Kako koristiti WireGuard konfiguracijsku datoteku

Što se nalazi u .conf datoteci, redak po redak

Svaka WireGuard konfiguracija ima isti oblik u dva dijela. [Interface] opisuje vaš kraj tunela; [Peer] opisuje računalo na koje se spajate. Evo potpune klijentske konfiguracije u kojoj su tajni podaci zamijenjeni rezerviranim vrijednostima:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Blok [Interface]: vaša strana

• PrivateKey — ovo je vaš identitet na VPN-u. Tko god ga ima, može se predstaviti kao vi. Sastoji se od 44 base64 znaka i završava s =; ako je vaš druge duljine, datoteka se negdje pri kopiranju skratila.
• Address — IP koji vaš uređaj ima unutar tunela, a ne vaš javni IP. /32 znači „samo ova jedna adresa”, što je za klijenta uobičajeno.
• DNS — resolver koji se koristi dok je tunel aktivan. Bez njega uređaj i dalje pita stari resolver, što otkriva što tražite i često ne uspijeva razriješiti ništa s druge strane tunela.
• MTU — nije obavezan, a upravo je taj redak najkorisnije poznavati. U većini datoteka ga nema jer je zadana vrijednost ispravna; slučaj kad nije opisan je u odjeljku rješavanje problema.

Blok [Peer]: strana poslužitelja

• PublicKey — javni ključ poslužitelja. Vaš se nikad ne pojavljuje u vašoj datoteci; drži ga poslužitelj.
• Endpoint — kamo slati pakete, u obliku host:port. WireGuard radi isključivo preko UDP-a, a 51820 je uobičajeni port, ne obavezni.
• AllowedIPs — koja odredišta idu kroz tunel. 0.0.0.0/0, ::/0 znači sve, a upravo tome služi VPN za privatnost. Uži popis — recimo samo interni raspon vaše tvrtke — šalje kroz tunel samo to, a ostalo ostavlja na običnoj vezi. Takav raspored zove se split tunnel i to je namjeran izbor, a ne pokvaren puni tunel.
• PersistentKeepalive — svakih 25 sekundi šalje mali paket kako bi NAT uređaj između vas i poslužitelja držao povratni put otvorenim. Potreban je kad god ste iza NAT-a, a na mobitelu ili kućnoj vezi uvijek jeste.

Windows: uvezite tunel

Windows ima službenu WireGuard aplikaciju i uvoz datoteke u nju je cijeli posao.

1. Instalirajte WireGuard s wireguard.com/install.
2. Kliknite Add Tunnel dolje lijevo, čime se otvara odabir datoteke filtriran na Configuration Files (*.zip, *.conf). Odaberite svoju .conf datoteku i ona se pojavljuje na popisu tunela, nazvana prema datoteci.
3. Ili je zalijepite. Strelica pokraj Add Tunnel nudi Add empty tunnel…, što otvara tekstno polje — korisno kad je konfiguracija stigla u poruci, a ne kao datoteka. Polje je unaprijed popunjeno novim privatnim ključem, pa taj redak obrišite i preko njega zalijepite svoju konfiguraciju.
4. Kliknite Activate. Status se mijenja u Active i panel počinje brojati prenesene bajtove. Taj brojač najbrža je provjera koju imate: ako pokazuje podatke koji odlaze, a ništa se ne vraća, handshake se ne dovršava.

Android i iPhone: skenirajte QR kod ili uvezite datoteku

Na mobitelu imate dva načina, a QR kod postoji upravo zato što je upisivanje ključa od 44 znaka na zaslonu osjetljivom na dodir prava muka.

Android

1. Instalirajte WireGuard iz Play Storea i dodirnite gumb +.
2. Zaslon Create WireGuard Tunnel nudi Scan from QR code, Import from file or archive i izradu tunela od nule. Odaberite ono što odgovara onome što ste dobili.
3. Ako se to zatraži, dajte tunelu ime, zatim uključite njegov prekidač. Android jednom traži dopuštenje za dodavanje VPN konfiguracije — taj upit dolazi od operacijskog sustava, a ne od aplikacije.

iPhone i iPad

1. Instalirajte WireGuard iz App Storea i dodirnite Add a tunnel.
2. Pod Add a new WireGuard tunnel odaberite Create from QR code ili Create from file or archive. Zaslon skenera zove se Scan QR code; nakon uspješnog skeniranja traži da imenujete tunel.
3. Uključite ga i dopustite VPN konfiguraciju kad iOS to zatraži.

