Πλήρης οδηγός WireGuard: Εγκατάσταση, κλειδιά και προηγμένη διαμόρφωση

Αν ψάχνετε για ένα VPN που είναι γρήγορο, ασφαλές και εύκολο στην εγκατάσταση, WireGuard Είναι το καλύτερο που μπορείτε να χρησιμοποιήσετε σήμερα. Με μινιμαλιστικό σχεδιασμό και μοντέρνα κρυπτογραφία, είναι ιδανικό για οικιακούς χρήστες, επαγγελματίες και εταιρικά περιβάλλοντα, τόσο σε υπολογιστές όσο και σε κινητές συσκευές και δρομολογητές.

Σε αυτόν τον πρακτικό οδηγό θα βρείτε τα πάντα, από τα βασικά έως τα Προηγμένη διαμόρφωσηΕγκατάσταση σε Linux (Ubuntu/Debian/CentOS), κλειδιά, αρχεία διακομιστή και πελάτη, προώθηση IP, NAT/Firewall, εφαρμογές σε Windows/macOS/Android/iOS, διαχωρισμός σήραγγας, απόδοση, αντιμετώπιση προβλημάτων και συμβατότητα με πλατφόρμες όπως OPNsense, pfSense, QNAP, Mikrotik ή Teltonika.

Τι είναι το WireGuard και γιατί να το επιλέξω;

WireGuard είναι ένα πρωτόκολλο VPN ανοιχτού κώδικα και λογισμικό που έχει σχεδιαστεί για να δημιουργεί Κρυπτογραφημένες σήραγγες L3 μέσω UDPΞεχωρίζει σε σύγκριση με το OpenVPN ή το IPsec λόγω της απλότητας, της απόδοσης και της χαμηλότερης καθυστέρησης, βασιζόμενο σε σύγχρονους αλγόριθμους όπως Curve25519, ChaCha20-Poly1305, BLAKE2, SipHash24 και HKDF.

Η βάση κώδικα του είναι πολύ μικρή (περίπου χιλιάδες γραμμές), το οποίο διευκολύνει τους ελέγχους, μειώνει την επιφάνεια επιθέσεων και βελτιώνει τη συντήρηση. Είναι επίσης ενσωματωμένο στον πυρήνα του Linux, επιτρέποντας υψηλά ποσοστά μεταφοράς και ευέλικτη απόκριση ακόμη και σε μέτριο υλικό.

 

Είναι πολυπλατφορμικό: υπάρχουν επίσημες εφαρμογές για Windows, macOS, Linux, Android και iOSκαι υποστήριξη για συστήματα που βασίζονται σε δρομολογητές/τείχη προστασίας όπως το OPNsense. Είναι επίσης διαθέσιμο για περιβάλλοντα όπως το FreeBSD, το OpenBSD και το NAS, καθώς και για πλατφόρμες εικονικοποίησης.

Πώς λειτουργεί μέσα

 

Το WireGuard δημιουργεί μια κρυπτογραφημένη σήραγγα μεταξύ των συνομηλίκων (συνομηλίκους) αναγνωρίζονται από κλειδιά. Κάθε συσκευή δημιουργεί ένα ζεύγος κλειδιών (ιδιωτικό/δημόσιο) και μοιράζεται μόνο το δικό του δημόσιο κλειδί με το άλλο άκρο. Από εκεί, όλη η κίνηση κρυπτογραφείται και ελέγχεται η ταυτότητά της.

Διευθυντικός Επιτρέπονται IP Ορίζει τόσο την εξερχόμενη δρομολόγηση (ποια κίνηση πρέπει να περάσει από τη σήραγγα) όσο και τη λίστα έγκυρων πηγών που θα αποδεχτεί ο απομακρυσμένος ομότιμος μετά την επιτυχή αποκρυπτογράφηση ενός πακέτου. Αυτή η προσέγγιση είναι γνωστή ως Δρομολόγηση κρυπτοκλειδιών και απλοποιεί σημαντικά την πολιτική κυκλοφορίας.

