Så använder du en WireGuard-konfigurationsfil

Vad som finns i en .conf-fil, rad för rad

Alla WireGuard-konfigurationer har samma tvådelade uppbyggnad. [Interface] beskriver din ände av tunneln; [Peer] beskriver maskinen du ansluter till. Här är en komplett klientkonfiguration där hemligheterna har ersatts med platshållare:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Blocket [Interface]: din sida

• PrivateKey — den är din identitet i VPN:et. Den som har den kan utge sig för att vara du. Den består av 44 base64-tecken och slutar med =; om din har en annan längd har filen kapats någonstans när den kopierades.
• Address — den IP din enhet har inuti tunneln, inte din publika IP. /32 betyder "bara just den här adressen", vilket är normalt för en klient.
• DNS — resolvern som används medan tunneln är uppe. Utan den fortsätter din enhet att fråga din gamla resolver, vilket både läcker vad du slår upp och ofta inte kan slå upp något alls på andra sidan.
• MTU — valfri, och den enskilt mest användbara raden att känna till. Den saknas i de flesta filer eftersom standardvärdet stämmer; se felsökning för fallet där det inte gör det.

Blocket [Peer]: serverns sida

• PublicKey — serverns publika nyckel. Din egen står aldrig i din egen fil; den finns på servern.
• Endpoint — vart paketen ska skickas, som host:port. WireGuard går bara över UDP, och 51820 är den vanliga porten, inte ett krav.
• AllowedIPs — vilka destinationer som går genom tunneln. 0.0.0.0/0, ::/0 betyder allt, vilket är precis vad ett integritets-VPN är till för. En snävare lista — till exempel bara ditt företags interna adressintervall — skickar bara det genom tunneln och låter resten gå över din vanliga anslutning. Det upplägget kallas split tunnel, och det är ett medvetet val, inte en trasig fullständig tunnel.
• PersistentKeepalive — skickar ett litet paket var 25:e sekund så att NAT-enheten mellan dig och servern håller returvägen öppen. Behövs när du sitter bakom NAT, och det gör du alltid på en mobil eller en hemanslutning.

Windows: importera tunneln

Windows har en officiell WireGuard-app, och att importera en fil i den är hela jobbet.

1. Installera WireGuard från wireguard.com/install.
2. Klicka på Skapa tunnel längst ned till vänster, vilket öppnar en filväljare filtrerad på Inställningsfiler (*.zip, *.conf). Välj din .conf så dyker den upp i tunnellistan, namngiven efter filen.
3. Eller klistra in den i stället. Pilen bredvid Skapa tunnel erbjuder Lägg till tom tunnel…, som ger dig en textruta — praktiskt när konfigurationen kom i ett meddelande och inte som en fil. Rutan är förifylld med en ny privat nyckel, så ta bort den raden och klistra in din egen konfiguration över alltihop.
4. Klicka på Aktivera. Statusen ändras till Aktiv och panelen börjar räkna överförda byte. Den byteräknaren är den snabbaste kontrollen du har: visar den data som går ut men inget som kommer tillbaka, slutförs inte ditt handshake.

Android och iPhone: skanna QR-koden eller importera filen

På en mobil har du två vägar in, och QR-koden finns just för att det är plågsamt att skriva en nyckel på 44 tecken på en pekskärm.

Android

1. Installera WireGuard från Play Store och tryck på knappen +.
2. Skärmen Skapa WireGuard Tunnel erbjuder Skanna från QR-kod, Importera från fil eller arkiv och att skapa en från grunden. Välj det som passar det du fick.
3. Ge tunneln ett namn om du blir ombedd, och slå sedan på dess reglage. Android ber en gång om tillåtelse att lägga till en VPN-konfiguration — den frågan kommer från operativsystemet, inte från appen.

iPhone och iPad

1. Installera WireGuard från App Store och tryck på Add a tunnel.
2. Under Add a new WireGuard tunnel väljer du Create from QR code eller Create from file or archive. Skannerskärmen heter Scan QR code; efter en lyckad skanning ber den dig namnge tunneln.
3. Slå på den och tillåt VPN-konfigurationen när iOS frågar.

