Частный туннель с ясной целью.

Определите маршрут

Решите, передает ли туннель только трафик частных сервисов или весь интернет-трафик. Намеренно настройте разрешенные маршруты и учтите как IPv4, так и IPv6. Настройки раздельного и полного туннеля имеют разные соображения по утечкам и доступности.

Один ключ на устройство

По возможности генерируйте приватные ключи на самом устройстве и никогда их не публикуйте. Используйте отдельные идентификаторы узлов, чтобы утерянное устройство можно было отозвать без замены всех клиентов. Храните конфигурацию сервера с защищёнными правами доступа.

Настройте переадресацию и DNS

Настройте правила переадресации и брандмауэра осознанно. Проверьте разрешение имён, MTU и обратный путь. Проверьте фактический публичный адрес и поведение DNS со стороны клиента, а не предполагайте, что успешное рукопожатие означает, что весь трафик идёт по нужному маршруту.

Поймите сдвиг доверия

Самостоятельно размещённый VPN может защитить трафик в локальной сети, но VPS и вышестоящая сторона по-прежнему видят метаданные и любой незашифрованный трафик. Он не делает сеанс браузера анонимным и не отменяет политики сервисов, к которым вы обращаетесь.

Используйте явный слушатель и проверяйте рукопожатие

UDP 51820 — распространённый выбор конфигурации WireGuard, а не обязательная или гарантированная политика хоста. Открывайте только выбранный UDP-порт и отдельно ограничивайте администрирование. Команда wg show может сообщать информацию о рукопожатии и передаче данных пира, не требуя публиковать приватные ключи.

• Проверьте недавнее рукопожатие
• Проверьте предполагаемый частный сервис
• Проверяйте интернет- и DNS-маршруты, только если планируется полный туннель

wg show

Официальная документация: Быстрый старт WireGuard

Используйте keepalive только когда они нужны сети

Пиру за NAT может требоваться периодический keepalive-трафик для сохранения сопоставления для входящих пакетов. Подходящая настройка зависит от сети. Держите конфигурацию осознанной; не копируйте рецепт полного туннеля, если цель — доступ только к одному частному приложению.

Выберите раздельное туннелирование или полный туннель

Начните с реальной цели. Разделённый туннель может передавать только частную подсеть или административный сервис; полный туннель также требует пересылки интернет-трафика, правил исходящего трафика и плана DNS. Выберите непересекающиеся адреса туннеля и решите, как обрабатывается IPv6. UDP51820 — распространённый порт, но не обязательный. Уточните политику выбранного хоста и сохраняйте доступ к консоли и администратору, пока меняете маршруты или правила брандмауэра.

• Дайте каждому устройству уникальную пару ключей и узкую идентичность пира.
• Храните приватные ключи на предназначенных для них устройствах и не размещайте их в публичных файлах и не передавайте через QR-коды.
• Рассматривайте публичные конечные точки и роуминг клиентов как часть проектирования сети.

Официальная документация: Быстрый старт WireGuard

Поднимите небольшой туннель перед добавлением интернет-маршрутизации

Следуйте поддерживаемой установке ОС и генерируйте ключи с ограничительными правами доступа к файлам. Настройте серверный интерфейс, одного пира и выбранный UDP-слушатель. Серверный пир обычно должен иметь собственный адрес туннеля в AllowedIPs, а не перекрывающийся универсальный адрес, назначенный нескольким клиентам. Начните с доступа к адресу туннеля, затем добавьте одобренную переадресацию и маршруты назначения. Успешное рукопожатие доказывает контакт с пиром, но не то, что DNS или выход в интернет настроены правильно.

# Inspection examples; these do not reveal a private key:
wg show
ip address show dev wg0
ip route get 10.44.0.1

Официальная документация: Настройка интерфейса и пиров WireGuard

Проверьте ожидаемый путь и запрещённый путь

Со стороны клиента проверьте недавнее рукопожатие и разрешённый приватный сервис. Попробуйте назначение, которое должно быть запрещено. При использовании полного туннеля проверьте действующий публичный маршрут, резолвер DNS и поведение IPv6 с этого клиента; трафик раздельного туннеля должен сохранять намеченный локальный путь. Повторите после смены сети клиента. Используйте NAT keepalive только когда сеть пира в этом нуждается, и поддерживайте интервал в соответствии с документированным дизайном.

• Без рукопожатия: проверьте конечную точку DNS, доступность по UDP, ключи и сопоставление пиров.
• Рукопожатие есть, но сервиса нет: проверьте AllowedIPs, межсетевой экран, переадресацию и обратный маршрут.
• Некоторые сайты зависают: исследуйте MTU пути, прежде чем применять случайное постоянное значение.

Сделайте отзыв и перезагрузку воспроизводимыми

Удалите ключ пира потерянного устройства и убедитесь, что оно больше не может установить предполагаемый доступ. Храните зашифрованные резервные копии конфигурации и перечень того, какой открытый ключ принадлежит какому устройству. Проверьте, возвращаются ли интерфейс и необходимые правила маршрутизации после обычной перезагрузки. VPN смещает доверие к VPS и его вышестоящей сети; он не устраняет идентификаторы приложений, куки аккаунтов или необходимость HTTPS до конечного назначения.

Официальная документация: Руководство по WireGuard wg-quick