add wireguard
parent
0a6b63b4e6
commit
30b593fcf5
|
|
@ -0,0 +1,261 @@
|
||||||
|
# Wireguard
|
||||||
|
|
||||||
|
## Сервер
|
||||||
|
|
||||||
|
_Debian 11_
|
||||||
|
|
||||||
|
Установить пакет wireguard
|
||||||
|
|
||||||
|
```bash
|
||||||
|
apt install wireguard
|
||||||
|
```
|
||||||
|
|
||||||
|
Включить IPv4 маршрутизацию (раскомментировать строку)
|
||||||
|
|
||||||
|
```bash
|
||||||
|
sed -i 's/#net.ipv4.ip_forward=1/net.ipv4.ip_forward=1/' /etc/sysctl.conf
|
||||||
|
```
|
||||||
|
|
||||||
|
Проверить, что изменения внесены
|
||||||
|
|
||||||
|
```bash
|
||||||
|
sysctl -p
|
||||||
|
```
|
||||||
|
|
||||||
|
Для повышения безопасности изменить права на создаваемые файлы в директории `/etc/wireguard` на 600 (rw- --- ---)
|
||||||
|
|
||||||
|
```bash
|
||||||
|
umask 077 /etc/wireguard
|
||||||
|
```
|
||||||
|
|
||||||
|
Сгенерировать закрытый и публичный ключи
|
||||||
|
|
||||||
|
```bash
|
||||||
|
wg genkey | tee /etc/wireguard/privatekey
|
||||||
|
|
||||||
|
cat /etc/wireguard/privatekey | wg pubkey | tee /etc/wireguard/publickey
|
||||||
|
```
|
||||||
|
|
||||||
|
Создать конфигурационный файл сервера
|
||||||
|
|
||||||
|
```bash
|
||||||
|
vim /etc/wireguard/wg0.conf
|
||||||
|
```
|
||||||
|
|
||||||
|
**ВАЖНО обратить внимание на название сетевого интерфейса в правилах iptables**</br>
|
||||||
|
**здесь указан сетевой интерфейс ens3**
|
||||||
|
|
||||||
|
```
|
||||||
|
[Interface]
|
||||||
|
# скопировать сгенерированный закрытый ключ
|
||||||
|
PrivateKey = SERVER PRIVATE KEY
|
||||||
|
|
||||||
|
# назначить IP адрес VPN
|
||||||
|
Address = 10.10.10.1/24
|
||||||
|
|
||||||
|
# сохранить конфигурацию
|
||||||
|
SaveConfig = true
|
||||||
|
|
||||||
|
# вкл./откл. подмену IP для VPN
|
||||||
|
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
|
||||||
|
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADE
|
||||||
|
|
||||||
|
# назначить порт для VPN (по-умолчанию: 51820)
|
||||||
|
ListenPort = 34567
|
||||||
|
```
|
||||||
|
|
||||||
|
## Клиент
|
||||||
|
|
||||||
|
_Fedora 35_
|
||||||
|
|
||||||
|
Установить пакет wireguard
|
||||||
|
|
||||||
|
```bash
|
||||||
|
dnf -y install wireguard
|
||||||
|
```
|
||||||
|
|
||||||
|
Для повышения безопасности изменить права на создаваемые файлы в директории `/etc/wireguard` на 600 (rw- --- ---)
|
||||||
|
|
||||||
|
```bash
|
||||||
|
umask 077 /etc/wireguard
|
||||||
|
```
|
||||||
|
|
||||||
|
Сгенерировать закрытый и публичный ключи
|
||||||
|
|
||||||
|
```bash
|
||||||
|
wg genkey | tee /etc/wireguard/privatekey
|
||||||
|
|
||||||
|
cat /etc/wireguard/privatekey | wg pubkey | tee /etc/wireguard/publickey
|
||||||
|
```
|
||||||
|
|
||||||
|
Создать конфигурационный файл клиента
|
||||||
|
|
||||||
|
```bash
|
||||||
|
vim /etc/wireguard/wg-client-01.conf
|
||||||
|
```
|
||||||
|
|
||||||
|
```
|
||||||
|
[Interface]
