WireGuard konfiqurasiya faylından necə istifadə etməli

.conf faylının içində nə var, sətir-sətir

Hər WireGuard konfiqurasiyası eyni iki hissəli quruluşa malikdir. [Interface] tunelin sizin tərəfinizi təsvir edir; [Peer] isə qoşulduğunuz maşını. Budur, gizli məlumatları yer tutucularla əvəz olunmuş tam müştəri konfiqurasiyası:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

[Interface] bloku: sizin tərəfiniz

• PrivateKey — VPN-də şəxsiyyətiniz məhz budur. Ona sahib olan hər kəs sizin adınızdan çıxış edə bilər. = ilə bitən 44 base64 simvoldan ibarətdir; sizinki başqa uzunluqdadırsa, fayl kopyalanarkən haradasa kəsilib.
• Address — cihazınızın tunelin içində aldığı IP, ictimai IP-niz deyil. /32 "yalnız bu bir ünvan" deməkdir və müştəri üçün normaldır.
• DNS — tunel aktiv olarkən istifadə olunan resolver. Bu sətir olmasa, cihazınız köhnə resolverdən soruşmağa davam edir; bu həm nəyə baxdığınızı ifşa edir, həm də çox vaxt qarşı tərəfdəki heç nəyi həll edə bilmir.
• MTU — məcburi deyil və bilməyə ən çox dəyən sətirdir. Defolt dəyər düzgün olduğu üçün faylların çoxunda yoxdur; düzgün olmadığı hal üçün problemlərin həlli bölməsinə baxın.

[Peer] bloku: serverin tərəfi

• PublicKey — serverin açıq açarı. Sizinki öz faylınızda heç vaxt görünmür; onu server saxlayır.
• Endpoint — paketlərin göndəriləcəyi yer, host:port formatında. WireGuard yalnız UDP ilə işləyir, 51820 isə məcburi deyil, ənənəvi portdur.
• AllowedIPs — hansı ünvanlara gedən trafikin tuneldən keçəcəyi. 0.0.0.0/0, ::/0 hər şey deməkdir və məxfilik VPN-i elə bunun üçündür. Daha dar siyahı — məsələn, yalnız şirkətinizin daxili ünvan diapazonu — tuneldən yalnız onu keçirir, qalanını adi bağlantınızda saxlayır. Bu quruluşa split tunnel deyilir və bu, sınmış tam tunel deyil, şüurlu seçimdir.
• PersistentKeepalive — sizinlə server arasındakı NAT cihazının geri qayıdış yolunu açıq saxlaması üçün hər 25 saniyədən bir kiçik paket göndərir. NAT arxasında olduğunuz hər halda lazımdır, telefonda və ya ev bağlantısında isə həmişə NAT arxasındasınız.

Windows: tuneli idxal edin

Windows üçün rəsmi WireGuard tətbiqi var və bütün iş faylı ona idxal etməkdən ibarətdir.

1. WireGuard-ı quraşdırın: wireguard.com/install.
2. Aşağı sol küncdəki Add Tunnel düyməsini klikləyin; Configuration Files (*.zip, *.conf) filtri ilə fayl seçicisi açılır. .conf faylınızı seçin və o, faylın adı ilə tunel siyahısında görünəcək.
3. Və ya yapışdırın. Add Tunnel yanındakı ox Add empty tunnel… seçimini təklif edir və sizə mətn qutusu verir — konfiqurasiya fayl kimi yox, mesajla gəlibsə faydalıdır. Qutu əvvəlcədən yeni şəxsi açarla doldurulur, ona görə həmin sətri silin və öz konfiqurasiyanızı üstünə yapışdırın.
4. Activate düyməsini klikləyin. Status Active olaraq dəyişir və panel ötürülən baytları saymağa başlayır. Bu bayt sayğacı əlinizdəki ən sürətli yoxlamadır: gedən məlumat görünür, amma geri heç nə gəlmirsə, handshake tamamlanmır.

