🧪 Configuração de Rede Segura (VPN WireGuard) - VPS 4 (Desenvolvimento / Staging)

Este diretório contém os arquivos de configuração necessários para que a VPS 4 (10.99.0.4) entre na rede privada criptografada do Clube67 de forma totalmente segura.

🗺️ Visão de Conexão da VPS 4

graph LR
    VPS4["🧪 VPS 4 (Staging) <br> IP: 10.99.0.4"]
    VPS1["🖥️ VPS 1 (Hub Central) <br> IP: 10.99.0.1"]
    VPS3["🗄️ VPS 3 (Banco de Dados) <br> IP: 10.99.0.3"]

    VPS4 <== Canal Seguro VPN (Porta UDP 51820) ==> VPS1
    VPS4 -- Replicação PostgreSQL (Porta 5432) --> VPS3

📁 Arquivos de Configuração Disponíveis

wg0.conf: Arquivo completo de configuração do WireGuard para ser colocado em /etc/wireguard/wg0.conf na VPS 4.
hub_peer_vps4.conf: Snippet de peer para ser adicionado à configuração do Hub (VPS 1).

🛠️ Passo a Passo para Configuração

Passo 1: Configurar o Peer no Hub Central (VPS 1)

Antes de ativar a conexão na VPS 4, o servidor central (VPS 1) precisa autorizar a sua chave pública.

Acesse o terminal da VPS 1.
Abra o arquivo /etc/wireguard/wg0.conf para edição:
```
sudo nano /etc/wireguard/wg0.conf
```

Adicione o seguinte bloco de peer ao final do arquivo:

[Peer]
# VPS 4 (Desenvolvimento / Staging)
PublicKey = ln7phEfm4w//jZJqqlkGAjsXKWQnOw2kYc64ni5PXX0=
AllowedIPs = 10.99.0.4/32
PersistentKeepalive = 25

Salve e recarregue as configurações do WireGuard na VPS 1 de forma viva (sem derrubar as conexões existentes):
```
sudo wg syncconf wg0 <(wg-quick strip wg0)
```

Passo 2: Configurar o Cliente WireGuard na VPS 4

Acesse o terminal da VPS 4.

Instale o WireGuard caso ainda não esteja instalado:

sudo apt-get update && sudo apt-get install -y wireguard

Crie o arquivo /etc/wireguard/wg0.conf e cole o seguinte conteúdo:

[Interface]
Address = 10.99.0.4/24
PrivateKey = 4PAIHMPhK0RSs878Lc275hCu2lluzm0QTY9x7T25XEQ=
DNS = 1.1.1.1, 8.8.8.8

[Peer]
# VPS 1 (Hub Central / Gateway de Entrada)
PublicKey = jUWnuc+82vQ6kLMSI7W1i7hBRBgQKcaSZ8yJy56QSUw=
AllowedIPs = 10.99.0.0/24
Endpoint = 158.220.109.237:51820
PersistentKeepalive = 25

Ajuste as permissões do arquivo para segurança máxima (somente leitura para o root):
```
sudo chmod 600 /etc/wireguard/wg0.conf
```

Inicie a interface VPN e configure para iniciar automaticamente no reboot:

sudo systemctl enable wg-quick@wg0.service
sudo systemctl start wg-quick@wg0.service

Passo 3: Testar e Validar a Conexão

Para verificar se a VPS 4 está inserida na rede com sucesso:

Veja o status do link:
```
sudo wg show
```
Realize um ping teste para o Hub central e para a VPS 3 (banco de dados):
```
ping -c 3 10.99.0.1
ping -c 3 10.99.0.3
```
Teste a conexão segura de replicação com o PostgreSQL da VPS 3:
```
pg_isready -h 10.99.0.3 -p 5432
```

🔒 Diretrizes de Segurança (Hardening) para a VPS 4

Firewall UFW: Mantenha o UFW ativo na VPS 4, liberando a porta SSH pública apenas para a VPN ou desativando o SSH público inteiramente caso queira operá-la 100% Zero-Trust (acessível apenas pelo link WireGuard 10.99.0.4 do notebook do Rui).
Non-local Bind: Ative o nonlocal bind para que serviços dependentes da VPN possam iniciar no boot sem falhar se a interface wg0 demorar alguns milissegundos para subir:
```
echo "net.ipv4.ip_nonlocal_bind=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p
```