Το WireGuard είναι εξαιρετικό με το Περιαγωγή- Εάν αλλάξει η IP του πελάτη σας (π.χ., μεταβαίνετε από Wi-Fi σε 4G/5G), η συνεδρία αποκαθίσταται με διαφάνεια και πολύ γρήγορα. Υποστηρίζει επίσης διακόπτης τερματισμού για να εμποδίσουν την κυκλοφορία έξω από τη σήραγγα σε περίπτωση διακοπής λειτουργίας του VPN.

Εγκατάσταση σε Linux: Ubuntu/Debian/CentOS

Στο Ubuntu, το WireGuard είναι διαθέσιμο στα επίσημα αποθετήρια. Ενημερώστε τα πακέτα και, στη συνέχεια, εγκαταστήστε το λογισμικό για να λάβετε τη λειτουργική μονάδα και τα εργαλεία. wg και wg-quick.

apt update && apt upgrade -y
apt install wireguard -y
modprobe wireguard

Στο Debian stable μπορείτε να βασιστείτε σε ασταθή αποθετήρια κλάδων εάν χρειαστεί, ακολουθώντας τη συνιστώμενη μέθοδο και με φροντίδα στην παραγωγή:

sudo sh -c 'echo deb https://deb.debian.org/debian/ unstable main > /etc/apt/sources.list.d/unstable.list'
sudo sh -c 'printf "Package: *\nPin: release a=unstable\nPin-Priority: 90\n" > /etc/apt/preferences.d/limit-unstable'
sudo apt update
sudo apt install wireguard

Στο CentOS 8.3 η ροή είναι παρόμοια: ενεργοποιείτε τα αποθετήρια EPEL/ElRepo εάν είναι απαραίτητο και στη συνέχεια εγκαθιστάτε το πακέτο. WireGuard και αντίστοιχες ενότητες.

Δημιουργία κλειδιών

Κάθε συνομήλικος πρέπει να έχει τον δικό του ζεύγος ιδιωτικού/δημόσιου κλειδιούΕφαρμόστε την εντολή umask για να περιορίσετε τα δικαιώματα και να δημιουργήσετε κλειδιά για τον διακομιστή και τους υπολογιστές-πελάτες.

umask 077
wg genkey | tee privatekey | wg pubkey > publickey

Επαναλάβετε σε κάθε συσκευή. Ποτέ μην μοιράζεστε το ιδιωτικό κλειδί και αποθηκεύστε και τα δύο με ασφάλεια. Αν προτιμάτε, δημιουργήστε αρχεία με διαφορετικά ονόματα, για παράδειγμα ιδιωτικός διακομιστής κλειδιών y δημόσιο κλειδί διακομιστή.

Ρύθμιση διακομιστή

Δημιουργήστε το κύριο αρχείο στο /etc/wireguard/wg0.confΑντιστοιχίστε ένα υποδίκτυο VPN (δεν χρησιμοποιείται στο πραγματικό σας LAN), τη θύρα UDP και προσθέστε ένα μπλοκ [Συνομήλικος] ανά εξουσιοδοτημένο πελάτη.

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <clave_privada_servidor>

# Cliente 1
[Peer]
PublicKey = <clave_publica_cliente1>
AllowedIPs = 10.0.0.2/32

Μπορείτε επίσης να χρησιμοποιήσετε ένα άλλο υποδίκτυο, για παράδειγμα 192.168.2.0/24και να αναπτύσσονται με πολλαπλούς συνομηλίκους. Για γρήγορες αναπτύξεις, είναι σύνηθες να χρησιμοποιείται wg-γρήγορος με αρχεία wgN.conf.

Διαμόρφωση πελατείας

Στον πελάτη, δημιουργήστε ένα αρχείο, για παράδειγμα wg0-client.conf, με το ιδιωτικό κλειδί του, τη διεύθυνση σήραγγας, το προαιρετικό DNS και τον ομότιμο διακομιστή με το δημόσιο τελικό σημείο και τη θύρα του.

