Як використовувати файл конфігурації WireGuard

Що всередині файлу .conf, рядок за рядком

Будь-який конфіг WireGuard має однакову будову з двох частин. [Interface] описує ваш кінець тунелю; [Peer] — машину, до якої ви підключаєтеся. Ось повний клієнтський конфіг, де секрети замінено заглушками:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Блок [Interface]: ваша сторона

• PrivateKey — це і є ваша особа у VPN. Будь-хто, у кого він є, може видати себе за вас. Він складається з 44 символів base64 і закінчується на =; якщо у вашого інша довжина, файл десь обрізався під час копіювання.
• Address — IP, який ваш пристрій має всередині тунелю, а не ваш публічний IP. /32 означає «лише цю одну адресу», для клієнта це нормально.
• DNS — резолвер, який використовується, поки тунель піднятий. Без нього пристрій і далі звертається до старого резолвера, а це і розкриває, що ви шукаєте, і часто не дає розв’язати нічого на тому боці.
• MTU — необов’язковий рядок, але про нього найкорисніше знати. У більшості файлів його немає, бо значення за замовчуванням підходить; випадок, коли не підходить, описано в розділі вирішення проблем.

Блок [Peer]: сторона сервера

• PublicKey — публічний ключ сервера. Ваш власний у вашому файлі не з’являється ніколи; він зберігається на сервері.
• Endpoint — куди надсилати пакети, у форматі host:port. WireGuard працює лише через UDP, а 51820 — звичний порт, а не обов’язковий.
• AllowedIPs — які напрямки йдуть через тунель. 0.0.0.0/0, ::/0 означає все, саме для цього й потрібен VPN для приватності. Вужчий список — скажімо, лише внутрішня мережа компанії — надсилає через тунель тільки її, а решту залишає на звичайному підключенні. Така схема називається split tunnel, і це свідомий вибір, а не зламаний повний тунель.
• PersistentKeepalive — кожні 25 секунд надсилає невеликий пакет, щоб пристрій NAT між вами та сервером тримав зворотний шлях відкритим. Потрібно завжди, коли ви за NAT, а на телефоні чи домашньому підключенні ви за ним завжди.

Windows: імпорт тунелю

Для Windows є офіційний застосунок WireGuard, і вся робота — імпортувати в нього файл.

1. Установіть WireGuard з wireguard.com/install.
2. Натисніть Додати тунель унизу ліворуч — відкриється вікно вибору файлу з фільтром Файли конфігурації (*.zip, *.conf). Виберіть свій .conf, і він з’явиться в списку тунелів під назвою файлу.
3. Або вставте текст. Стрілка поруч із «Додати тунель» пропонує Додати пустий тунель… — це текстове поле, зручне, коли конфіг прийшов повідомленням, а не файлом. У ньому вже заповнено новий приватний ключ, тож видаліть цей рядок і вставте поверх свій конфіг.
4. Натисніть Активувати. Статус зміниться на «Активний», і панель почне рахувати передані байти. Цей лічильник — найшвидша перевірка: якщо дані йдуть, а назад нічого не приходить, handshake не завершується.

Android та iPhone: відскануйте QR-код або імпортуйте файл

На телефоні є два способи, і QR-код існує саме тому, що набирати 44-символьний ключ на сенсорному екрані — справжня мука.

Android

1. Установіть WireGuard з Play Store і натисніть кнопку +.
2. Екран Створити тунель WireGuard пропонує Сканувати з QR-коду, Імпортувати з файлу або архіву і створення тунелю з нуля. Виберіть те, що відповідає отриманому.
3. Якщо попросять, дайте тунелю назву, потім увімкніть перемикач. Android один раз запитає дозвіл на додавання конфігурації VPN — цей запит від операційної системи, а не від застосунку.

iPhone та iPad

1. Установіть WireGuard з App Store і натисніть Add a tunnel.
2. У розділі Add a new WireGuard tunnel виберіть Create from QR code або Create from file or archive. Екран сканера називається Scan QR code; після успішного сканування застосунок попросить назвати тунель.
3. Увімкніть його та дозвольте конфігурацію VPN, коли iOS запитає.

