WireGuard + Proxy

Combinar o WireGuard com um servidor proxy permite que o usuário roteie o tráfego do túnel VPN criptografado através de um intermediário adicional, aumentando a privacidade, contornando restrições geográficas ou viabilizando políticas de rede específicas. Essa configuração estabelece uma abordagem de rede em camadas, na qual o WireGuard fornece um túnel seguro e de baixa latência, e o servidor proxy gerencia o último salto do tráfego de internet.

Entendendo o WireGuard e os servidores proxy

O WireGuard é um protocolo VPN moderno e de alto desempenho, projetado para simplicidade e criptografia forte. Ele cria um túnel seguro e criptografado entre um cliente e um servidor, roteando todo o tráfego de rede do cliente por esse túnel. A função principal do WireGuard é proteger a transmissão de dados e, frequentemente, mascarar o IP de origem do cliente com o do servidor VPN.

Um servidor proxy atua como intermediário para as requisições de clientes que buscam recursos em outros servidores. Em vez de se conectar diretamente ao servidor de destino (por exemplo, um site), o cliente se conecta ao servidor proxy, que então encaminha a requisição. Proxies podem ser usados para diversos fins, incluindo cache, controle de acesso, registro de logs e alteração do IP de origem aparente. Os tipos mais comuns incluem proxies HTTP (para tráfego web) e proxies SOCKS (para diversos protocolos). Diferentemente de uma VPN, um proxy normalmente opera na camada de aplicação e pode não criptografar o tráfego entre o cliente e o proxy, a menos que seja especificamente configurado (por exemplo, um proxy HTTPS).

Combinar essas tecnologias cria um cenário em que o túnel WireGuard protege a conexão até um servidor intermediário, e um proxy nesse servidor (ou um servidor proxy separado acessível pelo túnel) trata as requisições subsequentes à internet.

Arquiteturas comuns de combinação

A integração do WireGuard com um proxy costuma seguir uma de duas arquiteturas principais, dependendo de onde o serviço de proxy está localizado em relação ao servidor WireGuard.

Cliente -> VPN WireGuard -> Proxy remoto

Nessa arquitetura, o cliente estabelece um túnel WireGuard até um servidor VPN WireGuard. O tráfego originado no cliente é criptografado pelo WireGuard e enviado ao servidor VPN. Assim que o tráfego sai do túnel WireGuard no servidor VPN, ele é roteado para um servidor proxy separado e remoto. Esse proxy remoto então encaminha o tráfego ao seu destino final na internet.

Caso de uso: um usuário precisa da segurança e do desempenho do WireGuard até uma região geográfica específica, mas deseja usar um servidor proxy localizado em uma região diferente ou operado por um provedor diferente como ponto de saída final, diversificando ainda mais o caminho de rede e o endereço IP.

Cliente -> Servidor VPN WireGuard (com proxy local)

Esta é uma arquitetura comum e, em geral, mais simples. O cliente se conecta a um servidor VPN WireGuard. O próprio servidor WireGuard hospeda um serviço de proxy (por exemplo, SOCKS5 ou HTTP/HTTPS). Todo o tráfego do cliente que sai do túnel WireGuard no servidor é então direcionado por esse proxy local antes de chegar à internet.

Caso de uso: centralizar o acesso ao proxy para vários clientes VPN, oferecer filtragem ou registro de logs específicos no ponto de saída do servidor VPN, ou simplificar a configuração do cliente tornando o proxy transparente.

Configurando o WireGuard com um proxy

A configuração varia conforme a arquitetura escolhida e o tipo de proxy.

Configuração de proxy no lado do cliente (para Cliente -> WireGuard -> Proxy remoto)

Nesse cenário, o cliente WireGuard é configurado para se conectar ao servidor VPN WireGuard normalmente. Depois que o túnel WireGuard é estabelecido, as aplicações do cliente (por exemplo, navegador web, softwares específicos) são configuradas de forma independente para usar o servidor proxy remoto. O túnel WireGuard garante que a conexão do cliente até o proxy remoto seja criptografada.

# Exemplo de configuração do cliente WireGuard (wg0.conf)
[Interface]
PrivateKey = <Client_Private_Key>
Address = 10.0.0.2/32 # IP do cliente dentro do túnel VPN
DNS = 8.8.8.8

[Peer]
PublicKey = <Server_Public_Key>
Endpoint = vpn.example.com:51820
AllowedIPs = 0.0.0.0/0 # Rotear todo o tráfego pela VPN
PersistentKeepalive = 25

Depois que o túnel WireGuard estiver ativo, a aplicação cliente seria configurada assim:

# Exemplo de configuração de proxy SOCKS5 no navegador
SOCKS Host: proxy.remote-provider.com
Port: 1080
SOCKS v5

Configuração de proxy no lado do servidor (servidor WireGuard como gateway de proxy)

Essa configuração envolve instalar um serviço de proxy diretamente no servidor VPN WireGuard. Os clientes WireGuard se conectam a esse servidor e seu tráfego é então tratado pelo proxy local.

