Kompletní průvodce WireGuardem: Instalace, klíče a pokročilá konfigurace

Pokud hledáte VPN který je rychlý, bezpečný a snadno se nasazuje, WireGuard Je to to nejlepší, co dnes můžete použít. Díky minimalistickému designu a moderní kryptografii je ideální pro domácí uživatele, profesionály i firemní prostředí, a to jak na počítačích, tak na mobilních zařízeních a routerech.

V této praktické příručce najdete vše od základů až po Pokročilá konfiguraceInstalace na Linux (Ubuntu/Debian/CentOS), klíče, soubory serveru a klienta, přesměrování IP adres, NAT/Firewall, aplikace na Windows/macOS/Android/iOS rozdělené tunelování, výkon, řešení problémů a kompatibilita s platformami, jako jsou OPNsense, pfSense, QNAP, Mikrotik nebo Teltonika.

Co je WireGuard a proč si ho vybrat?

WireGuard je open source VPN protokol a software určený k vytváření L3 šifrované tunely přes UDPVyniká ve srovnání s OpenVPN nebo IPsec svou jednoduchostí, výkonem a nižší latencí, spoléhá se na moderní algoritmy, jako je například Curve25519, ChaCha20-Poly1305, BLAKE2, SipHash24 a HKDF.

Jeho kódová základna je velmi malá (kolem tisíce řádků), což usnadňuje audity, snižuje plochu pro útoky a zlepšuje údržbu. Je také integrován do linuxového jádra, což umožňuje vysoké přenosové rychlosti a agilní odezvu i na skromném hardwaru.

 

Je multiplatformní: existují oficiální aplikace pro Windows, macOS, Linux, Android a iOSa podporu pro systémy orientované na routery/firewally, jako je OPNsense. Je také k dispozici pro prostředí jako FreeBSD, OpenBSD a NAS a virtualizační platformy.

Jak to funguje uvnitř

 

WireGuard vytváří šifrovaný tunel mezi peer-y (vrstevníci) identifikované klíči. Každé zařízení generuje pár klíčů (soukromý/veřejný) a sdílí pouze svůj veřejný klíč s druhým koncem; odtud je veškerý provoz šifrován a ověřován.

Směrnice PovolenéIPs Definuje jak odchozí směrování (jaký provoz by měl procházet tunelem), tak seznam platných zdrojů, které vzdálený protějšek přijme po úspěšném dešifrování paketu. Tento přístup je známý jako Směrování kryptoklíčů a výrazně zjednodušuje dopravní politiku.

WireGuard je vynikající s Roaming- Pokud se IP adresa vašeho klienta změní (např. přepnete z Wi-Fi na 4G/5G), relace se transparentně a velmi rychle obnoví. Podporuje také vypínač zablokovat provoz z tunelu v případě výpadku VPN.

Instalace na Linuxu: Ubuntu/Debian/CentOS

V Ubuntu je WireGuard k dispozici v oficiálních repozitářích. Aktualizujte balíčky a poté nainstalujte software, abyste získali modul a nástroje. wg a wg-rychle.

apt update && apt upgrade -y
apt install wireguard -y
modprobe wireguard

Ve stabilním Debianu se můžete v případě potřeby spolehnout na repozitáře nestabilních větví, a to podle doporučené metody a s péče ve výrobě:

sudo sh -c 'echo deb https://deb.debian.org/debian/ unstable main > /etc/apt/sources.list.d/unstable.list'
sudo sh -c 'printf "Package: *\nPin: release a=unstable\nPin-Priority: 90\n" > /etc/apt/preferences.d/limit-unstable'
sudo apt update
sudo apt install wireguard

V CentOS 8.3 je postup podobný: v případě potřeby aktivujete repozitáře EPEL/ElRepo a poté balíček nainstalujete. WireGuard a odpovídající moduly.

