Как использовать файл конфигурации WireGuard

Что внутри файла .conf, строка за строкой

Любой конфиг WireGuard устроен одинаково и состоит из двух частей. [Interface] описывает ваш конец туннеля; [Peer] — машину, к которой вы подключаетесь. Вот полный клиентский конфиг, где секреты заменены заглушками:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Блок [Interface]: ваша сторона

• PrivateKey — это и есть ваша личность в VPN. Любой, у кого он есть, может выдать себя за вас. Он состоит из 44 символов base64 и заканчивается на =; если у вашего другая длина, файл где-то обрезался при копировании.
• Address — IP, который ваше устройство получает внутри туннеля, а не ваш публичный IP. /32 означает «только этот один адрес», для клиента это нормально.
• DNS — резолвер, который используется, пока туннель поднят. Без него устройство продолжает обращаться к старому резолверу, а это и раскрывает, что вы ищете, и часто не позволяет разрешить ничего на той стороне.
• MTU — необязательная строка, но о ней полезнее всего знать. В большинстве файлов её нет, потому что значение по умолчанию подходит; случай, когда не подходит, описан в разделе решения проблем.

Блок [Peer]: сторона сервера

• PublicKey — публичный ключ сервера. Ваш собственный в вашем файле не появляется никогда; он хранится на сервере.
• Endpoint — куда отправлять пакеты, в формате host:port. WireGuard работает только по UDP, а 51820 — привычный порт, а не обязательный.
• AllowedIPs — какие направления идут через туннель. 0.0.0.0/0, ::/0 означает всё, ради этого и нужен VPN для приватности. Более узкий список — скажем, только внутренняя сеть компании — отправляет через туннель только её, а остальное оставляет на обычном подключении. Такая схема называется split tunnel, и это осознанный выбор, а не сломанный полный туннель.
• PersistentKeepalive — каждые 25 секунд отправляет небольшой пакет, чтобы устройство NAT между вами и сервером держало обратный путь открытым. Нужно всегда, когда вы за NAT, а на телефоне или домашнем подключении вы за ним всегда.

Windows: импорт туннеля

Для Windows есть официальное приложение WireGuard, и вся работа — импортировать в него файл.

1. Установите WireGuard с wireguard.com/install.
2. Нажмите Добавить туннель внизу слева — откроется окно выбора файла с фильтром Файлы конфигурации (*.zip, *.conf). Выберите свой .conf, и он появится в списке туннелей под именем файла.
3. Или вставьте текст. Стрелка рядом с «Добавить туннель» предлагает Добавить пустой туннель… — это текстовое поле, удобное, когда конфиг пришёл сообщением, а не файлом. В нём уже заполнен новый приватный ключ, поэтому удалите эту строку и вставьте поверх свой конфиг.
4. Нажмите Подключить. Статус сменится на «Подключен», и панель начнёт считать переданные байты. Этот счётчик — самая быстрая проверка: если данные уходят, а обратно ничего не приходит, handshake не завершается.

Android и iPhone: отсканируйте QR-код или импортируйте файл

На телефоне есть два способа, и QR-код существует именно потому, что набирать 44-символьный ключ на сенсорном экране — мучение.

Android

1. Установите WireGuard из Play Store и нажмите кнопку +.
2. Экран Создать туннель WireGuard предлагает Сканировать QR-код, Импорт из файла или архива и создание туннеля с нуля. Выберите то, что соответствует полученному.
3. Если попросят, дайте туннелю имя, затем включите переключатель. Android один раз спросит разрешение на добавление конфигурации VPN — этот запрос от операционной системы, а не от приложения.

iPhone и iPad

1. Установите WireGuard из App Store и нажмите Добавить туннель.
2. В разделе Добавить новый туннель WireGuard выберите Создать из QR-кода или Создать из файла или архива. Экран сканера называется Сканирование QR-кода; после успешного сканирования приложение попросит назвать туннель.
3. Включите его и разрешите конфигурацию VPN, когда iOS спросит.