Proxy SOCKS5 (por exemplo, servidor Dante)

O Dante é um servidor proxy SOCKS bastante usado. Ele pode ser configurado no servidor WireGuard para aceitar conexões dos clientes WireGuard e encaminhá-las à internet.

Configuração do servidor WireGuard:

1. Instale o Dante:
   bash sudo apt update sudo apt install dante-server

2. Configure o Dante (/etc/danted.conf):
   Garanta que o Dante escute em uma interface acessível pelos clientes WireGuard (por exemplo, wg0 ou a interface pública do servidor, dependendo de como você quer rotear o tráfego interno do proxy).

   ```ini
   logoutput: stderr

   internal: wg0 port=1080 # Escutar na interface WireGuard para os clientes

   internal: eth0 port=1080 # Escutar na interface externa, acessível pelos clientes via VPN
   external: eth0 # Interface de saída para a Internet

   clientmethod: none
   socksmethod: username none # Ou 'none' se não quiser autenticação para os clientes VPN

   user.privileged: root
   user.unprivileged: nobody

   Permitir conexões da sub-rede WireGuard

   client pass {
   from: 10.0.0.0/24 to: 0.0.0.0/0
   # Substitua 10.0.0.0/24 pela sua sub-rede WireGuard
   }
   socks pass {
   from: 0.0.0.0/0 to: 0.0.0.0/0
   }
   3. **Ative e inicie o Dante:**bash
   sudo systemctl enable danted
   sudo systemctl start danted
   4. **Ative o encaminhamento de IP no servidor WireGuard:**bash
   echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
   sudo sysctl -p
   5. **Configure o `iptables` no servidor WireGuard** para permitir o tráfego dos clientes WireGuard até o proxy Dante.bash

   Supondo que a interface WireGuard seja wg0 e o Dante escute em 10.0.0.1:1080 (IP do servidor WireGuard)

   sudo iptables -A FORWARD -i wg0 -o eth0 -j ACCEPT
   sudo iptables -A FORWARD -i eth0 -o wg0 -j ACCEPT
   sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
   ```

Configuração no lado do cliente:
O cliente WireGuard se conecta ao servidor VPN. Em seguida, as aplicações no cliente são configuradas para usar o endereço IP interno da VPN do servidor WireGuard (por exemplo, 10.0.0.1) como proxy SOCKS5.

# Exemplo de configuração de proxy SOCKS5 na aplicação do cliente
SOCKS Host: 10.0.0.1
Port: 1080
SOCKS v5

Proxy HTTP/HTTPS (por exemplo, Squid)

O Squid é um proxy web HTTP de cache e encaminhamento.

Configuração do servidor WireGuard:

1. Instale o Squid:
   bash sudo apt update sudo apt install squid

2. Configure o Squid (/etc/squid/squid.conf):
   ```apacheconf
   # Escutar na porta HTTP padrão
   http_port 3128

   Definir uma Access Control List (ACL) para os clientes WireGuard

   acl wireguard_clients src 10.0.0.0/24 # Substitua pela sua sub-rede WireGuard

   Permitir acesso HTTP para os clientes WireGuard

   http_access allow wireguard_clients
   http_access deny all # Negar todos os outros acessos
   3. **Ative e inicie o Squid:**bash
   sudo systemctl enable squid
   sudo systemctl start squid
   `` 4. **Garanta que o encaminhamento de IP e as regras deiptables` estejam configurados** conforme descrito para o Dante, permitindo que o tráfego WireGuard alcance a internet.

Configuração no lado do cliente:
As aplicações no cliente são configuradas para usar o endereço IP interno da VPN do servidor WireGuard (e.0.0.1) como proxy HTTP.

# Exemplo de configuração de proxy HTTP na aplicação do cliente
HTTP Proxy Host: 10.0.0.1
HTTP Proxy Port: 3128

Proxy transparente com iptables

Um proxy transparente redireciona tráfego específico sem exigir configuração explícita de proxy no cliente. Isso normalmente é feito com regras de iptables no servidor WireGuard, redirecionando o tráfego destinado às portas HTTP/HTTPS padrão (ou outras portas) para um serviço de proxy local (como Squid ou Dante em modo transparente, ou redsocks para SOCKS).

Configuração do servidor WireGuard:

1. Instale e configure um proxy local (por exemplo, Squid configurado como proxy transparente, ou redsocks para SOCKS5).
   • Para o modo transparente do Squid, usa-se http_port 3128 intercept.
   • Para o redsocks, configure-o para escutar em 127.0.0.1:12345 (porta de exemplo) e encaminhar para um proxy SOCKS5 remoto, se necessário.
2. Ative o encaminhamento de IP:
   bash echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward sudo sysctl -p

3. Configure as regras do iptables:
   Essas regras redirecionam o tráfego que entra pela interface wg0 para o proxy local.
   ```bash
   # Supondo que a interface WireGuard seja wg0 e o proxy transparente local escute em 127.0.0.1:3128 (para HTTP)
   # Redirecionar o tráfego HTTP dos clientes WireGuard para o proxy local
   sudo iptables -t nat -A PREROUTING -i wg0 -p tcp --dport 80 -j REDIRECT --to-port 3128

