add wireguard
parent
0a6b63b4e6
commit
30b593fcf5
|
|
@ -0,0 +1,261 @@
|
|||
# Wireguard
|
||||
|
||||
## Сервер
|
||||
|
||||
_Debian 11_
|
||||
|
||||
Установить пакет wireguard
|
||||
|
||||
```bash
|
||||
apt install wireguard
|
||||
```
|
||||
|
||||
Включить IPv4 маршрутизацию (раскомментировать строку)
|
||||
|
||||
```bash
|
||||
sed -i 's/#net.ipv4.ip_forward=1/net.ipv4.ip_forward=1/' /etc/sysctl.conf
|
||||
```
|
||||
|
||||
Проверить, что изменения внесены
|
||||
|
||||
```bash
|
||||
sysctl -p
|
||||
```
|
||||
|
||||
Для повышения безопасности изменить права на создаваемые файлы в директории `/etc/wireguard` на 600 (rw- --- ---)
|
||||
|
||||
```bash
|
||||
umask 077 /etc/wireguard
|
||||
```
|
||||
|
||||
Сгенерировать закрытый и публичный ключи
|
||||
|
||||
```bash
|
||||
wg genkey | tee /etc/wireguard/privatekey
|
||||
|
||||
cat /etc/wireguard/privatekey | wg pubkey | tee /etc/wireguard/publickey
|
||||
```
|
||||
|
||||
Создать конфигурационный файл сервера
|
||||
|
||||
```bash
|
||||
vim /etc/wireguard/wg0.conf
|
||||
```
|
||||
|
||||
**ВАЖНО обратить внимание на название сетевого интерфейса в правилах iptables**</br>
|
||||
**здесь указан сетевой интерфейс ens3**
|
||||
|
||||
```
|
||||
[Interface]
|
||||
# скопировать сгенерированный закрытый ключ
|
||||
PrivateKey = SERVER PRIVATE KEY
|
||||
|
||||
# назначить IP адрес VPN
|
||||
Address = 10.10.10.1/24
|
||||
|
||||
# сохранить конфигурацию
|
||||
SaveConfig = true
|
||||
|
||||
# вкл./откл. подмену IP для VPN
|
||||
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
|
||||
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADE
|
||||
|
||||
# назначить порт для VPN (по-умолчанию: 51820)
|
||||
ListenPort = 34567
|
||||
```
|
||||
|
||||
## Клиент
|
||||
|
||||
_Fedora 35_
|
||||
|
||||
Установить пакет wireguard
|
||||
|
||||
```bash
|
||||
dnf -y install wireguard
|
||||
```
|
||||
|
||||
Для повышения безопасности изменить права на создаваемые файлы в директории `/etc/wireguard` на 600 (rw- --- ---)
|
||||
|
||||
```bash
|
||||
umask 077 /etc/wireguard
|
||||
```
|
||||
|
||||
Сгенерировать закрытый и публичный ключи
|
||||
|
||||
```bash
|
||||
wg genkey | tee /etc/wireguard/privatekey
|
||||
|
||||
cat /etc/wireguard/privatekey | wg pubkey | tee /etc/wireguard/publickey
|
||||
```
|
||||
|
||||
Создать конфигурационный файл клиента
|
||||
|
||||
```bash
|
||||
vim /etc/wireguard/wg-client-01.conf
|
||||
```
|
||||
|
||||
```
|
||||
[Interface]
|
||||
# скопировать сгенерированный закрытый ключ
|
||||
PrivateKey = CLIENT PRIVATE KEY
|
||||
|
||||
# назначить IP адрес VPN клиента
|
||||
Address = 10.10.10.2/32
|
||||
|
||||
[Peer]
|
||||
# публичный ключ сервера
|
||||
PublicKey = SERVER PUBLIC KEY
|
||||
|
||||
# внешний IP-адрес:порт сервера
|
||||
Endpoint = 51.83.180.248:34567
|
||||
|
||||
# Сети, которые необходимо маршрутизировать в VPN
|
||||
# в данном случае весь трафик
|
||||
AllowedIPs = 0.0.0.0/0
|
||||
```
|
||||
|
||||
## Регистрация клиента на сервере
|
||||
|
||||
### Способ 1
|
||||
|
||||
_этот способ стоит использовать в выключенном VPN интерфейсе_
|
||||
|
||||
Добавить в конфигурацию сервера раздел с данными клиента
|
||||
|
||||
```bash
|
||||
vim /etc/wireguard/wg0.conf
|
||||
```
|
||||
|
||||
```
|
||||
[Peer]
|
||||
# Название клиента (для себя, чтобы понять, что это за клиент)
|
||||
|
||||
# публичный ключ клиента
|
||||
PublicKey = 2AurHow1SuDVb4tZWhCBfrjnVQ6SU0y43i2nD/dweV8=
|
||||
|
||||
# IP-адрес, который назначается клиенту в сети VPN
|
||||
AllowedIPs = 10.10.10.2/32
|
||||
```
|
||||
|
||||
