WireGuard je moderní, jednoduchý a bezpečný nástroj pro realizaci virtuální privátní sítě (VPN). My si v tomto článku ukážeme, jak WireGuard nainstalovat na VPS, nakonfigurujeme a spustíme. Pro ukázku použijeme VPS ON a instalovat budeme na serveru s operačním systémem Ubuntu 20.04.3 LTS.
Začneme tím, že si upgradujeme instalované balíčky na svém OS příkazem:
sudo apt update && sudo apt upgradeInstalace WireGuard
sudo apt install wireguardPokračovat budeme sadou příkazů, kde si vygenerujeme klíče jak pro server tak pro klienta.
Vygenerování klíčů pro server
wg genkey | tee server_private_key | wg pubkey > server_public_keyVygenerování klíčů pro klienta
wg genkey | tee client_private_key | wg pubkey > client_public_keyJednotlivé klíče pak přečteme těmito příkazy (doporučujeme si klíče uložit, budeme je později v konfiguraci potřebovat):
cat server_public_key
cat server_private_key
cat client_public_key
cat client_private_keyKonfigurace serveru
Pokračovat budeme konfigurací serveru. Zadáme příkaz (zde použijeme editor Vim):
sudo vim /etc/wireguard/wg0.confVložíme do něj následují konfiguraci. Vysvětlení položek je v kódu v komentářích. Tam, kde je <klíč>, vložíme příslušný klíč serveru nebo klienta.
[Interface]
# serverová část
Address = 10.100.100.1/24 # IP rozsah na novém rozhraní
SaveConfig = true
PrivateKey = <klíč> #server_private_key - privátní serverový klíč
ListenPort = 51820 # port, na kterém bude poslouchat WireGuard
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
[Peer]
# klientská část
PublicKey = <klíč> #client_public_key - klinetský veřejný klíč
AllowedIPs = 10.100.100.2/32 # povolené IP adresy v rozhraní
Upozornění! Za příkazem POSTROUTING je označení rozhraní serveru iPv4, doplňte tam své, pokud se liší!
Pokračujeme přesměrováním iPv4 datového toku:
sudo vim /etc/sysctl.confNajdeme řádek který obsahuje text
# net.ipv4.ip_forward=1O odkomentujeme jej (odstraníme znak #). Soubor uložíme (Vim – :wq)
Pokračujeme příkazy pro reaktivaci
sysctl -p
echo 1 > /proc/sys/net/ipv4/ip_forwardSpouštění WireGuard serveru
Postupně zadáme tyto příkazy:
chown -v root:root /etc/wireguard/wg0.conf
chmod -v 600 /etc/wireguard/wg0.conf
wg-quick up wg0
systemctl enable wg-quick@wg0.serviceNyní nám vznikne v konfiguraci serveru nové síťové rozhraní wg0.
Nastavení klienta
Nyní si nainstalujeme klienta pro svůj operační systém, jednotlivé klienty si stáhneme ze stránek WireGuard.
Konfigurace klienta
Do konfigurace klienta přidáme následující kód:
[Interface]
Address = 10.100.100.2/32
PrivateKey = <klíč> # client_private_key - klinetský privátní klíč
[Peer]
PublicKey = <klíč> # server_public_key - serverový veřejný klíč
Endpoint = <IP adresa>:51820 # IP adresa a port serveru
AllowedIPs = 0.0.0.0/0 # povolené IP adresy
PersistentKeepalive = 21Upozornění: Endpoint = :51820 – před dvojtečku nezapomeňte přidat IP adresu serveru, na kterém jede WireGuard.
Pokud byste chtěli na server napojit více zařízení, můžete vygenerovat nové klientské klíče a přidat je včetně ip adres do souboru /etc/wireguard/wg0.conf.
Možné problémy
Firewall
Pokud máte na serveru nastavený firewall, musíte port, na kterém klient poslouchá, povolit příkazem:
sudo ufw allow <port> <port> nahradíme číslem portu. Port, na kterém klient poslouchá, se ukáže v příkazu info o stavu WireGuardu:
wg showJak takový výstup vypadá, vidíte z následujícího screenshotu:
MacOs klient
U klienta pro operační systém MacOS je potřeba ještě po přidání konfigurace zatrhnout v levém dolním rohu (editační okno) Exclude private IPs.
Restart WireGuard rozhraní
Pokud potřebujeme z nějakého důvodu restartovat rozhraní, provedete to příkazy:
wg-quick down wg0
wg-quick up wg0