Zo gebruik je een WireGuard-configuratiebestand

Wat er in een .conf-bestand staat, regel voor regel

Elke WireGuard-configuratie heeft dezelfde opbouw in twee delen. [Interface] beschrijft jouw kant van de tunnel; [Peer] beschrijft de machine waarmee je verbindt. Hier is een complete clientconfiguratie waarin de geheimen door plaatshouders zijn vervangen:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Het blok [Interface]: jouw kant

• PrivateKey: dit is je identiteit op de VPN. Wie hem heeft, kan zich als jou voordoen. Het zijn 44 base64-tekens die eindigen op =; is die van jou een andere lengte, dan is het bestand ergens tijdens het kopiëren afgekapt.
• Address: het IP dat je apparaat binnen de tunnel heeft, niet je publieke IP. De /32 betekent "alleen dit ene adres", wat normaal is voor een client.
• DNS: de resolver die wordt gebruikt zolang de tunnel actief is. Zonder deze regel blijft je apparaat je oude resolver bevragen, waardoor uitlekt wat je opzoekt en er aan de andere kant vaak niets wordt opgelost.
• MTU: optioneel, en de nuttigste regel om te kennen. Hij ontbreekt in de meeste bestanden omdat de standaardwaarde klopt; zie problemen oplossen voor het geval dat dat niet zo is.

Het blok [Peer]: de kant van de server

• PublicKey: de publieke sleutel van de server. Die van jou staat nooit in je eigen bestand; de server bewaart hem.
• Endpoint: waar de pakketten naartoe gaan, als host:port. WireGuard werkt alleen over UDP, en 51820 is de gebruikelijke poort, geen verplichte.
• AllowedIPs: welke bestemmingen door de tunnel gaan. 0.0.0.0/0, ::/0 betekent alles, en daar is een privacy-VPN voor bedoeld. Een kortere lijst (bijvoorbeeld alleen het interne netwerk van je bedrijf) stuurt alleen dat door de tunnel en laat de rest over je gewone verbinding lopen. Die opzet heet een split tunnel, en het is een bewuste keuze, geen kapotte volledige tunnel.
• PersistentKeepalive: stuurt elke 25 seconden een klein pakket, zodat het NAT-apparaat tussen jou en de server de terugweg openhoudt. Nodig zodra je achter NAT zit, en op een telefoon of een thuisverbinding is dat altijd zo.

Windows: de tunnel importeren

Voor Windows is er een officiële WireGuard-app, en een bestand daarin importeren is het hele werk.

1. Installeer WireGuard via wireguard.com/install.
2. Klik op Tunnel toevoegen linksonder. Er opent een bestandskiezer die filtert op Configuratiebestanden (*.zip, *.conf). Kies je .conf en hij verschijnt in de tunnellijst, met de naam van het bestand.
3. Of plak hem. Het pijltje naast Tunnel toevoegen biedt Voeg lege tunnel toe…, dat je een tekstvak geeft: handig als de configuratie in een bericht binnenkwam in plaats van als bestand. Er staat al een nieuwe privésleutel ingevuld, dus verwijder die regel en plak je eigen configuratie eroverheen.
4. Klik op Activeer. De status verandert in Actief en het paneel begint de overgedragen bytes te tellen. Die teller is je snelste controle: gaan er wel gegevens uit maar komt er niets terug, dan komt je handshake niet rond.

Android en iPhone: scan de QR-code of importeer het bestand

Op een telefoon heb je twee manieren, en de QR-code bestaat juist omdat een sleutel van 44 tekens intypen op een touchscreen een ramp is.

Android

1. Installeer WireGuard uit de Play Store en tik op de knop +.
2. Het scherm WireGuard tunnel aanmaken biedt Scan van QR code, Importeren uit bestand of archief en er zelf een aanmaken. Kies wat past bij wat je hebt gekregen.
3. Geef de tunnel een naam als daarom gevraagd wordt en zet de schakelaar om. Android vraagt één keer toestemming om een VPN-configuratie toe te voegen: die melding komt van het besturingssysteem, niet van de app.

iPhone en iPad

1. Installeer WireGuard uit de App Store en tik op Add a tunnel.
2. Kies onder Add a new WireGuard tunnel voor Create from QR code of Create from file or archive. Het scannerscherm heet Scan QR code; na een geslaagde scan vraagt het je de tunnel een naam te geven.
3. Zet hem aan en sta de VPN-configuratie toe wanneer iOS erom vraagt.

