WireGuard gjort enkelt: skapa ditt eget VPN på 15 minuter

Letar du efter ett VPN som är snabbt, säkert och inte frustrerar dig med oändliga inställningar? WireGuard Det är ett av de bästa alternativen. Detta moderna protokoll prioriterar enkelhet och toppmodern kryptografi, vilket gör det enkelt för vem som helst att konfigurera en säker tunnel.

Förutom att skydda dig på offentliga nätverk och ge dig åtkomst till ditt hem- eller företagsnätverk, En VPN hjälper till att kringgå geoblockeringar och censurMed WireGuard får du extra integritet och prestanda tack vare en förvånansvärt enkel installationsprocess, både på datorer och mobila enheter.

WireGuard i ett nötskal

WireGuard är en VPN-programvara öppen källkod orienterad mot lager 3 (L3) som Den använder uteslutande UDP och modern kryptografi som standard.Dess största fördel är en minimalistisk design med väldigt få kodrader, vilket underlättar granskningar, minskar attackytan och förbättrar prestandan.

Till skillnad från vad andra VPN-tjänster erbjuder, väljer du här inte dussintals algoritmer eller faser; WireGuard definierar ett sammanhängande kryptografiskt "paket"Om en algoritm föråldras släpps en ny version och klienter/server förhandlar om uppgraderingen transparent.

Det här protokollet fungerar alltid i tunnelläge, och Den stöder IPv4 och IPv6 (och inkapslar den ena i den andra om det behövs)För att använda den måste du öppna en UDP-port (konfigurerbar) på din router till din server.

Kompatibilitet och support

I brandväggarnas värld, OPNsense integrerar WireGuard i kärnan för att maximera hastigheten. pfSense hade sina för- och nackdelar: det dök upp i version 2.5.0, togs bort i 2.5.1 på grund av säkerhetsbrister, och Idag kan det installeras som ett paket hanteras från webbgränssnittet.

 

Kryptografi som används

WireGuard förlitar sig på en uppsättning moderna och noggrant granskade algoritmer: Brusprotokollramverk, Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash och HKDFDatakryptering använder ChaCha20-Poly1305 (AEAD), med ECDH-utbyte på Curve25519 och nyckelderivering med HKDF.

Denna metod undviker att blanda olika sviter och minskar konfigurationsfelDet förenklar också felsökning, eftersom alla noder talar samma kryptografiska språk.

Prestanda och latens

Minimalistisk implementering och lågnivåintegration möjliggör mycket höga hastigheter och mycket låga latenserI verkliga jämförelser mot L2TP/IPsec och OpenVPN hamnar WireGuard vanligtvis i topp, och fördubblar ofta dataflödet på samma hårdvara.

På instabila eller mobila nätverk, Återställning av sessionen går snabbt Och återanslutning efter nätverksbyten (roaming) är knappt märkbar. På enheter med begränsade resurser (routrar, IoT-enheter) gör dess låga strömförbrukning hela skillnaden, vilket sparar CPU- och batterikraft.

Snabb installation på Linux

I moderna distributioner finns WireGuard redan tillgängligt i stabila repositories. På Debian/Ubuntu installerar du det helt enkelt. uppdatera och installera det officiella paketetI andra kan du behöva lägga till arkiv eller aktivera kärnmodulen.

sudo apt update && sudo apt upgrade -y
sudo apt install wireguard -y
sudo modprobe wireguard

Om du använder en gren som inte har den i "stable", kan du tillgripa "unstable/testing"-repositories under prioritetskontroll, även om Helst bör du hämta den från det stabila repot. av din distribution när den blir tillgänglig.

Nyckelgenerering

Varje enhet (server och klient) behöver sitt eget nyckelpar. Håll det privata rummet låst. och delar endast den offentliga med motparten.

umask 077
wg genkey | tee privatekey | wg pubkey > publickey

Du kan upprepa processen för varje klient och hålla koll på dem efter namn. undvika förvirring mellan jämnåriga allt eftersom din implementering växer.

Serverkonfiguration

Den typiska filen är /etc/wireguard/wg0.confI det här avsnittet definierar du VPN:s IP-adress, privata nyckel och UDP-port. I varje avsnitt lägger du till en klient och tillåter dess publika nyckel och auktoriserade IP-adresser.

Address = 192.168.2.1/24
ListenPort = 51820
PrivateKey = <clave_privada_servidor>
# Ejemplo de NAT automátizado con PostUp/PostDown, si lo necesitas
#PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE


PublicKey = <clave_publica_cliente1>
AllowedIPs = 192.168.2.2/32

# Añade más peers según necesites
#
#PublicKey = <clave_publica_cliente2>
#AllowedIPs = 192.168.2.3/32

Om du föredrar att tillåta valfri klient-IP och hantera rutter separat kan du använda TillåtnaIPs = 0.0.0.0/0 I peer-miljöer, men i kontrollerade miljöer är det bättre att tilldela /32 per klient för spårbarhet.

Klientkonfiguration

La avsnitt Den bär den privata nyckeln och dess IP-adress i VPN:et; serverns publika nyckel, dess slutpunkt och routingpolicyn.

PrivateKey = <clave_privada_cliente>
Address = 192.168.2.2/32
DNS = 1.1.1.1


PublicKey = <clave_publica_servidor>
Endpoint = <IP_publica_servidor>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

El PersistentKeepalive (25) Detta är bra om klienten befinner sig bakom NAT/brandväggar som blockerar inaktiva mappningar. AllowedIPs definierar om du dirigerar all trafik via VPN (0.0.0.0/0) eller bara specifika subnät.