|
||||||
|
# скопировать сгенерированный закрытый ключ
|
||||||
|
PrivateKey = CLIENT PRIVATE KEY
|
||||||
|
|
||||||
|
# назначить IP адрес VPN клиента
|
||||||
|
Address = 10.10.10.2/32
|
||||||
|
|
||||||
|
[Peer]
|
||||||
|
# публичный ключ сервера
|
||||||
|
PublicKey = SERVER PUBLIC KEY
|
||||||
|
|
||||||
|
# внешний IP-адрес:порт сервера
|
||||||
|
Endpoint = 51.83.180.248:34567
|
||||||
|
|
||||||
|
# Сети, которые необходимо маршрутизировать в VPN
|
||||||
|
# в данном случае весь трафик
|
||||||
|
AllowedIPs = 0.0.0.0/0
|
||||||
|
```
|
||||||
|
|
||||||
|
## Регистрация клиента на сервере
|
||||||
|
|
||||||
|
### Способ 1
|
||||||
|
|
||||||
|
_этот способ стоит использовать в выключенном VPN интерфейсе_
|
||||||
|
|
||||||
|
Добавить в конфигурацию сервера раздел с данными клиента
|
||||||
|
|
||||||
|
```bash
|
||||||
|
vim /etc/wireguard/wg0.conf
|
||||||
|
```
|
||||||
|
|
||||||
|
```
|
||||||
|
[Peer]
|
||||||
|
# Название клиента (для себя, чтобы понять, что это за клиент)
|
||||||
|
|
||||||
|
# публичный ключ клиента
|
||||||
|
PublicKey = 2AurHow1SuDVb4tZWhCBfrjnVQ6SU0y43i2nD/dweV8=
|
||||||
|
|
||||||
|
# IP-адрес, который назначается клиенту в сети VPN
|
||||||
|
AllowedIPs = 10.10.10.2/32
|
||||||
|
```
|
||||||
|
|
||||||
|
После добавления всех клиентов, можно запускать сервер
|
||||||
|
|
||||||
|
```bash
|
||||||
|
wg-quick up wg0
|
||||||
|
```
|
||||||
|
|
||||||
|
Проверить подключенных клиентов можно командой `wg`
|
||||||
|
|
||||||
|
```bash
|
||||||
|
root@server:~$ wg
|
||||||
|
interface: wg0
|
||||||
|
public key: kAB3+ToYz623wttZXdWm2QGsjyGdTzXqg8jgNiyMlCc=
|
||||||
|
private key: (hidden)
|
||||||
|
listening port: 34567
|
||||||
|
|
||||||
|
peer: Ut2vPI67f+nuCv5bI4nod+BMMn5qgroJfoI/XjUtthE=
|
||||||
|
endpoint: 109.173.124.76:54878
|
||||||
|
allowed ips: 10.10.10.2/32
|
||||||
|
latest handshake: 17 seconds ago
|
||||||
|
transfer: 18.68 MiB received, 312.21 MiB sent
|
||||||
|
```
|
||||||
|
|
||||||
|
### Способ 2
|
||||||
|
|
||||||
|
_этот способ стоит использовать при включённом VPN интерфейсе_
|
||||||
|
|
||||||
|
На сервере ввести команду
|
||||||
|
|
||||||
|
_общий вид_
|
||||||
|
|
||||||
|
```bash
|
||||||
|
wg set <wireguard-interface> peer <client-publickey> allowed-ips <client-vpn-ip/mask>
|
||||||
|
```
|
||||||
|
|
||||||
|
Пример
|
||||||
|
|
||||||
|
```bash
|
||||||
|
wg set wg0 peer 2AurHow1SuDVb4tZWhCBfrjnVQ6SU0y43i2nD/dweV8= allowed-ips 10.10.10.2/32
|
||||||
|
```
|
||||||
|
|
||||||
|
После регистрации клиента на сервере можно запустить wireguard на клиенте
|
||||||
|
|
||||||
|
```bash
|
||||||
|
wg-quick up wg-client-01
|
||||||
|
```
|
||||||
|
|
||||||
|
## Клиент Android
|
||||||
|
|
||||||
|
В качестве клиента используется официальное приложение - [WireGuard](https://play.google.com/store/apps/details?id=com.wireguard.android&gl=PL).
