WireGuard оңай болды: 15 минут ішінде жеке VPN жасаңыз

Сіз жылдам, қауіпсіз және шексіз орнатулармен сізді ренжітпейтін VPN іздеп жүрсіз бе? WireGuard Бұл ең жақсы нұсқалардың бірі. Бұл заманауи протокол қарапайымдылық пен заманауи криптографияға басымдық береді, бұл кез келген адамға қауіпсіз туннель орнатуды жеңілдетеді.

Сізді жалпыға ортақ желілерде қорғауға және үй немесе бизнес желісіне кіруге мүмкіндік берумен қатар, VPN геоблоктарды және цензураны айналып өтуге көмектеседіWireGuard көмегімен бұл қосымша құпиялылық пен өнімділік компьютерлерде де, мобильді құрылғыларда да таңқаларлық қарапайым орнату процесімен бірге келеді.

Қысқаша айтқанда WireGuard

WireGuard - бұл VPN бағдарламалық құралы 3 (L3) деңгейіне бағытталған ашық бастапқы коды Ол тек UDP және әдепкі бойынша заманауи криптографияны пайдаланады.Оның басты артықшылығы - өте аз код жолдары бар минималистік дизайн, ол аудитті жеңілдетеді, шабуылдың бетін азайтады және өнімділікті жақсартады.

Басқа VPN ұсынатын нәрселерден айырмашылығы, мұнда сіз ондаған алгоритмдерді немесе фазаларды таңдамайсыз; WireGuard когерентті криптографиялық «пакетті» анықтайдыАлгоритм ескірген болса, жаңа нұсқа шығарылады және клиенттер/сервер жаңартуды ашық түрде келіседі.

Бұл протокол әрқашан туннель режимінде жұмыс істейді, және Ол IPv4 және IPv6 протоколдарын қолдайды (қажет болған жағдайда бірін екіншісіне инкапсуляциялайды)Оны пайдалану үшін маршрутизаторда серверге UDP портын (конфигурацияланатын) ашу қажет.

Үйлесімділік және қолдау

Брандмауэрлер әлемінде, OPNsense WireGuard-ты ядроға біріктіреді жылдамдықты барынша арттыру үшін. pfSense-тің жағымсыз жақтары болды: ол 2.5.0 нұсқасында пайда болды, қауіпсіздік нәтижелеріне байланысты 2.5.1-де жойылды және Бүгінде оны пакет ретінде орнатуға болады веб-интерфейс арқылы басқарылады.

 

Криптография қолданылады

WireGuard заманауи және жоғары тексерілген алгоритмдер жинағына сүйенеді: Шу протоколының негізі, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash және HKDFДеректерді шифрлау ChaCha20-Poly1305 (AEAD), Curve25519 бойынша ECDH алмасуы және HKDF көмегімен кілт туындысын пайдаланады.

Бұл тәсіл әртүрлі люкстерді және конфигурация қателерін азайтадыОл сонымен қатар ақауларды жоюды жеңілдетеді, өйткені барлық түйіндер бірдей криптографиялық тілде сөйлейді.

Өнімділік және кідіріс

Минималистік іске асыру және төмен деңгейлі интеграция мүмкіндік береді өте жоғары жылдамдықтар және өте төмен кідірісL2TP/IPsec және OpenVPN-мен нақты әлемдегі салыстыруларда WireGuard әдетте бірінші орынға шығады, көбінесе бір жабдықта өткізу қабілетін екі есе арттырады.

Тұрақсыз немесе ұялы желілерде, Сеансты қалпына келтіру жылдам Ал желіні өзгерткеннен кейін қайта қосылу (роуминг) әрең байқалады. Ресурсы шектеулі құрылғыларда (маршрутизаторлар, IoT құрылғылары) оның төмен қуат тұтынуы барлық айырмашылықты жасайды, процессор мен батарея қуатын үнемдейді.

Linux жүйесінде жылдам орнату

Қазіргі дистрибутивтерде WireGuard қазірдің өзінде тұрақты репозиторийлерде қол жетімді. Debian/Ubuntu жүйесінде оны жай ғана орнатыңыз. ресми буманы жаңартып, орнатыңызБасқаларында репозиторийлерді қосу немесе ядро ​​модулін белсендіру қажет болуы мүмкін.

sudo apt update && sudo apt upgrade -y
sudo apt install wireguard -y
sudo modprobe wireguard

«Тұрақтыда» жоқ филиалды пайдалансаңыз, басым бақылаудағы «тұрақсыз/тестілеу» репозиторийлеріне жүгінуге болады, дегенмен Ең дұрысы, оны тұрақты реподан шығару керек. дистрибутив қол жетімді болған кезде.

