Како да користите WireGuard конфигурациска датотека

Што има во .conf датотеката, линија по линија

Секоја WireGuard конфигурација ја има истата структура од два дела. [Interface] го опишува вашиот крај на тунелот; [Peer] ја опишува машината на која се поврзувате. Еве целосна клиентска конфигурација во која тајните податоци се заменети со резервирани вредности:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Блокот [Interface]: вашата страна

• PrivateKey — ова е вашиот идентитет на VPN-от. Кој и да го поседува, може да се претстави како вас. Има 44 base64 знаци и завршува со =; ако вашиот е со друга должина, датотеката е скратена некаде при копирањето.
• Address — IP адресата што вашиот уред ја има внатре во тунелот, не вашата јавна IP адреса. /32 значи „само оваа една адреса“, што е нормално за клиент.
• DNS — резолверот што се користи додека тунелот е активен. Без него уредот продолжува да го прашува стариот резолвер, со што открива што барате и честопати не успева да разреши ништо од другата страна.
• MTU — опционално, и најкорисната линија што треба да ја знаете. Ја нема во повеќето датотеки бидејќи стандардната вредност е точна; видете го делот за решавање проблеми за случајот кога не е.

Блокот [Peer]: страната на серверот

• PublicKey — јавниот клуч на серверот. Вашиот никогаш не се појавува во вашата датотека; го чува серверот.
• Endpoint — каде се испраќаат пакетите, во форма host:port. WireGuard работи само преку UDP, а 51820 е вообичаената порта, не задолжителна.
• AllowedIPs — кои дестинации одат низ тунелот. 0.0.0.0/0, ::/0 значи сè, а токму за тоа служи VPN за приватност. Потесна листа — да речеме, само внатрешниот опсег на вашата фирма — го пушта само тоа низ тунелот, а останатото оди преку вашата вообичаена врска. Таквиот распоред се вика split tunnel и тоа е намерен избор, а не расипан целосен тунел.
• PersistentKeepalive — испраќа мал пакет на секои 25 секунди за NAT уредот меѓу вас и серверот да ја одржува отворена повратната патека. Потребно е секогаш кога сте зад NAT, а на телефон или домашна врска секогаш сте.

Windows: увезете го тунелот

За Windows постои официјална апликација WireGuard, а увезувањето датотека во неа е целата работа.

1. Инсталирајте WireGuard од wireguard.com/install.
2. Кликнете Add Tunnel долу лево, со што се отвора избирач на датотеки филтриран на Configuration Files (*.zip, *.conf). Изберете ја вашата .conf датотека и таа ќе се појави во листата на тунели, именувана по датотеката.
3. Или залепете ја. Стрелката до Add Tunnel нуди Add empty tunnel…, што ви дава поле за текст — корисно кога конфигурацијата пристигнала во порака, а не како датотека. Полето однапред пополнува нов приватен клуч, па избришете ја таа линија и залепете ја вашата конфигурација преку неа.
4. Кликнете Activate. Статусот се менува во Active и панелот почнува да ги брои пренесените бајти. Тој бројач е најбрзата проверка што ја имате: ако покажува податоци што излегуваат, а ништо не се враќа, вашиот handshake не завршува.

Android и iPhone: скенирајте го QR кодот или увезете ја датотеката

На телефон имате два начина, а QR кодот постои токму затоа што пишувањето клуч од 44 знаци на екран на допир е мачење.

Android

1. Инсталирајте WireGuard од Play Store и допрете го копчето +.
2. Екранот Create WireGuard Tunnel нуди Scan from QR code, Import from file or archive и создавање тунел од нула. Изберете го она што одговара на тоа што сте го добиле.
3. Дајте му име на тунелот ако ве праша, а потоа вклучете го прекинувачот. Android еднаш бара дозвола за додавање VPN конфигурација — тоа барање доаѓа од оперативниот систем, не од апликацијата.

iPhone и iPad

1. Инсталирајте WireGuard од App Store и допрете Add a tunnel.
2. Под Add a new WireGuard tunnel изберете Create from QR code или Create from file or archive. Екранот за скенирање се вика Scan QR code; по успешно скенирање ве прашува да му дадете име на тунелот.
3. Вклучете го и дозволете ја VPN конфигурацијата кога iOS ќе ве праша.

