Skip to main content

Ports | Wireguard

  • Ports | Wireguard

WireGuard e portas: explicação simples

  • WireGuard e portas: explicação simples

Visão rápida​

No WireGuard, existem basicamente dois lugares onde a porta aparece:

  • listening port: porta em que a máquina local está escutando
  • endpoint do peer: IP e porta do outro lado da conexão

1. O que é listening port​

Quando você roda wg e vê algo assim:

interface: wg0
  listening port: 51820

isso significa:

  • essa máquina está ouvindo conexões UDP na porta 51820

Em outras palavras, essa é a porta local do WireGuard nessa máquina.

Exemplo:

  • servidor WireGuard: listening port: 51820
  • cliente WireGuard: listening port: 52461

Cada máquina pode ter sua própria porta.

2. O que é endpoint no peer​

Quando aparece algo assim:

peer: ABC123...
  endpoint: 191.36.171.17:52461

isso significa:

  • esse peer remoto está sendo visto no IP 191.36.171.17
  • e está chegando pela porta 52461

Ou seja, o endpoint mostra de onde o outro lado está vindo naquele momento.

3. De onde vem essa porta do peer​

A porta mostrada no endpoint pode vir de três lugares:

A) Porta configurada manualmente​

Se no outro lado existir algo como:

[Interface]
ListenPort = 52461

então ele pode aparecer exatamente com essa porta.

B) Porta escolhida automaticamente pelo sistema​

Se o peer não tiver uma porta fixa definida, o sistema operacional pode escolher uma porta UDP disponível automaticamente.

Exemplo:

  • o cliente sobe
  • o sistema escolhe 59447
  • o servidor passa a enxergar esse peer como IP:59447

C) Porta alterada pelo NAT/roteador​

Se o peer estiver atrás de roteador, CGNAT ou firewall com NAT, a porta externa pode ser alterada.

Exemplo:

  • cliente local usa 51820
  • roteador traduz para 59447
  • servidor enxerga 59447

Então, às vezes, a porta que aparece no servidor não é exatamente a porta interna real do cliente, mas sim a porta externa publicada pelo NAT.

4. Aplicando ao seu caso​

No servidor​

info

No servidor, os peers que são gerados mais especificamente o IP e Porta, são gerados baseado no handshake que é realizado que significa que a conexão ocorreu com sucesso.

interface: wg0
  listening port: 51820

Significa:

  • o servidor está escutando na porta 51820

E quando ele mostra:

endpoint: 191.36.171.17:52461

significa:

  • esse peer remoto está chegando ao servidor usando a porta 52461

No cliente​

interface: wg0
  listening port: 52461

Significa:

  • o cliente está escutando localmente na porta 52461

E quando ele mostra:

endpoint: 157.245.219.16:51820

significa:

  • o cliente sabe que o servidor está no IP 157.245.219.16, porta 51820

5. Regra simples para não confundir​

Use esta leitura:

  • listening port = porta da própria máquina
  • endpoint = IP e porta do outro lado

6. Resumo final​

  • A porta em listening port é a porta local do WireGuard naquela máquina

  • A porta em endpoint é a porta que o outro peer está usando naquele momento

  • Essa porta do peer pode vir:

    • de configuração manual
    • de escolha automática do sistema
    • de tradução feita pelo NAT/roteador

Exemplo mental rápido​

Servidor
  listening port: 51820

Cliente
  listening port: 52461

No cliente:
  endpoint do servidor = 157.245.219.16:51820

No servidor:
  endpoint do cliente = 191.36.171.17:52461

Leitura:

  • servidor escuta em 51820
  • cliente escuta em 52461
  • cada lado mostra o outro usando sua respectiva porta