Android və iPhone: QR kodu skan edin və ya faylı idxal edin

Telefonda iki yol var və QR kod məhz ona görə mövcuddur ki, 44 simvolluq açarı toxunma ekranında yazmaq əzabdır.

Android

1. Play Store-dan WireGuard quraşdırın və + düyməsinə toxunun.
2. Create WireGuard Tunnel ekranı Scan from QR code, Import from file or archive və sıfırdan yaratmaq seçimlərini təklif edir. Sizə verilənə uyğun olanı seçin.
3. Soruşulsa, tunelə ad verin, sonra açarını işə salın. Android bir dəfə VPN konfiqurasiyası əlavə etmək üçün icazə istəyir — bu sorğu tətbiqin deyil, əməliyyat sisteminindir.

iPhone və iPad

1. App Store-dan WireGuard quraşdırın və Add a tunnel üzərinə toxunun.
2. Add a new WireGuard tunnel altında Create from QR code və ya Create from file or archive seçin. Skaner ekranının başlığı Scan QR code-dur; uğurlu skandan sonra tunelə ad verməyinizi istəyir.
3. Onu aktivləşdirin və iOS soruşanda VPN konfiqurasiyasına icazə verin.

Artıq əlinizdə olan konfiqurasiya faylından QR kod yaratmaq

QR kod provayderin mütləq verməli olduğu bir şey deyil — bu, sadəcə konfiqurasiya faylınızın şəkil kimi çəkilmiş formasıdır və onu bir əmrlə özünüz yarada bilərsiniz. WireGuard tətbiqi özü də bunu təklif edir:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

Debian və ya Ubuntu-da qrencode apt install qrencode ilə, macOS-da isə brew install qrencode ilə quraşdırılır.

macOS və Linux

macOS

WireGuard-ı Mac App Store-dan quraşdırın. Mac tətbiqi iPhone tətbiqinin böyük ekrandakı versiyası deyil: menyu zolağında yaşayır və pəncərəsi Manage Tunnels vasitəsilə açılır. Import tunnel(s) from file düyməsini klikləyin (menyu zolağında eyni əməliyyat Import Tunnel(s) from File… adı ilə var), .conf faylınızı seçin, sonra tuneli seçib Activate düyməsini klikləyin. Mac-də QR skaner yoxdur — QR kodlar telefonlar üçündür — ona görə faylın özündən istifadə edin və ya Add Empty Tunnel… seçib konfiqurasiyanı yapışdırın.

Terminalda işləməyi üstün tutursunuzsa, brew install wireguard-tools sizə Linux-dakı eyni wg-quick əmrlərini verir — onlar aşağıda təsvir olunub.

Linux

1. Alətləri quraşdırın. Debian və ya Ubuntu-da: sudo apt install wireguard. Əksər distributivlərdə eyni adlı paket var.
2. Faylı wg-quick-in onu axtardığı yerə qoyun. İnsanların ən çox səhv etdiyi addım budur, çünki faylın adı interfeysin adına çevrilir:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   600 vacibdir — fayl şəxsi açarınızı ehtiva edir və maşındakı digər istifadəçilər onu oxuya bilməməlidir. Adı qısa və sadə saxlayın; o, etibarlı şəbəkə interfeysi adı olmalıdır.
3. Tuneli qaldırın:

   sudo wg-quick up wg0
   sudo wg show

   wg show yadda saxlamağa dəyən yeganə əmrdir. O, peer-i, endpoint-i, latest handshake sətrini və ötürmə sayğaclarını çap edir. Heç vaxt görünməyən handshake vaxt damğası növbəti bölmədəki problemin əlamətidir.
4. Sistem açılanda işə salmaq: sudo systemctl enable --now wg-quick@wg0. Tuneli əl ilə dayandırmaq üçün: sudo wg-quick down wg0.

Routerdə, bütün ev əhatə olunsun deyə

Tuneli routerə qoymaq onun arxasındakı hər cihazı əhatə edir, o cümlədən ümumiyyətlə VPN tətbiqi işlədə bilməyənləri — oyun konsolu, televizor, ağıllı dinamik. Bunu edə biləcəyiniz tamamilə proqram təminatından (firmware) asılıdır.