Како да направите QR код од конфигурациска датотека што веќе ја имате

QR кодот не е нешто што мора да ви го даде провајдерот — тоа е само вашата конфигурациска датотека нацртана како слика, и можете сами да ја направите со една команда. Самата апликација WireGuard го предлага ова:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

На Debian или Ubuntu, qrencode се инсталира со apt install qrencode; на macOS, со brew install qrencode.

macOS и Linux

macOS

Инсталирајте WireGuard од Mac App Store. Апликацијата за Mac не е апликацијата за iPhone на поголем екран: живее во лентата со менија, а нејзиниот прозорец се отвора од Manage Tunnels. Кликнете Import tunnel(s) from file (лентата со менија го има истото како Import Tunnel(s) from File…), изберете ја вашата .conf датотека, потоа изберете го тунелот и кликнете Activate. На Mac нема скенер за QR кодови — QR кодовите се за телефони — па користете ја самата датотека или изберете Add Empty Tunnel… и залепете ја конфигурацијата.

Ако повеќе сакате да работите во терминал, brew install wireguard-tools ви ги дава истите wg-quick команди како на Linux, опишани подолу.

Linux

1. Инсталирајте ги алатките. На Debian или Ubuntu: sudo apt install wireguard. Повеќето дистрибуции имаат пакет со истото име.
2. Ставете ја датотеката таму каде што wg-quick ја бара. Ова е чекорот во кој луѓето најчесто грешат, бидејќи името на датотеката станува име на интерфејсот:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   600 е важно — датотеката го содржи вашиот приватен клуч и не треба да ја читаат другите корисници на машината. Името нека биде кратко и едноставно; мора да биде валидно име на мрежен интерфејс.
3. Кренете го тунелот:

   sudo wg-quick up wg0
   sudo wg show

   wg show е единствената команда што вреди да ја запаметите. Го печати peer-от, endpoint-от, линија latest handshake и бројачи на пренос. Време на handshake што никогаш не се појавува е знакот на проблемот од следниот дел.
4. Автоматско стартување при подигање: sudo systemctl enable --now wg-quick@wg0. За рачно да го запрете тунелот, sudo wg-quick down wg0.

На рутерот, за да биде покриена целата куќа

Ако тунелот го ставите на рутерот, ги покривате сите уреди зад него, вклучително и оние што воопшто не можат да користат VPN апликација — конзола за игри, телевизор, паметен звучник. Дали можете тоа да го направите зависи целосно од фирмверот.

Ако вашиот рутер е кутијата што ви ја дал интернет-провајдерот, реалните опции се да ставите рутер што го контролирате зад него, или да продолжите со конфигурации по уред. Ниту едното не е неуспех; поставката по уред честопати е и подобра, бидејќи тунелот можете да го оставите исклучен на уредите на кои не им треба.

Едно нешто треба да одлучите пред да ја пуштите целата куќа низ тунел: тогаш сè оди низ него. Банкарските сајтови што не сакаат странски адреси, стриминг сервисите што го проверуваат вашиот регион и сè што комуницира со уреди во вашата мрежа може да се однесуваат поинаку. Токму тука потесниот AllowedIPs ја покажува својата вредност — пуштете го само она што треба, а останатото оставете го.

Се поврзува, но ништо не се вчитува, и други вистински проблеми

WireGuard е невообичаено тивок кога не успева, и тоа е намерна одлука во дизајнот — пакет без автентикација не добива никаков одговор, па скенерот не може да знае дали нешто слуша. Страничниот ефект е што погрешен клуч, погрешна порта и блокирана мрежа од ваша страна изгледаат исто: тишина. Тргнете од симптомот.

„Handshake did not complete“

Вашиот уред испратил иницијален пакет и не добил ништо назад. Проверете, по овој редослед:

• Endpoint-от. Точен хост, точна порта, и портата е UDP. Грешка при пишување тука го дава токму овој симптом и ништо друго.
• Дали UDP воопшто излегува надвор. Гостински Wi-Fi, хотелски мрежи, некои корпоративни мрежи и неколку мобилни оператори дозволуваат само TCP на вообичаените порти. Ако истата конфигурација работи на домашната врска, а не успева на една конкретна мрежа, конфигурацијата е во ред, а проблемот е мрежата.
• Клучевите се на вистинското место. PublicKey во [Peer] е јавниот клуч на серверот, а серверот посебно мора да го има јавниот клуч што одговара на вашиот PrivateKey. Конфигурација копирана за друг уред паѓа токму тука.
• Вашиот часовник. Handshake-от на WireGuard содржи временска ознака и одбива ознака што е многу надвор од точното време. Ретко е, но се случува на уреди што го изгубиле времето.

