En privat tunnel med et klart formål.

Definér ruten

Beslut, om tunnelen kun bærer privat tjenestetrafik eller al internettrafik. Konfigurér tilladte ruter bevidst, og tag højde for både IPv4 og IPv6. En split-tunnel- og en full-tunnel-opsætning har forskellige hensyn til læk og tilgængelighed.

Hold én nøgle pr. enhed

Generér private nøgler på enheden, hvor det er praktisk, og offentliggør dem aldrig. Brug separate peer-identiteter, så en mistet enhed kan tilbagekaldes uden at udskifte hver klient. Opbevar serverkonfiguration med beskyttede tilladelser.

Konfigurer videresendelse og DNS

Sæt videresendelses- og firewallregler bevidst. Kontroller navneopløsning, MTU og returvejen. Test den effektive offentlige adresse og DNS-adfærd fra klienten i stedet for at antage, at et vellykket handshake betyder, at al trafik bruger den tilsigtede rute.

Forstå skiftet i tillid

En selvhostet VPN kan beskytte trafik på det lokale netværk, men VPS og upstream ser stadig metadata og enhver ukrypteret trafik. Den gør ikke en browsersession anonym eller tilsidesætter politikkerne for de tjenester, du tilgår.

Brug en eksplicit listener, og inspicér handshaket

UDP 51820 er et almindeligt valg i WireGuard-konfigurationer, ikke en obligatorisk eller garanteret værtspolitik. Åbn kun den valgte UDP-port, og hold administration separat begrænset. Kommandoen wg show kan rapportere peer-handshake- og overførselsoplysninger uden at kræve, at du offentliggør private nøgler.

• Bekræft en nylig handshake
• Test den tilsigtede private tjeneste
• Test kun internet- og DNS-ruter, hvis en fuld tunnel er tilsigtet

wg show

Officiel dokumentation: Hurtig start med WireGuard

Brug kun keepalives, når netværket har brug for dem

En peer bag NAT kan have brug for periodisk keepalive-trafik for at bevare en mapping til indgående pakker. Den passende indstilling afhænger af netværket. Hold konfigurationen bevidst; kopiér ikke en full-tunnel-opsætning, hvis målet kun er adgang til én privat applikation.

Vælg split tunnelling eller et fuldt tunnel-design

Start med det faktiske mål. En split tunnel kan kun bære et privat subnet eller en administrativ tjeneste; en fuld tunnel kræver også internet-videresendelse, egress-regler og en DNS-plan. Vælg ikke-overlappende tunneladresser, og beslut, hvordan IPv6 håndteres. UDP51820 er en almindelig port, ikke en påkrævet. Bekræft den valgte hosts politik, og hold konsol-/administratoradgang tilgængelig, mens du ændrer ruter eller firewallregler.

• Giv hver enhed et unikt nøglepar og en snæver peer-identitet.
• Opbevar private nøgler på deres tilsigtede enheder og væk fra offentlige filer eller QR-deling.
• Behandl offentlige endpoints og klient-roaming som en del af netværksdesignet.

Officiel dokumentation: Hurtig start med WireGuard

Start en lille tunnel, før du tilføjer internetrouting

Følg den understøttede OS-installation, og generer nøgler med restriktive filtilladelser. Konfigurer servergrænsefladen, én peer og den valgte UDP-lytter. En server-side peer bør normalt have sin egen tunneladresse i AllowedIPs i stedet for en overlappende catch-all tildelt til flere klienter. Start med adgang til tunneladressen, og tilføj derefter godkendt videresendelse og destinationsruter. Et vellykket handshake beviser peer-kontakt, ikke at DNS eller internetudgang er korrekt.

# Inspection examples; these do not reveal a private key:
wg show
ip address show dev wg0
ip route get 10.44.0.1

Officiel dokumentation: WireGuard-grænseflade og peer-konfiguration

Test den forventede sti og en forbudt sti

Fra klienten skal du bekræfte et nyligt handshake og en tilladt privat tjeneste. Prøv en destination, der bør afvises. Hvis du bruger en fuld tunnel, skal du kontrollere den effektive offentlige rute, DNS-resolveren og IPv6-adfærden fra den klient; split-tunnel-trafik bør bevare den tilsigtede lokale rute. Gentag efter en ændring af klientens netværk. Brug kun en NAT keepalive, når peerens netværk har brug for det, og hold intervallet i overensstemmelse med det dokumenterede design.

• Ingen handshake: undersøg endpoint DNS, UDP-tilgængelighed, nøgler og peer-mapping.
• Handshake, men ingen tjeneste: undersøg AllowedIPs, firewall, videresendelse og returruten.
• Nogle websteder går i stå: undersøg path MTU, før du anvender en tilfældig permanent værdi.

Gør tilbagekaldelse og genstart ensartet

Fjern en tabt enheds peernøgle, og bekræft, at den ikke længere kan etablere den tilsigtede adgang. Behold krypterede konfigurationsbackups og en fortegnelse over, hvilken offentlig nøgle der tilhører hvilken enhed. Test, om grænsefladen og de nødvendige routingregler vender tilbage efter en normal genstart. En VPN flytter tillid mod VPS og dens upstream; den fjerner ikke applikationsidentifikatorer, kontocookies eller behovet for HTTPS til den endelige destination.

Officiel dokumentation: WireGuard wg-quick-manual