Prywatny tunel z jasnym celem.

Zdefiniuj trasę

Zdecyduj, czy tunel przenosi tylko prywatny ruch usług, czy cały ruch internetowy. Skonfiguruj dozwolone trasy celowo i uwzględnij zarówno IPv4, jak i IPv6. Konfiguracja split-tunnel i full-tunnel ma różne zagadnienia dotyczące wycieków i osiągalności.

Jeden klucz na urządzenie

Generuj klucze prywatne na urządzeniu, gdy to praktyczne, i nigdy ich nie publikuj. Używaj osobnych tożsamości peerów, aby utracone urządzenie można było unieważnić bez wymiany wszystkich klientów. Przechowuj konfigurację serwera z chronionymi uprawnieniami.

Skonfiguruj przekazywanie i DNS

Skonfiguruj reguły przekazywania i zapory celowo. Sprawdź rozwiązywanie nazw, MTU i ścieżkę powrotną. Przetestuj efektywny publiczny adres i zachowanie DNS z poziomu klienta, zamiast zakładać, że udane uzgadnianie oznacza, iż cały ruch korzysta z zamierzonej trasy.

Zrozum zmianę zaufania

Samodzielnie hostowany VPN może chronić ruch w sieci lokalnej, ale VPS i nadrzędny dostawca nadal widzą metadane oraz wszelki niezaszyfrowany ruch. Nie czyni on sesji przeglądarki anonimową ani nie unieważnia zasad usług, do których uzyskujesz dostęp.

Użyj jawnego nasłuchiwacza i sprawdź uzgadnianie połączenia

UDP 51820 to popularny wybór konfiguracji WireGuard, a nie obowiązkowa ani gwarantowana polityka hosta. Otwórz tylko wybrany port UDP, a administrację ogranicz osobno. Polecenie wg show może raportować informacje o uzgadnianiu i transferze peerów bez konieczności publikowania kluczy prywatnych.

• Zweryfikuj niedawne uzgadnianie
• Przetestuj zamierzoną usługę prywatną
• Testuj trasy internetowe i DNS tylko wtedy, gdy zamierzasz używać pełnego tunelu

wg show

Oficjalna dokumentacja: Szybki start WireGuard

Używaj keepalive tylko wtedy, gdy sieć ich potrzebuje

Peer za NAT może wymagać okresowego ruchu keepalive, aby zachować mapowanie dla pakietów przychodzących. Odpowiednie ustawienie zależy od sieci. Utrzymuj konfigurację celową; nie kopiuj przepisu na pełny tunel, jeśli celem jest tylko dostęp do jednej prywatnej aplikacji.

Wybierz projekt z podziałem tunelowania lub pełnym tunelowaniem

Zacznij od rzeczywistego celu. Tunel dzielony może obsługiwać tylko prywatną podsieć lub usługę administracyjną; tunel pełny wymaga także przekazywania internetu, reguł ruchu wychodzącego i planu DNS. Wybierz niepokrywające się adresy tunelu i zdecyduj, jak obsługiwany jest IPv6. UDP51820 to popularny port, nie wymagany. Potwierdź politykę wybranego hosta i utrzymuj dostęp do konsoli/administratora podczas zmiany tras lub reguł zapory.

• Nadaj każdemu urządzeniu unikalną parę kluczy i wąską tożsamość peera.
• Przechowuj klucze prywatne na przeznaczonych do tego urządzeniach, z dala od publicznych plików i udostępniania przez kody QR.
• Traktuj publiczne punkty końcowe i roaming klientów jako część projektu sieci.

Oficjalna dokumentacja: Szybki start WireGuard

Uruchom mały tunel przed dodaniem routingu internetowego

Postępuj zgodnie z obsługiwaną instalacją systemu operacyjnego i generuj klucze z restrykcyjnymi uprawnieniami plików. Skonfiguruj interfejs serwera, jednego peera i wybrany nasłuch UDP. Peer po stronie serwera powinien zwykle mieć własny adres tunelu w AllowedIPs, a nie nakładający się adres obejmujący wszystko przypisany wielu klientom. Zacznij od dostępu do adresu tunelu, następnie dodaj zatwierdzone przekazywanie i trasy docelowe. Udane uzgadnianie dowodzi kontaktu z peerem, a nie tego, że DNS lub wyjście do internetu jest poprawne.

# Inspection examples; these do not reveal a private key:
wg show
ip address show dev wg0
ip route get 10.44.0.1

Oficjalna dokumentacja: Konfiguracja interfejsu i peera WireGuard

Przetestuj oczekiwaną ścieżkę i ścieżkę zabronioną

Z poziomu klienta zweryfikuj niedawne uzgadnianie połączenia i dozwoloną usługę prywatną. Spróbuj miejsca docelowego, które powinno zostać odrzucone. W przypadku pełnego tunelu sprawdź z tego klienta obowiązującą trasę publiczną, resolver DNS i zachowanie IPv6; ruch w tunelu dzielonym powinien zachować zamierzoną ścieżkę lokalną. Powtórz po zmianie sieci klienta. Używaj keepalive NAT tylko wtedy, gdy wymaga tego sieć peera, i zachowaj interwał zgodny z udokumentowanym projektem.

• Bez uzgadniania: sprawdź punkt końcowy DNS, osiągalność UDP, klucze i mapowanie peerów.
• Handshake bez usługi: sprawdź AllowedIPs, zaporę sieciową, przekazywanie i trasę powrotną.
• Niektóre witryny się zawieszają: zbadaj MTU ścieżki, zanim zastosujesz losową stałą wartość.

Uczyń unieważnianie i ponowne uruchamianie powtarzalnymi

Usuń klucz peera zagubionego urządzenia i potwierdź, że nie może już ustanowić zamierzonego dostępu. Przechowuj zaszyfrowane kopie zapasowe konfiguracji oraz wykaz, który klucz publiczny należy do którego urządzenia. Sprawdź, czy interfejs i wymagane reguły routingu wracają po normalnym ponownym uruchomieniu. VPN przenosi zaufanie na VPS i jego nadrzędnego dostawcę; nie usuwa identyfikatorów aplikacji, plików cookie kont ani potrzeby HTTPS do ostatecznego miejsca docelowego.

Oficjalna dokumentacja: Instrukcja WireGuard wg-quick