Så gör du en QR-kod av en konfigurationsfil du redan har

En QR-kod är inget leverantören måste ge dig — det är bara din konfigurationsfil ritad som en bild, och du kan skapa den själv med ett enda kommando. WireGuard-appen föreslår till och med det själv:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

På Debian eller Ubuntu får du qrencode med apt install qrencode; på macOS med brew install qrencode.

macOS och Linux

macOS

Installera WireGuard från Mac App Store. Mac-appen är inte iPhone-appen på en större skärm: den bor i menyraden, och dess fönster öppnas från Manage Tunnels. Klicka på Import tunnel(s) from file (menyraden har samma sak som Import Tunnel(s) from File…), välj din .conf, markera sedan tunneln och klicka på Activate. Det finns ingen QR-skanner på Mac — QR-koder är till för mobiler — så använd själva filen, eller välj Add Empty Tunnel… och klistra in konfigurationen.

Föredrar du att jobba i en terminal ger brew install wireguard-tools dig samma wg-quick-kommandon som på Linux, som beskrivs härnäst.

Linux

1. Installera verktygen. På Debian eller Ubuntu: sudo apt install wireguard. De flesta distributioner har ett paket med samma namn.
2. Lägg filen där wg-quick letar efter den. Det är här folk gör fel, eftersom filnamnet blir gränssnittets namn:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   600 spelar roll — filen innehåller din privata nyckel och ska inte kunna läsas av andra användare på maskinen. Håll namnet kort och enkelt; det måste vara ett giltigt namn på ett nätverksgränssnitt.
3. Starta den:

   sudo wg-quick up wg0
   sudo wg show

   wg show är det enda kommandot som är värt att komma ihåg. Det visar peeren, endpointen, en latest handshake-rad och överföringsräknare. En handshake-tidsstämpel som aldrig dyker upp är kännetecknet för problemet i nästa avsnitt.
4. Starta den vid uppstart: sudo systemctl enable --now wg-quick@wg0. För att stoppa tunneln manuellt: sudo wg-quick down wg0.

På routern, så att hela hemmet täcks

Lägger du tunneln på routern täcker den varje enhet bakom den, även de som inte kan köra en VPN-app alls — en spelkonsol, en tv, en smart högtalare. Om det går beror helt på din firmware.

Om din router är lådan som internetleverantören gav dig är de realistiska alternativen att sätta en router du själv styr bakom den, eller att fortsätta använda konfigurationer per enhet. Inget av dem är ett misslyckande; en uppsättning per enhet är ofta bättre ändå, eftersom du kan låta tunneln vara avstängd på de enheter som inte behöver den.

En sak att bestämma innan du skickar hela hemmet genom en tunnel: allt går då genom den. Banksajter som ogillar utländska adresser, streaming som kontrollerar din region och allt som pratar med enheter i ditt eget nätverk kan bete sig annorlunda. Det är här en snävare AllowedIPs gör skäl för sig — skicka bara det som behöver gå igenom och låt resten vara.

Den ansluter men inget laddas — och andra verkliga problem

WireGuard är ovanligt tyst när något går fel, och det är ett medvetet designval — ett oautentiserat paket får inget svar alls, så en skanner kan inte avgöra om något lyssnar. Bieffekten är att en fel nyckel, en fel port och ett blockerat nätverk ser exakt likadana ut från din sida: tystnad. Utgå från symptomet.

"Handshake did not complete"

Din enhet skickade ett initieringspaket och fick ingenting tillbaka. Kontrollera i den här ordningen:

• Endpointen. Rätt host, rätt port, och porten är UDP. Ett stavfel här ger exakt det här symptomet och inget annat.
• Om UDP alls kommer ut. Gäst-wifi, hotellnätverk, vissa företagsnätverk och några mobiloperatörer tillåter bara TCP på vanliga portar. Om samma konfiguration fungerar på din hemanslutning och misslyckas på ett visst nätverk är konfigurationen i ordning och nätverket är problemet.
• Nycklarna sitter åt rätt håll. PublicKey i [Peer] är serverns publika nyckel, och servern måste separat ha den publika nyckel som hör till din PrivateKey. En konfiguration som kopierats för en annan enhet fallerar här.
• Din klocka. WireGuards handshake innehåller en tidsstämpel och avvisar en som ligger långt fel. Ovanligt, men det händer på enheter som har tappat tiden.