Як зробити QR-код із файлу конфігурації, який уже є

QR-код не обов’язково має видавати провайдер — це просто ваш файл конфігурації у вигляді картинки, і зробити його можна самому однією командою. Застосунок WireGuard сам це підказує:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

У Debian чи Ubuntu qrencode встановлюється через apt install qrencode; у macOS — через brew install qrencode.

macOS і Linux

macOS

Установіть WireGuard з Mac App Store. Застосунок для Mac — це не застосунок для iPhone на більшому екрані: він живе в рядку меню, а його вікно відкривається через Manage Tunnels. Натисніть Import tunnel(s) from file (у рядку меню той самий пункт називається Import Tunnel(s) from File…), виберіть свій .conf, потім виділіть тунель і натисніть Activate. Сканера QR на Mac немає — QR-коди для телефонів, — тож використовуйте сам файл або виберіть Add Empty Tunnel… і вставте конфіг.

Якщо вам зручніше в терміналі, brew install wireguard-tools дасть ті самі команди wg-quick, що й у Linux, — про них нижче.

Linux

1. Установіть утиліти. У Debian чи Ubuntu: sudo apt install wireguard. У більшості дистрибутивів пакет називається так само.
2. Покладіть файл туди, де його шукає wg-quick. На цьому кроці помиляються найчастіше, бо назва файлу стає назвою інтерфейсу:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   600 важливо — у файлі ваш приватний ключ, і інші користувачі машини не повинні його читати. Назву робіть короткою й простою; вона має бути допустимою назвою мережевого інтерфейсу.
3. Підніміть тунель:

   sudo wg-quick up wg0
   sudo wg show

   wg show — єдина команда, яку варто запам’ятати. Вона показує піра, endpoint, рядок latest handshake і лічильники трафіку. Якщо час handshake так і не з’являється — це ознака проблеми з наступного розділу.
4. Автозапуск під час завантаження: sudo systemctl enable --now wg-quick@wg0. Щоб зупинити тунель вручну — sudo wg-quick down wg0.

На роутері, щоб покрити весь дім

Тунель на роутері покриває всі пристрої за ним, зокрема ті, що взагалі не вміють запускати VPN-застосунок, — ігрову приставку, телевізор, розумну колонку. Чи вийде, повністю залежить від прошивки.

Якщо ваш роутер — та коробка, яку видав інтернет-провайдер, реальних варіантів два: поставити за ним роутер, яким ви керуєте, або й далі користуватися конфігами на кожному пристрої. Ні те, ні інше не поразка; налаштування на кожному пристрої часто навіть краще, бо на пристроях, яким тунель не потрібен, його можна не вмикати.

Одне варто вирішити заздалегідь, перш ніж пускати весь дім через тунель: тоді через нього піде все. Банківські сайти, які не люблять іноземних адрес, стримінг, що перевіряє ваш регіон, і все, що спілкується з пристроями у вашій власній мережі, можуть поводитися інакше. Тут і стане в пригоді вужчий AllowedIPs — надсилайте тільки те, що потрібно, а решту не чіпайте.

Підключається, але нічого не вантажиться, та інші реальні проблеми

WireGuard незвично мовчазний, коли щось не працює, і це свідоме рішення в дизайні — на неавтентифікований пакет немає жодної відповіді, тож сканер не може зрозуміти, чи хтось слухає. Побічний ефект у тому, що неправильний ключ, неправильний порт і заблокована мережа з вашого боку виглядають однаково: тиша. Відштовхуйтеся від симптому.

«Handshake did not complete»

Ваш пристрій надіслав пакет ініціації й нічого не отримав у відповідь. Перевірте по черзі:

• Endpoint. Правильний хост, правильний порт, і порт UDP. Помилка в написанні тут дає саме цей симптом і нічого більше.
• Чи виходить UDP назовні взагалі. Гостьовий Wi-Fi, мережі готелів, деякі корпоративні мережі й окремі мобільні оператори пропускають на звичайних портах лише TCP. Якщо той самий конфіг працює вдома й не працює в одній конкретній мережі, з конфігом усе гаразд, проблема в мережі.
• Ключі на своїх місцях. PublicKey у [Peer] — це публічний ключ сервера, а на сервері окремо має бути публічний ключ, парний до вашого PrivateKey. Конфіг, скопійований для іншого пристрою, відвалюється саме тут.
• Ваш годинник. Handshake WireGuard містить мітку часу й відхиляє таку, що сильно розходиться. Рідко, але трапляється на пристроях, у яких збився час.

