GNU/Linux >> Znalost Linux >  >> Ubuntu

Jak nastavit WireGuard VPN na Ubuntu 18.04

WireGuard je moderní technologie VPN (Virtual Private Network) s nejmodernější kryptografií. Ve srovnání s jinými podobnými řešeními, jako jsou IPsec a OpenVPN, je WireGuard rychlejší, snadněji konfigurovatelný a výkonnější. Je to multiplatformní a může běžet téměř kdekoli, včetně Linuxu, Windows, Androidu a macOS. Wireguard je peer-to-peer VPN; nepoužívá model klient-server. V závislosti na své konfiguraci může peer fungovat jako tradiční server nebo klient.

WireGuardworks vytvořením síťového rozhraní na každém peer zařízení, které funguje jako tunel. Peers se navzájem ověřují výměnou a ověřováním veřejných klíčů, napodobováním modelu SSH. Veřejné klíče jsou mapovány se seznamem IP adres, které jsou povoleny v tunelu. Provoz VPN je zapouzdřen v UDP.

V tomto tutoriálu nastavíme WireGuard na počítači Ubuntu 18.04, který bude fungovat jako server VPN. Ukážeme vám také, jak nakonfigurovat WireGuard jako klienta. Provoz klienta bude směrován přes server Ubuntu 18.04.

Toto nastavení lze použít jako ochranu proti útokům Man in the Middle, anonymnímu surfování na webu, obcházení geograficky omezeného obsahu nebo umožnění vašim spolupracovníkům bezpečně se připojit k firemní síti při práci na dálku.

Předpoklady #

Budete potřebovat server Ubuntu 18.04, ke kterému budete mít přístup jako root nebo účet s právy sudo.

Nastavení serveru WireGuard #

V této části nainstalujeme WireGuard na počítač Ubuntu a nastavíme jej tak, aby fungoval jako server. Nakonfigurujeme také systém tak, aby přes něj směroval provoz klientů.

Instalace WireGuard na Ubuntu 18.04 #

WireGuard je součástí výchozích úložišť Ubuntu. Chcete-li jej nainstalovat, spusťte následující příkazy:

sudo apt updatesudo apt install wireguard

WireGuard běží jako modul jádra, který je zkompilován jako modul DKMS. Po úspěchu uvidíte následující výstup:

wireguard:
Running module version sanity check.
 - Original module
   - No original module exists within this kernel
 - Installation
   - Installing to /lib/modules/4.15.0-88-generic/updates/dkms/

depmod...

DKMS: install completed.

Když aktualizujete jádro, modul WireGuard bude zkompilován proti novému jádru.

Konfigurace WireGuard #

WireGuard se dodává se dvěma nástroji příkazového řádku s názvem wg a wg-quick které vám umožní konfigurovat a spravovat rozhraní WireGuard.

Spuštěním následujícího příkazu vygenerujte veřejný a soukromý klíč:

wg genkey | sudo tee /etc/wireguard/privatekey | wg pubkey | sudo tee /etc/wireguard/publickey

Soubory budou vygenerovány v /etc/wireguard adresář. Soubory můžete zobrazit pomocí cat nebo less . Soukromý klíč by nikdy neměl být s nikým sdílen.

Nyní, když jsou vygenerovány klíče, budeme muset nakonfigurovat tunelové zařízení, které bude směrovat provoz VPN.

Zařízení lze nastavit buď z příkazového řádku pomocí ip a wg nebo vytvořením konfiguračního souboru pomocí textového editoru.

Vytvořte nový soubor s názvem wg0.conf a přidejte následující obsah:

sudo nano /etc/wireguard/wg0.conf
/etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.1/24
SaveConfig = true
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADE

Rozhraní lze pojmenovat jakkoli, ale doporučuje se použít něco jako wg0 nebo wgvpn0 . Nastavení v sekci rozhraní mají následující význam:

  • Adresa – čárkami oddělený seznam IP adres v4 nebo v6 pro wg0 rozhraní. Použijte adresy IP z rozsahu, který je vyhrazen pro privátní sítě (10.0.0.0/8, 172.16.0.0/12 nebo 192.168.0.0/16).

  • ListenPort – port, na kterém bude WireGuard přijímat příchozí připojení.