Ако тунелот работи од дома, но никогаш преку мобилна врска, причината може да е кај вашиот провајдер, а не кај вас — carrier-grade NAT и слични решенија менуваат што може да стигне до вас. Водичот за port forwarding објаснува како да го утврдите тоа од вашиот рутер за неколку минути.

Проблемот со MTU, кој вреди еднаш да се разбере

Ова е класичниот случај „поврзано е, а интернетот не работи“, и шаблонот е препознатлив: ping работи, DNS работи, малите страници се вчитуваат, а сè што е поголемо засекогаш застанува.

Причината е големината. Пакувањето на сообраќајот за тунелот додава заглавја, па пакет што точно се вклопувал во вашата вообичаена врска повеќе не се вклопува кога ќе влезе во WireGuard. Малите пакети минуваат без проблем; големите се отфрлаат. Обично мрежата му кажува на испраќачот да користи помали пакети, но пораката што го прави тоа честопати се филтрира, па наместо грешка едноставно чекате.

Решението е на WireGuard уште од почеток да му кажете да користи помали пакети. wg-quick веќе се обидува: го зема MTU на вашата вообичаена рута и одзема 80 бајти за додатокот на тунелот, па на обична врска од 1500 бајти добивате 1420. Кога и тоа е премногу — некои мобилни мрежи, повеќето врски што веќе одат низ друг тунел — поставете го експлицитно и одете надолу:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 е долната граница што вреди да се проба, бидејќи тоа е најмалата големина на пакет што IPv6 бара секоја патека да ја пренесе, па преживува практично на секоја рута. Чини малку ефикасност и е многу подобро од тунел што се заглавува.

Тунелот е активен, но ништо не оди низ него

Прво проверете го AllowedIPs. Тој не е заштитен ѕид ниту листа на дозволи — одлучува кои дестинации воопшто се рутираат во тунелот. Ако не содржи 0.0.0.0/0, сообраќајот за остатокот од интернетот никогаш и не требало да оди низ тунелот, и вашата врска се однесува точно како што е конфигурирана. На Linux, ip route show table all | grep wg0 покажува што навистина е рутирано.

Ако рутирањето е точно, а имињата едноставно не се разрешуваат, виновна е линијата DNS — или ја нема, или ја има, но не е применета затоа што resolvconf не е инсталиран.

Од каде доаѓа конфигурациската датотека

Сè погоре претпоставува дека имате датотека. Постојат точно два начина да дојдете до неа.

Сами водете го серверот

Генерирате пар клучеви, инсталирате WireGuard на машина со јавна адреса, го додавате вашиот уред како peer и рачно ја пишувате клиентската конфигурација. Не е тешко и навистина вреди да се научи. Трошокот е постојан: сервер што треба да се плаќа и ажурира, и рачна измена на двата краја секогаш кога додавате уред — бидејќи, запомнете, еден peer е еден уред.

Добијте ја од провајдер

Алтернативата е датотеката да се генерира за вас, а вие само да ја преземете. Со HytHost VPN, од €0.99 месечно, еве каде се наоѓа:

1. Порачајте ја услугата и најавете се во клиентската зона, потоа отворете ја вашата VPN услуга од листата.
2. Најдете го делот WireGuard Configuration. Тој ви дава две копчиња — Copy to Clipboard, што го става текстот на конфигурацијата во меѓумеморијата, и Download Configuration, што ви ја дава готовата датотека.
3. Ако сте ја копирале, залепете ја во обичен текстуален уредувач и зачувајте ја со наставка .conf — wg0.conf е добро име. Проверете уредувачот да не додал .txt на крајот.
4. Увезете ја според делот погоре за вашиот уред. На телефон, прво претворете ја во QR код со qrencode.

Истата страница покажува дали тунелот моментално е поврзан со серверот, што го решава прашањето „дали е кај мене или кај нив“ пред да почнете да менувате поставки. Копче за QR код нема — генерирајте го сами од датотеката, што значи и дека кодот никогаш не патува таму каде што не треба.