WireGuard konfigurációs fájl használata

Mi van egy .conf fájlban, soronként

Minden WireGuard konfiguráció ugyanabból a két részből áll. Az [Interface] a te oldaladat írja le az alagútban; a [Peer] azt a gépet, amelyhez csatlakozol. Íme egy teljes kliens konfiguráció, amelyben a titkos adatokat helyőrzők váltják fel:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Az [Interface] blokk: a te oldalad

• PrivateKey — ez maga a személyazonosságod a VPN-en. Aki birtokolja, a nevedben léphet fel. 44 base64 karakterből áll, és = jelre végződik; ha a tiéd más hosszúságú, a fájl valahol másolás közben megcsonkult.
• Address — az IP, amelyet az eszközöd az alagút belsejében kap, nem a nyilvános IP-d. A /32 azt jelenti: „csak ez az egy cím”, ami egy kliensnél teljesen normális.
• DNS — a névfeloldó, amelyet az eszköz az alagút működése alatt használ. Nélküle az eszközöd továbbra is a régi feloldót kérdezi, ami elárulja, mit keresel, és gyakran semmit sem tud feloldani a túloldalon.
• MTU — nem kötelező, mégis ezt a sort a leghasznosabb ismerni. A legtöbb fájlból hiányzik, mert az alapértelmezett érték megfelelő; azt az esetet, amikor nem, a hibaelhárítás részben találod.

A [Peer] blokk: a szerver oldala

• PublicKey — a szerver nyilvános kulcsa. A sajátod sosem szerepel a saját fájlodban; azt a szerver tárolja.
• Endpoint — hová kell küldeni a csomagokat, host:port formában. A WireGuard kizárólag UDP-n működik, az 51820 pedig a megszokott port, nem kötelező.
• AllowedIPs — mely célok mennek az alagúton keresztül. A 0.0.0.0/0, ::/0 mindent jelent, és egy adatvédelmi VPN pont erre való. Egy szűkebb lista — mondjuk csak a céged belső címtartománya — csak azt küldi át, a többit a normál kapcsolaton hagyja. Ezt split tunnel elrendezésnek hívják, és tudatos döntés, nem egy elromlott teljes alagút.
• PersistentKeepalive — 25 másodpercenként küld egy kis csomagot, hogy a közted és a szerver között lévő NAT eszköz nyitva tartsa a visszautat. Mindig szükség van rá, ha NAT mögött vagy, telefonon vagy otthoni kapcsolaton pedig mindig az vagy.

Windows: az alagút importálása

A Windowshoz van hivatalos WireGuard alkalmazás, és a fájl importálása a teljes feladat.

1. Telepítsd a WireGuardot innen: wireguard.com/install.
2. Kattints az Alagút hozzáadása gombra bal alul, amely egy Konfigurációs fájlok (*.zip, *.conf) szűrővel ellátott fájlválasztót nyit meg. Válaszd ki a .conf fájlodat, és megjelenik az alagutak listájában, a fájl nevével.
3. Vagy illeszd be. Az Alagút hozzáadása melletti nyíl alatt található az Üres alagút hozzáadása…, amely egy szövegmezőt ad — hasznos, ha a konfiguráció üzenetben érkezett, nem fájlként. A mező előre kitölt egy új privát kulcsot, ezért töröld azt a sort, és illeszd be felülre a saját konfigurációdat.
4. Kattints az Aktiválás gombra. Az állapot Aktív lesz, és a panel elkezdi számolni az átvitt bájtokat. Ez a bájtszámláló a leggyorsabb ellenőrzés, ami a kezedben van: ha kimenő adatot mutat, de semmi nem jön vissza, a handshake nem fejeződik be.

Android és iPhone: QR kód beolvasása vagy fájl importálása

Telefonon két út van, és a QR kód pontosan azért létezik, mert egy 44 karakteres kulcsot érintőképernyőn begépelni kínszenvedés.

Android

1. Telepítsd a WireGuardot a Play Store-ból, és koppints a + gombra.
2. A WireGuard alagút létrehozása képernyőn a Beolvasás QR kódból, a Fájlból vagy tömörített állományból importálás és a nulláról való létrehozás közül választhatsz. Válaszd azt, amelyik illik ahhoz, amit kaptál.
3. Ha kéri, adj nevet az alagútnak, majd kapcsold be a kapcsolóját. Az Android egyszer engedélyt kér egy VPN-konfiguráció hozzáadásához — ez a kérdés az operációs rendszertől jön, nem az alkalmazástól.

iPhone és iPad

1. Telepítsd a WireGuardot az App Store-ból, és koppints az Add a tunnel gombra.
2. Az Add a new WireGuard tunnel alatt válaszd a Create from QR code vagy a Create from file or archive lehetőséget. A beolvasó képernyő címe Scan QR code; sikeres beolvasás után megkér, hogy nevezd el az alagutat.
3. Kapcsold be, és engedélyezd a VPN-konfigurációt, amikor az iOS rákérdez.

