Kuidas kasutada WireGuardi konfiguratsioonifaili

Mis on .conf-failis, rida realt

Igal WireGuardi konfiguratsioonil on sama kaheosaline ülesehitus. [Interface] kirjeldab tunneli sinu otsa; [Peer] kirjeldab masinat, millega ühendud. Siin on täielik kliendi konfiguratsioon, milles saladused on asendatud kohatäitjatega:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Plokk [Interface]: sinu pool

• PrivateKey — see ongi sinu identiteet VPN-is. Igaüks, kellel see on, võib esineda sinuna. See koosneb 44 base64-märgist ja lõpeb märgiga =; kui sinu oma on teistsuguse pikkusega, lõigati fail kopeerimisel kuskil lühemaks.
• Address — IP, mis sinu seadmel on tunneli sees, mitte sinu avalik IP. /32 tähendab „ainult see üks aadress“, mis on kliendi puhul tavaline.
• DNS — resolver, mida kasutatakse, kuni tunnel on üleval. Ilma selleta küsib seade edasi sinu vanalt resolverilt, mis nii lekitab, mida sa otsid, kui ka sageli ei suuda teisel pool midagi lahendada.
• MTU — valikuline ja ühtlasi kõige kasulikum rida, millest teada. Enamikus failides see puudub, sest vaikeväärtus on õige; juhtumit, kus see nii ei ole, vaata jaotisest tõrkeotsing.

Plokk [Peer]: serveri pool

• PublicKey — serveri avalik võti. Sinu enda oma ei ilmu sinu failis kunagi; seda hoiab server.
• Endpoint — kuhu pakette saata, kujul host:port. WireGuard töötab ainult UDP kaudu ja 51820 on tavapärane, mitte kohustuslik port.
• AllowedIPs — millised sihtkohad lähevad läbi tunneli. 0.0.0.0/0, ::/0 tähendab kõike, milleks privaatsust pakkuv VPN ongi mõeldud. Kitsam loend — näiteks ainult sinu ettevõtte sisevõrgu vahemik — saadab tunnelist läbi ainult selle ja jätab ülejäänu tavalisele ühendusele. Sellist lahendust nimetatakse split tunnel'iks (jagatud tunnel) ja see on teadlik valik, mitte katkine täistunnel.
• PersistentKeepalive — saadab iga 25 sekundi järel väikese paketi, et sinu ja serveri vahel olev NAT-seade hoiaks tagasitee lahti. Vajalik alati, kui oled NAT-i taga, ja telefonis või koduühenduses oled sa seda alati.

Windows: impordi tunnel

Windowsil on ametlik WireGuardi rakendus ja faili importimine sellesse ongi kogu töö.

1. Paigalda WireGuard aadressilt wireguard.com/install.
2. Klõpsa Lisa tunnel all vasakul, mis avab failivalija filtriga Seadistusfailid (*.zip, *.conf). Vali oma .conf ja see ilmub tunnelite loendisse faili nime all.
3. Või kleebi see hoopis. Nupu Lisa tunnel kõrval olev nool pakub valikut Lisa tühi tunnel…, mis annab sulle tekstikasti — kasulik, kui konfiguratsioon saabus sõnumis, mitte failina. Kast on eeltäidetud uue privaatvõtmega, nii et kustuta see rida ja kleebi selle asemele kogu oma konfiguratsioon.
4. Klõpsa Ühenda. Olek muutub väärtuseks Ühenduses ja paneel hakkab edastatud baite loendama. See baidiloendur on kiireim kontroll, mis sul on: kui see näitab väljaminevaid andmeid, aga midagi tagasi ei tule, ei jõua kätlus lõpuni.

Android ja iPhone: skaneeri QR-kood või impordi fail

Telefonis on sul kaks teed ja QR-kood on olemas just sellepärast, et 44-märgilise võtme trükkimine puuteekraanil on piin.

Android

1. Paigalda WireGuard Play Store'ist ja puuduta nuppu +.
2. Vaade Loo WireGuard tunnel pakub valikuid Skaneeri QR-koodist, Impordi failist või arhiivist ja tunneli loomist nullist. Vali see, mis vastab sellele, mille said.
3. Kui küsitakse, anna tunnelile nimi ja lülita siis selle lüliti sisse. Android küsib ühe korra luba VPN-i konfiguratsiooni lisamiseks — see küsimus tuleb operatsioonisüsteemilt, mitte rakenduselt.

iPhone ja iPad

1. Paigalda WireGuard App Store'ist ja puuduta Add a tunnel.
2. Jaotises Add a new WireGuard tunnel vali Create from QR code või Create from file or archive. Skanneri vaate pealkiri on Scan QR code; pärast edukat skaneerimist palub see tunnelile nime anda.
3. Lülita see sisse ja luba VPN-i konfiguratsioon, kui iOS küsib.

