WireGuard entre Ubuntu 24.04 e um NAS QNAP: configure a VPN

Conecte Ubuntu 24.04 a um NAS QNAP como cliente WireGuard com chaves separadas, rotas limitadas e testes do túnel.

Cenário e pré-requisitos

Ubuntu 24.04 aceita UDP 51820; o NAS QNAP inicia a conexão como cliente do QVPN Service. Confira suporte do modelo e QTS/QuTS, DNS, roteador e firewall. 10.77.20.1 e 10.77.20.2 são exemplos: escolha uma rede que não se sobreponha às LANs e VPNs existentes. Essa configuração conecta dois pares, não toda a LAN do NAS.

Instale e gere chaves

Instale WireGuard e gere as chaves no diretório privado /etc/wireguard. O comando imprime só a chave pública destinada ao QNAP; mantenha server.key secreta. Preserve o acesso SSH e um console de recuperação antes de mudar o firewall.

sudo apt update
sudo apt install wireguard
sudo install -d -m 700 /etc/wireguard
sudo sh -c 'umask 077; wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub'
sudo cat /etc/wireguard/server.pub

Configure a interface do servidor

Crie /etc/wireguard/wg0.conf e substitua os marcadores Base64 pela chave privada Ubuntu e a chave pública QNAP, sem sinais angulares. AllowedIPs 10.77.20.2/32 no servidor restringe o par ao IP do túnel do NAS. Proteja o arquivo. Para acessar redes atrás do NAS serão necessárias rotas, regras e encaminhamento IP adicionais.

[Interface]
Address = 10.77.20.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY_BASE64

[Peer]
PublicKey = QNAP_PUBLIC_KEY_BASE64
AllowedIPs = 10.77.20.2/32

Configure o cliente QNAP

Abra QVPN Service > VPN Client > VPN Connection Profiles > Add > WireGuard. Gere chaves no NAS e coloque a pública no Ubuntu. Defina endereço do túnel 10.77.20.2, chave pública Ubuntu, endpoint server.example.com:51820 e Allowed IPs 10.77.20.1/32. Os rótulos podem variar. Evite 0.0.0.0/0 caso não queira enviar todo o tráfego do NAS pela VPN.

Abra a porta e teste

Confira SSH e libere UDP 51820 no UFW e firewall externo; redirecione a porta no roteador se Ubuntu estiver atrás de NAT. Inicie wg-quick@wg0 e conecte QNAP. wg show exibe handshake e contadores. Ping bloqueado por firewall não prova que o túnel falhou. Compare chaves, endpoint, endereços e AllowedIPs.

sudo chmod 600 /etc/wireguard/wg0.conf
sudo ufw allow 51820/udp
sudo systemctl enable --now wg-quick@wg0
sudo wg show
ping -c 3 10.77.20.2

NAT e segurança

Se QNAP está atrás de NAT e o mapeamento ocioso expira, ajuste PersistentKeepalive = 25 no par QNAP, caso QVPN tenha a opção. Somente no servidor isso não mantém o NAT do cliente aberto. Proteja chaves privadas, atualize sistemas e restrinja serviços do NAS. Criptografia não substitui cópias verificadas.

Fontes

QNAP QVPN: https://www.qnap.com/en/how-to/tutorial/article/how-to-set-up-and-use-qvpn-service-and-qvpn-device-client ; WireGuard: https://www.wireguard.com/quickstart/ .