После добавления всех клиентов, можно запускать сервер
|
||||
|
||||
```bash
|
||||
wg-quick up wg0
|
||||
```
|
||||
|
||||
Проверить подключенных клиентов можно командой `wg`
|
||||
|
||||
```bash
|
||||
root@server:~$ wg
|
||||
interface: wg0
|
||||
public key: kAB3+ToYz623wttZXdWm2QGsjyGdTzXqg8jgNiyMlCc=
|
||||
private key: (hidden)
|
||||
listening port: 34567
|
||||
|
||||
peer: Ut2vPI67f+nuCv5bI4nod+BMMn5qgroJfoI/XjUtthE=
|
||||
endpoint: 109.173.124.76:54878
|
||||
allowed ips: 10.10.10.2/32
|
||||
latest handshake: 17 seconds ago
|
||||
transfer: 18.68 MiB received, 312.21 MiB sent
|
||||
```
|
||||
|
||||
### Способ 2
|
||||
|
||||
_этот способ стоит использовать при включённом VPN интерфейсе_
|
||||
|
||||
На сервере ввести команду
|
||||
|
||||
_общий вид_
|
||||
|
||||
```bash
|
||||
wg set <wireguard-interface> peer <client-publickey> allowed-ips <client-vpn-ip/mask>
|
||||
```
|
||||
|
||||
Пример
|
||||
|
||||
```bash
|
||||
wg set wg0 peer 2AurHow1SuDVb4tZWhCBfrjnVQ6SU0y43i2nD/dweV8= allowed-ips 10.10.10.2/32
|
||||
```
|
||||
|
||||
После регистрации клиента на сервере можно запустить wireguard на клиенте
|
||||
|
||||
```bash
|
||||
wg-quick up wg-client-01
|
||||
```
|
||||
|
||||
## Клиент Android
|
||||
|
||||
В качестве клиента используется официальное приложение - [WireGuard](https://play.google.com/store/apps/details?id=com.wireguard.android&gl=PL).
|
||||
|
||||
Принцип настройки ничем не отличается от настройки предыдущего клиента, также необходимо сгенерировать закрытый и публичный ключ и создать конфигурацию.
|
||||
|
||||
Для удобства эти шаги можно выполнить на сервере
|
||||
|
||||
Создать соответствующую директорию
|
||||
|
||||
```bash
|
||||
mkdir /etc/wireguard/mobile-s10e
|
||||
cd /etc/wireguard/mobile-s10e
|
||||
```
|
||||
|
||||
Сгенерировать закрытый и публичный ключи
|
||||
|
||||
```bash
|
||||
wg genkey | tee /etc/wireguard/mobile-s10e/privatekey
|
||||
|
||||
cat /etc/wireguard/mobile-s10e/privatekey | wg pubkey | tee /etc/wireguard/mobile-s10e/publickey
|
||||
```
|
||||
|
||||
Создать конфигурационный файл клиента
|
||||
|
||||
```bash
|
||||
vim /etc/wireguard/mobile-s10e/wg-client-mobile.conf
|
||||
```
|
||||
|
||||
```
|
||||
[Interface]
|
||||
# скопировать сгенерированный закрытый ключ
|
||||
PrivateKey = CLIENT PRIVATE KEY
|
||||
|
||||
# назначить IP адрес VPN клиента
|
||||
Address = 10.10.10.3/32
|
||||
|
||||
[Peer]
|
||||
# публичный ключ сервера
|
||||
PublicKey = SERVER PUBLIC KEY
|
||||
|
||||
# внешний IP-адрес:порт сервера
|
||||
Endpoint = 51.83.180.248:34567
|
||||
|
||||
# Сети, которые необходимо маршрутизировать в VPN
|
||||
# в данном случае весь трафик
|
||||
AllowedIPs = 0.0.0.0/0
|
||||
```
|
||||
|
||||
Добавить конфигурацию клиента на сервер
|
||||
|
||||
```bash
|
||||
wg set wg0 peer <CLIENT-PUBLIC-KEY> allowed-ips 10.10.10.3/32
|
||||
```
|
||||
|
||||
Для удобства переноса конфигурации на телефон, на сервер необходимо установить приложение генератор QR кодов
|
||||
|
||||
```bash
|
||||
apt install qrencode
|
||||
```
|
||||
|
||||
Перенос конфигурации на телефон
|
||||
|
||||
На сервере ввести команду генерирующую QR код на основе конфигурации, которую подготовили ранее для телефона
|
||||
|
||||
```bash
|
||||
qrencode -t ansiutf8 < /etc/wireguard/mobile-s10e/wg-client-mobile.conf
|
||||
```
|
||||
|
||||
На экране отобразится QR код, который необходимо импортировать через приложение WireGuard на телефоне
|
||||
|
||||
## Автозагрузка сервера Wireguard
|
||||
|
||||
```bash
|
||||
systemctl enable wg-quick@wg0
|
||||
```
|
||||
Loading…
Reference in New Issue