איך משתמשים בקובץ תצורה של WireGuard

מה יש בקובץ .conf, שורה אחר שורה

לכל תצורת WireGuard יש אותו מבנה דו-חלקי. [Interface] מתאר את הקצה שלכם במנהרה; [Peer] מתאר את המכונה שאליה אתם מתחברים. הנה תצורת לקוח מלאה שבה הסודות הוחלפו בערכים לדוגמה:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

בלוק [Interface]: הצד שלכם

• PrivateKey — זו היא הזהות שלכם ב-VPN. מי שמחזיק בו יכול להתחזות אליכם. הוא באורך 44 תווי base64 ומסתיים ב-=; אם האורך שלכם שונה, הקובץ נקטע איפשהו בזמן ההעתקה.
• Address — כתובת ה-IP שהמכשיר שלכם מקבל בתוך המנהרה, לא כתובת ה-IP הציבורית שלכם. /32 פירושו „רק הכתובת הזו“, וזה רגיל עבור לקוח.
• DNS — שרת ה-DNS שמשמש בזמן שהמנהרה פעילה. בלעדיו המכשיר ממשיך לפנות לשרת הקודם, מה שגם חושף מה אתם מחפשים וגם לעיתים קרובות לא מצליח לפענח שום דבר בצד השני.
• MTU — אופציונלי, וזו השורה השימושית ביותר להכיר. ברוב הקבצים היא חסרה כי ערך ברירת המחדל נכון; ראו פתרון בעיות למקרה שבו הוא לא.

בלוק [Peer]: הצד של השרת

• PublicKey — המפתח הציבורי של השרת. המפתח הציבורי שלכם אף פעם לא מופיע בקובץ שלכם; השרת מחזיק אותו.
• Endpoint — לאן לשלוח את החבילות, בפורמט host:port. WireGuard עובד רק ב-UDP, ו-51820 הוא הפורט המקובל, לא פורט חובה.
• AllowedIPs — אילו יעדים עוברים דרך המנהרה. 0.0.0.0/0, ::/0 פירושו הכול, ובשביל זה בדיוק קיים VPN לפרטיות. רשימה צרה יותר — נניח רק הטווח הפנימי של החברה שלכם — מעבירה רק אותו דרך המנהרה ומשאירה את כל השאר על החיבור הרגיל. הסידור הזה נקרא split tunnel, והוא בחירה מכוונת, לא מנהרה מלאה שהתקלקלה.
• PersistentKeepalive — שולח חבילה קטנה כל 25 שניות כדי שהתקן ה-NAT שביניכם לבין השרת ישאיר את נתיב החזרה פתוח. נחוץ בכל פעם שאתם מאחורי NAT, ובטלפון או בחיבור ביתי אתם תמיד מאחוריו.

Windows: ייבוא המנהרה

ל-Windows יש אפליקציית WireGuard רשמית, וייבוא קובץ אליה הוא כל העבודה.

1. התקינו את WireGuard מ-wireguard.com/install.
2. לחצו על הוספת מנהרה בפינה השמאלית התחתונה, וייפתח בוחר קבצים שמסונן ל-קבצי תצורה (*.zip, *.conf). בחרו את קובץ ה-.conf שלכם והוא יופיע ברשימת המנהרות, בשם הקובץ.
3. או הדביקו אותו. החץ שליד הוספת מנהרה מציע הוספת מנהרה ריקה…, שנותנת לכם תיבת טקסט — שימושי כשהתצורה הגיעה בהודעה ולא כקובץ. התיבה ממולאת מראש במפתח פרטי חדש, אז מחקו את השורה הזו והדביקו את התצורה שלכם במקומה.
4. לחצו על הפעל. הסטטוס משתנה ל-פעיל והלוח מתחיל לספור את הבייטים שהועברו. מונה הבייטים הזה הוא בדיקת השפיות המהירה ביותר שיש לכם: אם הוא מראה נתונים שיוצאים ושום דבר שחוזר, ה-handshake לא מסתיים.

