آموزش استفاده از فایل کانفیگ WireGuard

داخل فایل .conf چیست، خط به خط

همهٔ کانفیگ‌های WireGuard ساختار دوبخشی یکسانی دارند. [Interface] سمت شما از تونل را توصیف می‌کند؛ [Peer] دستگاهی را که به آن وصل می‌شوید. این یک کانفیگ کامل کلاینت است که اطلاعات محرمانه‌اش با مقادیر نمونه جایگزین شده‌اند:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

بخش [Interface]: سمت شما

• PrivateKey — این همان هویت شما در VPN است. هر کسی آن را داشته باشد می‌تواند خودش را جای شما جا بزند. طولش 44 کاراکتر base64 است و به = ختم می‌شود؛ اگر طول کلید شما فرق دارد، فایل جایی موقع کپی کردن ناقص شده است.
• Address — آدرس IP که دستگاه شما داخل تونل دارد، نه IP عمومی شما. /32 یعنی «فقط همین یک آدرس» که برای کلاینت عادی است.
• DNS — سرور DNS که تا وقتی تونل روشن است استفاده می‌شود. بدون آن دستگاه همچنان از DNS قبلی می‌پرسد؛ هم نشان می‌دهد دنبال چه چیزی هستید و هم اغلب نمی‌تواند چیزی را در آن سمت تونل پیدا کند.
• MTU — اختیاری است و مفیدترین خطی است که باید بشناسید. در بیشتر فایل‌ها نیست چون مقدار پیش‌فرض درست است؛ برای حالتی که درست نیست، بخش رفع مشکلات را ببینید.

بخش [Peer]: سمت سرور

• PublicKey — کلید عمومی سرور. کلید عمومی خود شما هرگز در فایل خودتان نمی‌آید؛ آن را سرور نگه می‌دارد.
• Endpoint — مقصد ارسال بسته‌ها، به شکل host:port. WireGuard فقط از UDP استفاده می‌کند و 51820 پورت رایج است، نه پورت اجباری.
• AllowedIPs — اینکه کدام مقصدها از تونل عبور کنند. 0.0.0.0/0, ::/0 یعنی همه‌چیز، که دقیقاً کاربرد یک VPN برای حریم خصوصی است. یک فهرست محدودتر — مثلاً فقط رنج داخلی شرکتتان — فقط همان را از تونل می‌فرستد و بقیه را روی اتصال معمولی‌تان می‌گذارد. به این حالت تونل تفکیکی (split tunnel) می‌گویند و یک انتخاب آگاهانه است، نه یک تونل کامل خراب.
• PersistentKeepalive — هر 25 ثانیه یک بستهٔ کوچک می‌فرستد تا دستگاه NAT بین شما و سرور مسیر برگشت را باز نگه دارد. هر وقت پشت NAT باشید لازم است، و روی گوشی یا اینترنت خانگی همیشه پشت NAT هستید.

Windows: وارد کردن تونل

ویندوز اپلیکیشن رسمی WireGuard دارد و تمام کار، وارد کردن یک فایل در آن است.

1. WireGuard را نصب کنید از wireguard.com/install.
2. روی افزودن تونل کلیک کنید که پایین سمت چپ است؛ پنجرهٔ انتخاب فایل با فیلتر فایل پیکربندی (*.zip, *.conf) باز می‌شود. فایل .conf خود را انتخاب کنید تا با همان نام فایل در فهرست تونل‌ها ظاهر شود.
3. یا آن را جای‌گذاری کنید. فلش کنار افزودن تونل گزینهٔ افزودن تونل خالی… را دارد که یک کادر متنی به شما می‌دهد — به درد وقتی می‌خورد که کانفیگ در یک پیام به دستتان رسیده، نه به صورت فایل. این کادر از قبل یک کلید خصوصی تازه در خود دارد؛ آن خط را پاک کنید و کانفیگ خودتان را روی آن جای‌گذاری کنید.
4. روی فعال‌سازی کلیک کنید. وضعیت به فعال تغییر می‌کند و پنل شروع به شمردن بایت‌های منتقل‌شده می‌کند. این شمارندهٔ بایت سریع‌ترین راه بررسی است: اگر داده‌ای بیرون می‌رود و چیزی برنمی‌گردد، handshake شما کامل نمی‌شود.

Android و iPhone: اسکن کد QR یا وارد کردن فایل

روی گوشی دو راه دارید، و کد QR دقیقاً به این دلیل وجود دارد که تایپ کردن یک کلید 44 کاراکتری روی صفحهٔ لمسی عذاب است.