Een QR-code maken van een configuratiebestand dat je al hebt

Een QR-code hoeft je provider je niet te geven: het is gewoon je configuratiebestand als afbeelding, en je kunt hem zelf maken met één commando. De WireGuard-app stelt dit zelf ook voor:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

Op Debian of Ubuntu installeer je qrencode met apt install qrencode; op macOS met brew install qrencode.

macOS en Linux

macOS

Installeer WireGuard uit de Mac App Store. De Mac-app is niet de iPhone-app op een groter scherm: hij zit in de menubalk en het venster open je via Manage Tunnels. Klik op Import tunnel(s) from file (in de menubalk staat hetzelfde als Import Tunnel(s) from File…), kies je .conf, selecteer de tunnel en klik op Activate. Er is geen QR-scanner op de Mac (QR-codes zijn voor telefoons), dus gebruik het bestand zelf, of kies Add Empty Tunnel… en plak de configuratie erin.

Werk je liever in een terminal, dan geeft brew install wireguard-tools je dezelfde wg-quick-commando's als op Linux, die hieronder worden beschreven.

Linux

1. Installeer de tools. Op Debian of Ubuntu: sudo apt install wireguard. De meeste distributies hebben een pakket met dezelfde naam.
2. Zet het bestand waar wg-quick het zoekt. Dit is de stap waarin het vaak misgaat, omdat de bestandsnaam de naam van de interface wordt:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   De 600 is belangrijk: het bestand bevat je privésleutel en mag niet leesbaar zijn voor andere gebruikers op de machine. Houd de naam kort en eenvoudig; het moet een geldige naam voor een netwerkinterface zijn.
3. Breng hem omhoog:

   sudo wg-quick up wg0
   sudo wg show

   wg show is het enige commando dat je moet onthouden. Het toont de peer, het endpoint, een regel latest handshake en tellers voor het verkeer. Verschijnt er nooit een handshake-tijdstip, dan heb je het probleem uit de volgende sectie.
4. Automatisch starten bij het opstarten: sudo systemctl enable --now wg-quick@wg0. Om de tunnel met de hand te stoppen: sudo wg-quick down wg0.

Op de router, zodat het hele huis gedekt is

Zet je de tunnel op de router, dan valt elk apparaat erachter eronder, ook de apparaten die helemaal geen VPN-app kunnen draaien: een spelcomputer, een tv, een slimme speaker. Of dat kan, hangt volledig af van je firmware.

Is je router het kastje dat je van je internetprovider kreeg, dan zijn de realistische opties: een router die je zelf beheert erachter zetten, of per apparaat configuraties blijven gebruiken. Geen van beide is een mislukking; een opzet per apparaat is vaak zelfs beter, omdat je de tunnel uit kunt laten op de apparaten die hem niet nodig hebben.

Eén ding om te beslissen voordat je het hele huis door een tunnel stuurt: daarna gaat alles erdoor. Banksites die buitenlandse adressen niet vertrouwen, streamingdiensten die je regio controleren en alles wat met apparaten op je eigen netwerk praat, kunnen zich anders gedragen. Hier bewijst een kortere AllowedIPs zijn waarde: stuur alleen door wat erdoor moet en laat de rest met rust.

Verbonden maar er laadt niets, en andere echte problemen

WireGuard is opvallend stil als het misgaat, en dat is een bewuste ontwerpkeuze: een niet-geauthenticeerd pakket krijgt helemaal geen antwoord, zodat een scanner niet kan zien of er iets luistert. Het neveneffect is dat een verkeerde sleutel, een verkeerde poort en een geblokkeerd netwerk er aan jouw kant precies hetzelfde uitzien: stilte. Werk vanuit het symptoom.

"Handshake did not complete"

Je apparaat heeft een initiatiepakket verstuurd en niets teruggekregen. Controleer, in deze volgorde:

• Het endpoint. Juiste host, juiste poort, en de poort is UDP. Een typefout hier geeft precies dit symptoom en niets anders.
• Of UDP überhaupt naar buiten komt. Gastwifi, hotelnetwerken, sommige bedrijfsnetwerken en een paar mobiele providers laten op gangbare poorten alleen TCP toe. Werkt dezelfde configuratie op je thuisverbinding en faalt hij op één bepaald netwerk, dan is de configuratie in orde en ligt het aan het netwerk.
• Of de sleutels goed om staan. PublicKey in [Peer] is de publieke sleutel van de server, en de server moet los daarvan de publieke sleutel hebben die bij jouw PrivateKey hoort. Een configuratie die voor een ander apparaat is gekopieerd, strandt hier.
• Je klok. De handshake van WireGuard bevat een tijdstempel en weigert er een die ver afwijkt. Zeldzaam, maar het gebeurt op apparaten die hun tijd kwijt zijn.