Якщо тунель працює з дому, але ніколи — з мобільного підключення, причина може бути на боці вашого провайдера, а не у вас: carrier-grade NAT і схожі схеми змінюють те, що може до вас дійти. Посібник із переадресації портів пояснює, як за кілька хвилин визначити це за власним роутером.

Проблема MTU, у якій варто один раз розібратися

Це класичний випадок «підключено, але інтернет зламаний», і картина характерна: ping працює, DNS працює, легкі сторінки відкриваються, а все хоч трохи об’ємне зависає назавжди.

Причина — у розмірі. Пакування трафіку для тунелю додає заголовки, тож пакет, який точно вміщався у звичайне підключення, усередині WireGuard уже не вміщається. Дрібні пакети проходять вільно, великі відкидаються. Зазвичай мережа повідомляє відправнику, що потрібні менші пакети, але це повідомлення часто фільтрується, і замість помилки ви просто чекаєте.

Рішення — від самого початку сказати WireGuard використовувати менші пакети. wg-quick уже намагається: він бере MTU звичайного маршруту й віднімає 80 байт на накладні витрати тунелю, тож на звичайному підключенні з 1500 байт виходить 1420. Якщо й цього забагато — у деяких мобільних мережах, у більшості підключень, які вже йдуть через інший тунель, — задайте значення явно й знижуйте:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 — нижня межа, яку варто пробувати: це мінімальний розмір пакета, який IPv6 зобов’язує передавати всіх, тому він проходить практично будь-яким шляхом. Він коштує трохи ефективності й набагато кращий за тунель, який зависає.

Тунель піднятий, але через нього нічого не йде

Спершу перевірте AllowedIPs. Це не файрвол і не список дозволів — він вирішує, які напрямки взагалі маршрутизуються в тунель. Якщо в ньому немає 0.0.0.0/0, трафік до решти інтернету й не мав іти через тунель, і підключення поводиться саме так, як налаштовано. У Linux ip route show table all | grep wg0 показує, що насправді потрапило в маршрути.

Якщо маршрутизація правильна, а імена просто не розв’язуються, справа в рядку DNS — його або немає, або він є, але не застосовується, бо не встановлено resolvconf.

Звідки береться файл конфігурації

Усе, що вище, передбачає, що файл у вас є. Отримати його можна рівно двома способами.

Підняти сервер самому

Ви генеруєте пару ключів, ставите WireGuard на машину з публічною адресою, додаєте свій пристрій як піра й вручну пишете клієнтський конфіг. Це нескладно, і цього справді варто навчитися. Ціна — постійна: сервер, за який треба платити й який треба оновлювати, і ручне редагування на обох кінцях щоразу, коли ви додаєте пристрій, — адже, нагадаємо, один пір — це один пристрій.

Отримати його в провайдера

Інший варіант — файл генерують за вас, а ви його завантажуєте. З HytHost VPN, від €0.99/міс, він розташований тут:

1. Замовте послугу й увійдіть в особистий кабінет, потім відкрийте свою VPN-послугу зі списку.
2. Знайдіть розділ WireGuard Configuration. У ньому дві кнопки — Copy to Clipboard, яка копіює текст конфігу в буфер обміну, і Download Configuration, яка віддає готовий файл.
3. Якщо ви скопіювали текст, вставте його в простий текстовий редактор і збережіть із розширенням .conf — wg0.conf добра назва. Переконайтеся, що редактор не дописав у кінці .txt.
4. Імпортуйте його за розділом вище для свого пристрою. На телефоні спершу перетворіть його на QR-код за допомогою qrencode.

На тій самій сторінці видно, чи підключений тунель до сервера просто зараз, — це знімає питання «проблема в мене чи в них» ще до того, як ви почнете змінювати налаштування. Кнопки для QR-коду немає — зробіть його самі з файлу, і тоді код не потрапить нікуди, куди йому не потрібно.