Android

1. WireGuard را از Play Store نصب کنید و دکمهٔ + را بزنید.
2. صفحهٔ ساخت تونل WireGuard گزینه‌های اسکن از کد QR، واردکردن از طریق پرونده یا آرشیو و ساختن تونل از صفر را نشان می‌دهد. هر کدام را که با چیزی که دریافت کرده‌اید جور است انتخاب کنید.
3. اگر خواسته شد برای تونل نام بگذارید، سپس کلید آن را روشن کنید. Android یک بار اجازهٔ افزودن پیکربندی VPN را می‌پرسد — این پیام از طرف سیستم‌عامل است، نه اپلیکیشن.

iPhone و iPad

1. WireGuard را از App Store نصب کنید و روی اضافه کردن تونل بزنید.
2. زیر اضافه کردن تونل جدید وایرگارد، گزینهٔ ساختن از طریق QR کد یا ساختن از طریق پرونده یا آرشیو را انتخاب کنید. عنوان صفحهٔ اسکنر اسکن کد QR است؛ بعد از اسکن موفق از شما می‌خواهد برای تونل نام بگذارید.
3. آن را روشن کنید و وقتی iOS پرسید، اجازهٔ پیکربندی VPN را بدهید.

ساختن کد QR از فایل کانفیگی که همین حالا دارید

کد QR چیزی نیست که حتماً ارائه‌دهنده باید به شما بدهد — فقط همان فایل کانفیگ شماست که به شکل تصویر کشیده شده، و خودتان می‌توانید با یک دستور آن را بسازید. خود اپلیکیشن WireGuard هم همین را پیشنهاد می‌کند:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

روی Debian یا Ubuntu، qrencode را با apt install qrencode نصب می‌کنید؛ روی macOS با brew install qrencode.

macOS و Linux

macOS

WireGuard را از Mac App Store نصب کنید. اپلیکیشن مک همان اپلیکیشن آیفون روی صفحهٔ بزرگ‌تر نیست: در نوار منو قرار می‌گیرد و پنجره‌اش از مدیریت تونل‌ها باز می‌شود. روی وارد کردن تونل(ها) از پرونده کلیک کنید (همین گزینه در نوار منو با نام وارد کردن تونل(ها) از پرونده… هست)، فایل .conf خود را انتخاب کنید، سپس تونل را انتخاب کرده و روی فعال‌سازی کلیک کنید. مک اسکنر QR ندارد — کدهای QR برای گوشی هستند — پس از خود فایل استفاده کنید، یا افزودن تونل خالی… را انتخاب کرده و کانفیگ را در آن جای‌گذاری کنید.

اگر ترجیح می‌دهید در ترمینال کار کنید، brew install wireguard-tools همان دستورهای wg-quick لینوکس را به شما می‌دهد که در ادامه توضیح داده شده‌اند.

Linux

1. ابزارها را نصب کنید. روی Debian یا Ubuntu: sudo apt install wireguard. بیشتر توزیع‌ها بسته‌ای با همین نام دارند.
2. فایل را جایی بگذارید که wg-quick دنبالش می‌گردد. این همان مرحله‌ای است که بیشتر اشتباه می‌شود، چون نام فایل به نام رابط شبکه تبدیل می‌شود:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   600 مهم است — فایل کلید خصوصی شما را دارد و نباید برای کاربران دیگر این سیستم قابل خواندن باشد. نام را کوتاه و ساده نگه دارید؛ باید یک نام معتبر برای رابط شبکه باشد.
3. تونل را بالا بیاورید:

   sudo wg-quick up wg0
   sudo wg show

   wg show تنها دستوری است که ارزش به خاطر سپردن دارد. peer، endpoint، یک خط latest handshake و شمارنده‌های انتقال را چاپ می‌کند. زمان handshake که هیچ‌وقت ظاهر نمی‌شود نشانهٔ همان مشکلی است که در بخش بعد آمده.
4. اجرا هنگام بوت: sudo systemctl enable --now wg-quick@wg0. برای خاموش کردن دستی تونل، sudo wg-quick down wg0.

روی روتر، تا کل خانه پوشش داده شود

قرار دادن تونل روی روتر همهٔ دستگاه‌های پشت آن را پوشش می‌دهد، حتی آن‌هایی که اصلاً نمی‌توانند اپلیکیشن VPN اجرا کنند — کنسول بازی، تلویزیون، اسپیکر هوشمند. اینکه بتوانید این کار را بکنید یا نه کاملاً به فریمور روترتان بستگی دارد.