Kako napraviti QR kod iz konfiguracijske datoteke koju već imate

QR kod nije nešto što vam pružatelj mora dati — to je samo vaša konfiguracijska datoteka nacrtana kao slika i možete ga napraviti sami jednom naredbom. To predlaže i sama WireGuard aplikacija:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

Na Debianu ili Ubuntuu qrencode dobivate s apt install qrencode; na macOS-u s brew install qrencode.

macOS i Linux

macOS

Instalirajte WireGuard iz Mac App Storea. Aplikacija za Mac nije aplikacija za iPhone na većem zaslonu: nalazi se u traci izbornika, a njezin se prozor otvara preko Manage Tunnels. Kliknite Import tunnel(s) from file (traka izbornika ima istu stavku kao Import Tunnel(s) from File…), odaberite svoju .conf datoteku, zatim označite tunel i kliknite Activate. Na Macu nema QR skenera — QR kodovi su za mobitele — pa koristite samu datoteku ili odaberite Add Empty Tunnel… i zalijepite konfiguraciju.

Ako vam je draži terminal, brew install wireguard-tools daje vam iste wg-quick naredbe kao na Linuxu, opisane u nastavku.

Linux

1. Instalirajte alate. Na Debianu ili Ubuntuu: sudo apt install wireguard. Većina distribucija ima paket istog imena.
2. Stavite datoteku tamo gdje je wg-quick traži. Na ovom koraku ljudi najčešće griješe, jer naziv datoteke postaje naziv sučelja:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   600 je važan — datoteka sadrži vaš privatni ključ i ne bi je smjeli moći čitati drugi korisnici na računalu. Neka naziv bude kratak i jednostavan; mora biti valjan naziv mrežnog sučelja.
3. Podignite tunel:

   sudo wg-quick up wg0
   sudo wg show

   wg show je jedina naredba koju vrijedi zapamtiti. Ispisuje peer, endpoint, redak latest handshake i brojače prometa. Vremenska oznaka handshakea koja se nikad ne pojavi znak je problema iz sljedećeg odjeljka.
4. Pokretanje pri podizanju sustava: sudo systemctl enable --now wg-quick@wg0. Za ručno zaustavljanje tunela, sudo wg-quick down wg0.

Na routeru, da pokrijete cijelu kuću

Tunel na routeru pokriva svaki uređaj iza njega, uključujući one koji uopće ne mogu pokrenuti VPN aplikaciju — igraću konzolu, televizor, pametni zvučnik. Možete li to napraviti, ovisi isključivo o firmveru.

Ako je vaš router kutija koju vam je dao internetski operater, realne mogućnosti su staviti iza nje router koji vi kontrolirate ili i dalje koristiti konfiguracije po uređaju. Nijedno nije neuspjeh; postavka po uređaju često je čak i bolja, jer tunel možete ostaviti isključenim na uređajima kojima ne treba.

Jedno treba odlučiti prije nego što cijelu kuću provedete kroz tunel: tada kroz njega ide sve. Bankarske stranice koje ne vole strane adrese, streaming koji provjerava vašu regiju i sve što komunicira s uređajima u vašoj mreži mogu se ponašati drukčije. Tu uži AllowedIPs pokazuje svoju vrijednost — pošaljite samo ono što mora ići, a ostalo ostavite na miru.

Spoji se, ali ništa se ne učitava, i drugi stvarni problemi

WireGuard je neobično tih kad ne radi, i to je namjerna odluka u dizajnu — na neautentificirani paket ne stiže nikakav odgovor, pa skener ne može znati sluša li itko. Nuspojava je da pogrešan ključ, pogrešan port i blokirana mreža s vaše strane izgledaju jednako: tišina. Krenite od simptoma.

„Handshake did not complete”

Vaš uređaj poslao je inicijalni paket i nije dobio ništa natrag. Provjerite ovim redom:

• Endpoint. Pravi host, pravi port, i port je UDP. Tipfeler ovdje daje točno ovaj simptom i ništa drugo.
• Stiže li UDP uopće van. Wi-Fi za goste, hotelske mreže, neke korporativne mreže i poneki mobilni operateri dopuštaju samo TCP na uobičajenim portovima. Ako ista konfiguracija radi na kućnoj vezi, a ne radi na jednoj određenoj mreži, konfiguracija je u redu, a problem je mreža.
• Ključevi su na pravom mjestu. PublicKey u [Peer] je javni ključ poslužitelja, a poslužitelj zasebno mora imati javni ključ koji odgovara vašem PrivateKey. Konfiguracija kopirana za drugi uređaj ovdje pada.
• Vaš sat. WireGuard handshake sadrži vremensku oznaku i odbija onu koja je jako pomaknuta. Rijetko, ali događa se na uređajima koji su izgubili točno vrijeme.