QR kód készítése egy meglévő konfigurációs fájlból

A QR kódot nem kell a szolgáltatónak adnia — ez csupán a konfigurációs fájlod képként megrajzolva, és egyetlen paranccsal magad is elkészítheted. Maga a WireGuard alkalmazás is ezt javasolja:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

Debianon vagy Ubuntun a qrencode az apt install qrencode paranccsal telepíthető; macOS-en a brew install qrencode paranccsal.

macOS és Linux

macOS

Telepítsd a WireGuardot a Mac App Store-ból. A Mac-alkalmazás nem az iPhone-os alkalmazás nagyobb képernyőn: a menüsorban él, az ablaka pedig a Manage Tunnels menüpontból nyílik. Kattints az Import tunnel(s) from file gombra (a menüsorban ugyanez Import Tunnel(s) from File… néven szerepel), válaszd ki a .conf fájlodat, majd jelöld ki az alagutat, és kattints az Activate gombra. Macen nincs QR-olvasó — a QR kódok telefonra valók —, ezért magát a fájlt használd, vagy válaszd az Add Empty Tunnel… lehetőséget, és illeszd be a konfigurációt.

Ha inkább terminálban dolgoznál, a brew install wireguard-tools ugyanazokat a wg-quick parancsokat adja, mint Linuxon — ezeket alább írjuk le.

Linux

1. Telepítsd az eszközöket. Debianon vagy Ubuntun: sudo apt install wireguard. A legtöbb disztribúcióban azonos nevű csomag van.
2. Tedd a fájlt oda, ahol a wg-quick keresi. Ennél a lépésnél hibáznak a legtöbben, mert a fájlnévből lesz az interfész neve:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   A 600 fontos — a fájl a privát kulcsodat tartalmazza, és a gép többi felhasználója nem olvashatja. A név legyen rövid és egyszerű; érvényes hálózati interfésznévnek kell lennie.
3. Indítsd el:

   sudo wg-quick up wg0
   sudo wg show

   A wg show az egyetlen parancs, amelyet érdemes megjegyezni. Kiírja a peert, az endpointot, egy latest handshake sort és a forgalomszámlálókat. Ha a handshake időbélyege sosem jelenik meg, az a következő részben tárgyalt probléma jele.
4. Indítás rendszerindításkor: sudo systemctl enable --now wg-quick@wg0. Az alagút kézi leállításához: sudo wg-quick down wg0.

A routeren, hogy az egész ház le legyen fedve

Ha az alagút a routeren fut, minden mögötte lévő eszközt lefed, azokat is, amelyek egyáltalán nem tudnak VPN-alkalmazást futtatni — játékkonzolt, tévét, okoshangszórót. Hogy meg tudod-e csinálni, az kizárólag a firmware-en múlik.

Ha a routered az a doboz, amelyet az internetszolgáltató adott, a reális lehetőségek: mögé teszel egy saját routert, vagy maradsz az eszközönkénti konfigurációknál. Egyik sem kudarc; az eszközönkénti megoldás gyakran még jobb is, mert azokon az eszközökön, amelyeknek nincs rá szükségük, kikapcsolva hagyhatod az alagutat.

Egy dolgot el kell döntened, mielőtt az egész házat az alagúton át vezeted: onnantól minden azon megy át. A külföldi címeket nem kedvelő banki oldalak, a régiódat ellenőrző streaming és minden, ami a saját hálózatodon lévő eszközökkel kommunikál, másképp viselkedhet. Itt mutatja meg az értékét egy szűkebb AllowedIPs — csak azt küldd át, aminek muszáj, a többit hagyd békén.

Csatlakozik, de semmi nem töltődik be, és más valós problémák

A WireGuard szokatlanul csendes, amikor nem működik, és ez tudatos tervezési döntés — egy nem hitelesített csomagra egyáltalán nem érkezik válasz, így egy szkenner nem tudja megállapítani, figyel-e valami. A mellékhatás az, hogy a rossz kulcs, a rossz port és a blokkolt hálózat a te oldaladról pontosan ugyanúgy néz ki: csend. Indulj ki a tünetből.

„Handshake did not complete”

Az eszközöd elküldött egy kezdeményező csomagot, és semmit nem kapott vissza. Ebben a sorrendben ellenőrizd:

• Az endpoint. Jó host, jó port, és a port UDP. Egy elírás itt pontosan ezt a tünetet okozza, semmi mást.
• Kijut-e egyáltalán az UDP. A vendég wifi, a szállodai hálózatok, egyes céges hálózatok és néhány mobilszolgáltató csak TCP-t enged a szokásos portokon. Ha ugyanaz a konfiguráció otthon működik, egy adott hálózaton viszont nem, akkor a konfiguráció rendben van, és a hálózat a hibás.
• A kulcsok a helyükön vannak. A [Peer] alatti PublicKey a szerver nyilvános kulcsa, a szervernek pedig külön tárolnia kell azt a nyilvános kulcsot, amely a te PrivateKey kulcsodhoz tartozik. Egy másik eszközhöz készült, átmásolt konfiguráció itt bukik el.
• Az órád. A WireGuard handshake időbélyeget tartalmaz, és elutasítja, ha az nagyon eltér. Ritka, de előfordul olyan eszközökön, amelyek elvesztették a pontos időt.

