Jak použít konfigurační soubor WireGuard

Co je uvnitř souboru .conf, řádek po řádku

Každá konfigurace WireGuard má stejnou dvoudílnou strukturu. [Interface] popisuje váš konec tunelu; [Peer] popisuje stroj, ke kterému se připojujete. Tady je kompletní klientská konfigurace, v níž jsou tajné údaje nahrazeny zástupnými hodnotami:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Blok [Interface]: vaše strana

• PrivateKey — to je vaše identita ve VPN. Kdokoli ho má, může vystupovat jako vy. Má 44 znaků base64 a končí na =; pokud má váš jinou délku, soubor se někde při kopírování zkrátil.
• Address — IP adresa, kterou vaše zařízení má uvnitř tunelu, ne vaše veřejná IP. /32 znamená „jen tato jedna adresa“, což je u klienta normální.
• DNS — resolver, který se používá, dokud je tunel aktivní. Bez něj se vaše zařízení dál ptá starého resolveru, což jednak prozrazuje, co vyhledáváte, jednak často nedokáže přeložit nic na druhé straně.
• MTU — volitelný a zároveň nejužitečnější řádek, o kterém je dobré vědět. Ve většině souborů chybí, protože výchozí hodnota sedí; případ, kdy nesedí, najdete v části řešení problémů.

Blok [Peer]: strana serveru

• PublicKey — veřejný klíč serveru. Ten váš se ve vašem souboru nikdy neobjeví; drží ho server.
• Endpoint — kam posílat pakety, ve tvaru host:port. WireGuard funguje jen přes UDP a 51820 je obvyklý port, ne povinný.
• AllowedIPs — které cíle jdou tunelem. 0.0.0.0/0, ::/0 znamená všechno, k čemuž VPN pro soukromí slouží. Užší seznam — třeba jen interní rozsah vaší firmy — pošle tunelem jen to a zbytek nechá na běžném připojení. Takovému uspořádání se říká split tunnel (dělený tunel) a je to záměrná volba, ne rozbitý plný tunel.
• PersistentKeepalive — každých 25 sekund pošle malý paket, aby zařízení NAT mezi vámi a serverem udrželo zpáteční cestu otevřenou. Potřebujete ho vždy, když jste za NAT, a na telefonu nebo domácím připojení za ním jste vždycky.

Windows: import tunelu

Pro Windows existuje oficiální aplikace WireGuard a import souboru do ní je celá práce.

1. Nainstalujte WireGuard z wireguard.com/install.
2. Klikněte na Přidat tunel vlevo dole; otevře se výběr souborů filtrovaný na Konfigurace souborů (*.zip, *.conf). Vyberte svůj .conf a objeví se v seznamu tunelů pod názvem souboru.
3. Nebo ho vložte. Šipka vedle tlačítka Přidat tunel nabízí Přidat prázdný tunel…, který vám dá textové pole — hodí se, když konfigurace přišla ve zprávě, a ne jako soubor. Pole je předvyplněné novým privátním klíčem, takže ten řádek smažte a vložte přes něj celou svou konfiguraci.
4. Klikněte na Aktivovat. Stav se změní na Aktivní a panel začne počítat přenesené bajty. Tohle počítadlo je nejrychlejší kontrola, jakou máte: pokud ukazuje odchozí data a nic se nevrací, handshake se nedokončuje.

Android a iPhone: naskenujte QR kód nebo importujte soubor

Na telefonu máte dvě cesty a QR kód existuje právě proto, že psát 44znakový klíč na dotykové obrazovce je utrpení.

Android

1. Nainstalujte WireGuard z Play Store a klepněte na tlačítko +.
2. Obrazovka Vytvořit WireGuard tunel nabízí Skenovat z QR kódu, Importovat ze souboru nebo archivu a vytvoření tunelu od nuly. Vyberte to, co odpovídá tomu, co jste dostali.
3. Pokud se aplikace zeptá, pojmenujte tunel a pak přepněte jeho přepínač. Android se jednou zeptá na povolení přidat konfiguraci VPN — ten dotaz pochází od operačního systému, ne od aplikace.

iPhone a iPad

1. Nainstalujte WireGuard z App Store a klepněte na Add a tunnel.
2. V části Add a new WireGuard tunnel zvolte Create from QR code nebo Create from file or archive. Obrazovka skeneru má název Scan QR code; po úspěšném naskenování vás požádá o pojmenování tunelu.
3. Zapněte ho a povolte konfiguraci VPN, když se iOS zeptá.