Routeriniz internet şirkətinin sizə verdiyi qutudursa, real seçimlər onun arxasına nəzarət etdiyiniz bir router qoymaq və ya cihaz başına konfiqurasiyalardan istifadəyə davam etməkdir. Heç biri uğursuzluq deyil; cihaz başına quruluş çox vaxt hətta daha yaxşıdır, çünki tuneli ehtiyacı olmayan cihazlarda söndürülmüş saxlaya bilərsiniz.

Bütün evi tuneldən keçirməzdən əvvəl bir şeyi qərarlaşdırmalısınız: bundan sonra hər şey ondan keçir. Xarici ünvanları sevməyən bank saytları, regionunuzu yoxlayan yayım xidmətləri və öz şəbəkənizdəki cihazlarla danışan hər şey fərqli davrana bilər. Daha dar AllowedIPs məhz burada öz dəyərini göstərir — yalnız getməli olanı göndərin, qalanına toxunmayın.

Qoşulur, amma heç nə açılmır və digər real problemlər

WireGuard işləməyəndə qeyri-adi dərəcədə səssizdir və bu, şüurlu dizayn seçimidir — autentifikasiyadan keçməmiş paketə heç bir cavab verilmir, beləliklə skaner nəyinsə dinləyib-dinləmədiyini bilə bilmir. Yan təsiri odur ki, səhv açar, səhv port və bloklanmış şəbəkə sizin tərəfdən eyni görünür: səssizlik. Simptomdan başlayın.

"Handshake did not complete" xətası

Cihazınız başlatma paketi göndərdi və geri heç nə almadı. Bu ardıcıllıqla yoxlayın:

• Endpoint. Düzgün host, düzgün port və port UDP-dir. Buradakı yazı xətası məhz bu simptomu verir, başqa heç nəyi.
• UDP ümumiyyətlə xaricə çıxırmı. Qonaq wifi-ları, otel şəbəkələri, bəzi korporativ şəbəkələr və bir neçə mobil operator ümumi portlarda yalnız TCP-yə icazə verir. Eyni konfiqurasiya ev bağlantınızda işləyir, amma müəyyən bir şəbəkədə işləmirsə, konfiqurasiya qaydasındadır, problem isə şəbəkədədir.
• Açarlar düzgün yerdədir. [Peer] blokundakı PublicKey serverin açıq açarıdır, server isə ayrıca sizin PrivateKey dəyərinizə uyğun gələn açıq açarı saxlamalıdır. Başqa cihaz üçün kopyalanmış konfiqurasiya burada uğursuz olur.
• Saatınız. WireGuard handshake-i vaxt damğası ehtiva edir və çox fərqli olanı rədd edir. Nadir hallarda olur, amma vaxtını itirmiş cihazlarda baş verir.

Tunel evdən işləyir, amma mobil bağlantıdan heç vaxt işləmirsə, səbəb sizdə deyil, provayderinizdə ola bilər — carrier-grade NAT və oxşar həllər sizə nəyin çata biləcəyini dəyişir. Port yönləndirmə bələdçisi bunu öz routerinizdən bir neçə dəqiqəyə necə müəyyən edəcəyinizi izah edir.

Bir dəfə başa düşməyə dəyən MTU problemi

Bu, klassik "qoşulub, amma internet işləmir" halıdır və nümunəsi fərqlidir: ping işləyir, DNS işləyir, kiçik səhifələr açılır, bir az böyük olan hər şey isə əbədi ilişib qalır.

Səbəb ölçüdür. Trafiki tunel üçün qablaşdırmaq başlıqlar əlavə edir, ona görə adi bağlantınıza tam sığan paket WireGuard-ın içində artıq sığmır. Kiçik paketlər rahat keçir; böyüklər atılır. Normalda şəbəkə göndərənə daha kiçik paketlərdən istifadə etməyi bildirir, amma bunu edən mesaj tez-tez filtrlənir, ona görə xəta əvəzinə sadəcə gözləyirsiniz.