|
||||||
|
|
||||||
|
Принцип настройки ничем не отличается от настройки предыдущего клиента, также необходимо сгенерировать закрытый и публичный ключ и создать конфигурацию.
|
||||||
|
|
||||||
|
Для удобства эти шаги можно выполнить на сервере
|
||||||
|
|
||||||
|
Создать соответствующую директорию
|
||||||
|
|
||||||
|
```bash
|
||||||
|
mkdir /etc/wireguard/mobile-s10e
|
||||||
|
cd /etc/wireguard/mobile-s10e
|
||||||
|
```
|
||||||
|
|
||||||
|
Сгенерировать закрытый и публичный ключи
|
||||||
|
|
||||||
|
```bash
|
||||||
|
wg genkey | tee /etc/wireguard/mobile-s10e/privatekey
|
||||||
|
|
||||||
|
cat /etc/wireguard/mobile-s10e/privatekey | wg pubkey | tee /etc/wireguard/mobile-s10e/publickey
|
||||||
|
```
|
||||||
|
|
||||||
|
Создать конфигурационный файл клиента
|
||||||
|
|
||||||
|
```bash
|
||||||
|
vim /etc/wireguard/mobile-s10e/wg-client-mobile.conf
|
||||||
|
```
|
||||||
|
|
||||||
|
```
|
||||||
|
[Interface]
|
||||||
|
# скопировать сгенерированный закрытый ключ
|
||||||
|
PrivateKey = CLIENT PRIVATE KEY
|
||||||
|
|
||||||
|
# назначить IP адрес VPN клиента
|
||||||
|
Address = 10.10.10.3/32
|
||||||
|
|
||||||
|
[Peer]
|
||||||
|
# публичный ключ сервера
|
||||||
|
PublicKey = SERVER PUBLIC KEY
|
||||||
|
|
||||||
|
# внешний IP-адрес:порт сервера
|
||||||
|
Endpoint = 51.83.180.248:34567
|
||||||
|
|
||||||
|
# Сети, которые необходимо маршрутизировать в VPN
|
||||||
|
# в данном случае весь трафик
|
||||||
|
AllowedIPs = 0.0.0.0/0
|
||||||
|
```
|
||||||
|
|
||||||
|
Добавить конфигурацию клиента на сервер
|
||||||
|
|
||||||
|
```bash
|
||||||
|
wg set wg0 peer <CLIENT-PUBLIC-KEY> allowed-ips 10.10.10.3/32
|
||||||
|
```
|
||||||
|
|
||||||
|
Для удобства переноса конфигурации на телефон, на сервер необходимо установить приложение генератор QR кодов
|
||||||
|
|
||||||
|
```bash
|
||||||
|
apt install qrencode
|
||||||
|
```
|
||||||
|
|
||||||
|
Перенос конфигурации на телефон
|
||||||
|
|
||||||
|
На сервере ввести команду генерирующую QR код на основе конфигурации, которую подготовили ранее для телефона
|
||||||
|
|
||||||
|
```bash
|
||||||
|
qrencode -t ansiutf8 < /etc/wireguard/mobile-s10e/wg-client-mobile.conf
|
||||||
|
```
|
||||||
|
|
||||||
|
На экране отобразится QR код, который необходимо импортировать через приложение WireGuard на телефоне
|
||||||
|
|
||||||
|
## Автозагрузка сервера Wireguard
|
||||||
|
|
||||||
|
```bash
|
||||||
|
systemctl enable wg-quick@wg0
|
||||||
|
```
|
||||||
Loading…
Reference in New Issue