Android ו-iPhone: סריקת קוד QR או ייבוא הקובץ

בטלפון יש שתי דרכים, וקוד ה-QR קיים בדיוק כי הקלדה של מפתח בן 44 תווים במסך מגע היא סבל.

Android

1. התקינו את WireGuard מ-Play Store והקישו על כפתור ה-+.
2. המסך Create WireGuard Tunnel מציע Scan from QR code, Import from file or archive ויצירת מנהרה מאפס. בחרו את מה שמתאים למה שקיבלתם.
3. תנו למנהרה שם אם תתבקשו, ואז הפעילו את המתג שלה. Android מבקש פעם אחת הרשאה להוסיף תצורת VPN — הבקשה הזו מגיעה ממערכת ההפעלה, לא מהאפליקציה.

iPhone ו-iPad

1. התקינו את WireGuard מ-App Store והקישו על Add a tunnel.
2. תחת Add a new WireGuard tunnel, בחרו Create from QR code או Create from file or archive. מסך הסריקה נקרא Scan QR code; אחרי סריקה מוצלחת הוא מבקש מכם לתת שם למנהרה.
3. הפעילו אותה ואשרו את תצורת ה-VPN כש-iOS מבקש.

יצירת קוד QR מקובץ תצורה שכבר יש לכם

קוד QR הוא לא משהו שהספק חייב לתת לכם — הוא פשוט קובץ התצורה שלכם מצויר כתמונה, ואפשר ליצור אותו בעצמכם בפקודה אחת. אפליקציית WireGuard עצמה אפילו מציעה את זה:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

ב-Debian או Ubuntu, qrencode מותקן עם apt install qrencode; ב-macOS, עם brew install qrencode.

macOS ו-Linux

macOS

התקינו את WireGuard מ-Mac App Store. אפליקציית ה-Mac היא לא אפליקציית ה-iPhone על מסך גדול יותר: היא יושבת בשורת התפריטים, והחלון שלה נפתח מ-Manage Tunnels. לחצו על Import tunnel(s) from file (בשורת התפריטים אותה פעולה מופיעה בשם Import Tunnel(s) from File…), בחרו את קובץ ה-.conf, ואז בחרו את המנהרה ולחצו על Activate. ב-Mac אין סורק QR — קודי QR נועדו לטלפונים — אז השתמשו בקובץ עצמו, או בחרו Add Empty Tunnel… והדביקו את התצורה.

אם אתם מעדיפים לעבוד בטרמינל, brew install wireguard-tools נותן לכם את אותן פקודות wg-quick כמו ב-Linux, שמתוארות בהמשך.

Linux

1. התקינו את הכלים. ב-Debian או Ubuntu: sudo apt install wireguard. לרוב ההפצות יש חבילה באותו שם.
2. שימו את הקובץ במקום שבו wg-quick מחפש אותו. זה השלב שבו אנשים טועים, כי שם הקובץ הופך לשם הממשק:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   ה-600 חשוב — הקובץ מכיל את המפתח הפרטי שלכם ואסור שמשתמשים אחרים במכונה יוכלו לקרוא אותו. שמרו על שם קצר ופשוט; הוא חייב להיות שם תקין של ממשק רשת.
3. הפעילו אותה:

   sudo wg-quick up wg0
   sudo wg show

   wg show היא הפקודה היחידה שכדאי לזכור. היא מדפיסה את ה-peer, את ה-endpoint, שורת latest handshake ומוני העברה. חותמת זמן של handshake שאף פעם לא מופיעה היא הסימן המובהק לבעיה שבסעיף הבא.
4. הפעלה אוטומטית באתחול: sudo systemctl enable --now wg-quick@wg0. כדי לעצור את המנהרה ידנית, sudo wg-quick down wg0.

בנתב, כדי שכל הבית יהיה מכוסה

הצבת המנהרה על הנתב מכסה כל מכשיר שמאחוריו, כולל כאלה שבכלל לא יכולים להריץ אפליקציית VPN — קונסולת משחקים, טלוויזיה, רמקול חכם. האם אפשר לעשות את זה תלוי לגמרי בקושחה שלכם.