[Interface]
PrivateKey = <clave_privada_cliente>
Address = 10.0.0.2/24
DNS = 8.8.8.8

[Peer]
PublicKey = <clave_publica_servidor>
Endpoint = <ip_publica_servidor>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Αν βάλεις AllowedIPs = 0.0.0.0/0 Όλη η κίνηση θα περνάει μέσω του VPN. Αν θέλετε να φτάσετε μόνο σε συγκεκριμένα δίκτυα διακομιστών, περιορίστε την στα απαραίτητα υποδίκτυα και θα μειώσετε καθυστέρηση και κατανάλωση.

Προώθηση IP και NAT στον διακομιστή

Ενεργοποιήστε την προώθηση, ώστε οι πελάτες να έχουν πρόσβαση στο Διαδίκτυο μέσω του διακομιστή. Εφαρμόστε τις αλλαγές άμεσα με sysctl.

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
echo 'net.ipv6.conf.all.forwarding=1' >> /etc/sysctl.conf
sysctl -p

Ρυθμίστε το NAT με iptables για το υποδίκτυο VPN, ορίζοντας τη διεπαφή WAN (για παράδειγμα, eth0):

iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE

Κάντε το επίμονο με τα κατάλληλα πακέτα και τους κανόνες αποθήκευσης που θα εφαρμοστούν κατά την επανεκκίνηση του συστήματος.

apt install -y iptables-persistent netfilter-persistent
netfilter-persistent save

Εκκίνηση και επαλήθευση

Ανοίξτε τη διεπαφή και ενεργοποιήστε την υπηρεσία για να ξεκινήσει με το σύστημα. Αυτό το βήμα δημιουργεί την εικονική διεπαφή και προσθέτει δρομολόγια απαραίτητη.

systemctl start wg-quick@wg0
systemctl enable wg-quick@wg0
wg

με wg Θα δείτε τους ομότιμους χρήστες, τα κλειδιά, τις μεταφορές και τους χρόνους τελευταίας χειραψίας. Εάν η πολιτική του τείχους προστασίας σας είναι περιοριστική, επιτρέψτε την πρόσβαση μέσω της διεπαφής. wg0 και η θύρα UDP της υπηρεσίας:

iptables -I INPUT 1 -i wg0 -j ACCEPT

Επίσημες εφαρμογές: Windows, macOS, Android και iOS

Στην επιφάνεια εργασίας μπορείτε να εισαγάγετε ένα Αρχείο .confΣε κινητές συσκευές, η εφαρμογή σάς επιτρέπει να δημιουργήσετε τη διεπαφή από ένα QR code που περιέχει τη διαμόρφωση· είναι πολύ βολικό για μη τεχνικούς πελάτες.

Αν ο στόχος σας είναι να εκθέσετε αυτο-φιλοξενούμενες υπηρεσίες όπως Plex/Radarr/Sonarr Μέσω του VPN σας, απλώς αντιστοιχίστε IP στο υποδίκτυο WireGuard και προσαρμόστε τα AllowedIPs έτσι ώστε ο πελάτης να μπορεί να φτάσει σε αυτό το δίκτυο. Δεν χρειάζεται να ανοίξετε επιπλέον θύρες προς τα έξω εάν όλη η πρόσβαση γίνεται μέσω του σήραγγα.

Πλεονεκτήματα και μειονεκτήματα

Το WireGuard είναι πολύ γρήγορο και απλό, αλλά είναι σημαντικό να λάβετε υπόψη τους περιορισμούς και τις ιδιαιτερότητές του ανάλογα με την περίπτωση χρήσης. Ακολουθεί μια ισορροπημένη επισκόπηση των πιο σχετικές.

