Melhores VPNs para Starlink: Soluções Self-Hosted para Internet Satélite

A Starlink revolucionou o acesso à internet em zonas remotas, mas a sua arquitetura introduz desafios específicos para quem precisa de uma VPN. O router padrão da Starlink não suporta ligações VPN manuais nem VPN passthrough2, e o CGNAT (Carrier-Grade NAT) partilha endereços IP entre utilizadores, dificultando o acesso remoto e o port forwarding1. Para piorar, a latência inerente às ligações satélite — tipicamente entre 25 e 50 ms — faz com que cada milissegundo adicional de overhead de VPN seja sentido.

A boa notícia? O CGNAT apenas afeta a hospedagem de servidores VPN (tráfego inbound), não o uso de serviços VPN (tráfego outbound)3. Na prática, 95% dos utilizadores só precisam de VPN ao nível do dispositivo — instalar a app no telemóvel, portátil ou desktop e ligar3. Para os restantes 5% que precisam de acesso remoto à rede doméstica ou de uma VPN site-to-site, existem soluções elegantes que contornam o CGNAT sem depender de planos Business.

Neste guia, avaliámos cinco soluções self-hosted e open-source que se adaptam às particularidades da Starlink. Desde o protocolo mais eficiente para satélite até redes mesh que contornam o CGNAT automaticamente, há uma opção para cada nível de complexidade.

O problema: CGNAT, latência e o router da Starlink

CGNAT: o que bloqueia e o que não bloqueia

A Starlink Residential usa CGNAT, o que significa que não recebe um endereço IP público dedicado. Isto bloqueia o port forwarding tradicional e, consequentemente, a hospedagem de servidores VPN acessíveis do exterior12. No entanto, o CGNAT não impede o uso de VPNs comerciais ou self-hosted enquanto cliente — todo o tráfego outbound funciona normalmente3.

Para quem precisa de acesso remoto à rede doméstica, há três caminhos:

1. Rede mesh (ZeroTier, Headscale) — contorna o CGNAT através de servidores de coordenação que facilitam ligações peer-to-peer4.
2. Relay VPS — um servidor na nuvem com IP público estático funciona como ponto de encontro entre os dois extremos da VPN4.
3. Plano Starlink Business — oferece IP persistente, eliminando o problema do CGNAT, mas a um custo significativamente superior2.

Latência: WireGuard vs OpenVPN em satélite

A escolha do protocolo tem um impacto desproporcional em ligações satélite. O WireGuard adiciona apenas 10–20 ms de latência em ligações satélite, enquanto o OpenVPN impõe uma penalização de 30–50 ms3. Em conjunto com o overhead de 10–15% na largura de banda4, a diferença entre os dois protocolos pode ser a linha entre uma ligação utilizável e uma frustrante.

As nossas escolhas

Avaliámos cada solução com base em quatro critérios: latência adicionada, compatibilidade com CGNAT, facilidade de configuração e custo. Aqui estão as coisas que valem realmente a pena para utilizadores de Starlink.

1. WireGuard — o protocolo de eleição para satélite

O WireGuard é a base sobre a qual quase todas as outras soluções nesta lista se apoiam. Não é um serviço VPN comercial — é um protocolo open-source, extremamente leve, que está incluído no kernel Linux desde 2020 e disponível em praticamente todas as plataformas.

Para utilizadores de Starlink, o WireGuard é a escolha óbvia por uma razão simples: adiciona apenas 10–20 ms de latência em ligações satélite, contra 30–50 ms do OpenVPN3. O código é minimalista (cerca de 4.000 linhas vs centenas de milhares no OpenVPN), o que se traduz em menos superfície de ataque, menos bugs e auditorias de segurança mais viáveis.

Na prática, se só precisa de uma VPN ao nível do dispositivo para privacidade ou acesso a conteúdo georrestrito, qualquer serviço VPN comercial que suporte WireGuard (e a maioria já suporta) lhe dará o melhor desempenho possível sobre Starlink1. Para self-hosting, o WireGuard é o componente central de PiVPN, de relays VPS e de implementações mesh como Headscale.

Veredicto: Se só vai escolher uma coisa desta lista, comece pelo protocolo. O WireGuard é o alicerce de tudo o que segue.

2. ZeroTier — mesh VPN que contorna o CGNAT sem port forwarding

O ZeroTier é uma rede mesh peer-to-peer que cria uma rede virtual sobre a internet, sem necessidade de port forwarding ou IP público. Para utilizadores de Starlink Residential presos ao CGNAT, isto é particularmente valioso: a rede ZeroTier estabelece ligações diretas entre os nós quando possível, recorrendo a relays apenas quando o NAT traversal falha4.

A configuração é notavelmente simples — instala-se o cliente em cada dispositivo, junta-se à mesma rede com um ID de 16 caracteres, e autoriza-se cada nó no painel de controlo. Não há configuração de portas, não há IPs públicos necessários, não há router da Starlink com que lutar.