אם הנתב שלכם הוא הקופסה שחברת האינטרנט נתנה לכם, האפשרויות הריאליות הן לחבר מאחוריו נתב שאתם שולטים בו, או להמשיך עם תצורה נפרדת לכל מכשיר. אף אחת מהן אינה כישלון; הגדרה לכל מכשיר היא לעיתים קרובות אפילו עדיפה, כי אפשר להשאיר את המנהרה כבויה במכשירים שלא צריכים אותה.

דבר אחד שכדאי להחליט לפני שמעבירים את כל הבית דרך מנהרה: הכול עובר דרכה מאותו רגע. אתרי בנקים שלא אוהבים כתובות זרות, שירותי סטרימינג שבודקים את האזור שלכם, וכל מה שמדבר עם מכשירים ברשת הביתית שלכם — כולם עלולים להתנהג אחרת. כאן AllowedIPs צר יותר מוכיח את ערכו — שלחו רק את מה שצריך לעבור, ואת השאר השאירו כמו שהוא.

מתחבר אבל שום דבר לא נטען, ובעיות אמיתיות אחרות

WireGuard שקט באופן חריג כשהוא נכשל, וזו החלטת תכנון מכוונת — חבילה לא מאומתת לא מקבלת שום תשובה, כך שסורק לא יכול לדעת אם משהו מאזין. תופעת הלוואי היא שמפתח שגוי, פורט שגוי ורשת חסומה נראים אצלכם בדיוק אותו דבר: שקט. התחילו מהסימפטום.

„Handshake did not complete“

המכשיר שלכם שלח חבילת פתיחה ולא קיבל שום דבר בחזרה. בדקו, בסדר הזה:

• ה-endpoint. המארח הנכון, הפורט הנכון, והפורט הוא UDP. שגיאת הקלדה כאן יוצרת בדיוק את הסימפטום הזה ושום דבר אחר.
• האם UDP בכלל יוצא החוצה. רשתות Wi-Fi לאורחים, רשתות של בתי מלון, חלק מהרשתות הארגוניות וכמה מפעילים סלולריים מאפשרים רק TCP בפורטים הנפוצים. אם אותה תצורה עובדת בחיבור הביתי ונכשלת ברשת מסוימת אחת, התצורה תקינה והבעיה ברשת.
• המפתחות במקום הנכון. PublicKey ב-[Peer] הוא המפתח הציבורי של השרת, והשרת צריך להחזיק בנפרד את המפתח הציבורי שתואם ל-PrivateKey שלכם. תצורה שהועתקה בשביל מכשיר אחר נכשלת כאן.
• השעון שלכם. ה-handshake של WireGuard כולל חותמת זמן ודוחה חותמת רחוקה מדי. נדיר, אבל זה קורה במכשירים שאיבדו את השעה.

אם המנהרה עובדת מהבית אבל אף פעם לא מחיבור סלולרי, ייתכן שהסיבה אצל הספק שלכם ולא אצלכם — carrier-grade NAT וסידורים דומים משנים את מה שיכול להגיע אליכם. המדריך ל-port forwarding מסביר איך לזהות את זה מהנתב שלכם בתוך כמה דקות.

בעיית ה-MTU, שכדאי להבין פעם אחת

זה המקרה הקלאסי של „מחובר אבל האינטרנט שבור“, והדפוס מובהק: ping עובד, DNS עובד, דפים קטנים עובדים, וכל דבר משמעותי נתקע לנצח.

הסיבה היא גודל. עטיפת התעבורה בשביל המנהרה מוסיפה כותרות, כך שחבילה שהתאימה בדיוק לחיבור הרגיל שלכם כבר לא נכנסת ברגע שהיא בתוך WireGuard. חבילות קטנות עוברות בלי בעיה; גדולות נזרקות. בדרך כלל הרשת אומרת לשולח להשתמש בחבילות קטנות יותר, אבל ההודעה שעושה את זה מסוננת לעיתים קרובות, כך שבמקום שגיאה אתם פשוט מחכים.