NAT, vidarebefordran och brandvägg

För att klienter ska kunna ansluta till internet via servern måste du aktivera IP-vidarebefordran och tillämpa NAT på WAN-gränssnittet.

echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
echo "net.ipv6.conf.all.forwarding=1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

sudo iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE

Om din brandväggspolicy är restriktiv, tillåter trafik på wg0-gränssnittet och öppna den valda UDP-porten på brandväggen/NAT-routern.

sudo iptables -I INPUT 1 -i wg0 -j ACCEPT

För att öppna gränssnittet och aktivera tjänsten vid start: wg-quick och systemd De låter det gå på autopilot åt ​​dig.

sudo wg-quick up wg0
sudo systemctl enable wg-quick@wg0

Roaming, kill-switch och mobilitet

WireGuard är utformad för daglig mobil användning: Om du byter från Wi-Fi till 4G/5G återställs tunneln blixtsnabbt.Du kommer inte att märka några allvarliga avbrott när du byter nätverk.

Dessutom kan du aktivera en avbrytare (beroende på plattform eller app) så att systemet blockerar trafiken tills den återställs om VPN-tjänsten går ner, vilket förhindrar oavsiktliga läckor.

Split-tunneling

Den delade tunneln låter dig bestämma Vilken trafik går genom VPN:et och vilken går direkt ut?Användbart för att bibehålla låg latens i spel eller videosamtal samtidigt som man får tillgång till interna resurser genom tunneln.

Två typiska konfigurationsexempel på klienten, med hjälp av AllowedIPs-direktivet:

# Redirección total por la VPN

PublicKey = <clave_publica_servidor>
AllowedIPs = 0.0.0.0/0
Endpoint = <IP_publica_servidor>:51820

# Solo la LAN remota (por ejemplo, 192.168.1.0/24) a través de la VPN

PublicKey = <clave_publica_servidor>
AllowedIPs = 192.168.1.0/24
Endpoint = <IP_publica_servidor>:51820

Detta minskar påverkan på hastighet/latens och Du optimerar upplevelsen för det du verkligen behöver skydda.

Fördelar och nackdelar med WireGuard

• FÖRhastighet, låg latens, enkelhet, modern kryptografi, minskad resursförbrukning och en liten kodbas som underlättar granskningar.
• MOT: Stödet i vissa äldre ekosystem är mindre moget än IPsec/OpenVPN, mer begränsade avancerade funktioner (skript och inbyggd obfuskation) och sekretessöverväganden eftersom publika nycklar är associerade med interna tunnel-IP-adresser.

Stöd för brandväggar, NAS och QNAP

I brandväggsliknande apparater, OPNsense integrerar WireGuard med kärnacceleration. I pfSense kan du, medan du väntar på stabil integration, installera paketet och hantera det bekvämt från det grafiska gränssnittet.

På QNAP NAS, via QVPN 2, Du kan konfigurera L2TP/IPsec-, OpenVPN- och WireGuard-servrar....och till och med virtualisera Debian om du vill justera OpenVPN med AES-GCM eller mäta med iperf3. I tester med kraftfull hårdvara (som en QNAP med Ryzen 7 och 10GbE) och en 10GbE-klient, WireGuard fördubblade prestandan kontra L2TP/IPsec eller OpenVPN i samma lokala miljö.

WireGuard på mobilen: styrkor och svagheter

På iOS och Android gör den officiella appen det enkelt att växla mellan nätverk sömlöst. En stor fördel: Säker surfning på offentligt Wi-Fi från hotell eller flygplatser och dölj din trafik från din internetleverantör. Dessutom, om du konfigurerar din egen server, kan du komma åt ditt hem eller företag som om du faktiskt vore där.

Den logiska motsvarigheten är att Viss latens läggs till och hastigheten sjunker någotsärskilt om du omdirigerar all trafik. WireGuard är dock bland de mest batterivänliga och prestandavänliga protokollen. Se även rekommendationer för Android om ditt ärende är mobilt.

Installera och använd på andra plattformar

På macOS, Windows, Android och iOS finns det officiella appar; allt du behöver göra är att importera .conf-filen eller skanna en QR-kod genereras från din konfigurationshanterare. Processen är praktiskt taget identisk med den i Linux.

Om du ska konfigurera det på en VPS, kom ihåg god praxis: uppdatera systemet, aktivera brandväggenBegränsa WireGuard UDP-porten till tillåtna IP-adresser om möjligt och rotera nycklar när det krävs enligt din policy.

Verifiering och diagnos

För att bekräfta att allt är i sin ordning, luta dig mot wg och wg-quickDu kommer att se handskakningar, överförda byte och tider sedan det senaste växlingspasset.

wg
wg show

Om det inte finns någon anslutning, kontrollera: systemrutter, NAT, öppen UDP-port på routern och att slutpunkten och nycklarna för varje peer är korrekta. En ping till serverns IP-adress på VPN:et är vanligtvis det första användbara testet.

Med en enkel metod, modern kryptografi och märkbar prestanda, WireGuard har förtjänat sin plats som den föredragna VPN-tjänsten För hemanvändare och företag. Installationen är enkel, hanteringen är bekväm och dess användningsområden (fjärråtkomst, site-to-site, säker mobilitet eller split-tunneling) passar nästan alla scenarier. Lägg till goda säkerhetsrutiner, en välinställd brandvägg och grundläggande övervakning, så får du en snabb, stabil och mycket svåröppnad tunnel.