👥 WireGuard Peers - Gerenciamento de Clientes no OpenFW
A aba WireGuard Peers é o local destinado ao cadastro e controle de todos os dispositivos remotos (sejam clientes avulsos como smartphones e notebooks, ou roteadores remotos em topologias Site-to-Site) que possuem permissão para fechar o túnel VPN criptografado com o seu servidor OpenFW.
💡 Entendendo o Conceito de Peer
No ecossistema do WireGuard, a nomenclatura Peer (Par) refere-se a qualquer dispositivo conectado à rede privada. No cenário padrão do OpenFW, cada Peer cadastrado nesta aba representa um cliente (seja um smartphone, notebook ou filial remota) estabelecendo uma conexão criptografada ativa em direção ao seu servidor principal OpenFW UTM Server.
⚙️ 1. Menu de Acesso e Interface Geral
Para iniciar o provisionamento dos clientes, acesse a console de gerenciamento do túnel:
- 🧭 Acesse o menu superior: VPN.
- 📂 No menu lateral esquerdo, selecione a opção WireGuard VPN.
- 🧭 Alterne para a aba superior central: WireGuard Peers.
Nesta tela, você visualizará a tabela Configured Peers, que lista de forma resumida todos os acessos já parametrizados com o seu status, nome, bloco de IPs permitidos, IP de alocação e keepalive.
➕ 2. Cadastrando um Novo Peer (Cliente)
Para conceder permissão a uma nova estação de trabalho ou túnel, clique no botão Add Peer. O formulário Add New Peer será expandido com os seguintes campos:
- ⚡ Enabled: Mantenha a caixa de seleção marcada para que o túnel deste cliente fique imediatamente ativo após o salvamento.
- 📝 Name: Defina uma identificação clara e amigável para o dispositivo ou colaborador (Exemplo:
Notebook_HomeOfficeouFilial_XYZ). - 🗺️ Allowed IPs: Determina quais blocos de rede ou IPs específicos o servidor OpenFW terá permissão de rotear para dentro deste peer através do túnel.
- Para clientes Roadwarrior: Geralmente preenche-se com o IP específico que ele assumirá no túnel com máscara
/32(Exemplo:10.1.1.5/32). - Para conexões Site-to-Site: Insira as sub-redes locais da filial remota que precisam ser alcançadas (Exemplo:
192.168.10.0/24). Pressione Enter para consolidar a inserção se houver mais de um bloco.
- Para clientes Roadwarrior: Geralmente preenche-se com o IP específico que ele assumirá no túnel com máscara
- 📌 Allocation IP: O endereço IP estático interno que este cliente específico assumirá obrigatoriamente dentro do escopo do túnel da VPN (Exemplo:
10.1.1.5/32). - ⏰ Persistent Keepalive: Define o intervalo em segundos (Padrão recomendável:
25) para o envio de pacotes de checagem ativos (keepalive packets). !!! tip "Dica de Conectividade" Este parâmetro é fundamental para manter o túnel aberto permanentemente, especialmente se o dispositivo do cliente estiver atrás de um roteador doméstico com NAT agressivo ou conexões móveis CGNAT, evitando que a conexão caia por inatividade. - 🔑 Chaves Criptográficas (Private & Public Key): O coração da autenticação do WireGuard. Ao contrário do servidor, onde o par de chaves pode ser gerado automaticamente pelo OpenFW, o cliente deve possuir seu próprio par:
- Public Key: Insira neste campo a chave pública gerada pelo aplicativo do cliente (do smartphone ou notebook). O OpenFW precisa dela para descriptografar os pacotes enviados por este peer.
- Private Key (Opcional): Utilizada se você estiver preenchendo as configurações que serão espelhadas para um cenário específico de provisionamento.
- 💾 Clique no botão Save para persistir as alterações e registrar o peer no subsistema de segurança do firewall.