Πλεονέκτημα	Μειονεκτήματα
Σαφής και σύντομη διαμόρφωση, ιδανική για αυτοματοποίηση	Δεν ενσωματώνει εγγενή απόκρυψη επισκεψιμότητας
Υψηλή απόδοση και χαμηλή καθυστέρηση ακόμη και σε κινητός	Σε ορισμένα παλαιότερα περιβάλλοντα υπάρχουν λιγότερες επιλογές για προχωρημένους
Σύγχρονη κρυπτογραφία και μικρός κώδικας που το κάνει εύκολο έλεγχος	Απόρρητο: Η συσχέτιση IP/δημόσιου κλειδιού ενδέχεται να είναι ευαίσθητη, ανάλογα με τις πολιτικές.
Απρόσκοπτη περιαγωγή και διακόπτης τερματισμού λειτουργίας διαθέσιμα σε πελάτες	Η συμβατότητα με τρίτους δεν είναι πάντα ομοιογενής

 

Διαχωρισμός σήραγγας: κατεύθυνση μόνο ό,τι είναι απαραίτητο

Το split tunneling σάς επιτρέπει να στέλνετε μόνο την κίνηση που χρειάζεστε μέσω του VPN. Με Επιτρέπονται IP Εσείς αποφασίζετε αν θα κάνετε πλήρη ή επιλεκτική ανακατεύθυνση σε ένα ή περισσότερα υποδίκτυα.

# Redirección completa de Internet
[Peer]
AllowedIPs = 0.0.0.0/0

# Solo acceder a recursos de la LAN 192.168.1.0/24 por la VPN
[Peer]
AllowedIPs = 192.168.1.0/24

Υπάρχουν παραλλαγές όπως η αντίστροφη διαίρεση σήραγγας, φιλτραρισμένη από URL ή μέσω εφαρμογής (μέσω συγκεκριμένων επεκτάσεων/πελατών), αν και η εγγενής βάση στο WireGuard είναι ο έλεγχος μέσω IP και προθεμάτων.

Συμβατότητα και οικοσύστημα

Το WireGuard γεννήθηκε για τον πυρήνα του Linux, αλλά σήμερα είναι cross platformΤο OPNsense το ενσωματώνει εγγενώς. Το pfSense διακόπηκε προσωρινά για ελέγχους και στη συνέχεια προσφέρθηκε ως προαιρετικό πακέτο ανάλογα με την έκδοση.

Σε NAS όπως το QNAP μπορείτε να το τοποθετήσετε μέσω QVPN ή εικονικών μηχανών, εκμεταλλευόμενοι τις κάρτες δικτύου 10GbE για να υψηλές ταχύτητεςΟι πλακέτες δρομολογητών MikroTik έχουν ενσωματώσει την υποστήριξη WireGuard από την έκδοση RouterOS 7.x. Στις πρώτες εκδόσεις του, ήταν σε beta και δεν συνιστάται για παραγωγή, αλλά επιτρέπει σήραγγες P2P μεταξύ συσκευών, ακόμη και τελικών πελατών.

Κατασκευαστές όπως η Teltonika διαθέτουν ένα πακέτο για την προσθήκη του WireGuard στους δρομολογητές τους. Εάν χρειάζεστε εξοπλισμό, μπορείτε να τον αγοράσετε από shop.davantel.com και ακολουθήστε τις οδηγίες του κατασκευαστή για την εγκατάσταση πακέτα επιπλέον.

Απόδοση και καθυστέρηση

Χάρη στον μινιμαλιστικό σχεδιασμό του και την επιλογή αποτελεσματικών αλγορίθμων, το WireGuard επιτυγχάνει πολύ υψηλές ταχύτητες και χαμηλές καθυστερήσεις, γενικά ανώτερο από το L2TP/IPsec και το OpenVPN. Σε τοπικές δοκιμές με ισχυρό υλικό, ο πραγματικός ρυθμός είναι συχνά διπλάσιος από αυτόν των εναλλακτικών λύσεων, καθιστώντας το ιδανικό για streaming, παιχνίδια ή VoIP.

