VPN para Mac: instalar e configurar o WireGuard no macOS

O Mac já vem com VPN?

Não. O macOS traz a estrutura para conectar VPNs, e não um serviço: o item VPN em Ajustes do Sistema é uma prateleira vazia até você instalar um cliente e carregar nele a configuração de um provedor. No Mac, esse cliente é o app oficial do WireGuard, e a configuração vem do painel da SuaVPN.

A janela do WireGuard é apenas a interface. Quem monta o túnel é uma extensão de rede registrada no sistema, que roda em processo próprio e captura o tráfego de qualquer programa, não só o das abas que uma extensão de navegador alcançaria. Dois limites: a VPN não torna ninguém anônimo, como detalha o guia sobre ocultar IP, e a SuaVPN não tem split tunneling, então o túnel carrega todo o tráfego do Mac ou nenhum.

Como instalar uma VPN no Mac?

Instale o app oficial do WireGuard pela Mac App Store, crie um dispositivo no painel da SuaVPN, escolha a localização e salve o arquivo .conf. No WireGuard, importe esse arquivo, autorize a configuração quando o macOS pedir e clique em "Ativar". O campo do último handshake, a troca de chaves com o servidor, confirma a conexão em segundos.

A versão da loja é a indicada para o dia a dia, universal para Apple Silicon e Intel. Antes de importar, dê ao arquivo um nome curto, sem espaços e sem acentos, como suavpn-boston.conf: o WireGuard usa o nome do arquivo como nome do túnel e recusa os demais sem explicar. Os links oficiais por sistema estão na página de aplicativos.

• Instale o WireGuard pela Mac App Store, a partir da página oficial do projeto, e abra-o uma vez.
• No painel da SuaVPN, em Dispositivos, crie um dispositivo com o nome da máquina ("macbook-ana") e escolha a localização na lista da página de status.
• Salve o arquivo .conf desse dispositivo. O painel também mostra um QR Code, mas ele existe para o celular; no Mac, o caminho é o arquivo.
• Renomeie o arquivo, se preciso, para algo sem espaços nem acentos: o nome vira o nome do túnel.
• No WireGuard, clique em "Importar túnel(is) do arquivo", pelo botão da janela ou pelo menu Arquivo, e selecione o .conf.
• Autorize a adição da configuração de VPN quando o macOS pedir, com Touch ID ou a senha da sua conta. Isso acontece só na primeira vez.
• Selecione o túnel e clique em "Ativar". A partir daí, o ícone na barra de menus liga e desliga sem abrir a janela.

Por que o macOS pede para autorizar a configuração de VPN?

Porque uma VPN muda o roteamento e o DNS do computador inteiro, e o macOS não deixa um aplicativo fazer isso em silêncio. Ao importar o primeiro túnel, o sistema avisa que o WireGuard quer adicionar configurações de VPN e exige confirmação com Touch ID ou com a senha da conta.

A autorização é por aplicativo, não por túnel: concedida uma vez, os próximos arquivos entram sem alerta. Quem clica em "Não Permitir" por engano vê a importação terminar e a ativação falhar depois; a saída é apagar o túnel, importá-lo de novo e aceitar o pedido. Feito isso, a configuração passa a constar em Ajustes do Sistema, no item VPN.

O ícone na barra de menus

Instalado o app, um ícone do WireGuard aparece no canto superior direito da tela: ele lista os túneis, mostra qual está ativo e liga e desliga cada um com um clique. Fechar a janela não derruba o túnel, porque quem o mantém é a extensão de rede, em processo separado. O que não volta sozinho é o túnel depois de reiniciar o Mac: para isso existe a ativação sob demanda.

Como fazer a VPN ligar sozinha ao trocar de rede?

Pela ativação sob demanda, dentro do próprio app. Selecione o túnel, clique em "Editar" e escolha, na seção de ativação sob demanda, se o macOS deve subi-lo em Wi-Fi, em rede cabeada ou nos dois casos. A regra de Wi-Fi ainda aceita restrição por nome de rede.

