WireGuard на своем сервере: подробная инструкция

С ios вроде разобрался, там не сложно, прошел по инструкции (https://serversideup.net/generating-wireguard-qr-codes-for-fast-mobile-deployments/) , а вот с фильтрацией трафика РФ и не РФ вопрос остается открытым.

Добрый день!

Лимит подключений в WireGuard зависит исключительно от ресурсов сервера, встроенных ограничений на количество подключений в самом WireGuard нет.

Для подключения 50–60 пользователей подойдут следующие характеристики сервера:

• Процессор: 2 ядра по 3.3 ГГц.

• Оперативная память: 4 ГБ RAM.

Этих параметров должно хватить для указанного количества подключений. Если в процессе работы возникнут проблемы, можно рассмотреть увеличение процессорной мощности и объема оперативной памяти. Для начала вы можете выбрать конфигурацию с меньшими характеристиками и увеличивать их по мере необходимости.

Добрый день!

Убедитесь, что на сервере включен IP Forwarding. Это можно сделать командой:

sysctl -w net.ipv4.ip_forward=1

Если IP Forwarding выключен, включите его, используя Шаг 7 из главы «Скачивание WireGuard и конфигурация серверной части».

Также убедитесь, что в конфигурации каждого клиента на сервере WireGuard указана подсеть, к которой относятся все клиенты. Например, если ваши клиенты находятся в подсети 10.0.0.0/24, в настройках каждого клиента на сервере должно быть:

AllowedIPs = 10.0.0.0/24

Это позволит серверу маршрутизировать трафик между клиентами, и они смогут видеть друг друга.

Добрый день!

Проблема может быть связана с ограничениями со стороны интернет-провайдера. Также такая ситуация может возникать из-за ошибок в конфигурации. Для более точной диагностики лучше обратиться в поддержку — коллеги смогут проверить настройки и разобраться, почему соединение пропадает.

UPD Outline отказался работать по мобильной сети. Снёс. Поставил амнезию. пока полёт нормальный.

косяк в файл настройки скорее всего

Нашёл у себя ошибку в конфиге WG: в строке Endpoint указал двузначный порт (2.). Заменил на 5-значный (51...). Всё равно при подключении к туннелю выдает ту же ошибку. В журнале выдает следующее:

2024-10-12 12:53:51.746188: [TUN] [MSI] Starting WireGuard/0.5.3 (Windows 10.0.19045; amd64) 2024-10-12 12:53:51.746188: [TUN] [MSI] Watching network interfaces 2024-10-12 12:53:51.765863: [TUN] [MSI] Resolving DNS names 2024-10-12 12:53:51.765863: [TUN] [MSI] Creating network adapter 2024-10-12 12:53:52.396190: [TUN] [MSI] Using existing driver 0.10 2024-10-12 12:53:52.436420: [TUN] [MSI] Creating adapter 2024-10-12 12:53:55.080483: [TUN] [MSI] Using WireGuardNT/0.10 2024-10-12 12:53:55.080483: [TUN] [MSI] Enabling firewall rules 2024-10-12 12:53:54.156819: [TUN] [MSI] Interface created 2024-10-12 12:53:55.678007: [TUN] [MSI] Dropping privileges 2024-10-12 12:53:55.678007: [TUN] [MSI] Setting interface configuration 2024-10-12 12:53:55.680007: [TUN] [MSI] Peer 1 created 2024-10-12 12:53:55.696820: [TUN] [MSI] Monitoring MTU of default v6 routes 2024-10-12 12:53:55.685817: [TUN] [MSI] Sending keepalive packet to peer 1 (<внешний IP-адрес сервера и порт для подключения>) 2024-10-12 12:53:55.685817: [TUN] [MSI] Sending handshake initiation to peer 1 (<внешний IP-адрес сервера и порт для подключения>) 2024-10-12 12:53:55.696820: [TUN] [MSI] Interface up 2024-10-12 12:53:55.698818: [TUN] [MSI] Setting device v6 addresses 2024-10-12 12:53:55.890743: [TUN] [MSI] Receiving handshake response from peer 1 (<внешний IP-адрес сервера и порт для подключения>) 2024-10-12 12:53:55.890743: [TUN] [MSI] Keypair 1 created for peer 1 2024-10-12 12:53:55.977764: [TUN] [MSI] Monitoring MTU of default v4 routes 2024-10-12 12:53:55.977764: [TUN] [MSI] Setting device v4 addresses 2024-10-12 12:53:56.110123: [TUN] [MSI] Startup complete 2024-10-12 12:53:56.110123: [TUN] [MSI] Unable to configure adapter network settings: unable to set ips: The parameter is incorrect. 2024-10-12 12:53:57.259426: [TUN] [MSI] Shutting down 2024-10-12 12:53:57.469352: [MGR] [MSI] Tunnel service tracker finished

Добрый день!

