простой VPN с WireGuard

Каждое устройство, которое подключается к VPN, должно иметь возможность подключаться ко всем другим устройствам. Например, телефон должен иметь возможность подключаться к веб-серверу на ноутбуке, если оба устройства являются частью сети VPN. Если настройка получится достаточно простой, то можно подумать о подключении к VPN и десктопа (по Ethernet).

Учитывая, что проводные и беспроводные соединения со временем становятся всё менее безопасны (таргетированные атаки, атака KRACK по взлому WPA2 и атака Dragonblood против WPA3), я всерьёз рассматриваю возможность использования WireGuard для всех моих устройств, независимо от того, в какой среде они работают.

Установка программного обеспечения

WireGuard предоставляет предварительно скомпилированные пакеты для большинства дистрибутивов Linux, Windows и macOS. Приложения для Android и iOS поставляются через каталоги приложений.

Установливаем пакет wireguard-dkms

# sudo dnf copr enable jdoss/wireguard

# sudo dnf install wireguard-dkms wireguard-tools

пакет wireguard, устанавливаем его:

# sudo apt-get install wireguard

На телефоне Android я установил приложение WireGuard VPN из официального каталога Google App Store.

Установка ключей

Для аутентификации узлов Wireguard использует простую схему закрытого/открытого ключей для аутентификации узлов VPN. Можете легко создать ключи VPN с помощью следующей команды:

# wg genkey | tee wg-laptop-private.key | wg pubkey > wg-laptop-public.key

# wg genkey | tee wg-server-private.key | wg pubkey > wg-server-public.key

# wg genkey | tee wg-mobile-private.key | wg pubkey > wg-mobile-public.key

Это даёт нам три пары ключей (шесть файлов). Не будем ссылаться на файлы в конфигах, а скопируем сюда содержимое: каждый ключ — это одна строка в base64.

Создание файла конфигурации для VPN-сервера (Raspberry Pi)

Конфигурация довольно простая, я создал следующий файл /etc/wireguard/wg0.conf:

# sudo nano /etc/wireguard/wg0.conf

[Interface]
Address = 10.200.200.1/24
ListenPort = 51820
PrivateKey = <copy private key from wg-server-private.key>
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o wwan0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o wwan0 -j MASQUERADE

[Peer]
# laptop
PublicKey = <copy public key from wg-laptop-public.key>
AllowedIPs = 10.200.200.2/32

[Peer]
# mobile phone
PublicKey = <copy public key from wg-mobile-public.key>
AllowedIPs = 10.200.200.3/32

В соответствующие места нужно вставить строки из файлов с ключами
Моя сеть VPN использует внутренний диапазон 10.200.200.0/24
Для команд PostUp/PostDown у меня указан внешний сетевой интерфейс wwan0, у вас может быть другой (например, eth0)

Сеть VPN легко поднимается следующей командой:

# sudo wg-quick up wg0

Одна маленькая деталь: в качестве DNS-сервера я использовал dnsmasq с привязкой к сетевому интерфейсу br0, я также добавил устройства wg0 в список разрешённых устройств.

В dnsmasq это делается путём добавления новой строки с сетевым интерфейсом в файл конфигурации /etc/dnsmasq.conf, например:

# sudo nano /etc/dnsmasq.conf

interface=br0
interface=wg0

Кроме того, я добавил правило iptable, чтобы разрешить трафик на прослушивающий UDP-порт (51280):

$ sudo iptables -I INPUT -p udp --dport 51820 -j ACCEPT

Теперь, когда всё работает, можем прописать автоматический запуск VPN-туннеля:

$ sudo systemctl enable Этот адрес электронной почты защищен от спам-ботов. У вас должен быть включен JavaScript для просмотра.

Конфигурация клиента на ноутбуке

На ноутбуке создаём файл конфигурации /etc/wireguard/wg0.conf с такими же настройками:

[Interface]
Address = 10.200.200.2/24
PrivateKey = <copy private key from wg-laptop-private.key>

[Peer]
PublicKey = <copy public key from wg-server-public.key>
AllowedIPs = 10.200.200.0/24
Endpoint = edgewalker:51820

Примечания:

Вместо edgewalker нужно указать публичный IP или хост VPN-сервера
Установив AllowedIPs на 10.200.200.0/24, мы используем VPN только для доступа к внутренней сети. Трафик на все остальные IP-адреса/серверы будет по-прежнему идти по «обычным» открытым каналам. Также будет использоваться предварительно настроенный DNS-сервер на ноутбуке.

Для тестирования и автоматического запуска используем те же команды wg-quick и systemd:

$ sudo wg-quick up wg0

$ sudo systemctl enable Этот адрес электронной почты защищен от спам-ботов. У вас должен быть включен JavaScript для просмотра.

Настройка клиента на Android-телефоне

Для телефона Android создаём очень похожий файл конфигурации (назовём его mobile.conf):

[Interface]
Address = 10.200.200.3/24
PrivateKey = <copy private key from wg-mobile-private.key>
DNS = 10.200.200.1

[Peer]
PublicKey = <copy public key from wg-server-public.key>
AllowedIPs = 0.0.0.0/0
Endpoint = edgewalker:51820

В отличие от конфигурации на ноутбуке, телефон должен использовать наш VPN-сервер в качестве DNS-сервера (строка DNS), а также пропускать через VPN-туннель весь трафик (AllowedIPs = 0.0.0.0/0).

Вместо копирования файла на мобильное устройство можно преобразовать его в QR-код: