WireGuard je postal enostaven: ustvarite svoj VPN v 15 minutah

Iščete VPN, ki je hiter, varen in vas ne bo frustriral z neskončnimi nastavitvami? WireGuard Je ena najboljših možnosti. Ta sodoben protokol daje prednost preprostosti in najsodobnejši kriptografiji, zaradi česar lahko vsakdo enostavno vzpostavi varen predor.

Poleg tega, da vas ščiti v javnih omrežjih in vam omogoča dostop do domačega ali poslovnega omrežja, VPN pomaga zaobiti geoblokade in cenzuroZ WireGuardom ta dodatna zasebnost in zmogljivost prihajata s presenetljivo preprostim postopkom nastavitve, tako v računalnikih kot v mobilnih napravah.

WireGuard na kratko

WireGuard je vpn-programska oprema odprtokodno usmerjeno na 3. plast (L3), ki Uporablja izključno UDP in privzeto sodobno kriptografijo.Njegova glavna prednost je minimalistična zasnova z zelo malo vrsticami kode, kar olajša revizije, zmanjša površino za napad in izboljša delovanje.

Za razliko od drugih VPN-jev tukaj ne izbirate med številnimi algoritmi ali fazami; WireGuard definira koherenten kriptografski "paket"Če je algoritem zastarel, se izda nova različica in odjemalci/strežniki se o nadgradnji transparentno pogajajo.

Ta protokol vedno deluje v tunelskem načinu in Podpira IPv4 in IPv6 (po potrebi enega v drugega enkapsulira)Če ga želite uporabiti, boste morali na usmerjevalniku odpreti vrata UDP (nastavljiva) za povezavo s strežnikom.

Združljivost in podpora

V svetu požarnih zidov, OPNsense integrira WireGuard v jedro za maksimiranje hitrosti. pfSense je imel svoje vzpone in padce: pojavil se je v različici 2.5.0, bil zaradi varnostnih ugotovitev odstranjen v različici 2.5.1 in Danes ga je mogoče namestiti kot paket upravljano iz spletnega vmesnika.

 

Uporabljena kriptografija

WireGuard se zanaša na nabor sodobnih in visoko preverjenih algoritmov: Okvir protokola za šum, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash in HKDFŠifriranje podatkov uporablja ChaCha20-Poly1305 (AEAD), z izmenjavo ECDH na Curve25519 in izpeljavo ključa s HKDF.

Ta pristop se izogne ​​mešanju različnih paketov in zmanjšuje napake pri konfiguracijiPrav tako poenostavlja odpravljanje težav, saj vsa vozlišča govorijo isti kriptografski jezik.

Zmogljivost in zakasnitev

Minimalistična implementacija in nizkonivojska integracija omogočata zelo visoke hitrosti in zelo nizke latenceV resničnih primerjavah z L2TP/IPsec in OpenVPN se WireGuard običajno izkaže za najboljšega, saj pogosto podvoji prepustnost na isti strojni opremi.

V nestabilnih ali mobilnih omrežjih, Obnovitev seje je hitra In ponovna povezava po spremembah omrežja (gostovanje) je komaj opazna. Na napravah z omejenimi viri (usmerjevalniki, naprave interneta stvari) je njegova nizka poraba energije ključnega pomena, saj prihrani energijo procesorja in baterije.

Hitra namestitev v Linuxu

V sodobnih distribucijah je WireGuard že na voljo v stabilnih repozitorijih. V Debianu/Ubuntuju ga preprosto namestite. posodobite in namestite uradni paketV drugih boste morda morali dodati repozitorije ali aktivirati modul jedra.

sudo apt update && sudo apt upgrade -y
sudo apt install wireguard -y
sudo modprobe wireguard

Če uporabljate vejo, ki je nima v "stabilni" različici, se lahko zatečete k repozitorijem "nestabilna/testna" različica pod nadzorom prioritet, čeprav V idealnem primeru bi ga morali povleči iz stabilnega repozitorija. vaše distribucije, ko bo na voljo.