הפתרון הוא לומר ל-WireGuard להשתמש בחבילות קטנות יותר מההתחלה. wg-quick כבר מנסה: הוא לוקח את ה-MTU של הנתיב הרגיל שלכם ומפחית 80 בייטים בשביל התקורה של המנהרה, כך שבחיבור רגיל של 1500 בייטים מקבלים 1420. כשזה עדיין גדול מדי — בחלק מהרשתות הסלולריות, ברוב החיבורים שכבר עוברים דרך מנהרה אחרת — הגדירו אותו במפורש ורדו בהדרגה:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 היא הרצפה שכדאי לנסות, כי זה גודל החבילה הקטן ביותר ש-IPv6 מחייב כל נתיב להעביר, ולכן הוא שורד כמעט בכל מסלול. הוא עולה מעט ביעילות, וזה הרבה יותר טוב ממנהרה שנתקעת.

המנהרה פעילה אבל שום דבר לא עובר דרכה

בדקו קודם את AllowedIPs. זו לא חומת אש ולא רשימת הרשאות — היא קובעת אילו יעדים בכלל מנותבים לתוך המנהרה. אם היא לא כוללת 0.0.0.0/0, התעבורה לשאר האינטרנט מלכתחילה לא הייתה אמורה לעבור דרכה, והחיבור שלכם מתנהג בדיוק כפי שהוגדר. ב-Linux, ip route show table all | grep wg0 מראה מה באמת נותב.

אם הניתוב נכון ושמות פשוט לא מפוענחים, זו שורת ה-DNS — או שהיא חסרה, או שהיא קיימת אבל לא הוחלה כי resolvconf לא מותקן.

מאיפה מגיע קובץ התצורה

כל מה שלמעלה מניח שיש לכם קובץ. יש בדיוק שתי דרכים להשיג אחד.

להריץ את השרת בעצמכם

אתם מייצרים זוג מפתחות, מתקינים WireGuard על מכונה עם כתובת ציבורית, מוסיפים את המכשיר שלכם כ-peer וכותבים את תצורת הלקוח ביד. זה לא קשה, וזה באמת דבר טוב ללמוד. המחיר הוא שוטף: שרת שצריך לשלם עליו ולעדכן אותו, ועריכה ידנית בשני הקצוות בכל פעם שמוסיפים מכשיר — כי, כזכור, peer אחד הוא מכשיר אחד.

לקבל אחד מספק

האלטרנטיבה היא שהקובץ נוצר בשבילכם ואתם מורידים אותו. עם HytHost VPN, החל מ-€0.99 לחודש, הנה איפה הוא נמצא:

1. הזמינו את השירות והתחברו לאזור הלקוחות, ואז פתחו את שירות ה-VPN שלכם מהרשימה.
2. מצאו את האזור WireGuard Configuration. יש בו שני כפתורים — Copy to Clipboard, שמעתיק את טקסט התצורה ללוח, ו-Download Configuration, שנותן לכם את הקובץ המוכן.
3. אם העתקתם אותו, הדביקו אותו בעורך טקסט פשוט ושמרו עם הסיומת .conf — wg0.conf הוא שם טוב. ודאו שהעורך לא הוסיף .txt בסוף.
4. ייבאו אותו לפי הסעיף שלמעלה עבור המכשיר שלכם. בטלפון, הפכו אותו קודם לקוד QR עם qrencode.

אותו עמוד מראה אם המנהרה מחוברת כרגע לשרת, מה שסוגר את השאלה „זה אצלי או אצלם“ לפני שמתחילים לשנות הגדרות. אין כפתור לקוד QR — צרו אותו בעצמכם מהקובץ, מה שגם אומר שהקוד אף פעם לא עובר למקום שהוא לא היה צריך להגיע אליו.