Как сделать QR-код из уже имеющегося файла конфигурации

QR-код не обязан выдавать провайдер — это просто ваш файл конфигурации в виде картинки, и сделать его можно самому одной командой. Приложение WireGuard само это подсказывает:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

В Debian или Ubuntu qrencode ставится через apt install qrencode; в macOS — через brew install qrencode.

macOS и Linux

macOS

Установите WireGuard из Mac App Store. Приложение для Mac — это не приложение для iPhone на большом экране: оно живёт в строке меню, а его окно открывается через Управление туннелями. Нажмите Импорт туннелей из файла… (в строке меню есть тот же пункт — Импорт туннелей из файла…), выберите свой .conf, затем выделите туннель и нажмите Подключен. Сканера QR на Mac нет — QR-коды для телефонов, — поэтому используйте сам файл или выберите Добавить пустой туннель… и вставьте конфиг.

Если вам удобнее терминал, brew install wireguard-tools даст те же команды wg-quick, что и в Linux, — о них ниже.

Linux

1. Установите утилиты. В Debian или Ubuntu: sudo apt install wireguard. В большинстве дистрибутивов пакет называется так же.
2. Положите файл туда, где его ищет wg-quick. На этом шаге ошибаются чаще всего, потому что имя файла становится именем интерфейса:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   600 важно — в файле ваш приватный ключ, и другие пользователи машины не должны его читать. Имя делайте коротким и простым; оно должно быть допустимым именем сетевого интерфейса.
3. Поднимите туннель:

   sudo wg-quick up wg0
   sudo wg show

   wg show — единственная команда, которую стоит запомнить. Она показывает пира, endpoint, строку latest handshake и счётчики трафика. Если время handshake так и не появляется — это признак проблемы из следующего раздела.
4. Автозапуск при загрузке: sudo systemctl enable --now wg-quick@wg0. Чтобы остановить туннель вручную — sudo wg-quick down wg0.

На роутере, чтобы покрыть весь дом

Туннель на роутере покрывает все устройства за ним, включая те, что вообще не умеют запускать VPN-приложение, — игровую приставку, телевизор, умную колонку. Получится ли, целиком зависит от прошивки.

Если ваш роутер — та коробка, которую выдал интернет-провайдер, реальных вариантов два: поставить за ним роутер, которым вы управляете, или и дальше пользоваться конфигами на каждом устройстве. Ни то ни другое не поражение; настройка на каждом устройстве часто даже лучше, потому что на устройствах, которым туннель не нужен, его можно не включать.

Одно стоит решить заранее, прежде чем пускать весь дом через туннель: тогда через него пойдёт всё. Банковские сайты, которые не любят иностранные адреса, стриминг, проверяющий ваш регион, и всё, что общается с устройствами в вашей собственной сети, могут вести себя иначе. Здесь и пригодится более узкий AllowedIPs — отправляйте только то, что нужно, а остальное не трогайте.

Подключается, но ничего не грузится, и другие реальные проблемы

WireGuard необычно молчалив, когда что-то не работает, и это осознанное решение в дизайне — на неаутентифицированный пакет нет вообще никакого ответа, поэтому сканер не может понять, слушает ли кто-то. Побочный эффект в том, что неверный ключ, неверный порт и заблокированная сеть с вашей стороны выглядят одинаково: тишина. Отталкивайтесь от симптома.

«Handshake did not complete»

Ваше устройство отправило пакет инициации и ничего не получило в ответ. Проверьте по порядку:

• Endpoint. Правильный хост, правильный порт, и порт UDP. Опечатка здесь даёт ровно этот симптом и ничего больше.
• Выходит ли UDP наружу вообще. Гостевой Wi-Fi, сети отелей, некоторые корпоративные сети и отдельные мобильные операторы пропускают на обычных портах только TCP. Если один и тот же конфиг работает дома и не работает в одной конкретной сети, с конфигом всё в порядке, проблема в сети.
• Ключи на своих местах. PublicKey в [Peer] — это публичный ключ сервера, а на сервере отдельно должен быть публичный ключ, парный вашему PrivateKey. Конфиг, скопированный для другого устройства, отваливается именно здесь.
• Ваши часы. Handshake WireGuard содержит метку времени и отклоняет сильно расходящуюся. Редко, но бывает на устройствах, у которых сбилось время.