A Apple documenta a VPN sob demanda como um mecanismo do sistema que estabelece a conexão automaticamente quando a regra é satisfeita: a tampa fecha no escritório, abre no café e o túnel já está de pé. A regra preferida, "qualquer Wi-Fi exceto a de casa", envelhece mal, porque uma rede antiga esquecida na lista deixa de ser protegida. E, com vários túneis importados, deixe a regra em apenas um: o app ativa um por vez. Os guias de Wi-Fi público e de viagem partem desse arranjo.

App Store ou Homebrew: qual caminho usar?

São dois clientes para o mesmo arquivo de configuração. O app da loja traz janela, ícone na barra de menus e ativação sob demanda, e é o caminho certo para um Mac de uso pessoal. O pacote wireguard-tools, instalado com brew install wireguard-tools, traz os comandos wg e wg-quick e serve a quem automatiza por script.

No terminal, copie o .conf para /opt/homebrew/etc/wireguard/ em Apple Silicon, ou /usr/local/etc/wireguard/ em Macs Intel, e use sudo wg-quick up seguido do nome do arquivo sem a extensão. Por baixo, os dois se parecem: o macOS não traz o WireGuard no núcleo do sistema, como o Linux traz, então ambos usam a implementação em espaço de usuário, e o que muda é a interface, não a criptografia. Só não use os dois ao mesmo tempo no mesmo túnel: app e wg-quick disputariam a rota padrão e o DNS. O guia de VPN para Linux traz os mesmos comandos.

Como saber se a VPN está funcionando no Mac?

Com o túnel ativo, abra um site que mostre o seu endereço IP: ele precisa exibir a cidade e o país da localização escolhida, não os seus. Na janela do WireGuard, o último handshake deve estar recente e os contadores devem subir enquanto você navega. Se o endereço ainda é o seu, o túnel não está carregando o tráfego.

O handshake serve de termômetro porque o WireGuard renegocia as chaves enquanto há tráfego, segundo os temporizadores do artigo técnico do protocolo: um campo que para de se atualizar indica pacotes que não chegam ao servidor. Falta conferir o DNS, o vazamento mais silencioso: no terminal, scutil --dns lista os resolvedores em uso, e o servidor da linha DNS da configuração deve aparecer no topo. Se as consultas continuam indo ao roteador, os sites visitados seguem visíveis para quem administra o Wi-Fi.

Erros comuns no Mac e como corrigir

Quase toda falha no Mac cai em três causas locais, e o servidor raramente é uma delas: firewall de terceiros barrando o tráfego de saída, outro software mexendo no DNS e a autorização de VPN não concedida. Confira as três antes de gerar configuração nova.

O firewall é o caso mais característico: Little Snitch e LuLu pedem aprovação por aplicativo e, negada a do WireGuard em um clique distraído, o túnel parece ativo e o handshake nunca aparece. Se só o Safari falha, a suspeita é a Retransmissão Privada do iCloud, que a Apple descreve como um serviço do iCloud+ que passa a navegação por duas retransmissões e convive mal com um túnel de sistema. Com handshake recente e nada carregando, confira a página de status.

Mac, iPhone e iPad na mesma assinatura

Cada aparelho recebe a própria configuração e o próprio par de chaves no painel, dentro do limite do plano: Básico com 3 dispositivos, Pro com 5 e Família com 10. Um mesmo Mac com duas configurações salvas ocupa duas vagas, uma por par de chaves. A chave por aparelho permite revogar um MacBook perdido sem derrubar o iPhone, que entra na mesma assinatura pelo QR Code, como mostra o guia de VPN para iPhone.

Sobre a cobrança: os valores estão na página de planos, o pagamento é no cartão pela Stripe, com renovação automática, e dá para cancelar a qualquer momento, com acesso até o fim do período já pago. Compras pela internet têm 7 dias de arrependimento pelo Código de Defesa do Consumidor, art. 49. Não há IP dedicado nem plano corporativo: equipes pequenas usam o mesmo mecanismo, como explica o guia de VPN para empresas, e as diferenças entre sistemas estão em como usar VPN.