AmneziaWG: WireGuard com Ofuscação para Contornar DPI em 2026

1. Introdução

O WireGuard é amplamente reconhecido como o protocolo VPN mais rápido e simples de configurar em 2026. No entanto, a sua assinatura de tráfego é facilmente identificável por sistemas de Deep Packet Inspection (DPI), tornando-o inutilizável em redes onde administradores ou governos bloqueiam tráfego VPN. Para PME com escritórios em regiões onde o WireGuard é detectado e bloqueado — seja por políticas corporativas restritivas, firewalls de operadoras ou legislação local — o AmneziaWG oferece uma solução pragmática: mantém todo o desempenho e simplicidade do WireGuard, mas ofusca os pacotes para que passem despercebidos.

Este guia explica o que é o AmneziaWG, como instalação funciona em servidores Linux e clientes móveis/desktop, como se compara ao WireGuard padrão, e como integrar com Headscale para gestão centralizada de múltiplos nós.

2. O que é AmneziaWG e DPI

2.1 Deep Packet Inspection

Deep Packet Inspection (DPI) é uma técnica de análise de tráfego de rede que examina não apenas os cabeçalhos dos pacotes (IP, portas) mas também o conteúdo interno (payload) para identificar protocolos e aplicações. Firewalls de próxima geração, sistemas de prevenção de intrusão e plataformas de censura estatal usam DPI para classificar e bloquear tráfego VPN com base em assinaturas conhecidas.

O WireGuard padrão usa UDP numa porta fixa (51820 por defeito) com um handshake que segue um padrão previsível: pacotes de tamanho fixo, timestamps baseados em sessão e uma estrutura de cabeçalho constante. DPI moderno identifica este padrão em milissegundos, mesmo sem desencryptar o tráfego.

2.2 AmneziaWG

AmneziaWG é um fork do WireGuard desenvolvido pela equipa Amnezia VPN que adiciona ofuscação ao nível do protocolo. Em vez de criar uma camada adicional de túnel (como Shadowsocks sobre WireGuard), o AmneziaWG modifica directamente o formato dos pacotes do WireGuard, injectando parâmetros aleatórios nos campos de cabeçalho que o DPI não consegue distinguir de tráfego UDP normal.

Os parâmetros de ofuscação (chamados jc, jmin, jmax, s1, s2, h1, h2, h3, h4) são configurados no servidor e cliente. Quando correspondem, o handshake sucede; caso contrário, os pacotes são silenciosamente ignorados. Para um observador externo com DPI, o tráfego parece UDP aleatório sem assinatura reconhecível.

O código-fonte está disponível no repositório oficial amneziawg-go no GitHub, escrito em Go, com implementações nativas também disponíveis para Linux (módulo kernel), Android, iOS, Windows e macOS.

3. Instalação

3.1 Servidor (Linux)

A forma mais simples de instalar o AmneziaWG num servidor Linux é através do script oficial de instalação, que configura automaticamente o módulo kernel, ferramentas de linha de comandos e um ficheiro de configuração base.

# Descarregar e executar o script oficial
curl -fsSL https://raw.githubusercontent.com/amnezia-vpn/amneziawg-install/master/amneziawg_install.sh -o awg_install.sh
chmod +x awg_install.sh
sudo ./awg_install.sh

Para instalação manual em Debian/Ubuntu, os pacotes estão disponíveis via repositório:

# Adicionar repositório e instalar (Debian/Ubuntu)
sudo apt update
sudo apt install -y amneziawg amneziawg-tools wireguard-tools

Após a instalação, os comandos awg e awg-quick ficam disponíveis, com sintaxe idêntica ao wg e wg-quick do WireGuard padrão.

3.2 Clientes

Os clientes AmneziaWG estão disponíveis para as principais plataformas:

4. Configuração de servidor e Cliente

4.1 Gerar chaves

Tal como no WireGuard, o AmneziaWG usa Curve25519 para troca de chaves. Gerar as chaves do servidor e cliente:

# Chaves do servidor
wg genkey | tee server_private.key | wg pubkey > server_public.key

# Chaves do cliente
wg genkey | tee client_private.key | wg pubkey > client_public.key

# Preshared key (opcional, recomendado)
wg genpsk > preshared.key

4.2 Configuração do servidor

O ficheiro de configuração do servidor fica em /etc/amneziawg/awg0.conf. A secção [Interface] define o servidor; a secção [Peer] define cada cliente autorizado.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <server_private.key>

# Parâmetros de ofuscação AmneziaWG
Jc = 4
Jmin = 50
Jmax = 1000
S1 = 0
S2 = 0
H1 = 1
H2 = 2
H3 = 3
H4 = 4

[Peer]
# Cliente escritório-remoto
PublicKey = <client_public.key>
PresharedKey = <preshared.key>
AllowedIPs = 10.8.0.2/32

4.3 Configuração do cliente

O ficheiro de configuração do cliente inclui os mesmos parâmetros de ofuscação:

[Interface]
Address = 10.8.0.2/24
PrivateKey = <client_private.key>

# Parâmetros de ofuscação (idênticos ao servidor)
Jc = 4
Jmin = 50
Jmax = 1000
S1 = 0
S2 = 0
H1 = 1
H2 = 2
H3 = 3
H4 = 4

[Peer]
PublicKey = <server_public.key>
PresharedKey = <preshared.key>
Endpoint = servidor.exemplo.pt:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

4.4 Iniciar e verificar

# Iniciar interface no servidor
sudo awg-quick up awg0

# Activar no arranque
sudo systemctl enable amneziawg@awg0

# Verificar estado do túnel
sudo awg show

# Verificar no cliente
awg show

O comando awg show apresenta o estado da interface, chaves públicas, pontos finais e tráfego transferido — exactamente como wg show no WireGuard padrão.