Если туннель работает из дома, но никогда — с мобильного подключения, причина может быть на стороне вашего провайдера, а не у вас: carrier-grade NAT и похожие схемы меняют то, что может до вас дойти. Руководство по пробросу портов объясняет, как за пару минут определить это по собственному роутеру.

Проблема MTU, в которой стоит один раз разобраться

Это классический случай «подключено, но интернет сломан», и картина характерная: ping работает, DNS работает, лёгкие страницы открываются, а всё сколько-нибудь объёмное виснет навсегда.

Причина — в размере. Упаковка трафика для туннеля добавляет заголовки, поэтому пакет, который точно помещался в обычное подключение, внутри WireGuard уже не помещается. Мелкие пакеты проходят свободно, крупные отбрасываются. Обычно сеть сообщает отправителю, что нужны пакеты поменьше, но это сообщение часто фильтруется, и вместо ошибки вы просто ждёте.

Решение — с самого начала сказать WireGuard использовать пакеты поменьше. wg-quick уже пытается: он берёт MTU обычного маршрута и вычитает 80 байт на накладные расходы туннеля, так что на обычном подключении с 1500 байт получается 1420. Если и этого много — в некоторых мобильных сетях, в большинстве подключений, которые уже идут через другой туннель, — задайте значение явно и снижайте:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 — нижняя граница, которую стоит пробовать: это минимальный размер пакета, который IPv6 обязывает передавать всех, поэтому он проходит практически по любому пути. Он стоит немного эффективности и намного лучше туннеля, который зависает.

Туннель поднят, но через него ничего не идёт

Сначала проверьте AllowedIPs. Это не файрвол и не список разрешений — он решает, какие направления вообще маршрутизируются в туннель. Если в нём нет 0.0.0.0/0, трафик к остальному интернету и не должен был идти через туннель, и подключение ведёт себя ровно так, как настроено. В Linux ip route show table all | grep wg0 показывает, что на самом деле попало в маршруты.

Если маршрутизация верна, а имена просто не разрешаются, дело в строке DNS — её либо нет, либо она есть, но не применяется, потому что не установлен resolvconf.

Откуда берётся файл конфигурации

Всё, что выше, предполагает, что файл у вас есть. Получить его можно ровно двумя способами.

Поднять сервер самому

Вы генерируете пару ключей, ставите WireGuard на машину с публичным адресом, добавляете своё устройство как пира и вручную пишете клиентский конфиг. Это несложно, и этому действительно стоит научиться. Цена — постоянная: сервер, за который надо платить и который надо обновлять, и ручная правка на обоих концах каждый раз, когда вы добавляете устройство, — ведь, напомним, один пир — это одно устройство.

Получить его у провайдера

Другой вариант — файл генерируют за вас, а вы его скачиваете. С HytHost VPN, от €0.99/мес, он находится здесь:

1. Закажите услугу и войдите в личный кабинет, затем откройте свою VPN-услугу из списка.
2. Найдите раздел WireGuard Configuration. В нём две кнопки — Copy to Clipboard, которая копирует текст конфига в буфер обмена, и Download Configuration, которая отдаёт готовый файл.
3. Если вы скопировали текст, вставьте его в простой текстовый редактор и сохраните с расширением .conf — wg0.conf хорошее имя. Убедитесь, что редактор не дописал в конце .txt.
4. Импортируйте его по разделу выше для своего устройства. На телефоне сначала превратите его в QR-код с помощью qrencode.

На той же странице видно, подключён ли туннель к серверу прямо сейчас, — это снимает вопрос «проблема у меня или у них» ещё до того, как вы начнёте менять настройки. Кнопки для QR-кода нет — сделайте его сами из файла, и тогда код не попадёт никуда, куда ему не нужно.