Kuidas teha QR-kood juba olemasolevast konfiguratsioonifailist

QR-kood ei ole miski, mille teenusepakkuja peab sulle andma — see on lihtsalt sinu konfiguratsioonifail pildina ja saad selle ühe käsuga ise teha. WireGuardi rakendus soovitab seda isegi ise:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

Debianis või Ubuntus saad qrencode'i käsuga apt install qrencode; macOS-is käsuga brew install qrencode.

macOS ja Linux

macOS

Paigalda WireGuard Mac App Store'ist. Maci rakendus ei ole iPhone'i rakendus suuremal ekraanil: see elab menüüribal ja selle aken avaneb valikust Manage Tunnels. Klõpsa Import tunnel(s) from file (menüüribal on sama asi nimega Import Tunnel(s) from File…), vali oma .conf, seejärel vali tunnel ja klõpsa Activate. Macis QR-skannerit ei ole — QR-koodid on telefonide jaoks —, nii et kasuta faili ennast või vali Add Empty Tunnel… ja kleebi konfiguratsioon sinna.

Kui eelistad terminali, annab brew install wireguard-tools sulle samad wg-quick-käsud nagu Linuxis, mida kirjeldatakse järgmisena.

Linux

1. Paigalda tööriistad. Debianis või Ubuntus: sudo apt install wireguard. Enamikul distributsioonidel on sama nimega pakett.
2. Pane fail sinna, kust wg-quick seda otsib. Just siin eksivad inimesed, sest failinimest saab liidese nimi:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   600 on oluline — fail sisaldab sinu privaatvõtit ja teised masina kasutajad ei tohiks seda lugeda saada. Hoia nimi lühike ja lihtne; see peab olema kehtiv võrguliidese nimi.
3. Tõsta see üles:

   sudo wg-quick up wg0
   sudo wg show

   wg show on ainus käsk, mida tasub meeles pidada. See näitab peeri, otspunkti, rida latest handshake ja edastusloendureid. Kätluse ajatempel, mis kunagi ei ilmu, on järgmises jaotises kirjeldatud probleemi tunnus.
4. Käivita see alglaadimisel: sudo systemctl enable --now wg-quick@wg0. Tunneli käsitsi peatamiseks: sudo wg-quick down wg0.

Ruuteris, et kogu kodu oleks kaetud

Tunnel ruuteris katab iga selle taga oleva seadme, ka need, mis VPN-i rakendust üldse käitada ei suuda — mängukonsool, teler, nutikõlar. Kas see on võimalik, sõltub täielikult sinu püsivarast.

Kui sinu ruuter on karp, mille internetiteenuse pakkuja sulle andis, on realistlikud võimalused panna selle taha ruuter, mida sa ise juhid, või jätkata seadmepõhiste konfiguratsioonidega. Kumbki ei ole läbikukkumine; seadmepõhine lahendus on sageli isegi parem, sest saad jätta tunneli välja lülitatuks seadmetes, mis seda ei vaja.

Üks asi tasub otsustada enne, kui kogu kodu tunnelist läbi suunad: siis läheb sellest läbi kõik. Pangalehed, mis välismaiseid aadresse ei salli, voogedastus, mis kontrollib sinu piirkonda, ja kõik, mis suhtleb sinu enda võrgu seadmetega, võivad käituda teisiti. Just siin tõestab kitsam AllowedIPs oma väärtust — saada läbi ainult see, mis peab minema, ja jäta ülejäänu rahule.

Ühendub, aga midagi ei laadi — ja muud päris probleemid

WireGuard on tõrke korral ebatavaliselt vaikne ja see on teadlik disainivalik — autentimata pakett ei saa üldse vastust, nii et skanner ei suuda öelda, kas keegi kuulab. Kõrvalmõju on see, et vale võti, vale port ja blokeeritud võrk näevad sinu poolt vaadates täpselt ühesugused välja: vaikus. Lähtu sümptomist.

"Handshake did not complete"

Sinu seade saatis algatuspaketi ega saanud midagi tagasi. Kontrolli selles järjekorras:

• Otspunkt. Õige host, õige port ja port on UDP. Trükiviga siin põhjustab täpselt selle sümptomi ja mitte midagi muud.
• Kas UDP üldse välja pääseb. Külaliste wifi, hotellivõrgud, mõned ettevõtete võrgud ja mõned mobiilioperaatorid lubavad levinud portidel ainult TCP-d. Kui sama konfiguratsioon töötab sinu koduühenduses ja ebaõnnestub ühes kindlas võrgus, on konfiguratsioon korras ja probleem on võrgus.
• Võtmed on õiget pidi. PublicKey plokis [Peer] on serveri avalik võti ja serveril peab eraldi olema avalik võti, mis vastab sinu PrivateKey-le. Teise seadme jaoks kopeeritud konfiguratsioon kukub läbi just siin.
• Sinu kell. WireGuardi kätlus sisaldab ajatemplit ja lükkab tagasi sellise, mis on kaugel paigast. Harva, aga juhtub seadmetes, mis on kellaaja kaotanud.