Негізгі буын

Әрбір құрылғыға (серверге және клиентке) жеке кілт жұбы қажет. Жеке бөлмені жабық ұстаңыз. және тек жалпыға ортақ біреуін құрдасымен бөліседі.

umask 077
wg genkey | tee privatekey | wg pubkey > publickey

Процесті әрбір клиент үшін қайталап, аты бойынша қадағалауға болады. құрдастар арасындағы шатасуды болдырмау орналастыруыңыз өскен сайын.

Сервердің конфигурациясы

Әдеттегі файл /etc/wireguard/wg0.confБұл бөлімде VPN IP мекенжайын, жеке кілтті және UDP портын анықтайсыз. Әрбір бөлімде сіз оның ашық кілті мен рұқсат етілген IP мекенжайларына рұқсат беретін клиентті қосасыз.

Address = 192.168.2.1/24
ListenPort = 51820
PrivateKey = <clave_privada_servidor>
# Ejemplo de NAT automátizado con PostUp/PostDown, si lo necesitas
#PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE


PublicKey = <clave_publica_cliente1>
AllowedIPs = 192.168.2.2/32

# Añade más peers según necesites
#
#PublicKey = <clave_publica_cliente2>
#AllowedIPs = 192.168.2.3/32

Кез келген клиент IP рұқсатын беруді және маршруттарды бөлек басқаруды қаласаңыз, пайдалана аласыз Рұқсат етілгенIPs = 0.0.0.0/0 Бірдей орталарда, бірақ бақыланатын орталарда бақылау мүмкіндігі үшін әрбір клиентке /32 тағайындаған дұрыс.

Клиенттің конфигурациясы

La бөлімі Ол VPN жүйесінде жеке кілтті және оның IP-ін тасымалдайды; сервердің ашық кілті, оның соңғы нүктесі және маршруттау саясаты.

PrivateKey = <clave_privada_cliente>
Address = 192.168.2.2/32
DNS = 1.1.1.1


PublicKey = <clave_publica_servidor>
Endpoint = <IP_publica_servidor>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

El PersistentKeepalive (25) Бұл клиент белсенді емес салыстыруды блоктайтын NAT/брандмауэрлердің артында болса көмектеседі. AllowedIPs барлық трафикті VPN (0.0.0.0/0) немесе тек арнайы ішкі желілер арқылы бағыттауыңызды анықтайды.

NAT, қайта жіберу және брандмауэр

Клиенттерге сервер арқылы интернетке кіруге рұқсат беру үшін сізге қажет IP бағыттауды қосыңыз және WAN интерфейсінде NAT қолданыңыз.

echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
echo "net.ipv6.conf.all.forwarding=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

sudo iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE

Брандмауэр саясаты шектеулі болса, wg0 интерфейсіндегі трафикке мүмкіндік береді және брандмауэр/NAT маршрутизаторында таңдалған UDP портын ашыңыз.

sudo iptables -I INPUT 1 -i wg0 -j ACCEPT

Интерфейсті ашу және қызметті іске қосу кезінде қосу үшін: wg-жылдам және жүйелік Олар оны сізге автопилотқа қалдырады.

sudo wg-quick up wg0
sudo systemctl enable wg-quick@wg0

Роуминг, Kill-Switch және ұтқырлық

WireGuard күнделікті мобильді пайдалануға арналған: Wi-Fi-дан 4G/5G-ге ауыссаңыз, туннель тез арада қалпына келтіріледі.Желілерді ауыстыру кезінде елеулі үзілістерді байқамайсыз.

Сонымен қатар, а өлтіру қосқышы (платформаға немесе қолданбаға байланысты), егер VPN өшірілсе, жүйе трафикті қалпына келтірілгенге дейін блоктайды және кездейсоқ ағып кетуді болдырмайды.

Бөлінген туннельдеу

Бөлінген туннель сізге шешім қабылдауға мүмкіндік береді VPN арқылы қандай трафик жүреді және не тікелей шығады?Төмен кідірісті сақтау үшін пайдалы ойындар немесе бейне қоңыраулар туннель арқылы ішкі ресурстарға қол жеткізу кезінде.

Екі типтік конфигурация мысалы AllowedIPs директивасын пайдаланып клиентте:

# Redirección total por la VPN

PublicKey = <clave_publica_servidor>
AllowedIPs = 0.0.0.0/0
Endpoint = <IP_publica_servidor>:51820

# Solo la LAN remota (por ejemplo, 192.168.1.0/24) a través de la VPN

PublicKey = <clave_publica_servidor>
AllowedIPs = 192.168.1.0/24
Endpoint = <IP_publica_servidor>:51820

Бұл жылдамдық/кідіріс пен әсерді азайтады Сіз тәжірибені оңтайландырасыз шынымен қорғау керек нәрсе үшін.

WireGuard артықшылықтары мен кемшіліктері

• ЖАҚЫНДА: жылдамдық, төмен кідіріс, қарапайымдылық, заманауи криптография, төмендетілген ресурстарды тұтыну және аудитті жеңілдететін шағын кодтық база.
• ҚАРСЫ: Кейбір бұрынғы экожүйелердегі қолдау IPsec/OpenVPN, неғұрлым шектеулі кеңейтілген мүмкіндіктерге (скрипттер мен жергілікті жасырындық) және құпиялылық мәселелеріне қарағанда жетілген емес, себебі ашық кілттер ішкі туннель IP мекенжайларымен байланысты.

Брандмауэр, NAS және QNAP қолдауы

Брандмауэр түріндегі құрылғыларда, OPNsense WireGuard біріктіреді ядроның жеделдетуімен. pfSense жүйесінде тұрақты интеграцияны күту кезінде пакетті орнатуға және оны GUI арқылы ыңғайлы басқаруға болады.

QNAP NAS жүйесінде, QVPN 2 арқылы, L2TP/IPsec, OpenVPN және WireGuard серверлерін орнатуға болады....және OpenVPN-ді AES-GCM көмегімен өзгерткіңіз келсе немесе iperf3 көмегімен өлшегіңіз келсе, Debian-ды виртуализациялаңыз. Қуатты аппараттық құрал (мысалы, Ryzen 7 және 10GbE бар QNAP) және 10GbE клиенті бар сынақтарда, WireGuard өнімділікті екі есе арттырды бір жергілікті ортадағы L2TP/IPsec немесе OpenVPN-ге қарсы.

Ұялы телефондағы WireGuard: күшті және әлсіз жақтары

iOS және Android жүйелерінде ресми қолданба желілер арасында кедергісіз ауысуды жеңілдетеді. Негізгі артықшылығы: Қоғамдық Wi-Fi желісінде қауіпсіз шолу қонақ үйлерден немесе әуежайлардан және провайдеріңізден трафикті жасырыңыз. Сонымен қатар, егер сіз өзіңіздің серверіңізді орнатсаңыз, үйіңізге немесе бизнесіңізге шынымен сонда болғандай қол жеткізе аласыз.

Логикалық ұқсастығы - бұл Біраз кідіріс қосылып, жылдамдық аздап төмендейдіәсіресе барлық трафикті қайта бағыттасаңыз. Дегенмен, WireGuard батареяға ең қолайлы және өнімділікке қолайлы протоколдардың бірі болып табылады. үшін ұсыныстарды да қараңыз Android егер сіздің ісіңіз мобильді болса.

Басқа платформаларда орнатыңыз және пайдаланыңыз

macOS, Windows, Android және iOS жүйелерінде сізде ресми қолданбалар бар; тек сізге қажет .conf файлын импорттаңыз немесе QR кодын сканерлеңіз конфигурация менеджерінен жасалған. Процесс іс жүзінде Linux-пен бірдей.

Егер сіз оны VPS-де орнатқыңыз келсе, жақсы тәжірибелерді есте сақтаңыз: жүйені жаңарту, брандмауэрді қосуМүмкін болса, WireGuard UDP портын рұқсат етілген IP мекенжайларымен шектеңіз және саясатыңыз қажет болғанда кілттерді бұраңыз.

Тексеру және диагностика

Барлығы тәртіпте екенін растау үшін сүйеніңіз wg және wg-жылдамСіз қол алысуды, тасымалданған байтты және соңғы айырбастаудан кейінгі уақыттарды көресіз.

wg
wg show

Қосылым жоқ болса, тексеріңіз: жүйелік маршруттар, NAT, ашық UDP порты Маршрутизаторда және әр теңдес үшін соңғы нүкте мен кілттер дұрыс екенін тексеріңіз. VPN желісіндегі сервердің IP мекенжайына пинг жіберу әдетте бірінші пайдалы сынақ болып табылады.

Қарапайым тәсілмен, заманауи криптографиямен және айтарлықтай өнімділікпен, WireGuard таңдаулы VPN ретінде өз орнын алды Үй пайдаланушылары мен бизнес үшін. Орнату қарапайым, басқару ыңғайлы және оның қолдану ауқымы (қашықтан қол жеткізу, сайттан сайтқа, қауіпсіз ұтқырлық немесе бөлінген туннельдеу) кез келген сценарийге сәйкес келеді. Жақсы қауіпсіздік тәжірибелерін, жақсы реттелген брандмауэрді және негізгі бақылауды қосыңыз, сонда сізде жылдам, тұрақты және бұзу өте қиын туннель болады.