Судя по описанию, проблема, скорее всего, связана с конфигурационным файлом wg0.conf. Рекомендуем выполнить следующие шаги:

1. Перепроверьте блоки конфигурации, особенно секцию [Interface]. Убедитесь, что указаны все необходимые параметры (например, Address, PrivateKey), и ничего не пропущено.

2. Проверьте наличие интерфейса wg0 командой:

ip link show

Если интерфейса wg0 нет в выводе команды, это подтверждает, что проблема может быть связана с его настройкой.

3. Проверьте права доступа к файлу конфигурации wg0.conf. Убедитесь, что файл доступен для чтения службой:

sudo chmod 600 /etc/wireguard/wg0.conf

нужно в конфиге заменить <Интерфейс> на название интерфейса, его можно глянуть по команде ip -a, у автора это enp0s3

Добрый день!

Проблема может возникать по множеству причин, и без дополнительной информации назвать точную причину сложно. Вот несколько вариантов, которые могут помочь:

– Проверьте логи WireGuard, чтобы выявить возможные ошибки:

sudo journalctl -u wg-quick@wg0

– В некоторых случаях помогает изменение портов в конфигурации WireGuard.

Если вы проверяли конфигурацию вашего знакомого в той же мобильной сети и она работала корректно, попробуйте сравнить конфигурации. Возможно, у него используются какие-то специфические настройки.

Если конфигурация вашего знакомого также не работает в вашей мобильной сети, либо у вас нет возможности ее проверить, стоит обратиться в поддержку вашего мобильного оператора. Они могут подсказать, по какой причине может возникать эта проблема.

Добрый день!

Для добавления нового пользователя в WireGuard выполните следующие шаги:

1. Сгенерируйте приватный и публичный ключи для нового клиента:

wg genkey | tee /etc/wireguard/user2_privatekey | wg pubkey | tee /etc/wireguard/user2_publickey

Эти команды создадут приватный ключ user2_privatekey и публичный ключ user2_publickey.

2. Откройте конфигурационный файл WireGuard /etc/wireguard/wg0.conf на сервере и добавьте блок для нового клиента:

[Peer]
PublicKey = Открытый_ключ_клиента
AllowedIPs = Разрешенный_IP_адрес_для_клиента

Замените <Открытый_ключ_клиента> на публичный ключ, который вы сгенерировали, и укажите нужный IP-адрес для клиента в параметре AllowedIPs.

3. После внесения изменений перезапустите WireGuard:

wg-quick down wg0 && wg-quick up wg0

На стороне нового клиента также необходимо создать конфигурацию. Она не отличается от той, что описана в статье, но важно указать приватный ключ, созданный для нового пользователя:

[Interface]
PrivateKey = Закрытый_ключ_клиента
Address = IP-адрес_клиента
DNS = 8.8.8.8

[Peer]
PublicKey = Публичный_ключ_сервера
Endpoint = IP-адрес_сервера:Порт
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 20

Теперь новый пользователь сможет подключиться к серверу.

Отвечаю сам себе: всё-таки можно ограничить. Примерно вот так:

# tc qdisc add dev ens3 root handle 1:0 hfsc default 1
# tc class add dev ens3 parent 1:0 classid 1:1 hfsc sc rate 100mbit ul rate 100mbit
# tc class add dev ens3 parent 1:0 classid 1:2 hfsc sc rate 400kbit ul rate 400kbit
# tc filter add dev ens3 protocol all parent 1: u32 match ip dst 10.66.66.9 flowid 1:2

Добрый день!

Да, вы можете использовать адреса из диапазона 192.168.* для интерфейса WireGuard, поскольку этот диапазон относится к внутренним или "серым" IP-адресам, так же как и диапазон 10...*. Эти адреса предназначены для использования внутри локальных сетей и не маршрутизируются через интернет, поэтому для WireGuard они вполне подходят.

Единственное, что важно, — убедиться, что IP-адреса, которые вы назначаете, не пересекаются с существующими адресами в вашей локальной сети.

Добрый день!

Маска /24 указывает на подсеть и обычно работает, если маршруты настроены корректно. Однако в некоторых конфигурациях могут возникать проблемы, особенно если происходит пересечение с другими сетями или если настроена неправильная маршрутизация. Маска /32 задаёт конкретный IP-адрес и используется для точного указания маршрута только к одному устройству, что помогает избежать подобных конфликтов. В вашем случае это решение помогло из-за особенностей вашей сети.