Jak vytvořit QR kód z konfiguračního souboru, který už máte

QR kód není něco, co vám musí dát poskytovatel — je to jen váš konfigurační soubor nakreslený jako obrázek a můžete si ho vytvořit sami jedním příkazem. Aplikace WireGuard to sama doporučuje:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

Na Debianu nebo Ubuntu získáte qrencode přes apt install qrencode; na macOS přes brew install qrencode.

macOS a Linux

macOS

Nainstalujte WireGuard z Mac App Store. Aplikace pro Mac není aplikace pro iPhone na větší obrazovce: žije v liště nabídek a její okno se otevírá přes Manage Tunnels. Klikněte na Import tunnel(s) from file (v liště nabídek najdete totéž jako Import Tunnel(s) from File…), vyberte svůj .conf, pak označte tunel a klikněte na Activate. Na Macu není žádná čtečka QR kódů — QR kódy jsou pro telefony — takže použijte přímo soubor, nebo zvolte Add Empty Tunnel… a konfiguraci do něj vložte.

Pokud dáváte přednost terminálu, brew install wireguard-tools vám dá stejné příkazy wg-quick jako na Linuxu, popsané dále.

Linux

1. Nainstalujte nástroje. Na Debianu nebo Ubuntu: sudo apt install wireguard. Většina distribucí má balíček se stejným názvem.
2. Umístěte soubor tam, kde ho wg-quick hledá. Tady lidé chybují nejčastěji, protože název souboru se stane názvem rozhraní:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   Na 600 záleží — soubor obsahuje váš privátní klíč a ostatní uživatelé počítače by ho neměli mít možnost číst. Název držte krátký a jednoduchý; musí to být platný název síťového rozhraní.
3. Spusťte ho:

   sudo wg-quick up wg0
   sudo wg show

   wg show je jediný příkaz, který stojí za to si zapamatovat. Vypíše peer, endpoint, řádek latest handshake a počítadla přenosu. Časové razítko handshaku, které se nikdy neobjeví, je typický znak problému z další části.
4. Spouštění při startu: sudo systemctl enable --now wg-quick@wg0. Ručně tunel zastavíte příkazem sudo wg-quick down wg0.

Na routeru, aby byla pokrytá celá domácnost

Tunel na routeru pokryje každé zařízení za ním, včetně těch, na kterých aplikace VPN vůbec nepoběží — herní konzole, televize, chytrý reproduktor. Jestli to jde, záleží výhradně na firmwaru.

Pokud je váš router krabička, kterou vám dal poskytovatel internetu, reálné možnosti jsou zapojit za ni router, který máte pod kontrolou, nebo dál používat konfigurace pro jednotlivá zařízení. Ani jedno není prohra; nastavení po zařízeních je často i lepší, protože tunel můžete nechat vypnutý na zařízeních, která ho nepotřebují.

Jednu věc je dobré rozhodnout, než celou domácnost pošlete tunelem: tunelem pak jde všechno. Bankovní weby, které nemají rády zahraniční adresy, streamovací služby kontrolující váš region a cokoli, co komunikuje se zařízeními ve vaší vlastní síti, se mohou chovat jinak. Tady si užší AllowedIPs zaslouží své místo — posílejte tunelem jen to, co jím jít musí, a zbytek nechte být.

Připojí se, ale nic se nenačte — a další skutečné problémy

WireGuard při selhání neobvykle mlčí, a to je záměr — na neověřený paket nepřijde vůbec žádná odpověď, takže skener nepozná, jestli něco naslouchá. Vedlejším efektem je, že špatný klíč, špatný port i zablokovaná síť vypadají z vaší strany stejně: ticho. Postupujte podle příznaku.

"Handshake did not complete"

Vaše zařízení odeslalo iniciační paket a nic se nevrátilo. Zkontrolujte v tomto pořadí:

• Endpoint. Správný host, správný port a port je UDP. Překlep tady způsobí přesně tento příznak a nic jiného.
• Jestli se UDP vůbec dostane ven. Wi-Fi pro hosty, hotelové sítě, některé firemní sítě a pár mobilních operátorů povolují na běžných portech jen TCP. Pokud stejná konfigurace funguje doma a selhává v jedné konkrétní síti, konfigurace je v pořádku a problém je v síti.
• Klíče nejsou prohozené. PublicKey v [Peer] je veřejný klíč serveru a server musí zvlášť mít veřejný klíč odpovídající vašemu PrivateKey. Konfigurace zkopírovaná pro jiné zařízení selže právě tady.
• Vaše hodiny. Handshake WireGuardu obsahuje časové razítko a odmítne takové, které je hodně mimo. Stává se to zřídka, ale na zařízeních, která ztratila správný čas, ano.