Həll yolu WireGuard-a əvvəldən daha kiçik paketlərdən istifadə etməyi deməkdir. wg-quick bunu artıq edir: adi marşrutunuzun MTU-sunu götürür və tunelin əlavə yükü üçün 80 bayt çıxır, beləliklə adi 1500 baytlıq bağlantıda 1420 alırsınız. Bu hələ də böyükdürsə — bəzi mobil şəbəkələrdə, artıq başqa tunel üzərindən işləyən bağlantıların əksəriyyətində — dəyəri açıq şəkildə təyin edin və aşağı enin:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 sınamağa dəyən alt həddir, çünki bu, IPv6-nın hər şeydən daşımağı tələb etdiyi ən kiçik paket ölçüsüdür, ona görə praktiki olaraq istənilən yoldan keçir. Bir az səmərəliliyə başa gəlir, amma ilişib qalan tuneldən qat-qat yaxşıdır.

Tunel qalxıb, amma ondan heç nə keçmir

Əvvəlcə AllowedIPs dəyərini yoxlayın. Bu, firewall və ya icazə siyahısı deyil — hansı ünvanların ümumiyyətlə tunelə yönləndiriləcəyinə qərar verir. Əgər o, 0.0.0.0/0 ehtiva etmirsə, internetin qalan hissəsinə gedən trafikin tuneldən keçməsi heç nəzərdə tutulmayıb və bağlantınız tam olaraq konfiqurasiya edildiyi kimi davranır. Linux-da ip route show table all | grep wg0 həqiqətən nəyin marşrutlaşdırıldığını göstərir.

Marşrutlaşdırma düzgündürsə və adlar sadəcə həll olunmursa, səbəb DNS sətridir — ya yoxdur, ya da var, amma resolvconf quraşdırılmadığı üçün tətbiq olunmur.

Konfiqurasiya faylı haradan gəlir

Yuxarıdakı hər şey əlinizdə fayl olduğunu fərz edir. Onu əldə etməyin düz iki yolu var.

Serveri özünüz işlədin

Açar cütü yaradırsınız, ictimai ünvanı olan maşına WireGuard quraşdırırsınız, cihazınızı peer kimi əlavə edirsiniz və müştəri konfiqurasiyasını əl ilə yazırsınız. Çətin deyil və öyrənməyə həqiqətən dəyər. Xərci isə davamlıdır: pulunu ödəyib yeniləmələrini etməli olduğunuz server və hər dəfə cihaz əlavə edəndə hər iki tərəfdə əl ilə düzəliş — çünki unutmayın, bir peer bir cihazdır.

Onu provayderdən alın

Alternativ odur ki, fayl sizin üçün yaradılır və siz onu yükləyirsiniz. Ayda €0.99-dan başlayan HytHost VPN ilə o, buradadır:

1. Xidməti sifariş edin və müştəri panelinə daxil olun, sonra siyahıdan VPN xidmətinizi açın.
2. WireGuard Configuration bölməsini tapın. Orada iki düymə var — konfiqurasiya mətnini mübadilə buferinə köçürən Copy to Clipboard və sizə hazır faylı verən Download Configuration.
3. Kopyalamısınızsa, onu sadə mətn redaktoruna yapışdırın və .conf uzantısı ilə saxlayın — wg0.conf yaxşı addır. Redaktorunuzun sonuna .txt əlavə etmədiyinə əmin olun.
4. İdxal edin: cihazınız üçün yuxarıdakı bölməyə baxın. Telefonda əvvəlcə onu qrencode ilə QR koda çevirin.

Eyni səhifə tunelin hazırda serverə qoşulu olub-olmadığını göstərir, beləliklə parametrləri dəyişməyə başlamazdan əvvəl "problem məndədir, yoxsa onlarda" sualı həll olunur. QR kod düyməsi yoxdur — onu fayldan özünüz yaradın; bu həm də o deməkdir ki, kod getməli olmadığı heç yerə getmir.