Для безопасного и корректного использования WireGuard каждому устройству рекомендуется создавать отдельный конфигурационный файл.

Не правда, все прекрасно работает на Ростелекоме.

Когда вы настраиваете WireGuard, вы создаете новый виртуальный сетевой интерфейс, который обычно называется wg0. Этот интерфейс используется исключительно для работы WireGuard и связан с конфигурацией туннеля, который вы настраиваете.

На скриншоте показан другой сетевой интерфейс, связанный с нашим текущим интернет-соединением (например, eth0, wlan0, и т.д.), который имеет IP-адрес, используемый для выхода в интернет. Этот интерфейс нужен для того, чтобы указать, через какой именно интерфейс будет проходить трафик, когда вы подключаетесь через WireGuard.

Иными словами:

— Интерфейс с текущим IP-адресом используется для определения исходного соединения.

— Интерфейс wg0 — это новый интерфейс, который вы создаете для работы WireGuard.

Добрый день! Для обновления выполните следующее:

Шаг 1. Сделайте резервную копию текущих конфигурационных файлов. Скопируйте все конфигурационные файлы из директории /etc/wireguard/ в безопасное место:

sudo cp -r /etc/wireguard /путь_к_резервной_копии/

В Windows откройте WireGuard и экспортируйте текущие конфигурации туннелей. Для этого выберите каждый туннель, нажмите правой кнопкой мыши и выберите "Export tunnel(s)".

Шаг 2. Скачайте последнюю версию WireGuard или обновите его с помощью команд:

Для Ubuntu/Debian:

sudo apt update
sudo apt upgrade wireguard

Для CentOS/RHEL:

sudo yum update wireguard-tools

Шаг 3. Перезапустите WireGuard и убедитесь, что после обновления конфигурационные файлы остались на месте и не изменились. Если вы создали резервную копию на шаге 1, сравните файлы в /etc/wireguard/ с резервной копией.

Добрый день! Работа протокола Wireguard может быть ограничена вашим провайдером интернета (уточнить можно в их поддержке). Вместо готовой сборки Wireguard можно попробовать другие решения, например, настройку Outline на своем сервере.

Спасибо, исправили досадную опечатку.

Добрый день! Выполните следующее:

1. Переместите файл конфигурации в директорию клиента /etc/wireguard/. Например, если ваш файл называется wg0.conf, выполните команду:

sudo mv /путь_к_файлу/wg0.conf /etc/wireguard/

2. Установите нужные права доступа для конфигурационного файла:

sudo chmod 600 /etc/wireguard/wg0.conf

3. Теперь вы можете активировать ваш туннель WireGuard, используя команду:

sudo wg-quick up wg0

Добрый день! По поводу этой ошибки напишите, пожалуйста, в поддержку из своей панели управления — коллеги помогут разобраться.

Спасибо за замечание! Расписали подробнее про элементы конфигов.

51820 ставьте

Добрый день! Параметр ListenPort — это порт, на котором сервер WireGuard будет слушать входящие соединения. Обычно выбирают порты от 51820 до 51830, но можно использовать любой свободный. Убедитесь, что выбранный порт открыт в настройках вашего брандмауэра.

Добрый день! Секция [Interface] описывает конфигурацию вашего устройства — клиента, который подключается к серверу WireGuard. Параметр Address в этой секции указывает на IP-адрес (или диапазон IP-адресов), который будет назначен виртуальному сетевому интерфейсу WireGuard на вашем устройстве.

Для частных сетей обычно используются следующие диапазоны IP-адресов:

10.0.0.0 до 10.255.255.255

172.16.0.0 до 172.31.255.255

192.168.0.0 до 192.168.255.255

Если вы настраиваете WireGuard только для одного устройства или для личного использования, вам необязательно нужен целый диапазон IP-адресов. Например:

Address = 10.0.0.2/32

Адрес выбирается так, чтобы он не пересекался с адресами других сетей, к которым ваше устройство может быть подключено, чтобы избежать путаницы и проблем с доставкой данных.

Спасибо за замечание, поправили пути. Очень рады, что инструкция помогла 💙

Спасибо за комментарий! Автор внес правки, чтобы описать настройку клиентской части подробнее. Если какие-то моменты остались неясными, дайте знать — тоже доработаем. Также напомним, что у нас есть готовая сборка с Wireguard :) Ее можно развернуть в Польше или Нидерландах в один клик, и все конфиги будут настроены автоматически.