Εταιρική εφαρμογή και τηλεργασία

Στις επιχειρήσεις, το WireGuard είναι κατάλληλο για τη δημιουργία σηράγγων μεταξύ γραφείων, την απομακρυσμένη πρόσβαση των εργαζομένων και τις ασφαλείς συνδέσεις μεταξύ... Συνεχιζόμενη Επαγγελματική Ανάπτυξη (CPD) και cloud (π.χ., για αντίγραφα ασφαλείας). Η συνοπτική σύνταξή του διευκολύνει την επεξεργασία εκδόσεων και τον αυτοματισμό.

Ενσωματώνεται με καταλόγους όπως LDAP/AD χρησιμοποιώντας ενδιάμεσες λύσεις και μπορεί να συνυπάρχει με πλατφόρμες IDS/IPS ή NAC. Μια δημοφιλής επιλογή είναι PacketFence (ανοιχτού κώδικα), το οποίο σας επιτρέπει να επαληθεύσετε την κατάσταση του εξοπλισμού πριν από την παραχώρηση πρόσβασης και ελέγχου BYOD.

Windows/macOS: Σημειώσεις και συμβουλές

Η επίσημη εφαρμογή των Windows λειτουργεί συνήθως χωρίς προβλήματα, αλλά σε ορισμένες εκδόσεις των Windows 10 έχουν υπάρξει προβλήματα κατά τη χρήση AllowedIPs = 0.0.0.0/0 λόγω διενέξεων δρομολόγησης. Ως προσωρινή εναλλακτική λύση, ορισμένοι χρήστες επιλέγουν υπολογιστές-πελάτες που βασίζονται στο WireGuard, όπως το TunSafe, ή περιορίζουν τις AllowedIP σε συγκεκριμένα υποδίκτυα.

Οδηγός γρήγορης εκκίνησης του Debian με παραδείγματα κλειδιών

Δημιουργήστε κλειδιά για διακομιστή και πελάτη σε /etc/wireguard/ και δημιουργήστε τη διεπαφή wg0. Βεβαιωθείτε ότι οι διευθύνσεις IP του VPN δεν ταιριάζουν με καμία άλλη διεύθυνση IP στο τοπικό σας δίκτυο ή στους πελάτες σας.

cd /etc/wireguard/
wg genkey | tee claveprivadaservidor | wg pubkey > clavepublicaservidor
wg genkey | tee claveprivadacliente1 | wg pubkey > clavepublicacliente1

διακομιστή wg0.conf με υποδίκτυο 192.168.2.0/24 και θύρα 51820. Ενεργοποιήστε το PostUp/PostDown εάν θέλετε να αυτοματοποιήσετε NAT με iptables κατά την ενεργοποίηση/απενεργοποίηση της διεπαφής.

[Interface]
Address = 192.168.2.1/24
PrivateKey = <clave_privada_servidor>
ListenPort = 51820
#PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <clave_publica_cliente1>
AllowedIPs = 0.0.0.0/0

Πελάτης με διεύθυνση 192.168.2.2, που δείχνει προς το δημόσιο τελικό σημείο του διακομιστή και με κρατήσει ζωντανή προαιρετικό εάν υπάρχει ενδιάμεσο NAT.

[Interface]
PrivateKey = <clave_privada_cliente1>
Address = 192.168.2.2/32

[Peer]
PublicKey = <clave_publica_servidor>
AllowedIPs = 0.0.0.0/0
Endpoint = <ip_publica_servidor>:51820
#PersistentKeepalive = 25

Ανοίξτε τη διεπαφή και παρακολουθήστε καθώς το MTU, οι σημάνσεις διαδρομής και fwmark και κανόνες πολιτικής δρομολόγησης. Ελέγξτε την έξοδο και την κατάσταση του wg‑quick με γυναικεία εκπομπή.

Mikrotik: σήραγγα μεταξύ του RouterOS 7.x

Το MikroTik υποστηρίζει το WireGuard από την έκδοση RouterOS 7.x. Δημιουργήστε μια διεπαφή WireGuard σε κάθε δρομολογητή, εφαρμόστε την και θα δημιουργηθεί αυτόματα. πλήκτραΑντιστοιχίστε IP στο Ether2 ως WAN και στο wireguard1 ως διεπαφή σήραγγας.

