétrica de 256 bits cria um túnel híbrido resistente a computadores quânticos, mantendo o tráfego indecifrável mesmo se o algoritmo de Shor for aplicado.

Cryptokey Routing e separação estrita de AllowedIPs

O WireGuard roteia pacotes com base na associação estrita entre chave pública e AllowedIPs (Cryptokey Routing). Evite sobreposição de IPs entre pares para evitar quedas silenciosas de pacotes.

Otimização de MTU para redes móveis e conexões PPPoE

Defina 'MTU = 1420' ou '1360' em conexões móveis ou PPPoE para compensar o cabeçalho de encapsulamento de 32 bytes e evitar fragmentação de pacotes.

Problemas comuns e solução de problemas

O handshake não é concluído (zero bytes recebidos do par remoto)

Verifique se a porta UDP 51820 está aberta no firewall do servidor, se o Endpoint é acessível e se a PublicKey está registrada na seção [Peer] do servidor remoto.

O handshake ocorre com sucesso, mas o tráfego de internet ou rede interna falha

Ative o encaminhamento IP no servidor gateway (sysctl -w net.ipv4.ip_forward=1) e configure regras MASQUERADE no iptables/nftables para a interface WAN externa.

Quedas periódicas de conexão após inatividade em redes móveis ou roteadores domésticos

Adicione 'PersistentKeepalive = 25' ao bloco [Peer] do cliente para enviar pacotes de heartbeat a cada 25 segundos, prevenindo o encerramento da tabela NAT.

Perguntas frequentes (FAQ)

Quais primitivas criptográficas o WireGuard utiliza para gerar chaves?▼

O WireGuard usa Curve25519 para troca de chaves ECDH, ChaCha20 para criptografia simétrica, Poly1305 para autenticação e BLAKE2s para hashing. As chaves são strings Base64 de 32 bytes.

Por que a chave pré-compartilhada (PSK) é recomendada no WireGuard?▼

A PSK introduz uma camada simétrica de 256 bits sobre a troca Curve25519. Isso garante segurança pós-quântica híbrida, protegendo dados contra descriptografia futura por computadores quânticos.

Vários clientes WireGuard podem compartilhar o mesmo par de chaves?▼

Não. O WireGuard mapeia rigorosamente os IPs do túnel às chaves públicas (Cryptokey Routing). O compartilhamento de chaves provoca conflitos de roteamento e interrupção do tráfego.

Qual a diferença de AllowedIPs na configuração do servidor e do cliente?▼

No servidor, AllowedIPs define o IP específico do cliente (/32 ou /128). No cliente, define quais sub-redes trafegarão pelo VPN (0.0.0.0/0 para túnel completo ou faixas locais para split-tunnel).

Como aplicar com segurança a configuração de peer no Linux com o wg-quick?▼

Salve o bloco em /etc/wireguard/wg0.conf ou execute 'wg set wg0 peer <PublicKey> allowed-ips <IP>/32' para aplicar a alteração em tempo real sem reiniciar o túnel.

Ferramentas e utilitários relacionados

Todas as ferramentas →
Guia do Desenvolvedor: Gerador htpasswd para Apache e Nginx (Bcrypt, APR1-MD5, SHA-1)security

Gere senhas seguras para Autenticação Básica HTTP e entradas .htpasswd com suporte a Bcrypt, Apache MD5 (APR1) e SHA-1.

Abrir ferramenta→
Decodificador JWT e Inspetor de Segurançasecurity

Decodifique JSON Web Tokens, inspecione claims de header e payload, calcule a expiração e verifique a integridade localmente.

Abrir ferramenta→
Gerador Criptográfico de Senhas e Frases-Chavesecurity

Gere senhas seguras de alta entropia, frases-passe memoráveis (Diceware), códigos PIN e tokens de API com a Web Crypto API CSPRNG nativa em conformidade com o NIST SP 800-63B.

Abrir ferramenta→
Gerador de Hashes Criptográficos e Verificador de Checksumsecurity

Calcule instantaneamente hashes SHA-256, SHA-512, MD5, SHA-1, SHA-3, Keccak e CRC32 localmente no navegador com segurança Web Crypto API 100% privada.

Abrir ferramenta→
Depurador e Verificador de Assinaturas JSON Web Token (JWT)security

Decodifique, inspecione e verifique assinaturas HMAC (HS256/384/512) e RSA (RS256/384/512) 100% localmente no navegador via Web Crypto API.

Abrir ferramenta→
Auditor de Entropia e Força de Senhassecurity

Avalie a robustez de senhas contra ataques de força bruta com fórmulas de entropia de Shannon, heurística zxcvbn e estimativa de tempo de quebra.

Abrir ferramenta→