WireGuard na jednostavan način: kreirajte vlastiti VPN za 15 minuta

Tražite li VPN koji je brz, siguran i neće vas frustrirati beskrajnim podešavanjima? WireGuard To je jedna od najboljih opcija. Ovaj moderni protokol daje prioritet jednostavnosti i najsavremenijoj kriptografiji, što olakšava svima postavljanje sigurnog tunela.

Pored toga što vas štiti na javnim mrežama i omogućava vam pristup vašoj kućnoj ili poslovnoj mreži, VPN pomaže u zaobilaženju geoblokada i cenzureUz WireGuard, ta dodatna privatnost i performanse dolaze s iznenađujuće jednostavnim postupkom podešavanja, kako na računarima tako i na mobilnim uređajima.

WireGuard ukratko

WireGuard je softver VPN otvorenog koda orijentisanog na sloj 3 (L3) koji Koristi isključivo UDP i modernu kriptografiju prema zadanim postavkama.Njegova glavna prednost je minimalistički dizajn s vrlo malo linija koda, što olakšava revizije, smanjuje površinu napada i poboljšava performanse.

Za razliku od onoga što nude drugi VPN-ovi, ovdje ne birate desetine algoritama ili faza; WireGuard definira koherentni kriptografski "paket"Ako se algoritam proglasi zastarjelim, objavljuje se nova verzija i klijenti/server transparentno pregovaraju o nadogradnji.

Ovaj protokol uvijek radi u tunelskom režimu i Podržava IPv4 i IPv6 (po potrebi enkapsulirajući jedan unutar drugog)Da biste ga koristili, morat ćete otvoriti UDP port (konfigurabilan) na vašem ruteru prema vašem serveru.

Kompatibilnost i podrška

U svijetu zaštitnih zidova (firewall-ova), OPNsense integriše WireGuard u kernel kako bi se maksimizirala brzina. pfSense je imao svoje uspone i padove: pojavio se u verziji 2.5.0, uklonjen je u verziji 2.5.1 zbog sigurnosnih problema i Danas se može instalirati kao paket upravlja se s web sučelja.

 

Korištena kriptografija

WireGuard se oslanja na skup modernih i visoko revidiranih algoritama: Okvir protokola za šum, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash i HKDFŠifriranje podataka koristi ChaCha20-Poly1305 (AEAD), s ECDH razmjenom na Curve25519 i izvođenjem ključa pomoću HKDF-a.

Ovaj pristup izbjegava miješanje različitih paketa i smanjuje greške u konfiguracijiTakođer pojednostavljuje rješavanje problema, budući da svi čvorovi govore istim kriptografskim jezikom.

Performanse i latencija

Minimalistička implementacija i integracija niskog nivoa omogućavaju vrlo velike brzine i vrlo niske latencijeU stvarnim poređenjima sa L2TP/IPsec i OpenVPN, WireGuard obično izlazi na vrhu, često udvostručujući propusnost na istom hardveru.

Na nestabilnim ili mobilnim mrežama, Obnavljanje sesije je brzo A ponovno povezivanje nakon promjena mreže (roming) je jedva primjetno. Na uređajima s ograničenim resursima (ruteri, IoT uređaji), niska potrošnja energije čini svu razliku, štedeći energiju CPU-a i baterije.

Brza instalacija na Linuxu

U modernim distribucijama, WireGuard je već dostupan u stabilnim repozitorijima. Na Debianu/Ubuntuu, jednostavno ga instalirajte. ažurirajte i instalirajte službeni paketU drugim slučajevima, možda ćete morati dodati repozitorije ili aktivirati kernel modul.

sudo apt update && sudo apt upgrade -y
sudo apt install wireguard -y
sudo modprobe wireguard

Ako koristite granu koja ga nema u "stabilnoj" grani, mogli biste se poslužiti repozitorijima "unstable/testing" pod kontrolom prioriteta, iako Idealno bi bilo da ga preuzmete iz stabilnog repozitorija. vaše distribucije kada postane dostupna.

