Yksityinen tunneli, jolla on selkeä tarkoitus.

Määrittele reitti

Päätä, kuljettaako tunneli vain yksityistä palveluliikennettä vai kaikkea internettiliikennettä. Määritä sallitut reitit tarkoituksella ja huomioi sekä IPv4 että IPv6. Jaetun tunnelin ja täyden tunnelin kokoonpanoissa on erilaiset vuoto- ja tavoitettavuusnäkökohdat.

Pidä yksi avain laitetta kohden

Luo yksityiset avaimet laitteella, kun se on käytännöllistä, äläkä koskaan julkaise niitä. Käytä erillisiä vertaisidentiteettejä, jotta kadonnut laite voidaan peruuttaa korvaamatta jokaista asiakasta. Säilytä palvelinkokoonpano suojatuin käyttöoikeuksin.

Määritä edelleenohjaus ja DNS

Aseta edelleenohjaus- ja palomuurisäännöt harkiten. Tarkista nimien selvitys, MTU ja paluupolku. Testaa tehokas julkinen osoite ja DNS-käyttäytyminen asiakkaalta sen sijaan, että oletettaisiin onnistuneen kättelyn tarkoittavan kaiken liikenteen kulkevan aiottua reittiä.

Ymmärrä luottamuksen siirtymä

Itse isännöity VPN voi suojata liikennettä paikallisverkossa, mutta VPS ja ylävirta näkevät edelleen metatiedot ja kaiken salaamattoman liikenteen. Se ei tee selainistunnosta anonyymiä eikä ohita käyttämiesi palvelujen käytäntöjä.

Käytä nimenomaista kuuntelijaa ja tarkasta kättely

UDP 51820 on yleinen WireGuard-kokoonpanovalinta, ei pakollinen tai taattu palvelinkäytäntö. Avaa vain valittu UDP-portti ja pidä ylläpito erikseen rajoitettuna. wg show -komento voi raportoida vertaisten kättely- ja siirtotietoja ilman, että sinun tarvitsee julkaista yksityisiä avaimia.

• Varmista äskettäinen kättely
• Testaa aiottu yksityinen palvelu
• Testaa internet- ja DNS-reitit vain, jos täysi tunneli on tarkoitus

wg show

Virallinen dokumentaatio: WireGuardin pika-aloitus

Käytä keepalive-viestejä vain, kun verkko tarvitsee niitä

NATin takana oleva vertaislaite voi tarvita säännöllistä keepalive-liikennettä säilyttääkseen mappauksen saapuville paketeille. Sopiva asetus riippuu verkosta. Pidä kokoonpano tarkoituksellisena; älä kopioi täyden tunnelin reseptiä, jos tavoitteena on vain pääsy yhteen yksityiseen sovellukseen.

Valitse jaettu tunnelointi tai täystunneli

Aloita todellisesta tavoitteesta. Jaettu tunneli voi välittää vain yksityisen aliverkon tai hallintapalvelun; täysi tunneli tarvitsee myös internetin välityksen, lähtevän liikenteen säännöt ja DNS-suunnitelman. Valitse tunneliosoitteet, jotka eivät mene päällekkäin, ja päätä, miten IPv6 käsitellään. UDP51820 on yleinen portti, ei pakollinen. Varmista valitun isännän käytäntö ja pidä konsoli- tai ylläpitäjän pääsy käytettävissä, kun muutat reittejä tai palomuurisääntöjä.

• Anna jokaiselle laitteelle yksilöllinen avainpari ja kapea vertaisidentiteetti.
• Pidä yksityiset avaimet niille tarkoitetuilla laitteilla ja poissa julkisista tiedostoista tai QR-jaosta.
• Käsittele julkisia päätepisteitä ja asiakkaiden roamingia osana verkkosuunnittelua.

Virallinen dokumentaatio: WireGuardin pika-aloitus

Käynnistä pieni tunneli ennen internet-reitityksen lisäämistä

Noudata tuettua käyttöjärjestelmän asennusta ja luo avaimet rajoittavilla tiedosto-oikeuksilla. Määritä palvelinliittymä, yksi vertainen ja valittu UDP-kuuntelija. Palvelinpuolen vertaisella tulisi yleensä olla oma tunneliosoite AllowedIPs-kohdassa sen sijaan, että useille asiakkaille annettaisiin päällekkäinen kaiken kattava osoite. Aloita tunneliosoitteen käytöstä ja lisää sitten hyväksytty edelleenohjaus ja kohdereitit. Onnistunut kättely todistaa vertaiskontaktin, ei sitä, että DNS tai internet-yhteys on oikein.

# Inspection examples; these do not reveal a private key:
wg show
ip address show dev wg0
ip route get 10.44.0.1

Virallinen dokumentaatio: WireGuard-käyttöliittymän ja vertaiskonfiguraatio

Testaa odotettu polku ja kielletty polku

Varmista asiakkaalta äskettäinen kättely ja sallittu yksityinen palvelu. Kokeile kohdetta, joka pitäisi evätä. Jos käytössä on täysi tunneli, tarkista kyseiseltä asiakkaalta voimassa oleva julkinen reitti, DNS-ratkaisija ja IPv6-toiminta; jaetun tunnelin liikenteen pitäisi säilyttää aiottu paikallinen polku. Toista asiakkaan verkkoyhteyden muutoksen jälkeen. Käytä NAT-keepalivea vain, kun vertaisverkon verkko sitä tarvitsee, ja pidä väli dokumentoidun suunnittelun mukaisena.

• Ei kättelyä: tarkasta päätepiste DNS, UDP-tavoitettavuus, avaimet ja vertaiskartoitus.
• Kättely onnistuu mutta palvelua ei ole: tarkista AllowedIPs, palomuuri, edelleenlähetys ja paluureitti.
• Jotkin sivustot jumiutuvat: tutki polun MTU ennen satunnaisen pysyvän arvon käyttöä.

Tee peruuttamisesta ja uudelleenkäynnistyksestä toistettavaa

Poista kadonneen laitteen vertaisavain ja varmista, ettei se voi enää muodostaa aiottua yhteyttä. Säilytä salatut kokoonpanovarmuuskopiot ja luettelo siitä, mikä julkinen avain kuuluu millekin laitteelle. Testaa, palaavatko käyttöliittymä ja vaaditut reitityssäännöt normaalin uudelleenkäynnistyksen jälkeen. VPN siirtää luottamusta kohti VPS-palvelua ja sen ylävirtaa; se ei poista sovellustunnisteita, tilitunnisteita tai tarvetta HTTPS lopulliseen kohteeseen.

Virallinen dokumentaatio: WireGuard wg-quick -käsikirja