WireGuard je moderní technologie VPN (Virtual Private Network), která využívá nejmodernější kryptografii. Ve srovnání s jinými oblíbenými řešeními VPN, jako jsou IPsec a OpenVPN, je WireGuard rychlejší, snadněji konfigurovatelný a má menší rozměry. Je multiplatformní a lze jej spustit téměř kdekoli, včetně Linuxu, Windows, Androidu a macOS.
Wireguard je peer-to-peer VPN; nepoužívá model klient-server. V závislosti na své konfiguraci může peer fungovat jako tradiční server nebo klient. Funguje tak, že na každém peer zařízení vytvoří síťové rozhraní, které funguje jako tunel. Peers se navzájem ověřují výměnou a ověřováním veřejných klíčů, napodobováním modelu SSH. Veřejné klíče jsou mapovány se seznamem IP adres, které jsou povoleny v tunelu. Provoz VPN je zapouzdřen v UDP.
V tomto článku budeme diskutovat o tom, jak nastavit WireGuard VPN na Ubuntu 20.04, která bude fungovat jako server VPN. Ukážeme vám také, jak nakonfigurovat WireGuard jako klienta. Provoz klienta bude směrován přes server Ubuntu 20.04.
Toto nastavení lze použít jako ochranu proti útokům Man in the Middle, anonymnímu surfování na webu, obcházení geograficky omezeného obsahu nebo umožnění vašim kolegům, kteří pracují z domova, bezpečně se připojit k firemní síti.
Předpoklady #
Abyste mohli postupovat podle tohoto průvodce, budete potřebovat server Ubuntu 20.04 s přístupem root nebo sudo.
Nastavení serveru WireGuard #
Začneme instalací WireGuard na stroj Ubuntu a nastavíme jej tak, aby fungoval jako server. Nakonfigurujeme také systém tak, aby přes něj směroval provoz klientů.
Instalovat WireGuard na Ubuntu 20.04 #
WireGuard je k dispozici z výchozích úložišť Ubuntu. Chcete-li jej nainstalovat, spusťte následující příkazy:
sudo apt updatesudo apt install wireguard
Tím se nainstaluje modul a nástroje WireGuard.
WireGuard běží jako modul jádra.Konfigurace WireGuard #
wg a wg-quick nástroje příkazového řádku vám umožňují konfigurovat a spravovat rozhraní WireGuard.
Každé zařízení v síti WireGuard VPN musí mít soukromý a veřejný klíč. Spuštěním následujícího příkazu vygenerujte pár klíčů:
wg genkey | sudo tee /etc/wireguard/privatekey | wg pubkey | sudo tee /etc/wireguard/publickey
Soubory budou vygenerovány v /etc/wireguard adresář. Obsah souborů můžete zobrazit pomocí cat nebo less . Soukromý klíč by nikdy neměl být s nikým sdílen a měl by být vždy zabezpečen.
Wireguard také podporuje předsdílený klíč, který přidává další vrstvu kryptografie se symetrickým klíčem. Tento klíč je volitelný a musí být jedinečný pro každý partnerský pár.
Dalším krokem je konfigurace tunelového zařízení, které bude směrovat provoz VPN.
Zařízení lze nastavit buď z příkazového řádku pomocí ip a wg příkazy nebo vytvořením konfiguračního souboru pomocí textového editoru.
Vytvořte nový soubor s názvem wg0.conf a přidejte následující obsah:
sudo nano /etc/wireguard/wg0.conf[Interface]
Address = 10.0.0.1/24
SaveConfig = true
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADE
Rozhraní lze pojmenovat jakkoli, ale doporučuje se použít něco jako wg0 nebo wgvpn0 . Nastavení v sekci rozhraní mají následující význam:
-
Adresa – čárkami oddělený seznam IP adres v4 nebo v6 pro
wg0rozhraní. Používejte adresy IP z rozsahu, který je vyhrazen pro privátní sítě (10.0.0.0/8, 172.16.0.0/12 nebo 192.168.0.0/16). -
ListenPort – port pro naslouchání.