Generisanje ključeva

Svaki uređaj (server i klijent) treba svoj vlastiti par ključeva. Držite privatnu sobu zaključanu. i dijeli samo javni sa vršnjakom.

umask 077
wg genkey | tee privatekey | wg pubkey > publickey

Možete ponoviti postupak za svakog klijenta i pratiti ga po imenu. izbjegavanje zabune među vršnjacima kako vaša implementacija raste.

Konfiguracija servera

Tipična datoteka je /etc/wireguard/wg0.confU ovom odjeljku definirate VPN IP adresu, privatni ključ i UDP port. U svakom odjeljku dodajete klijenta, dozvoljavajući njegov javni ključ i autorizirane IP adrese.

Address = 192.168.2.1/24
ListenPort = 51820
PrivateKey = <clave_privada_servidor>
# Ejemplo de NAT automátizado con PostUp/PostDown, si lo necesitas
#PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE


PublicKey = <clave_publica_cliente1>
AllowedIPs = 192.168.2.2/32

# Añade más peers según necesites
#
#PublicKey = <clave_publica_cliente2>
#AllowedIPs = 192.168.2.3/32

Ako želite dozvoliti bilo koju IP adresu klijenta i upravljati rutama odvojeno, možete koristiti Dozvoljeni IP-ovi = 0.0.0.0/0 U peer okruženjima, ali i u kontroliranim okruženjima, bolje je dodijeliti /32 po klijentu radi mogućnosti praćenja.

Konfiguracija klijenta

La odeljak Nosi privatni ključ i svoju IP adresu u VPN-u; javni ključ servera, njegovu krajnju tačku i politiku usmjeravanja.

PrivateKey = <clave_privada_cliente>
Address = 192.168.2.2/32
DNS = 1.1.1.1


PublicKey = <clave_publica_servidor>
Endpoint = <IP_publica_servidor>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

El PersistentKeepalive (25) Ovo pomaže ako se klijent nalazi iza NAT-a/zaštitnih zidova koji blokiraju neaktivna mapiranja. AllowedIPs definira da li se sav promet usmjerava kroz VPN (0.0.0.0/0) ili samo određene podmreže.

NAT, prosljeđivanje i zaštitni zid

Da biste omogućili klijentima pristup internetu putem servera, morate omogući IP prosljeđivanje i primijenite NAT na WAN interfejsu.

echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
echo "net.ipv6.conf.all.forwarding=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

sudo iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE

Ako je politika vašeg zaštitnog zida restriktivna, dozvoljava saobraćaj na wg0 interfejsu i otvorite odabrani UDP port na zaštitnom zidu/NAT ruteru.

sudo iptables -I INPUT 1 -i wg0 -j ACCEPT

Da biste prikazali interfejs i omogućili uslugu pri pokretanju: wg-quick i systemd Ostavljaju to na autopilotu za tebe.

sudo wg-quick up wg0
sudo systemctl enable wg-quick@wg0

Roaming, Kill-Switch i mobilnost

WireGuard je dizajniran za svakodnevnu mobilnu upotrebu: Ako pređete sa Wi-Fi na 4G/5G, tunel se ponovo uspostavlja u trenu.Nećete primijetiti nikakve ozbiljne prekide prilikom promjene mreže.

Osim toga, možete omogućiti prekidač za gašenje (u zavisnosti od platforme ili aplikacije) tako da, ako VPN prestane raditi, sistem blokira saobraćaj dok se ne obnovi, sprečavajući slučajna curenja.

Split-tuneling

Podijeljeni tunel vam omogućava da odlučite Koji promet putuje kroz VPN, a koji ide direktno van?Korisno za održavanje niske latencije u igre ili video pozivi prilikom pristupanja internim resursima kroz tunel.

Dva tipična primjera konfiguracije na klijentu, korištenjem direktive AllowedIPs:

# Redirección total por la VPN

PublicKey = <clave_publica_servidor>
AllowedIPs = 0.0.0.0/0
Endpoint = <IP_publica_servidor>:51820

# Solo la LAN remota (por ejemplo, 192.168.1.0/24) a través de la VPN

PublicKey = <clave_publica_servidor>
AllowedIPs = 192.168.1.0/24
Endpoint = <IP_publica_servidor>:51820

Ovo smanjuje utjecaj na brzinu/latenciju i Optimizirate iskustvo za ono što zaista trebate zaštititi.