Generiranje ključev

Vsaka naprava (strežnik in odjemalec) potrebuje svoj par ključev. Zasebno sobo imejte zaklenjeno. in z vrstnikom deli samo javnega.

umask 077
wg genkey | tee privatekey | wg pubkey > publickey

Postopek lahko ponovite za vsako stranko in spremljate po imenu. izogibanje zmedi med vrstniki ko vaša uvedba raste.

Nastavitev strežnika

Tipična datoteka je /etc/wireguard/wg0.confV tem razdelku določite IP-naslov VPN, zasebni ključ in vrata UDP. V vsakem razdelku dodate odjemalca, ki mu dovolite javni ključ in pooblaščene IP-naslove.

Address = 192.168.2.1/24
ListenPort = 51820
PrivateKey = <clave_privada_servidor>
# Ejemplo de NAT automátizado con PostUp/PostDown, si lo necesitas
#PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE


PublicKey = <clave_publica_cliente1>
AllowedIPs = 192.168.2.2/32

# Añade más peers según necesites
#
#PublicKey = <clave_publica_cliente2>
#AllowedIPs = 192.168.2.3/32

Če želite dovoliti kateri koli IP odjemalca in upravljati poti ločeno, lahko uporabite Dovoljeni naslovi IP = 0.0.0.0/0 V vrstniških okoljih, vendar v nadzorovanih okoljih, je za sledljivost bolje dodeliti /32 na odjemalca.

Konfiguracija odjemalca

La odsek V VPN-ju nosi zasebni ključ in svoj IP-naslov; javni ključ strežnika, njegovo končno točko in politiko usmerjanja.

PrivateKey = <clave_privada_cliente>
Address = 192.168.2.2/32
DNS = 1.1.1.1


PublicKey = <clave_publica_servidor>
Endpoint = <IP_publica_servidor>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

El VztrajnoKeepalive (25) To pomaga, če je odjemalec za NAT/požarnimi zidovi, ki blokirajo neaktivne preslikave. AllowedIPs določa, ali usmerjate ves promet prek VPN-ja (0.0.0.0/0) ali samo določena podomrežja.

NAT, posredovanje in požarni zid

Če želite odjemalcem omogočiti dostop do interneta prek strežnika, morate omogoči posredovanje IP-ja in uporabite NAT na vmesniku WAN.

echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
echo "net.ipv6.conf.all.forwarding=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

sudo iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE

Če je vaša politika požarnega zidu omejujoča, dovoljuje promet na vmesniku wg0 in odprite izbrana vrata UDP na požarnem zidu/usmerjevalniku NAT.

sudo iptables -I INPUT 1 -i wg0 -j ACCEPT

Če želite odpreti vmesnik in omogočiti storitev ob zagonu: wg-quick in systemd Pustijo to na avtopilotu namesto tebe.

sudo wg-quick up wg0
sudo systemctl enable wg-quick@wg0

Gostovanje, Kill-Switch in mobilnost

WireGuard je zasnovan za vsakodnevno mobilno uporabo: Če preklopite z Wi-Fi na 4G/5G, se tunel bliskovito ponovno vzpostavi.Pri preklapljanju omrežij ne boste opazili resnih prekinitev.

Poleg tega lahko omogočite stikalo za izklop (odvisno od platforme ali aplikacije), tako da v primeru izpada VPN-ja sistem blokira promet, dokler se ta ne obnovi, s čimer prepreči nenamerno uhajanje podatkov.

Deljeno predorništvo

Razdeljeni tunel vam omogoča, da se odločite Kateri promet potuje skozi VPN in kateri gre neposredno ven?Koristno za ohranjanje nizke latence v igre ali video klici medtem ko dostopajo do notranjih virov skozi tunel.

Dva tipična primera konfiguracije na odjemalcu z uporabo direktive AllowedIPs:

# Redirección total por la VPN

PublicKey = <clave_publica_servidor>
AllowedIPs = 0.0.0.0/0
Endpoint = <IP_publica_servidor>:51820

# Solo la LAN remota (por ejemplo, 192.168.1.0/24) a través de la VPN

PublicKey = <clave_publica_servidor>
AllowedIPs = 192.168.1.0/24
Endpoint = <IP_publica_servidor>:51820

To zmanjša vpliv na hitrost/zakasnitev in Optimizirate izkušnjo za tisto, kar resnično morate zaščititi.