Ρυθμίστε τις παραμέτρους των ομότιμων οντοτήτων διασταυρώνοντας το δημόσιο κλειδί του διακομιστή στην πλευρά του πελάτη και αντίστροφα, ορίστε Επιτρεπόμενες Διευθύνσεις/Επιτρεπόμενες IP (για παράδειγμα 0.0.0.0/0 αν θέλετε να επιτρέψετε οποιαδήποτε πηγή/προορισμό μέσω της σήραγγας) και ορίστε το απομακρυσμένο τελικό σημείο με τη θύρα του. Ένα ping στην απομακρυσμένη διεύθυνση IP της σήραγγας θα επιβεβαιώσει το χειραψία.

Εάν συνδέσετε κινητά τηλέφωνα ή υπολογιστές στη σήραγγα Mikrotik, ρυθμίστε με ακρίβεια τα επιτρεπόμενα δίκτυα ώστε να μην ανοίγουν περισσότερο από όσο χρειάζεται. Το WireGuard αποφασίζει τη ροή των πακέτων με βάση το δικό σας. Δρομολόγηση κρυπτοκλειδιών, επομένως είναι σημαντικό να αντιστοιχίσετε τις προελεύσεις και τους προορισμούς.

Κρυπτογραφία που χρησιμοποιείται

Το WireGuard χρησιμοποιεί ένα σύγχρονο σύνολο: Θόρυβος ως πλαίσιο, Curve25519 για ECDH, ChaCha20 για αυθεντικοποιημένη συμμετρική κρυπτογράφηση με Poly1305, BLAKE2 για κατακερματισμό, SipHash24 για πίνακες κατακερματισμού και HKDF για την παραγωγή πλήκτραΕάν ένας αλγόριθμος έχει καταργηθεί, το πρωτόκολλο μπορεί να τροποποιηθεί για να μετεγκατασταθεί απρόσκοπτα.

Πλεονεκτήματα και μειονεκτήματα στα κινητά

Η χρήση του σε smartphone σάς επιτρέπει να περιηγείστε με ασφάλεια Δημόσιο Wi-Fi, αποκρύψτε την κίνηση από τον πάροχο υπηρεσιών Διαδικτύου (ISP) σας και συνδεθείτε στο οικιακό σας δίκτυο για πρόσβαση σε NAS, οικιακό αυτοματισμό ή παιχνίδια. Σε iOS/Android, η εναλλαγή δικτύων δεν καταργεί την όποια διαδικασία, γεγονός που βελτιώνει την εμπειρία.

Ως μειονεκτήματα, υπάρχει κάποια απώλεια ταχύτητας και μεγαλύτερη καθυστέρηση σε σύγκριση με την άμεση έξοδο, και εξαρτάστε από τον διακομιστή που είναι πάντα ενεργός. διαθέσιμοςΩστόσο, σε σύγκριση με το IPsec/OpenVPN, η ποινή είναι συνήθως χαμηλότερη.

Το WireGuard συνδυάζει την απλότητα, την ταχύτητα και την πραγματική ασφάλεια με μια ομαλή καμπύλη εκμάθησης: εγκαταστήστε το, δημιουργήστε κλειδιά, ορίστε Επιτρεπόμενες IP και είστε έτοιμοι. Προσθέστε προώθηση IP, καλά υλοποιημένο NAT, επίσημες εφαρμογές με κωδικούς QR και συμβατότητα με οικοσυστήματα όπως το OPNsense, το Mikrotik ή το Teltonika. ένα σύγχρονο VPN για σχεδόν οποιοδήποτε σενάριο, από την ασφάλεια των δημόσιων δικτύων έως τη σύνδεση των κεντρικών γραφείων και την πρόσβαση στις οικιακές σας υπηρεσίες χωρίς πονοκεφάλους.