Prednosti i mane WireGuarda

• U KORISTbrzina, niska latencija, jednostavnost, moderna kriptografija, smanjena potrošnja resursa i mala kodna baza koja olakšava revizije.
• PROTIV: Podrška u nekim naslijeđenim ekosistemima je manje zrela nego kod IPsec/OpenVPN-a, ima ograničenije napredne funkcije (skripte i izvorno maskiranje) i razmatranja privatnosti jer su javni ključevi povezani s internim IP adresama tunela.

Podrška za firewall-ove, NAS i QNAP

U uređajima tipa firewall-a, OPNsense integriše WireGuard sa ubrzanjem kernela. U pfSense-u, dok čekate stabilnu integraciju, možete instalirati paket i njime praktično upravljati iz GUI-ja.

Na QNAP NAS-u, putem QVPN 2, Možete postaviti L2TP/IPsec, OpenVPN i WireGuard servere....i čak virtualizirati Debian ako želite podesiti OpenVPN s AES-GCM-om ili mjeriti s iperf3. U testovima s moćnim hardverom (kao što je QNAP s Ryzen 7 i 10GbE) i 10GbE klijentom, WireGuard je udvostručio performanse u odnosu na L2TP/IPsec ili OpenVPN u istom lokalnom okruženju.

WireGuard na mobilnim uređajima: snage i slabosti

Na iOS-u i Androidu, službena aplikacija olakšava besprijekorno prebacivanje između mreža. Velika prednost: Sigurno pregledavanje na javnoj Wi-Fi mreži od hotela ili aerodroma i sakriti svoj promet od svog internet provajdera. Nadalje, ako postavite vlastiti server, možete pristupiti svom domu ili poslovnom prostoru kao da ste zapravo tamo.

Logična suprotnost je da Dodana je određena latencija i brzina neznatno opadaposebno ako preusmjeravate sav promet. Međutim, WireGuard je među protokolima koji su najprihvatljiviji u pogledu potrošnje baterije i performansi. Pogledajte i preporuke za android ako je vaša kutija mobilna.

Instalirajte i koristite na drugim platformama

Na macOS-u, Windowsu, Androidu i iOS-u imate službene aplikacije; sve što trebate učiniti je uvezite .conf datoteku ili skenirajte QR kod generirano iz vašeg upravitelja konfiguracije. Proces je gotovo identičan onome u Linuxu.

Ako ćete ga postaviti na VPS, imajte na umu dobre prakse: ažuriraj sistem, omogući zaštitni zidOgraničite WireGuard UDP port na dozvoljene IP adrese ako je izvodljivo i rotirajte ključeve kada to zahtijeva vaša politika.

Verifikacija i dijagnoza

Da biste potvrdili da je sve u redu, oslonite se na wg i wg-brzoVidjet ćete rukovanja, prenesene bajtove i vrijeme od posljednje zamjene.

wg
wg show

Ako nema povezivosti, provjerite: sistemske rute, NAT, otvoreni UDP port na ruteru i da su krajnja tačka i ključevi za svakog peer-a ispravni. Ping na IP adresu servera na VPN-u je obično prvi koristan test.

Sa jednostavnim pristupom, modernom kriptografijom i primjetnim performansama, WireGuard je zaslužio svoje mjesto kao preferirani VPN Za kućne korisnike i preduzeća. Instalacija je jednostavna, upravljanje je praktično, a raspon upotrebe (udaljeni pristup, od lokacije do lokacije, sigurna mobilnost ili podijeljeno tuneliranje) odgovara gotovo svakom scenariju. Dodajte dobre sigurnosne prakse, dobro podešen zaštitni zid i osnovni nadzor i imat ćete brz, stabilan i vrlo teško probojan tunel.