Generování klíčů

Každý peer musí mít svůj vlastní pár soukromého/veřejného klíčePoužijte umask k omezení oprávnění a generování klíčů pro server a klienty.

umask 077
wg genkey | tee privatekey | wg pubkey > publickey

Opakujte na každém zařízení. Nikdy nesdílejte soukromý klíč a bezpečně uložte oba soubory. Pokud chcete, můžete si je vytvořit s různými názvy, například server soukromých klíčů y veřejný klíč serveru.

Nastavení serveru

Vytvořte hlavní soubor v /etc/wireguard/wg0.confPřiřaďte podsíť VPN (nepoužívá se ve vaší skutečné síti LAN), port UDP a přidejte blok. [Peer] na každého oprávněného zákazníka.

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <clave_privada_servidor>

# Cliente 1
[Peer]
PublicKey = <clave_publica_cliente1>
AllowedIPs = 10.0.0.2/32

Můžete také použít jinou podsíť, například 192.168.2.0/24a růst s více protějšky. Pro rychlé nasazení se běžně používá wg-quick se soubory wgN.conf.

Konfigurace klienta

Na straně klienta vytvořte soubor, například wg0-client.conf, s jeho privátním klíčem, adresou tunelu, volitelným DNS a peerem serveru s jeho veřejným koncovým bodem a portem.

[Interface]
PrivateKey = <clave_privada_cliente>
Address = 10.0.0.2/24
DNS = 8.8.8.8

[Peer]
PublicKey = <clave_publica_servidor>
Endpoint = <ip_publica_servidor>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Pokud vložíte PovolenéIPs = 0.0.0.0/0 Veškerý provoz bude procházet přes VPN; pokud chcete dosáhnout pouze na konkrétní serverové sítě, omezte jej na potřebné podsítě a snížíte latence a spotřeba.

Přesměrování IP adres a NAT na serveru

Povolte přesměrování, aby klienti měli přístup k internetu přes server. Provádějte změny za chodu pomocí sysctl.

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
echo 'net.ipv6.conf.all.forwarding=1' >> /etc/sysctl.conf
sysctl -p

Nakonfigurujte NAT pomocí iptables pro podsíť VPN a nastavte rozhraní WAN (například eth0):

iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE

Udělejte to trvalé s příslušnými balíčky a pravidly ukládání, která se použijí při restartu systému.

apt install -y iptables-persistent netfilter-persistent
netfilter-persistent save

Spuštění a ověření

Otevřete rozhraní a povolte spuštění služby se systémem. Tento krok vytvoří virtuální rozhraní a přidá tras nutné.

systemctl start wg-quick@wg0
systemctl enable wg-quick@wg0
wg

s wg Uvidíte peer uzly, klíče, přenosy a časy posledního navázání spojení. Pokud jsou vaše zásady firewallu omezující, povolte přístup přes rozhraní. wg0 a UDP port služby:

iptables -I INPUT 1 -i wg0 -j ACCEPT

Oficiální aplikace: Windows, macOS, Android a iOS

Na ploše můžete importovat Soubor .confNa mobilních zařízeních aplikace umožňuje vytvořit rozhraní z QR code obsahující konfiguraci; je to velmi výhodné pro netechnické zákazníky.

Pokud je vaším cílem zpřístupnit samoobslužné služby, jako například Plex/Radar/Sonar Prostřednictvím vaší VPN jednoduše přiřaďte IP adresy v podsíti WireGuard a upravte AllowedIPs, aby se klient mohl k dané síti dostat; nemusíte otevírat další porty směrem ven, pokud veškerý přístup probíhá přes... tunelu.

Výhody a nevýhody

WireGuard je velmi rychlý a jednoduchý, ale je důležité zvážit jeho omezení a specifika v závislosti na případu použití. Zde je vyvážený přehled nejdůležitějších... vynikající.