Kui tunnel töötab kodust, aga mitte kunagi mobiilsest ühendusest, võib põhjus olla pigem sinu teenusepakkuja kui sinu poolel — carrier-grade NAT ja sarnased lahendused muudavad seda, mis sinuni jõuda saab. Pordisuunamise juhend selgitab, kuidas seda oma ruuterist paari minutiga kindlaks teha.

MTU-probleem, mida tasub üks kord mõista

See on klassikaline „ühendatud, aga internet on katki“ juhtum ja muster on iseloomulik: ping töötab, DNS töötab, väikesed lehed töötavad ja kõik suurem jääb igaveseks toppama.

Põhjus on suurus. Liikluse tunneli jaoks pakendamine lisab päiseid, nii et pakett, mis mahtus täpselt sinu tavalisse ühendusse, ei mahu enam, kui see on WireGuardi sees. Väikesed paketid lähevad läbi; suured visatakse ära. Tavaliselt ütleb võrk saatjale, et see kasutaks väiksemaid pakette, kuid seda edastav teade filtreeritakse sageli välja, nii et vea asemel sa lihtsalt ootad.

Lahendus on öelda WireGuardile, et see kasutaks algusest peale väiksemaid pakette. wg-quick juba püüab seda teha: see võtab sinu tavalise marsruudi MTU ja lahutab tunneli lisakulu jaoks 80 baiti, nii et tavalises 1500-baidises ühenduses saad 1420. Kui see on ikka liiga suur — mõnes mobiilsidevõrgus ja enamikus ühendustes, mis juba käivad läbi teise tunneli —, määra see selgesõnaliselt ja liigu allapoole:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 on alampiir, mida tasub proovida, sest see on väikseim paketisuurus, mida IPv6 nõuab kõigilt edastada, nii et see pääseb läbi praktiliselt igast teest. See maksab veidi tõhususes ja on palju parem kui tunnel, mis hangub.

Tunnel on üleval, aga sellest ei lähe midagi läbi

Kontrolli kõigepealt AllowedIPs-i. See ei ole tulemüür ega õiguste loend — see otsustab, millised sihtkohad üldse tunnelisse suunatakse. Kui see ei sisalda 0.0.0.0/0, ei olnudki ülejäänud interneti liiklus mõeldud tunnelist läbi minema ja sinu ühendus käitub täpselt nii, nagu on seadistatud. Linuxis näitab ip route show table all | grep wg0, mis tegelikult suunati.

Kui marsruutimine on õige ja lihtsalt nimesid ei lahendata, on asi DNS-reas — see kas puudub või on olemas, aga ei rakendu, sest resolvconf ei ole paigaldatud.

Kust konfiguratsioonifail tuleb

Kõik ülaltoodu eeldab, et sul on fail olemas. Selle saamiseks on täpselt kaks võimalust.

Käita serverit ise

Genereerid võtmepaari, paigaldad WireGuardi avaliku aadressiga masinasse, lisad oma seadme peerina ja kirjutad kliendi konfiguratsiooni käsitsi. See ei ole keeruline ja seda tasub tõesti õppida. Kulu on aga jooksev: server, mille eest maksta ja mida uuendatuna hoida, ning käsitsi muudatus mõlemas otsas iga kord, kui lisad seadme — sest pea meeles, üks peer on üks seade.

Hangi see teenusepakkujalt

Teine võimalus on, et fail genereeritakse sinu eest ja sina lihtsalt laadid selle alla. Teenusega HytHost VPN, alates €0.99/kuus, leiad selle siit:

1. Telli teenus ja logi sisse kliendialale, seejärel ava loendist oma VPN-teenus.
2. Leia jaotis WireGuard Configuration. Sellel on kaks nuppu — Copy to Clipboard, mis kopeerib konfiguratsiooni teksti lõikelauale, ja Download Configuration, mis annab sulle valmis faili.
3. Kui sa selle kopeerisid, kleebi see lihtsasse tekstiredaktorisse ja salvesta laiendiga .conf — wg0.conf on hea nimi. Veendu, et redaktor ei lisanud lõppu .txt.
4. Impordi see oma seadme kohta käiva ülaltoodud jaotise järgi. Telefonis tee sellest esmalt qrencode'i abil QR-kood.

Samal lehel on näha, kas tunnel on praegu serveriga ühendatud, mis lahendab küsimuse „kas viga on minus või neis“ enne, kui hakkad seadeid muutma. QR-koodi nuppu ei ole — tee see failist ise, mis tähendab ka seda, et kood ei rända kunagi kuhugi, kuhu tal polnud vaja minna.