  • PrivateKey – soukromý klíč generovaný wg genkey příkaz. (Chcete-li zobrazit obsah spouštěného souboru:sudo cat /etc/wireguard/privatekey )

  • SaveConfig – při nastavení na hodnotu true se aktuální stav rozhraní při vypnutí uloží do konfiguračního souboru.

  • PostUp - příkaz nebo skript, který se provede před spuštěním rozhraní. V tomto příkladu používáme iptables k povolení maskování. To umožní provozu opustit server a klientům VPN poskytne přístup k Internetu.

    Nezapomeňte nahradit ens3 po -A POSTROUTING aby odpovídal názvu vašeho veřejného síťového rozhraní. Rozhraní můžete snadno najít spuštěním následujícího příkazu:

    ip -o -4 route show to default | awk '{print $5}'

  • PostDown - příkaz nebo skript, který se provede před spuštěním rozhraní. Pravidla iptables budou odstraněna, jakmile bude rozhraní vypnuto.

Soubor wg0.conf a privatekey soubory by neměly být čitelné pro normální uživatele. Použijte chmod nastavte oprávnění na 600 :

sudo chmod 600 /etc/wireguard/{privatekey,wg0.conf}

Po dokončení přineste wg0 rozhraní pomocí atributů uvedených v konfiguračním souboru:

sudo wg-quick up wg0

Příkaz vytvoří výstup podobný následujícímu:

[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
[#] ip -4 address add 10.0.0.1/24 dev wg0
[#] ip link set mtu 1420 up dev wg0
[#] iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE

Spusťte wg show wg0 pro kontrolu stavu a konfigurace rozhraní:

sudo wg show wg0
interface: wg0
  public key: r3imyh3MCYggaZACmkx+CxlD6uAmICI8pe/PGq8+qCg=
  private key: (hidden)
  listening port: 51820

Můžete také spustit ip a show wg0 pro ověření stavu rozhraní:

ip a show wg0
4: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
    link/none 
    inet 10.0.0.1/24 scope global wg0
       valid_lft forever preferred_lft forever

Chcete-li přenést rozhraní WireGuard při spouštění, spusťte následující příkaz:

sudo systemctl enable wg-quick@wg0

Konfigurace sítě serveru a brány firewall #

Aby NAT fungoval, musíme povolit přesměrování IP. Otevřete /etc/sysctl.conf soubor a přidejte nebo odkomentujte následující řádek:

sudo nano /etc/sysctl.conf
/etc/sysctl.conf
net.ipv4.ip_forward=1

Uložte soubor a použijte změnu:

sudo sysctl -p
net.ipv4.ip_forward = 1

Pokud ke správě firewallu používáte UFW, musíte otevřít UDP provoz na portu 51820 :

sudo ufw allow 51820/udp

A je to. Byl nastaven partner Ubuntu, který bude fungovat jako server.

Nastavení klientů Linuxu a macOS #

Pokyny k instalaci pro všechny podporované platformy jsou k dispozici na adrese https://wireguard.com/install/. V systémech Linux můžete balíček nainstalovat pomocí správce distribučních balíčků a v systému macOS pomocí brew . Po instalaci WireGuard nakonfigurujte klientské zařízení podle níže uvedených kroků.

Proces nastavení klienta pro Linux a macOS je v podstatě stejný jako u serveru. Začněte vygenerováním veřejného a soukromého klíče:

wg genkey | sudo tee /etc/wireguard/privatekey | wg pubkey | sudo tee /etc/wireguard/publickey

Vytvořte soubor wg0.conf a přidejte následující obsah:

sudo nano /etc/wireguard/wg0.conf
/etc/wireguard/wg0.conf
[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.0.0.2/24


[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = SERVER_IP_ADDRESS:51820
AllowedIPs = 0.0.0.0/0

Nastavení v sekci rozhraní mají stejný význam jako při nastavování serveru:

  • Adresa – čárkami oddělený seznam IP adres v4 nebo v6 pro wg0 rozhraní.
  • PrivateKey – Chcete-li zobrazit obsah souboru na klientském počítači, spusťte:sudo cat /etc/wireguard/privatekey

Sekce peer obsahuje následující pole:

  • PublicKey – veřejný klíč partnera, ke kterému se chcete připojit. (Obsah /etc/wireguard/publickey serveru soubor).
  • Koncový bod – IP nebo název hostitele partnera, ke kterému se chcete připojit, následovaný dvojtečkou a poté číslem portu, na kterém vzdálený peer naslouchá.
  • AllowedIPs – čárkami oddělený seznam IP adres v4 nebo v6, ze kterých je povolen příchozí provoz pro peer a na který je směrován odchozí provoz pro tohoto peer. Používáme 0.0.0.0/0, protože směrujeme provoz a chceme, aby partner na serveru posílal pakety s jakoukoli zdrojovou IP.