Ako tunel radi od kuće, ali nikad preko mobilne veze, uzrok je možda kod vašeg operatera, a ne kod vas — carrier-grade NAT i slična rješenja mijenjaju što do vas može doći. Vodič za prosljeđivanje portova objašnjava kako to za par minuta utvrditi na vlastitom routeru.

Problem s MTU-om, koji vrijedi jednom razumjeti

Ovo je klasičan slučaj „spojeno, ali internet ne radi”, a obrazac je prepoznatljiv: ping radi, DNS radi, male stranice rade, a sve malo veće zapne zauvijek.

Uzrok je veličina. Pakiranje prometa za tunel dodaje zaglavlja, pa paket koji je točno stao u vašu običnu vezu više ne stane kad je unutar WireGuarda. Mali paketi prolaze bez problema; veliki se odbacuju. Inače mreža pošiljatelju javi da koristi manje pakete, ali poruka koja to radi često se filtrira, pa umjesto greške jednostavno čekate.

Rješenje je reći WireGuardu da od početka koristi manje pakete. wg-quick to već pokušava: uzima MTU vaše obične rute i oduzima 80 bajtova za dodatno opterećenje tunela, pa na običnoj vezi od 1500 bajtova dobivate 1420. Kad je i to preveliko — na nekim mobilnim mrežama, na većini veza koje već idu kroz drugi tunel — postavite ga izričito i spuštajte se:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 je donja granica koju vrijedi probati, jer je to najmanja veličina paketa koju IPv6 zahtijeva da sve prenosi, pa prolazi praktički bilo kojim putem. Košta malo učinkovitosti, a daleko je bolje od tunela koji zapinje.

Tunel je podignut, ali ništa ne ide kroz njega

Najprije provjerite AllowedIPs. To nije vatrozid ni popis dopuštenja — određuje koja se odredišta uopće usmjeravaju u tunel. Ako ne uključuje 0.0.0.0/0, promet prema ostatku interneta nikad nije ni trebao ići kroz tunel i vaša se veza ponaša točno onako kako je konfigurirana. Na Linuxu ip route show table all | grep wg0 pokazuje što je stvarno usmjereno.

Ako je usmjeravanje ispravno, a nazivi se jednostavno ne razrješavaju, problem je redak DNS — ili nedostaje, ili postoji, ali se ne primjenjuje jer resolvconf nije instaliran.

Odakle dolazi konfiguracijska datoteka

Sve gore pretpostavlja da imate datoteku. Postoje točno dva načina da je dobijete.

Sami pokrenite poslužitelj

Generirate par ključeva, instalirate WireGuard na računalo s javnom adresom, dodate svoj uređaj kao peer i ručno napišete klijentsku konfiguraciju. Nije teško i stvarno je dobro to naučiti. Trošak je stalan: poslužitelj koji treba plaćati i redovito ažurirati te ručna izmjena na oba kraja svaki put kad dodate uređaj — jer, sjetite se, jedan peer je jedan uređaj.

Nabavite je od pružatelja usluge

Druga je mogućnost da se datoteka generira za vas, a vi je samo preuzmete. S HytHost VPN-om, od €0.99/mj, nalazi se ovdje:

1. Naručite uslugu i prijavite se u korisničko sučelje, zatim s popisa otvorite svoju VPN uslugu.
2. Pronađite odjeljak WireGuard Configuration. U njemu su dva gumba — Copy to Clipboard, koji tekst konfiguracije stavlja u međuspremnik, i Download Configuration, koji vam daje gotovu datoteku.
3. Ako ste je kopirali, zalijepite je u običan uređivač teksta i spremite s nastavkom .conf — wg0.conf je dobar naziv. Provjerite da uređivač nije na kraj dodao .txt.
4. Uvezite je prema odjeljku iznad za svoj uređaj. Na mobitelu je najprije pretvorite u QR kod s qrencode.

Ista stranica pokazuje je li tunel trenutačno spojen na poslužitelj, čime se pitanje „jesam li to ja ili oni” riješi prije nego što počnete mijenjati postavke. Gumba za QR kod nema — generirajte ga sami iz datoteke, što ujedno znači da kod nikad ne putuje nikamo kamo ne mora.