5. Comparação AmneziaWG vs WireGuard

A tabela seguinte resume as diferenças principais entre AmneziaWG e WireGuard padrão:

6. Integração com Headscale

Headscale é uma implementação código aberto do servidor de coordenação Tailscale, que permite gerir múltiplos nós VPN sem depender de serviços na nuvem. Para PME que precisam de uma malha VPN (mesh) com múltiplos escritórios, dispositivos remotos e encaminhamento entre sub-redes, o Headscale oferece gestão centralizada com controlo total dos dados.

6.1 Cenário de utilização

Uma PME com sede em Lisboa e escritório remoto numa região onde WireGuard é bloqueado pode configurar:

• Headscale num VPS na Europa como servidor de coordenação
• Nós AmneziaWG no escritório remoto (atravessa DPI)
• Nós WireGuard padrão na sede (sem DPI, mais simples)
• Tailscale/Headscale cliente em cada dispositivo para itinerância automática

6.2 Configurar nós AmneziaWG como nó de saída no Headscale

O Headscale gere nós via Tailscale cliente. Para integrar AmneziaWG como camada de transporte em nós onde o Tailscale padrão é bloqueado, configura-se um retransmissor AmneziaWG que encaminha tráfego Tailscale:

# 1. Instalar AmneziaWG no nó remoto
sudo awg-quick up awg0

# 2. Encaminhar tráfego Headscale via túnel AWG
# Adicionar rota estática para o servidor Headscale via AWG
sudo ip route add <he IP do Headscale>/32 dev awg0

# 3. Configurar Tailscale para usar o relay
sudo tailscale up --login-server https://headscale.exemplo.pt \
  --advertise-routes=192.168.10.0/24 \
  --accept-routes

6.3 Headscale com ACLs para segmentação

No ficheiro de ACLs do Headscale, pode-se restringir que nós comunicam entre si, isolando o escritório remoto da rede interna principal:

{
  "acls": [
    {
      "action": "accept",
      "src": ["group:sede"],
      "dst": ["group:remoto:*", "tag:server:*"]
    },
    {
      "action": "accept",
      "src": ["group:remoto"],
      "dst": ["tag:server:443", "tag:server:22"]
    }
  ],
  "groups": {
    "group:sede": ["[email protected]"],
    "group:remoto": ["[email protected]"]
  },
  "tagOwners": {
    "tag:server": ["[email protected]"]
  }
}

7. Boas Práticas

7.1 Segurança das chaves

• Usar sempre PresharedKey (PSK) além das chaves de par — adiciona defesa em profundidade contra comprometimento de chave privada
• Gerar chaves com wg genkey num ambiente limpo, nunca em máquinas partilhadas
• Renovar chaves periodicamente (recomendado a cada 6-12 meses para PME)
• Armazenar chaves privadas em gestor de segredos (HashiCorp Vault, Bitwarden) — nunca em repositórios Git ou ficheiros de texto sem protecção

7.2 Parâmetros de ofuscação

• Não usar valores predefinidos de tutoriais — gerar parâmetros aleatórios para cada implementação
• Valores de Jc entre 3-8 oferecem bom equilíbrio entre ofuscação e desempenho
• Jmin e Jmax definem o intervalo de jitter — valores mais amplos aumentam a aleatoriedade mas podem aumentar latência
• Documentar os parâmetros numa plataforma segura (não no mesmo servidor VPN)

7.3 Reforço de segurança do servidor

# Firewall: só permitir UDP na porta do AmneziaWG
sudo ufw allow 51820/udp
sudo ufw enable

# Limitar tentativas de ligação
sudo iptables -A INPUT -p udp --dport 51820 -m hashlimit \
  --hashlimit-name awg_limit --hashlimit 5/min --hashlimit-burst 10 \
  -j ACCEPT
sudo iptables -A INPUT -p udp --dport 51820 -j DROP

# Activar forwarding de pacotes
echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

7.4 Monitorização

Para PME, monitorizar o estado do túnel é essencial. Um script simples para verificação periódica:

#!/bin/bash
# awg-monitor.sh - verificar estado do túnel AmneziaWG
INTERFACE="awg0"
LOG="/var/log/awg-monitor.log"

STATUS=$(awg show $INTERFACE 2>&1)
if echo "$STATUS" | grep -q "peer"; then
  echo "$(date): OK - Túnel activo" >> $LOG
else
  echo "$(date): ERRO - Túnel inactivo" >> $LOG
  awg-quick down $INTERFACE 2>/dev/null
  sleep 2
  awg-quick up $INTERFACE 2>/dev/null
  echo "$(date): RESTART - Tentativa de reinício" >> $LOG
fi