Werkt de tunnel thuis wel maar nooit via een mobiele verbinding, dan kan de oorzaak bij je provider liggen in plaats van bij jou: carrier-grade NAT en vergelijkbare constructies veranderen wat jou kan bereiken. De handleiding over port forwarding legt uit hoe je dat binnen een paar minuten vanaf je eigen router vaststelt.

Het MTU-probleem, dat je één keer goed moet begrijpen

Dit is het klassieke geval van "verbonden maar het internet werkt niet", en het patroon is onmiskenbaar: ping werkt, DNS werkt, kleine pagina's werken, en alles wat wat groter is blijft eeuwig hangen.

De oorzaak is grootte. Het inpakken van je verkeer voor de tunnel voegt headers toe, waardoor een pakket dat precies in je gewone verbinding paste, niet meer past zodra het in WireGuard zit. Kleine pakketten komen er zonder moeite door; grote worden weggegooid. Normaal laat het netwerk de afzender weten dat die kleinere pakketten moet gebruiken, maar het bericht dat dat doet wordt vaak gefilterd, dus in plaats van een foutmelding blijf je gewoon wachten.

De oplossing is WireGuard vanaf het begin kleinere pakketten te laten gebruiken. wg-quick probeert dat al: het neemt de MTU van je gewone route en trekt er 80 bytes af voor de overhead van de tunnel, dus op een gewone verbinding van 1500 bytes krijg je 1420. Is dat nog te groot (sommige mobiele netwerken, de meeste verbindingen die al over een andere tunnel lopen), stel hem dan expliciet in en ga stapsgewijs omlaag:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 is de ondergrens die het proberen waard is, omdat dat de kleinste pakketgrootte is die IPv6 van alles eist, waardoor hij vrijwel elk pad overleeft. Het kost een beetje efficiëntie en is veel beter dan een tunnel die blijft hangen.

De tunnel is actief maar er gaat niets doorheen

Controleer eerst AllowedIPs. Het is geen firewall en geen lijst met rechten: het bepaalt welke bestemmingen überhaupt de tunnel in worden gerouteerd. Staat 0.0.0.0/0 er niet in, dan was het verkeer naar de rest van het internet nooit bedoeld om erdoor te gaan, en doet je verbinding precies wat er is ingesteld. Op Linux toont ip route show table all | grep wg0 wat er werkelijk is gerouteerd.

Klopt de routering en worden namen gewoon niet opgelost, dan is het de regel DNS: hij ontbreekt, of hij staat er wel maar wordt niet toegepast omdat resolvconf niet is geïnstalleerd.

Waar het configuratiebestand vandaan komt

Alles hierboven gaat ervan uit dat je een bestand hebt. Er zijn precies twee manieren om er een te krijgen.

Zelf de server draaien

Je genereert een sleutelpaar, installeert WireGuard op een machine met een publiek adres, voegt je apparaat toe als peer en schrijft de clientconfiguratie met de hand. Het is niet moeilijk en echt de moeite waard om te leren. Wat het kost, blijft doorlopen: een server om te betalen en bij te werken, en een handmatige aanpassing aan beide kanten telkens als je een apparaat toevoegt, want vergeet niet: één peer is één apparaat.

Er een krijgen van een provider

Het alternatief is dat het bestand voor je wordt aangemaakt en jij het alleen downloadt. Bij HytHost VPN, vanaf €0.99/mnd, vind je het hier:

1. Bestel de dienst en log in op de klantomgeving, en open daarna je VPN-dienst in de lijst.
2. Zoek het onderdeel WireGuard Configuration. Dat geeft je twee knoppen: Copy to Clipboard, dat de configuratietekst naar je klembord kopieert, en Download Configuration, dat je het kant-en-klare bestand geeft.
3. Heb je hem gekopieerd, plak hem dan in een eenvoudige teksteditor en sla hem op met de extensie .conf; wg0.conf is een goede naam. Let erop dat je editor er geen .txt achter heeft gezet.
4. Importeer hem met de sectie hierboven voor jouw apparaat. Op een telefoon maak je er eerst een QR-code van met qrencode.

Dezelfde pagina laat zien of de tunnel op dit moment met de server verbonden is, wat de vraag "ligt het aan mij of aan hen?" beantwoordt voordat je instellingen gaat veranderen. Er is geen knop voor een QR-code: maak hem zelf van het bestand, wat ook betekent dat de code nooit ergens terechtkomt waar hij niet hoefde te zijn.