Výhoda	Nevýhody
Jasná a stručná konfigurace, ideální pro automatizaci	Nezahrnuje nativní zmatkování provozu
Vysoký výkon a nízká latence i v Móviles	V některých starších prostředích je méně pokročilých možností.
Moderní kryptografie a malý kód, který to usnadňuje audit	Soukromí: Přiřazení IP adresy k veřejnému klíči může být citlivé v závislosti na zásadách.
Bezproblémový roaming a funkce kill switch k dispozici na klientech	Kompatibilita s třetími stranami není vždy homogenní

 

Dělené tunelování: směrování pouze toho, co je nezbytné

Dělené tunelování vám umožňuje odesílat přes VPN pouze potřebný provoz. PovolenéIPs Rozhodujete se, zda chcete provést úplné nebo selektivní přesměrování na jednu nebo více podsítí.

# Redirección completa de Internet
[Peer]
AllowedIPs = 0.0.0.0/0

# Solo acceder a recursos de la LAN 192.168.1.0/24 por la VPN
[Peer]
AllowedIPs = 192.168.1.0/24

Existují varianty, jako je reverzní dělené tunelování, filtrované podle URL nebo aplikací (prostřednictvím specifických rozšíření/klientů), ačkoli nativním základem ve WireGuardu je ovládání pomocí IP adres a prefixů.

Kompatibilita a ekosystém

WireGuard se zrodil pro linuxové jádro, ale dnes je cross platformOPNsense jej integruje nativně; pfSense byl dočasně ukončen z důvodu auditů a následně byl nabízen jako volitelný balíček v závislosti na verzi.

Na NAS, jako je QNAP, jej můžete připojit přes QVPN nebo virtuální počítače a využít tak 10GbE síťové karty k… vysoké rychlostiRouterové desky MikroTik obsahují podporu WireGuard od verze RouterOS 7.x; v raných verzích byl v beta verzi a nebyl doporučen pro produkční prostředí, ale umožňuje P2P tunely mezi zařízeními a dokonce i koncovými klienty.

Výrobci jako Teltonika mají balíček pro přidání WireGuardu do svých routerů; pokud potřebujete vybavení, můžete si ho zakoupit na shop.davantel.com a dodržujte pokyny výrobce pro instalaci paquetes extra.

Výkon a latence

Díky minimalistickému designu a výběru efektivních algoritmů dosahuje WireGuard velmi vysokých rychlostí a nízké latence, obecně lepší než L2TP/IPsec a OpenVPN. V lokálních testech s výkonným hardwarem je skutečná rychlost často dvojnásobná oproti alternativám, což z něj činí ideální streamování, hraní her nebo VoIP.

Implementace v korporátním prostředí a práce na dálku

V podniku je WireGuard vhodný pro vytváření tunelů mezi kancelářemi, vzdálený přístup zaměstnanců a zabezpečené připojení mezi... Další profesní rozvoj a cloudové služby (např. pro zálohy). Jeho stručná syntaxe usnadňuje verzování a automatizaci.

Integruje se s adresáři, jako je LDAP/AD, pomocí přechodných řešení a může koexistovat s platformami IDS/IPS nebo NAC. Oblíbenou možností je PacketFence (open source), který umožňuje ověřit stav zařízení před udělením přístupu a ovládat BYOD.

Windows/macOS: Poznámky a tipy

Oficiální aplikace pro Windows obvykle funguje bez problémů, ale v některých verzích Windows 10 se při používání vyskytly problémy. PovolenéIPs = 0.0.0.0/0 kvůli konfliktům tras. Jako dočasnou alternativu někteří uživatelé volí klienty založené na WireGuardu, jako je TunSafe, nebo omezují AllowedIP adresy na konkrétní podsítě.