اگر روتر شما همان دستگاهی است که شرکت اینترنت به شما داده، گزینه‌های واقعی این است که یک روتر تحت کنترل خودتان پشت آن بگذارید، یا همچنان برای هر دستگاه کانفیگ جداگانه استفاده کنید. هیچ‌کدام شکست نیست؛ تنظیم جداگانه برای هر دستگاه اغلب حتی بهتر است، چون می‌توانید تونل را روی دستگاه‌هایی که به آن نیاز ندارند خاموش بگذارید.

قبل از اینکه کل خانه را از یک تونل عبور دهید، یک چیز را باید تصمیم بگیرید: از آن به بعد همه‌چیز از آن عبور می‌کند. سایت‌های بانکی که آدرس‌های خارجی را دوست ندارند، سرویس‌های استریم که منطقهٔ شما را بررسی می‌کنند، و هر چیزی که با دستگاه‌های شبکهٔ خودتان حرف می‌زند، ممکن است رفتار متفاوتی داشته باشند. اینجاست که یک AllowedIPs محدودتر ارزشش را نشان می‌دهد — فقط چیزی را بفرستید که لازم است، و بقیه را دست نزنید.

وصل می‌شود اما هیچ چیز باز نمی‌شود، و مشکلات واقعی دیگر

WireGuard وقتی شکست می‌خورد به طرز غیرعادی ساکت است، و این یک تصمیم طراحی عمدی است — به بستهٔ احراز هویت‌نشده هیچ پاسخی داده نمی‌شود، پس اسکنر نمی‌تواند بفهمد چیزی در حال گوش دادن است یا نه. اثر جانبی‌اش این است که کلید اشتباه، پورت اشتباه و شبکهٔ مسدود از سمت شما دقیقاً یک شکل دارند: سکوت. از روی علامت‌ها پیش بروید.

«Handshake did not complete»

دستگاه شما یک بستهٔ آغاز اتصال فرستاده و هیچ پاسخی نگرفته است. به این ترتیب بررسی کنید:

• Endpoint. هاست درست، پورت درست، و پورت از نوع UDP. یک غلط تایپی اینجا دقیقاً همین علامت را ایجاد می‌کند و هیچ چیز دیگری.
• اینکه اصلاً UDP به بیرون می‌رسد یا نه. وای‌فای مهمان، شبکهٔ هتل‌ها، بعضی شبکه‌های سازمانی و چند اپراتور موبایل فقط TCP را روی پورت‌های رایج اجازه می‌دهند. اگر همان کانفیگ روی اینترنت خانه کار می‌کند و روی یک شبکهٔ خاص نه، کانفیگ درست است و مشکل از شبکه است.
• کلیدها جابه‌جا نشده باشند. PublicKey در [Peer] کلید عمومی سرور است، و سرور باید جداگانه کلید عمومی متناظر با PrivateKey شما را داشته باشد. کانفیگی که برای دستگاه دیگری کپی شده اینجا شکست می‌خورد.
• ساعت دستگاه. handshake در WireGuard یک مهر زمانی دارد و مهری را که خیلی با زمان درست فاصله دارد رد می‌کند. نادر است، اما روی دستگاه‌هایی که تنظیم ساعتشان را از دست داده‌اند پیش می‌آید.

اگر تونل از خانه کار می‌کند اما هیچ‌وقت با اینترنت موبایل نه، ممکن است علت در سمت ارائه‌دهندهٔ اینترنت شما باشد نه شما — carrier-grade NAT و ترتیبات مشابه تعیین می‌کنند چه چیزی می‌تواند به شما برسد. راهنمای port forwarding توضیح می‌دهد چطور در چند دقیقه این را از روی روتر خودتان تشخیص دهید.

مشکل MTU، که ارزش دارد یک بار درست بفهمیدش

این همان حالت کلاسیک «وصل است اما اینترنت خراب است» است و الگویش مشخص است: ping کار می‌کند، DNS کار می‌کند، صفحه‌های کوچک باز می‌شوند، و هر چیز بزرگ‌تری برای همیشه گیر می‌کند.

علت، اندازه است. بسته‌بندی ترافیک برای تونل هدر اضافه می‌کند، پس بسته‌ای که دقیقاً در اتصال معمولی شما جا می‌شد، وقتی داخل WireGuard می‌رود دیگر جا نمی‌شود. بسته‌های کوچک راحت رد می‌شوند؛ بزرگ‌ها دور ریخته می‌شوند. معمولاً شبکه به فرستنده می‌گوید بسته‌های کوچک‌تر بفرستد، اما پیامی که این کار را می‌کند اغلب فیلتر می‌شود، پس به جای خطا فقط منتظر می‌مانید.