Pokud potřebujete nakonfigurovat další klienty, opakujte stejné kroky s jinou privátní IP adresou.

Nastavení klientů Windows #

Stáhněte a nainstalujte balíček Windows msi z webu WireGuard.

Po instalaci otevřete aplikaci WireGuard a klikněte na „Přidat tunel“ -> „Přidat prázdný tunel…“, jak je znázorněno na obrázku níže:

Automaticky se vytvoří pár veřejného klíče a zobrazí se na obrazovce.

Zadejte název tunelu a upravte konfiguraci následovně:

[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.0.0.2/24


[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = SERVER_IP_ADDRESS:51820
AllowedIPs = 0.0.0.0/0

V sekci rozhraní přidejte nový řádek pro definování adresy tunelu klienta.

V peer sekci přidejte následující pole:

  • PublicKey – veřejný klíč serveru Ubuntu (/etc/wireguard/publickey soubor).
  • Koncový bod – IP adresa serveru Ubuntu následovaná dvojtečkou a port WireGuard (51820).
  • Povolené IP – 0.0.0.0/0

Po dokončení klikněte na tlačítko „Uložit“.

Přidat klientského partnera na server #

Posledním krokem je přidání klientského veřejného klíče a IP adresy na server:

sudo wg set wg0 peer CLIENT_PUBLIC_KEY allowed-ips 10.0.0.2

Nezapomeňte změnit CLIENT_PUBLIC_KEY s veřejným klíčem, který jste vygenerovali na klientském počítači (sudo cat /etc/wireguard/publickey ) a upravte IP adresu klienta, pokud se liší. Uživatelé Windows mohou zkopírovat veřejný klíč z aplikace WireGuard.

Po dokončení se vraťte na klientský počítač a vyvolejte rozhraní tunelování.

Klienti Linux a macOS #

Na klientech se systémem Linux spusťte následující příkaz pro vyvolání rozhraní:

sudo wg-quick up wg0

Nyní byste měli být připojeni k serveru Ubuntu a provoz z vašeho klientského počítače by měl být směrován přes něj. Připojení můžete zkontrolovat pomocí:

sudo wg
interface: wg0
  public key: sZThYo/0oECwzUsIKTa6LYXLhk+Jb/nqK4kCCP2pyFg=
  private key: (hidden)
  listening port: 48052
  fwmark: 0xca6c

peer: r3imyh3MCYggaZACmkx+CxlD6uAmICI8pe/PGq8+qCg=
  endpoint: XXX.XXX.XXX.XXX:51820
  allowed ips: 0.0.0.0/0
  latest handshake: 1 minute, 22 seconds ago
  transfer: 58.43 KiB received, 70.82 KiB sent

Můžete také otevřít svůj prohlížeč, napsat „what is my ip“ a měli byste vidět IP adresu vašeho serveru Ubuntu.

Chcete-li zastavit tunelování, stáhněte wg0 rozhraní:

sudo wg-quick down wg0

Klienti Windows #

Pokud jste nainstalovali WireGuard na Windows, klikněte na tlačítko „Aktivovat“. Po připojení peerů se stav tunelu změní na Aktivní:


Ubuntu

  1. Jak nastavit WireGuard VPN na Ubuntu (průvodce krok za krokem)

  2. Ubuntu – Jak nastavit statickou IP v Ubuntu?

  3. Jak nastavit WireGuard VPN na CentOS 8

  1. Jak nastavit Wireguard VPN na CentOS 8

  2. Jak nastavit WireGuard VPN na Ubuntu 20.04

  3. Jak nastavit WireGuard na Ubuntu 22.04

  1. Jak nainstalovat Redis na Ubuntu 20.04 / 18.04

  2. Jak vytvořit VPN na Ubuntu 20.04 pomocí Wireguard

  3. Jak nastavit server OpenVPN na Ubuntu 18.04