Stručný průvodce Debianem s příklady klíčů

Generování klíčů pro server a klienta v /etc/wireguard/ a vytvořte rozhraní wg0. Ujistěte se, že IP adresy VPN neodpovídají žádným jiným IP adresám ve vaší lokální síti nebo u vašich klientů.

cd /etc/wireguard/
wg genkey | tee claveprivadaservidor | wg pubkey > clavepublicaservidor
wg genkey | tee claveprivadacliente1 | wg pubkey > clavepublicacliente1

Server wg0.conf s podsítí 192.168.2.0/24 a portem 51820. Povolte PostUp/PostDown, pokud chcete automatizovat NAT s iptables při vyvolání/ukončení rozhraní.

[Interface]
Address = 192.168.2.1/24
PrivateKey = <clave_privada_servidor>
ListenPort = 51820
#PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <clave_publica_cliente1>
AllowedIPs = 0.0.0.0/0

Klient s adresou 192.168.2.2, odkazující na veřejný koncový bod serveru a s udržet naživu volitelné, pokud existuje zprostředkující NAT.

[Interface]
PrivateKey = <clave_privada_cliente1>
Address = 192.168.2.2/32

[Peer]
PublicKey = <clave_publica_servidor>
AllowedIPs = 0.0.0.0/0
Endpoint = <ip_publica_servidor>:51820
#PersistentKeepalive = 25

Otevřete rozhraní a sledujte, jak se zobrazuje MTU, značení trasy a fwmark a pravidla směrovací politiky. Zkontrolujte výstup a stav wg-quick pomocí wg show.

Mikrotik: tunel mezi RouterOS 7.x

MikroTik podporuje WireGuard od verze RouterOS 7.x. Vytvořte rozhraní WireGuard na každém routeru, aplikujte ho a bude vygenerováno automaticky. ClavesPřiřaďte IP adresy Ether2 jako WAN a Wireguard1 jako tunelovému rozhraní.

Nakonfigurujte uzly křížením veřejného klíče serveru na straně klienta a naopak, definujte povolené adresy/povolené IP adresy (například 0.0.0.0/0 (pokud chcete povolit jakýkoli zdroj/cíl tunelem) a nastavte vzdálený koncový bod s jeho portem. Příkaz ping na IP adresu vzdáleného tunelu potvrdí stisk ruky .

Pokud k tunelu Mikrotik připojujete mobilní telefony nebo počítače, dolaďte povolené sítě tak, aby se jich neotevíralo více, než je nutné; WireGuard rozhoduje o toku paketů na základě vašich Směrování kryptoklíčů, proto je důležité sladit místa odjezdu a cíle.

Použitá kryptografie

WireGuard využívá moderní sadu: Hluk jako rámec, Curve25519 pro ECDH, ChaCha20 pro ověřené symetrické šifrování s Poly1305, BLAKE2 pro hashování, SipHash24 pro hashovací tabulky a HKDF pro odvození ClavesPokud je algoritmus zastaralý, lze protokol verzovat tak, aby migrace proběhla bezproblémově.

Výhody a nevýhody na mobilu

Používání na chytrých telefonech vám umožňuje bezpečné prohlížení Veřejná Wi-Fi, skryjte provoz před poskytovatelem internetových služeb a připojte se k domácí síti pro přístup k NAS, domácí automatizaci nebo hraní her. V systémech iOS/Android přepínání sítí neruší tunel, což zlepšuje herní zážitek.

Nevýhodou je určitá ztráta rychlosti a větší latence ve srovnání s přímým výstupem a také to, že jste neustále závislí na tom, že server je... dostupnýVe srovnání s IPsec/OpenVPN je však postih obvykle nižší.

WireGuard kombinuje jednoduchost, rychlost a skutečné zabezpečení s velmi snadnou křivkou učení: nainstalujte jej, vygenerujte klíče, definujte povolené IP adresy a můžete začít. Přidejte přesměrování IP adres, dobře implementovaný NAT, oficiální aplikace s QR kódy a kompatibilitu s ekosystémy jako OPNsense, Mikrotik nebo Teltonika. moderní VPN pro téměř jakýkoli scénář, od zabezpečení veřejných sítí až po připojení ústředí a přístup k domácím službám bez starostí.