Ha az alagút otthonról működik, mobilkapcsolatról viszont soha, az ok lehet a szolgáltatódnál, nem nálad — a carrier-grade NAT és a hasonló megoldások megváltoztatják, mi érhet el téged. A porttovábbítási útmutató elmagyarázza, hogyan derítheted ki ezt pár perc alatt a saját routereden.

Az MTU-probléma, amelyet egyszer érdemes megérteni

Ez a klasszikus „csatlakozik, de nem megy az internet” eset, és a minta jellegzetes: a ping működik, a DNS működik, a kis oldalak betöltődnek, minden nagyobb pedig örökre megakad.

Az ok a méret. A forgalom alagúthoz csomagolása fejléceket ad hozzá, így egy csomag, amely pontosan belefért a normál kapcsolatodba, a WireGuardon belül már nem fér bele. A kis csomagok simán átmennek; a nagyokat eldobja a hálózat. Normál esetben a hálózat szól a küldőnek, hogy kisebb csomagokat használjon, de az ezt közlő üzenetet gyakran kiszűrik, így hibaüzenet helyett egyszerűen csak vársz.

A megoldás az, hogy már az elején kisebb csomagok használatára utasítod a WireGuardot. A wg-quick ezt már megpróbálja: veszi a normál útvonalad MTU-ját, és levon belőle 80 bájtot az alagút többletterhelésére, így egy szokásos 1500 bájtos kapcsolaton 1420-at kapsz. Ha ez még mindig túl nagy — egyes mobilhálózatokon, a legtöbb olyan kapcsolaton, amely már egy másik alagúton fut —, állítsd be kifejezetten, és haladj lefelé:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

Az 1280 az az alsó határ, amelyet érdemes kipróbálni, mert ez a legkisebb csomagméret, amelynek továbbítását az IPv6 mindentől megköveteli, így gyakorlatilag bármilyen útvonalon átjut. Egy kis hatékonyságba kerül, de sokkal jobb, mint egy akadozó alagút.

Az alagút fent van, de semmi nem megy át rajta

Először az AllowedIPs sort ellenőrizd. Ez nem tűzfal és nem engedélylista — azt dönti el, mely célok kerülnek egyáltalán az alagútba. Ha nem tartalmazza a 0.0.0.0/0 tartományt, akkor az internet többi részére irányuló forgalomnak sosem volt dolga az alagúton, és a kapcsolatod pontosan úgy viselkedik, ahogy beállították. Linuxon az ip route show table all | grep wg0 megmutatja, mi került ténylegesen az útválasztásba.

Ha az útválasztás rendben van, és a nevek egyszerűen nem oldódnak fel, akkor a DNS sor a ludas — vagy hiányzik, vagy megvan, de nem lép érvénybe, mert a resolvconf nincs telepítve.

Honnan származik a konfigurációs fájl

A fentiek mind azt feltételezik, hogy van egy fájlod. Pontosan két módon juthatsz hozzá.

Futtasd magad a szervert

Létrehozol egy kulcspárt, telepíted a WireGuardot egy nyilvános címmel rendelkező gépre, peerként hozzáadod az eszközödet, és kézzel megírod a kliens konfigurációt. Nem nehéz, és tényleg érdemes megtanulni. A költsége folyamatos: egy szerver, amelyért fizetni kell és frissen kell tartani, valamint kézi módosítás mindkét oldalon minden alkalommal, amikor új eszközt adsz hozzá — mert ne feledd, egy peer egy eszköz.

Szerezd be egy szolgáltatótól

A másik lehetőség, hogy a fájlt legenerálják neked, te pedig letöltöd. A HytHost VPN esetében, havi €0.99-tól, itt találod:

1. Rendeld meg a szolgáltatást, és jelentkezz be az ügyfélterületre, majd a listából nyisd meg a VPN szolgáltatásodat.
2. Keresd meg a WireGuard Configuration részt. Két gombot kapsz — a Copy to Clipboard a vágólapra teszi a konfiguráció szövegét, a Download Configuration pedig a kész fájlt adja.
3. Ha kimásoltad, illeszd be egy egyszerű szövegszerkesztőbe, és mentsd .conf kiterjesztéssel — a wg0.conf jó név. Figyelj, hogy a szerkesztő ne tegyen a végére .txt kiterjesztést.
4. Importáld a fenti, eszközödnek megfelelő rész szerint. Telefonon előbb alakítsd QR kóddá a qrencode segítségével.

Ugyanez az oldal mutatja, hogy az alagút éppen csatlakozik-e a szerverhez, így az „én rontom el vagy ők” kérdés eldől, mielőtt nekiállnál a beállításokat módosítani. QR-kód gomb nincs — generáld magad a fájlból, ami azt is jelenti, hogy a kód sosem jut el oda, ahová nem kell.