A desvantagem é que o servidor de coordenação é gerido pela ZeroTier Inc. (existe uma opção self-hosted, mas requer infraestrutura adicional). Para quem valoriza a simplicidade acima do controlo total, é a solução mais rápida de colocar a funcionar.

Veredicto: A forma mais rápida de ter acesso remoto à rede doméstica sobre Starlink CGNAT, sem tocar no router.

3. PiVPN — instalador de um comando para WireGuard/OpenVPN

O PiVPN é um script de instalação automatizado que configura WireGuard ou OpenVPN num Raspberry Pi ou VPS com um único comando5. É a forma mais simples de self-hosting para quem quer o seu próprio servidor VPN sem a complexidade de configuração manual.

Num Raspberry Pi ligado à rede doméstica, o PiVPN cria um ponto de entrada para acesso remoto — ideal para gerir dispositivos domésticos, aceder a NAS ou contornar restrições geográficas com o seu próprio IP. O modelo é de servidor único, não mesh5, o que significa que todo o tráfego passa pelo servidor.

O problema com Starlink Residential é que o CGNAT impede que o servidor PiVPN seja alcançado diretamente do exterior. A solução é usar um VPS como relay (ver a nossa escolha nº 4) ou recorrer a DDNS com workaround de CGNAT5. A velocidade de upload da Starlink também é um fator — o servidor PiVPN está limitado à largura de banda upstream disponível5.

Veredicto: A forma mais simples de ter o seu próprio servidor VPN. Em Starlink Residential, combine com um VPS relay para contornar o CGNAT.

4. Vultr Cloud Compute — VPS relay com IP estático para contornar o CGNAT

Para quem precisa de uma solução robusta de site-to-site VPN sobre Starlink, um VPS com IP público estático é a abordagem mais fiável4. A Vultr oferece instâncias Cloud Compute a partir de cerca de $5/mês, com suporte para IPv4 e IPv6, e datacenters em múltiplas regiões7.

A arquitetura é simples: instala-se WireGuard (ou PiVPN) no VPS, que funciona como ponto de encontro entre a rede doméstica e os dispositivos remotos. Como o VPS tem IP público fixo, o CGNAT da Starlink deixa de ser um problema — ambos os extremos ligam-se ao VPS, que encaminha o tráfego entre eles.

A latência adicional depende da localização do datacenter em relação à antena Starlink e aos dispositivos remotos. Contando com o overhead do WireGuard e o salto extra pelo VPS, espere 20–50 ms adicionais e 10–15% de perda de largura de banda4. A escolha de um datacenter próximo reduz este impacto.

Veredicto: A solução mais fiável para acesso remoto e site-to-site sobre Starlink CGNAT. Custa ~$5/mês, mas resolve o problema de forma definitiva.

5. Headscale — alternativa self-hosted ao Tailscale para controlo total

O Headscale é uma implementação open-source do servidor de controlo do Tailscale, permitindo criar uma rede mesh VPN sem depender de infraestrutura comercial6. Para utilizadores avançados que querem o conforto de uma mesh VPN (como Tailscale ou ZeroTier) mas com controlo total sobre o servidor de coordenação, o Headscale é a resposta.

Como o Tailscale usa WireGuard por baixo, herda todas as vantagens de latência do protocolo em ligações satélite3. A mesh VPN lida com o CGNAT traversal automaticamente4, tal como o Tailscale comercial, mas sem depender de servidores de terceiros.

A complexidade é significativamente maior do que ZeroTier ou Tailscale: é preciso hospedar o servidor Headscale (tipicamente num VPS), gerir chaves de autenticação e manter a infraestrutura. Para a maioria dos utilizadores, ZeroTier ou Tailscale comercial são escolhas mais pragmáticas. O Headscale justifica-se para quem tem requisitos específicos de privacidade, self-hosting ou escala.

Veredicto: Para quem quer mesh VPN com controlo total do servidor. Mais complexo, mas sem dependências externas.

Comparação rápida

Qual escolher?

• Só precisa de privacidade ou acesso a conteúdo georrestrito no dispositivo: Use qualquer serviço VPN comercial com WireGuard. O CGNAT não interfere com o uso de VPN como cliente3.
• Quer acesso remoto à rede doméstica e tem Starlink Residential: ZeroTier é o caminho mais rápido. Se preferir controlo total, Headscale com um VPS.
• Precisa de site-to-site VPN ou de uma solução robusta a longo prazo: VPS da Vultr com WireGuard é a opção mais fiável4.
• Quer self-hosting simples num Raspberry Pi: PiVPN, combinado com um VPS relay se o CGNAT for um obstáculo.

Nota de transparência: alguns dos links neste artigo são links de afiliados. Se comprar através deles, podemos receber uma comissão sem custo adicional para si. As nossas recomendações baseiam-se em mérito editorial, não em comissões.

Quer um acompanhamento que o artigo não respondeu? Pergunte ao motor — ele carrega o contexto do artigo.