-
PrivateKey – Soukromý klíč generovaný
wg genkeypříkaz. (Chcete-li zobrazit obsah typu souboru:sudo cat /etc/wireguard/privatekey) -
SaveConfig – Při nastavení na hodnotu true se aktuální stav rozhraní při vypnutí uloží do konfiguračního souboru.
-
PostUp – Příkaz nebo skript, který se provede před spuštěním rozhraní. V tomto příkladu používáme iptables k povolení maskování. To umožňuje provozu opustit server, což klientům VPN umožňuje přístup k Internetu.
Nezapomeňte nahradit
ens3po-A POSTROUTINGaby odpovídal názvu vašeho veřejného síťového rozhraní. Rozhraní můžete snadno najít pomocí:ip -o -4 route show to default | awk '{print $5}' -
PostDown - příkaz nebo skript, který se provede před spuštěním rozhraní. Pravidla iptables budou odstraněna, jakmile bude rozhraní vypnuto.
Soubor wg0.conf a privatekey soubory by neměly být čitelné pro normální uživatele. Použijte chmod nastavte oprávnění na 600 :
sudo chmod 600 /etc/wireguard/{privatekey,wg0.conf}
Po dokončení přineste wg0 rozhraní pomocí atributů uvedených v konfiguračním souboru:
sudo wg-quick up wg0Příkaz vytvoří výstup podobný následujícímu:
[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
[#] ip -4 address add 10.0.0.1/24 dev wg0
[#] ip link set mtu 1420 up dev wg0
[#] iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
Chcete-li zkontrolovat stav a konfiguraci rozhraní, zadejte:
sudo wg show wg0interface: wg0
public key: r3imyh3MCYggaZACmkx+CxlD6uAmICI8pe/PGq8+qCg=
private key: (hidden)
listening port: 51820
Můžete také spustit ip a show wg0 pro ověření stavu rozhraní:
ip a show wg04: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
link/none
inet 10.0.0.1/24 scope global wg0
valid_lft forever preferred_lft forever
WireGuard lze také spravovat pomocí Systemd.
Chcete-li přenést rozhraní WireGuard při spouštění, spusťte následující příkaz:
sudo systemctl enable wg-quick@wg0Konfigurace sítě serveru a brány firewall #
Aby NAT fungoval, musí být povoleno předávání IP. Otevřete /etc/sysctl.conf soubor a přidejte nebo odkomentujte následující řádek:
sudo nano /etc/sysctl.confnet.ipv4.ip_forward=1Uložte soubor a použijte změnu:
sudo sysctl -pnet.ipv4.ip_forward = 1
Pokud ke správě firewallu používáte UFW, musíte otevřít UDP provoz na portu 51820 :
sudo ufw allow 51820/udpA je to. Byl nastaven partner Ubuntu, který bude fungovat jako server.
Nastavení klientů Linuxu a macOS #
Pokyny k instalaci pro všechny podporované platformy jsou k dispozici na adrese https://wireguard.com/install/. V systémech Linux můžete balíček nainstalovat pomocí správce distribučních balíčků a v systému macOS pomocí brew .
Po instalaci nakonfigurujte klientské zařízení podle níže uvedených kroků.
Proces nastavení klienta pro Linux a macOS je v podstatě stejný jako u serveru. Nejprve vygenerujte veřejný a soukromý klíč:
wg genkey | sudo tee /etc/wireguard/privatekey | wg pubkey | sudo tee /etc/wireguard/publickey
Vytvořte soubor wg0.conf a přidejte následující obsah:
sudo nano /etc/wireguard/wg0.conf[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.0.0.2/24
[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = SERVER_IP_ADDRESS:51820
AllowedIPs = 0.0.0.0/0
Nastavení v sekci rozhraní mají stejný význam jako při nastavování serveru:
- Adresa – čárkami oddělený seznam IP adres v4 nebo v6 pro
wg0rozhraní. - PrivateKey – Chcete-li zobrazit obsah souboru na klientském počítači, spusťte:
sudo cat /etc/wireguard/privatekey
Sekce peer obsahuje následující pole:
- PublicKey – Veřejný klíč partnera, ke kterému se chcete připojit. (Obsah
/etc/wireguard/publickeyserveru soubor). - Koncový bod – IP nebo název hostitele partnera, ke kterému se chcete připojit, následovaný dvojtečkou a poté číslem portu, na kterém vzdálený peer naslouchá.