Prednosti in slabosti WireGuarda

• V KORIST: hitrost, nizka latenca, preprostost, sodobna kriptografija, zmanjšana poraba virov in majhna kodna baza, ki olajša revizije.
• PROTI: Podpora v nekaterih starejših ekosistemih je manj zrela kot pri IPsec/OpenVPN, ima bolj omejene napredne funkcije (skripte in izvorno zakrivanje) in upošteva zasebnost, ker so javni ključi povezani z notranjimi IP-naslovi tunelov.

Podpora za požarne zidove, NAS in QNAP

V napravah tipa požarnega zidu, OPNsense integrira WireGuard s pospeševanjem jedra. V pfSense lahko med čakanjem na stabilno integracijo namestite paket in ga priročno upravljate prek grafičnega uporabniškega vmesnika.

Na QNAP NAS, prek QVPN 2, Nastavite lahko strežnike L2TP/IPsec, OpenVPN in WireGuard....in celo virtualizirajte Debian, če želite prilagoditi OpenVPN z AES-GCM ali meriti z iperf3. V testih z zmogljivo strojno opremo (kot je QNAP z Ryzen 7 in 10GbE) in 10GbE odjemalcem, WireGuard je podvojil zmogljivost v primerjavi z L2TP/IPsec ali OpenVPN v istem lokalnem okolju.

WireGuard na mobilnih napravah: prednosti in slabosti

V sistemih iOS in Android uradna aplikacija omogoča enostavno in nemoteno preklapljanje med omrežji. Velika prednost: Varno brskanje po javnem omrežju Wi-Fi iz hotelov ali letališč in skrijete svoj promet pred svojim ponudnikom internetnih storitev. Poleg tega, če nastavite svoj strežnik, lahko dostopate do svojega doma ali podjetja, kot da bi bili dejansko tam.

Logična protiutež je, da Doda se nekaj zakasnitve in hitrost se nekoliko zmanjšaše posebej, če preusmerite ves promet. Vendar pa je WireGuard med protokoli, ki so najbolj prijazni do baterije in zmogljivosti. Glejte tudi priporočila za Android če je vaš kovček mobilen.

Namestitev in uporaba na drugih platformah

V sistemih macOS, Windows, Android in iOS imate uradne aplikacije; vse, kar morate storiti, je uvozite datoteko .conf ali skenirajte kodo QR ustvarjeno iz vašega upravitelja konfiguracije. Postopek je praktično enak kot v Linuxu.

Če ga boste namestili na VPS, ne pozabite na dobre prakse: posodobi sistem, omogoči požarni zidČe je izvedljivo, omejite vrata WireGuard UDP na dovoljene IP-naslove in rotirajte ključe, kadar to zahteva vaša politika.

Preverjanje in diagnoza

Da bi se prepričali, da je vse v redu, se naslonite na wg in wg-hitroVideli boste rokovanja, prenesene bajte in čase od zadnje zamenjave.

wg
wg show

Če ni povezave, preverite: sistemske poti, NAT, odprta vrata UDP na usmerjevalniku in da so končna točka in ključi za vsakega vrstnika pravilni. Ping na IP-naslov strežnika v VPN-ju je običajno prvi uporaben preizkus.

Z enostavnim pristopom, sodobno kriptografijo in opazno zmogljivostjo, WireGuard si je prislužil mesto kot prednostni VPN Za domače uporabnike in podjetja. Namestitev je preprosta, upravljanje priročno, njegova paleta uporab (oddaljeni dostop, povezovanje med lokacijami, varna mobilnost ali deljeno tuneliranje) pa ustreza skoraj vsakemu scenariju. Dodajte dobre varnostne prakse, dobro nastavljen požarni zid in osnovno spremljanje ter imeli boste hiter, stabilen in zelo težko prebojen tunel.