Servidor relay privado no Linux e Raspberry Pi

Por que executar seu próprio relay?

Expor seu PC principal à internet com redirecionamento de portas é um risco de segurança, e deixá‑lo ligado o dia todo desperdiça energia. Um pequeno servidor Linux ou um relay em Raspberry Pi oferece a menor latência possível, nenhum redirecionamento de portas para os PCs que você acessa, menor consumo de energia, nenhuma preocupação com o GDPR em relação a servidores de terceiros e Wake‑on‑LAN de fora da sua rede. Mesmo que o relay seja atacado, todos os dados que passam por ele são criptografados com chaves que o servidor nunca possui.

Este guia pressupõe que você já tem acesso SSH à máquina Linux e as permissões necessárias.

A versão 2 do Remotly Relay Server adiciona suporte a TLS e a uma senha de acesso. Mesmo sem TLS, cada conexão é criptografada de ponta a ponta com RSA-4096 e AES-256; o TLS adiciona uma camada de transporte redundante para firewalls rigorosos, ao custo de mais CPU. A senha de acesso impede que usuários aleatórios que descubram o IP e a porta do seu servidor o utilizem.

1. Escolha o pacote para o seu dispositivo

Execute uname -m no servidor e baixe o pacote correspondente ao resultado:

• x86_64 — Linux amd64 (servidores e VPS Intel/AMD de 64 bits): remotly‑relay‑linux‑amd64-v2.zip
• aarch64 — ARM64 (Raspberry Pi 3, 4 e 5 com sistema de 64 bits, instâncias de nuvem ARM): remotly‑relay‑linux‑arm64-v2.zip
• armv7l — ARM de 32 bits (Raspberry Pi 2, 3 e 4 com Raspberry Pi OS de 32 bits): remotly‑relay‑linux‑arm7-v2.zip

Raspberry Pi Zero e Raspberry Pi 1 (ARMv6) não são suportados.

2. Instalação

1. Conecte‑se ao servidor via SSH (por exemplo com OpenSSH, WinSCP ou FileZilla). Todos os comandos a seguir são executados no servidor.
2. Baixe o pacote para a sua arquitetura, por exemplo para ARM64: wget https://downloads.mirillis.com/files/remotly‑relay‑linux‑arm64-v2.zip
3. Descompacte‑o: unzip remotly‑relay‑linux‑arm64-v2.zip — se o unzip não estiver instalado, instale‑o com sudo apt‑get update && sudo apt‑get install unzip.
4. Mova os arquivos para /srv/remotly, onde o serviço os espera: sudo mv remotly‑relay /srv/remotly
5. Defina o proprietário e as permissões: sudo chown -R root:root /srv/remotly && sudo chmod -R 755 /srv/remotly. A configuração contém a senha, então deixe‑a legível apenas para o root: sudo chmod 600 /srv/remotly/config/remotly‑relay.json

uname -m
wget https://downloads.mirillis.com/files/remotly‑relay‑linux‑arm64-v2.zip
unzip remotly‑relay‑linux‑arm64-v2.zip
sudo mv remotly‑relay /srv/remotly
sudo chown -R root:root /srv/remotly
sudo chmod -R 755 /srv/remotly
sudo chmod 600 /srv/remotly/config/remotly‑relay.json

3. Configuração

Edite a configuração: sudo nano /srv/remotly/config/remotly‑relay.json. Se possível, use a porta HTTPS padrão 443 — é a que passa melhor pelos firewalls.

Configuração sem TLS:

{
  "tlsEnabled": false,
  "key": "",
  "cert": "",
  "forceTLS": false,
  "domain": "",
  "port": 443,
  "max_bandwidth": 40000000,
  "allowed_bandwidth": 30000000,
  "password": "PasswordPasswordPasswordPassword"
}

Configuração com TLS (defina forceTLS como true para permitir apenas conexões encapsuladas em TLS):

{
  "tlsEnabled": true,
  "key": "/etc/letsencrypt/live/relay.example.com/privkey.pem",
  "cert": "/etc/letsencrypt/live/relay.example.com/fullchain.pem",
  "forceTLS": false,
  "domain": "relay.example.com",
  "port": 443,
  "max_bandwidth": 40000000,
  "allowed_bandwidth": 30000000,
  "password": "PasswordPasswordPasswordPassword"
}

• tlsEnabled — ativa a criptografia TLS adicional; caminhos válidos de cert e key são obrigatórios quando true.
• key — caminho absoluto para a chave privada do certificado no formato PEM, por exemplo /etc/letsencrypt/live/relay.example.com/privkey.pem.
• cert — caminho absoluto para o certificado com a cadeia completa no formato PEM, por exemplo /etc/letsencrypt/live/relay.example.com/fullchain.pem.
• forceTLS — quando true, apenas conexões TLS 1.2 / 1.3 são aceitas; tanto o cliente quanto o host devem usar TLS.
• domain — nome de domínio atribuído ao IP do relay no DNS (recomendado, usado para SNI).
• port — porta usada pelo relay para a comunicação.
• password — no mínimo 32 caracteres para restringir o acesso; deixe vazio para executar sem senha. Uma senha mais curta e não vazia impede o servidor de iniciar.

4. Iniciar o serviço

1. Registre o serviço systemd: sudo bash /srv/remotly/script/installremotlyrelay.sh
2. Inicie‑o: sudo bash /srv/remotly/script/startremotlyrelay.sh
3. Verifique se está em execução: systemctl status remotly‑relay deve mostrar active (running).

sudo bash /srv/remotly/script/installremotlyrelay.sh
sudo bash /srv/remotly/script/startremotlyrelay.sh
systemctl status remotly‑relay

# to stop
sudo bash /srv/remotly/script/stopremotlyrelay.sh

Em seguida, abra http://<IP do relay>:<porta>/connectionTest (ou https://<domínio do relay>:<porta>/connectionTest com TLS) em um navegador. Você deverá ver a mensagem OK.

O serviço inicia junto com o sistema. Depois de alterar a configuração, execute o script de início novamente (ele reinicia o serviço); stopremotlyrelay.sh o interrompe. O log fica em /srv/remotly/logs/remotly‑relay.log.

5. Registrando o relay na sua conta

Faça login em remotly.com, abra Custom Relays e clique em Add relay server. Informe o endereço IP, a(s) porta(s) do remotly‑relay.json, um nome de dispositivo visível nos aplicativos, o código do país e a mesma senha do arquivo de configuração.

Ao se conectar a outro computador com Force Connect Anywhere ativado, você agora deverá ver apenas o código do país e o nome do seu relay privado.

Solução de problemas

• connectionTest mostra OK, mas as conexões retransmitidas falham: seu servidor provavelmente não está acessível de fora da sua rede. Configure o redirecionamento de portas no seu IP público e teste a partir de um navegador externo.
• connectionTest mostra OK, mas as conexões passam por um relay oficial do Remotly: você não adicionou o relay personalizado à sua conta no painel web.
• O relay está em execução, mas o connectionTest está inacessível: de dentro da sua rede, verifique se o firewall do servidor não está bloqueando a porta do relay; se for apenas de fora, corrija o redirecionamento de portas no seu roteador.

Dúvidas? Visite a comunidade Remotly.