- AllowedIPs – čárkami oddělený seznam IP adres v4 nebo v6, ze kterých je povolen příchozí provoz pro peer a na který je směrován odchozí provoz pro tohoto peer. Používáme 0.0.0.0/0, protože směrujeme provoz a chceme, aby partner na serveru posílal pakety s jakoukoli zdrojovou IP.
Pokud potřebujete nakonfigurovat další klienty, opakujte stejné kroky s jinou privátní IP adresou.
Nastavení klientů Windows #
Stáhněte a nainstalujte balíček Windows msi z webu WireGuard.
Po instalaci otevřete aplikaci WireGuard a klikněte na „Přidat tunel“ -> „Přidat prázdný tunel…“, jak je znázorněno na obrázku níže:
Automaticky se vytvoří pár veřejného klíče a zobrazí se na obrazovce.
Zadejte název tunelu a upravte konfiguraci následovně:
[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.0.0.2/24
[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = SERVER_IP_ADDRESS:51820
AllowedIPs = 0.0.0.0/0
V sekci rozhraní přidejte nový řádek pro definování adresy tunelu klienta.
V části peer přidejte následující pole:
- PublicKey – Veřejný klíč serveru Ubuntu (
/etc/wireguard/publickeysoubor). - Koncový bod – IP adresa serveru Ubuntu následovaná dvojtečkou a port WireGuard (51820).
- Povolené IP – 0.0.0.0/0
Po dokončení klikněte na tlačítko „Uložit“.
Přidat klientského partnera na server #
Posledním krokem je přidání veřejného klíče a IP adresy klienta na server. Chcete-li to provést, spusťte na serveru Ubuntu následující příkaz:
sudo wg set wg0 peer CLIENT_PUBLIC_KEY allowed-ips 10.0.0.2
Nezapomeňte změnit CLIENT_PUBLIC_KEY s veřejným klíčem, který jste vygenerovali na klientském počítači (sudo cat /etc/wireguard/publickey ) a upravte IP adresu klienta, pokud se liší. Uživatelé Windows mohou zkopírovat veřejný klíč z aplikace WireGuard.
Po dokončení se vraťte na klientský počítač a vyvolejte rozhraní tunelování.
Klienti Linux a macOS #
Spusťte následující příkaz pro vyvolání rozhraní:
sudo wg-quick up wg0Nyní byste měli být připojeni k serveru Ubuntu a provoz z vašeho klientského počítače by měl být směrován přes něj. Připojení můžete zkontrolovat pomocí:
sudo wginterface: wg0
public key: gFeK6A16ncnT1FG6fJhOCMPMeY4hZa97cZCNWis7cSo=
private key: (hidden)
listening port: 53527
fwmark: 0xca6c
peer: r3imyh3MCYggaZACmkx+CxlD6uAmICI8pe/PGq8+qCg=
endpoint: XXX.XXX.XXX.XXX:51820
allowed ips: 0.0.0.0/0
latest handshake: 53 seconds ago
transfer: 3.23 KiB received, 3.50 KiB sent
Můžete také otevřít svůj prohlížeč, napsat „what is my ip“ a měli byste vidět IP adresu vašeho serveru Ubuntu.
Chcete-li zastavit tunelování, snižte wg0 rozhraní:
sudo wg-quick down wg0Klienti Windows #
Pokud jste nainstalovali WireGuard na Windows, klikněte na tlačítko „Aktivovat“. Po připojení peerů se stav tunelu změní na Aktivní:
