Clearnet sem expor o IP de casa: o túnel para o seu node Lightning

Clearnet é o node anunciando um endereço IP comum, alcançável pela internet sem o Tor. É o que deixa o node rápido para abrir canais e rotear pagamentos. Do jeito mais simples, porém, ela cobra dois preços: você precisa abrir uma porta no roteador, e o IP da sua casa fica publicado no grafo da Lightning, à vista de qualquer um. Este guia mostra como ter a clearnet sem pagar esses preços, com um túnel até um servidor. O porquê de cada modo de conexão está em Node Lightning acessível: Tor, clearnet ou os dois?

Por que a clearnet importa para quem quer rotear

Um node roteador ganha taxas encaminhando pagamentos de outras pessoas. Para isso, os peers precisam alcançá-lo sempre, e cada pagamento precisa passar rápido. É aí que a clearnet faz diferença:

• Pagamento lento falha mais. Cada salto pelo Tor pode somar segundos. A carteira de quem paga desiste das rotas que demoram ou falham e passa a evitá-las nas próximas tentativas. Um node lento recebe menos pagamentos para encaminhar.
• Canal fora do ar não roteia. Quando a conexão com um peer cai, o canal fica inativo até ela voltar. Pelo Tor, as quedas são mais frequentes e a volta é mais demorada, e cada minuto de canal inativo é roteamento perdido.
• Os nodes grandes preferem clearnet. Muitos nodes bem conectados, justamente os parceiros que trazem fluxo, só abrem ou aceitam canais com quem tem endereço clearnet. Muitos que usam só clearnet nem conseguem chegar a um node só-Tor.

Para um node que só faz pagamentos do dono, o Tor dá conta. Para um node que quer rotear, a clearnet é parte do básico.

Quando o túnel faz falta

• CGNAT. Muitas operadoras no Brasil, inclusive de fibra, colocam vários clientes atrás do mesmo IP. Sem um IP só seu, não há porta para abrir: de fora, ninguém chega ao seu node.
• Privacidade. O endereço que o node anuncia vai para o grafo público. Com a clearnet direta, é o IP da sua casa, que dá a cidade e a operadora.
• IP que muda. Quando a operadora troca o seu IP, o endereço anunciado fica velho até o node anunciar de novo, e os peers perdem você por um tempo.
• Roteador que você não controla, como o da operadora, sem acesso para abrir porta.

Como o túnel funciona

O node abre uma conexão cifrada (WireGuard) até um servidor com IP público e fixo. A partir daí o túnel faz dois trabalhos:

1. Entrada. O servidor recebe as conexões numa porta própria e as passa pelo túnel até a porta 9735 do seu node. O LND anuncia o endereço do servidor (externalhosts), e é ele que vai para o grafo.
2. Saída. As conexões que o seu LND abre com outros nodes também saem pelo túnel. Sem essa parte, quem recebe a conexão vê o IP da sua casa, mesmo com o endereço anunciado sendo o do servidor. Muita configuração caseira de túnel esquece este lado.

O resto do node, como o Bitcoin Core, as atualizações do sistema e o seu acesso de casa, continua pela sua internet. Só o tráfego do LND precisa do túnel.

Dois caminhos

1. Montar o seu

Uma VPS barata, o WireGuard, o redirecionamento de porta e o firewall. Você controla tudo, e quem opera o servidor é você. Em troca, precisa saber Linux, manter o servidor atualizado e fazer a saída do LND passar pelo túnel sem levar junto o resto do node, que é a parte mais delicada.

2. A BR⚡LN Clearnet

O túnel do clube, com servidores em São Paulo e nos EUA. Um script instala a entrada e a saída de uma vez, e o painel testa o túnel, mostra se a saída do LND está passando por ele, renova e avisa do vencimento por e-mail e no chat. É só para membros do BR⚡LN Club e cobrada à parte, com preço subsidiado: veja os planos e os servidores.

O que o túnel esconde, e o que não esconde

• Esconde o IP da sua casa do grafo, de quem se conecta ao seu node e, com a saída pelo túnel, dos nodes com quem o seu LND se conecta.
• O conteúdo continua cifrado. A Lightning cifra a conversa entre os nodes de ponta a ponta; o túnel só a transporta.
• Não muda a sua seed nem os seus fundos. O túnel só transporta conexões; as chaves continuam só no seu node.
• Se o servidor cair, a BR⚡LN Clearnet devolve a saída do LND para a sua internet depois de 5 minutos sem resposta, e a volta para o túnel quando ele responde. O node fica no ar, e nesse intervalo os peers que ele procurar veem o IP de casa. Se você usa Tor junto, ele continua funcionando.

Os limites

• LND em Docker, como no Umbrel: o túnel serve para as conexões que chegam, mas as que o LND abre continuam saindo pela internet de casa.
• O LND precisa rodar como serviço do sistema (systemd), como no LightningOS e nas instalações diretas no Linux, inclusive no Raspberry Pi.
• Um túnel leva a saída. Com túnel nos dois servidores no mesmo node, a saída vai pelo de São Paulo, e o outro segue recebendo conexões.

O que muda no LND

O script da BR⚡LN Clearnet mostra as linhas exatas. Em geral, no lnd.conf:

[Application Options]
listen=0.0.0.0:9735
externalhosts=br1.br-ln.com:SUA_PORTA

[Tor]
tor.skip-proxy-for-clearnet-targets=true
tor.streamisolation=false

As duas linhas do Tor só valem se o node usa Tor também: elas fazem o modo híbrido, com o Tor para os nodes .onion e a clearnet, pelo túnel, para os demais.

Como testar

1. No Meu node está acessível?, teste o endereço do túnel: o servidor precisa alcançar o seu LND.
2. No painel da BR⚡LN Clearnet, o botão Testar agora do cartão do túnel confere de fora se o seu LND responde pelo endereço do servidor, e o cartão mostra se a saída do LND está passando pelo túnel.
3. Faça o Raio-X do seu node: o item de acesso deve sair verde.