Pokud tunel funguje z domova, ale nikdy z mobilního připojení, příčina může být na straně vašeho poskytovatele, ne u vás — carrier-grade NAT a podobná řešení mění, co se k vám dostane. Návod na přesměrování portů vysvětluje, jak to za pár minut zjistit z vlastního routeru.

Problém s MTU, který stojí za to jednou pochopit

Tohle je klasický případ „připojeno, ale internet je rozbitý“ a vzorec je typický: ping funguje, DNS funguje, malé stránky fungují a cokoli většího se navždy zasekne.

Příčinou je velikost. Zabalení provozu do tunelu přidává hlavičky, takže paket, který se přesně vešel do běžného připojení, se uvnitř WireGuardu už nevejde. Malé pakety projdou; velké se zahodí. Normálně síť odesílateli řekne, ať použije menší pakety, ale zpráva, která to dělá, bývá často filtrovaná, takže místo chyby prostě čekáte.

Řešením je říct WireGuardu, ať používá menší pakety od začátku. wg-quick se o to už snaží: vezme MTU vaší běžné trasy a odečte 80 bajtů na režii tunelu, takže na obyčejném 1500bajtovém připojení dostanete 1420. Když je to pořád moc — některé mobilní sítě, většina připojení, která už běží přes jiný tunel — nastavte hodnotu výslovně a postupně ji snižujte:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 je spodní hranice, kterou má smysl zkusit, protože je to nejmenší velikost paketu, kterou podle IPv6 musí přenést všechno, takže projde prakticky jakoukoli cestou. Stojí to trochu efektivity a je to mnohem lepší než tunel, který visí.

Tunel běží, ale nic jím neprochází

Nejdřív zkontrolujte AllowedIPs. Není to firewall ani seznam oprávnění — určuje, které cíle se do tunelu vůbec směrují. Pokud neobsahuje 0.0.0.0/0, provoz do zbytku internetu tunelem nikdy jít neměl a vaše připojení se chová přesně podle konfigurace. Na Linuxu ip route show table all | grep wg0 ukáže, co se skutečně nasměrovalo.

Pokud je směrování v pořádku a jen se nepřekládají názvy, jde o řádek DNS — buď chybí, nebo tam je, ale neuplatní se, protože není nainstalovaný resolvconf.

Kde konfigurační soubor získat

Všechno výše předpokládá, že soubor máte. Získat ho lze přesně dvěma způsoby.

Provozujte server sami

Vygenerujete pár klíčů, nainstalujete WireGuard na stroj s veřejnou adresou, přidáte své zařízení jako peer a klientskou konfiguraci napíšete ručně. Není to těžké a opravdu stojí za to se to naučit. Náklady jsou ale průběžné: server, za který platíte a který musíte aktualizovat, a ruční úprava na obou koncích pokaždé, když přidáte zařízení — protože pamatujte, jeden peer je jedno zařízení.

Získejte ho od poskytovatele

Alternativou je, že se soubor vygeneruje za vás a vy si ho stáhnete. U HytHost VPN od €0.99/měs ho najdete tady:

1. Objednejte službu a přihlaste se do klientské zóny, pak v seznamu otevřete svou službu VPN.
2. Najděte sekci WireGuard Configuration. Nabízí dvě tlačítka — Copy to Clipboard, které zkopíruje text konfigurace do schránky, a Download Configuration, které vám dá hotový soubor.
3. Pokud jste ho zkopírovali, vložte ho do obyčejného textového editoru a uložte s příponou .conf — wg0.conf je dobrý název. Ověřte, že editor nepřidal na konec .txt.
4. Importujte ho podle části výše pro vaše zařízení. Na telefonu z něj nejdřív vytvořte QR kód pomocí qrencode.

Stejná stránka ukazuje, jestli je tunel právě připojený k serveru, což vyřeší otázku „je chyba u mě, nebo u nich“ dřív, než začnete měnit nastavení. Tlačítko pro QR kód tam není — vytvořte si ho sami ze souboru, což zároveň znamená, že kód nikdy necestuje tam, kam nemusí.