Om tunneln fungerar hemifrån men aldrig från en mobilanslutning kan orsaken ligga hos din leverantör snarare än hos dig — carrier-grade NAT och liknande lösningar ändrar vad som kan nå dig. Guiden om port forwarding förklarar hur du tar reda på det från din egen router på ett par minuter.

MTU-problemet, som är värt att förstå en gång

Det här är det klassiska fallet "ansluten men internet är trasigt", och mönstret är typiskt: ping fungerar, DNS fungerar, små sidor fungerar, och allt som är större fastnar för evigt.

Orsaken är storlek. När din trafik paketeras för tunneln läggs headers till, så ett paket som passade exakt i din vanliga anslutning får inte längre plats när det ligger inuti WireGuard. Små paket seglar igenom; stora kastas. Normalt säger nätverket åt avsändaren att använda mindre paket, men meddelandet som gör det filtreras ofta bort, så i stället för ett fel väntar du bara.

Lösningen är att be WireGuard använda mindre paket från början. wg-quick försöker redan: det tar MTU:n från din vanliga rutt och drar av 80 byte för tunnelns overhead, så på en vanlig anslutning på 1500 byte får du 1420. När det fortfarande är för stort — vissa mobilnät, de flesta anslutningar som redan går genom en annan tunnel — ställ in den uttryckligen och gå nedåt:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 är golvet som är värt att prova, eftersom det är den minsta paketstorlek som IPv6 kräver att allt ska klara, så den tar sig igenom praktiskt taget vilken väg som helst. Det kostar lite effektivitet och är mycket bättre än en tunnel som hänger sig.

Tunneln är uppe men inget går genom den

Kontrollera AllowedIPs först. Det är ingen brandvägg eller behörighetslista — den avgör vilka destinationer som alls routas in i tunneln. Om den inte innehåller 0.0.0.0/0 var trafiken till resten av internet aldrig tänkt att gå igenom, och din anslutning beter sig exakt som den är konfigurerad. På Linux visar ip route show table all | grep wg0 vad som faktiskt routades.

Om routningen stämmer och namn helt enkelt inte slås upp är det DNS-raden — antingen saknas den, eller så finns den men tillämpas inte eftersom resolvconf inte är installerat.

Var konfigurationsfilen kommer ifrån

Allt ovan förutsätter att du har en fil. Det finns exakt två sätt att få en.

Kör servern själv

Du genererar ett nyckelpar, installerar WireGuard på en maskin med en publik adress, lägger till din enhet som peer och skriver klientkonfigurationen för hand. Det är inte svårt, och det är verkligen bra att lära sig. Kostnaden är löpande: en server att betala för och hålla uppdaterad, och en manuell ändring i båda ändar varje gång du lägger till en enhet — för kom ihåg, en peer är en enhet.

Skaffa en från en leverantör

Alternativet är att filen genereras åt dig och att du laddar ned den. Med HytHost VPN, från €0.99/mån, är det här den finns:

1. Beställ tjänsten och logga in på kundområdet, och öppna sedan din VPN-tjänst i listan.
2. Hitta avsnittet WireGuard Configuration. Det ger dig två knappar — Copy to Clipboard, som lägger konfigurationstexten i urklipp, och Download Configuration, som ger dig den färdiga filen.
3. Om du kopierade den, klistra in den i en vanlig textredigerare och spara den med filändelsen .conf — wg0.conf är ett bra namn. Se till att redigeraren inte har lagt till .txt i slutet.
4. Importera den med hjälp av avsnittet ovan för din enhet. På en mobil gör du först om den till en QR-kod med qrencode.

Samma sida visar om tunneln just nu är ansluten till servern, vilket avgör frågan "är det jag eller är det de" innan du börjar ändra inställningar. Det finns ingen QR-kodknapp — skapa den själv från filen, vilket också betyder att koden aldrig hamnar någonstans där den inte behövde vara.