   Para HTTPS (porta 443), o verdadeiro proxy transparente para SSL/TLS exige interceptação SSL,

   o que envolve manipulação de certificados e vai além de um simples redirecionamento de tráfego.

   Para encaminhamento básico, muitas vezes é melhor redirecionar apenas SOCKS ou portas específicas sem SSL.

   Se usar redsocks para SOCKS5 transparente:

   sudo iptables -t nat -A PREROUTING -i wg0 -p tcp -j REDIRECT --to-port 12345 # porta de escuta do redsocks

   Garanta o POSTROUTING para NAT se o servidor WireGuard também for o gateway

   sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

   Permitir o encaminhamento de wg0 para eth0

   sudo iptables -A FORWARD -i wg0 -o eth0 -j ACCEPT
   sudo iptables -A FORWARD -i eth0 -o wg0 -j ACCEPT
   ```

Configuração no lado do cliente:
Nenhuma configuração específica de proxy é necessária no cliente, pois as regras de iptables no servidor WireGuard redirecionam o tráfego de forma transparente. O cliente só precisa se conectar à VPN WireGuard.

Casos de uso e benefícios

• Privacidade e anonimato reforçados: a abordagem em camadas oferece um salto adicional e ofuscação de endereço IP. O túnel WireGuard protege o tráfego até o servidor VPN, e o proxy fornece um IP de saída diferente.
• Desbloqueio geográfico granular: use a VPN para acesso seguro geral e depois configure aplicações específicas para usar um proxy em serviços que exigem um IP de outra localização geográfica, contornando bloqueios regionais de conteúdo com mais eficácia.
• Aplicação de políticas e filtragem: o servidor proxy no gateway WireGuard pode aplicar filtragem de conteúdo, bloquear sites maliciosos ou registrar tentativas de acesso dos clientes, oferecendo controle centralizado sobre o tráfego de saída.
• Contorno de restrições de rede: essa combinação às vezes consegue contornar restrições de rede que bloqueariam VPNs ou proxies isoladamente. Por exemplo, se uma rede bloqueia conexões diretas a proxies, roteá-las pelo WireGuard pode driblar esse bloqueio.
• Gerenciamento de tráfego: roteie diferentes tipos de tráfego por diferentes proxies, com base em regras definidas no servidor WireGuard, permitindo controle refinado do fluxo de rede.

Considerações de desempenho e segurança

• Sobrecarga de desempenho: introduzir uma camada extra de proxy gera sobrecarga de desempenho. Isso inclui processamento adicional pelo proxy, possíveis saltos de rede extras e aumento de latência. O tráfego é criptografado pelo WireGuard, depois descriptografado no servidor VPN, processado pelo proxy e então enviado adiante.
• Implicações de segurança: embora o WireGuard criptografe o túnel do cliente até o servidor VPN, o próprio servidor proxy se torna um ponto crítico de confiança. Se o proxy for um proxy HTTP tratando tráfego não-HTTPS, ele pode inspecionar dados não criptografados. Mesmo com HTTPS, metadados e detalhes da conexão ficam visíveis ao proxy. Se o servidor proxy for comprometido, ele pode registrar ou adulterar o tráfego. O modelo de segurança depende da confiabilidade tanto do servidor WireGuard quanto do servidor proxy.
• Complexidade: essa montagem aumenta a complexidade de configuração e o esforço de diagnóstico. Cada componente (cliente WireGuard, servidor WireGuard, servidor proxy, iptables) precisa estar corretamente configurado para que o sistema funcione como esperado.

Comparação: WireGuard vs. Proxy vs. Combinado