راه حل این است که از همان اول به WireGuard بگویید بسته‌های کوچک‌تر بفرستد. wg-quick خودش این کار را امتحان می‌کند: MTU مسیر معمولی شما را برمی‌دارد و 80 بایت برای سربار تونل از آن کم می‌کند، پس روی یک اتصال معمولی 1500 بایتی عدد 1420 به دست می‌آید. وقتی این هم هنوز زیاد است — در بعضی شبکه‌های موبایل و بیشتر اتصال‌هایی که خودشان از داخل تونل دیگری می‌گذرند — آن را صریحاً تنظیم کنید و قدم به قدم پایین بیایید:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 پایین‌ترین عددی است که ارزش امتحان دارد، چون کوچک‌ترین اندازهٔ بسته‌ای است که IPv6 همهٔ مسیرها را ملزم به حمل آن می‌کند، پس تقریباً از هر مسیری عبور می‌کند. کمی از کارایی کم می‌کند و بسیار بهتر از تونلی است که گیر می‌کند.

تونل روشن است اما چیزی از آن عبور نمی‌کند

اول AllowedIPs را بررسی کنید. این فایروال یا فهرست مجوز نیست — تعیین می‌کند اصلاً کدام مقصدها به داخل تونل مسیریابی شوند. اگر شامل 0.0.0.0/0 نباشد، ترافیک بقیهٔ اینترنت از اول قرار نبوده از تونل عبور کند و اتصال شما دقیقاً طبق پیکربندی رفتار می‌کند. روی Linux، دستور ip route show table all | grep wg0 نشان می‌دهد واقعاً چه چیزی مسیریابی شده.

اگر مسیریابی درست است و فقط نام‌ها resolve نمی‌شوند، مشکل از خط DNS است — یا وجود ندارد، یا هست اما اعمال نشده چون resolvconf نصب نیست.

فایل کانفیگ از کجا می‌آید

همهٔ مطالب بالا فرض می‌کند که یک فایل دارید. برای به دست آوردنش دقیقاً دو راه وجود دارد.

سرور را خودتان راه بیندازید

یک جفت کلید می‌سازید، WireGuard را روی دستگاهی با آدرس عمومی نصب می‌کنید، دستگاه خود را به عنوان peer اضافه می‌کنید و کانفیگ کلاینت را دستی می‌نویسید. سخت نیست و واقعاً یادگرفتنش ارزش دارد. هزینه‌اش همیشگی است: سروری که باید پولش را بدهید و به‌روز نگهش دارید، و هر بار که دستگاهی اضافه می‌کنید ویرایش دستی در هر دو طرف — چون یادتان باشد، هر peer یک دستگاه است.

آن را از یک ارائه‌دهنده بگیرید

راه دیگر این است که فایل برای شما ساخته شود و شما فقط دانلودش کنید. با HytHost VPN، از €0.99 در ماه، جای آن اینجاست:

1. سرویس را سفارش دهید و وارد ناحیهٔ کاربری شوید، سپس سرویس VPN خود را از فهرست باز کنید.
2. بخش WireGuard Configuration را پیدا کنید. دو دکمه در اختیارتان می‌گذارد — Copy to Clipboard که متن کانفیگ را در کلیپ‌بورد می‌گذارد، و Download Configuration که فایل آماده را به شما می‌دهد.
3. اگر آن را کپی کردید، در یک ویرایشگر متن ساده جای‌گذاری کنید و با پسوند .conf ذخیره کنید — wg0.conf نام خوبی است. مطمئن شوید ویرایشگر .txt به انتهای نام اضافه نکرده باشد.
4. آن را وارد کنید طبق بخش مربوط به دستگاهتان در بالا. روی گوشی، اول با qrencode آن را به کد QR تبدیل کنید.

همان صفحه نشان می‌دهد که آیا تونل در حال حاضر به سرور وصل است یا نه، و این پیش از آنکه شروع به تغییر تنظیمات کنید، به سؤال «مشکل از من است یا از آن‌ها» جواب می‌دهد. دکمه‌ای برای کد QR وجود ندارد — خودتان آن را از فایل بسازید، که یعنی کد هیچ‌وقت به جایی که لازم نبوده نمی‌رود.