En privat tunnel med ett tydligt syfte.

Definiera rutten

Bestäm om tunneln endast transporterar privat tjänstetrafik eller all internettrafik. Konfigurera tillåtna rutter avsiktligt och ta hänsyn till både IPv4 och IPv6. En split-tunnel och en full-tunnel-konfiguration har olika överväganden kring läckage och nåbarhet.

Håll en nyckel per enhet

Generera privata nycklar på enheten där det är praktiskt och publicera dem aldrig. Använd separata peer-identiteter så att en förlorad enhet kan återkallas utan att ersätta varje klient. Lagra serverkonfiguration med skyddade behörigheter.

Konfigurera vidarebefordran och DNS

Ställ in vidarebefordran och brandväggsregler medvetet. Kontrollera namnmatchning, MTU och returvägen. Testa den effektiva offentliga adressen och DNS-beteendet från klienten i stället för att anta att ett lyckat handskakning innebär att all trafik använder den avsedda vägen.

Förstå förskjutningen av förtroende

En självhostad VPN kan skydda trafik på det lokala nätverket, men VPS och uppströms ser fortfarande metadata och all okrypterad trafik. Den gör inte en webbläsarsession anonym eller åsidosätter policyerna för de tjänster du använder.

Använd en explicit lyssnare och granska handskakningen

UDP 51820 är ett vanligt val i WireGuard-konfigurationer, inte en obligatorisk eller garanterad värdpolicy. Öppna endast den valda UDP-porten och håll administrationen separat begränsad. Kommandot wg show kan rapportera information om peer-handskakning och överföring utan att du behöver publicera privata nycklar.

• Verifiera en nylig handskakning
• Testa den avsedda privata tjänsten
• Testa internet- och DNS-rutter endast om en fullständig tunnel är avsedd

wg show

Officiell dokumentation: Snabbstart för WireGuard

Använd keepalives endast när nätverket behöver dem

En peer bakom NAT kan behöva periodisk keepalive-trafik för att bevara en mappning för inkommande paket. Lämplig inställning beror på nätverket. Håll konfigurationen avsiktlig; kopiera inte ett full-tunnel-recept om målet bara är åtkomst till en privat applikation.

Välj delad tunnling eller full tunnling

Börja med det faktiska målet. En delad tunnel kan bara bära ett privat subnät eller en administrativ tjänst; en full tunnel behöver även internetvidarebefordran, utgående regler och en DNS-plan. Välj icke-överlappande tunneladresser och bestäm hur IPv6 hanteras. UDP51820 är en vanlig port, inte en obligatorisk. Bekräfta den valda värdens policy och håll konsol-/administratörsåtkomst tillgänglig medan du ändrar rutter eller brandväggsregler.

• Ge varje enhet ett unikt nyckelpar och en snäv peer-identitet.
• Förvara privata nycklar på de enheter de är avsedda för och borta från offentliga filer eller QR-delning.
• Behandla offentliga slutpunkter och klientroaming som en del av nätverksdesignen.

Officiell dokumentation: Snabbstart för WireGuard

Starta en liten tunnel innan du lägger till internetrouting

Följ den OS-installation som stöds och generera nycklar med restriktiva filbehörigheter. Konfigurera servergränssnittet, en peer och den valda UDP-lyssnaren. En peer på serversidan bör normalt ha sin egen tunneladress i AllowedIPs snarare än en överlappande catch-all tilldelad flera klienter. Börja med åtkomst till tunneladressen och lägg sedan till godkänd vidarebefordran och destinationsrutter. En lyckad handskakning bevisar peer-kontakt, inte att DNS eller internetutgång är korrekt.

# Inspection examples; these do not reveal a private key:
wg show
ip address show dev wg0
ip route get 10.44.0.1

Officiell dokumentation: Konfiguration av WireGuard-gränssnitt och peer

Testa den förväntade sökvägen och en förbjuden sökväg

Verifiera från klienten en nylig handskakning och en tillåten privat tjänst. Prova ett mål som bör nekas. Om du använder en full tunnel, kontrollera den effektiva offentliga rutten, DNS-resolvern och IPv6-beteendet från den klienten; delad tunnel-trafik bör behålla den avsedda lokala vägen. Upprepa efter ett nätverksbyte på klienten. Använd en NAT-keepalive endast när motpartens nätverk behöver det, och håll intervallet förenligt med den dokumenterade designen.

• Ingen handskakning: granska endpoint DNS, UDP-nåbarhet, nycklar och peer-mappning.
• Handskakning men ingen tjänst: granska AllowedIPs, brandvägg, vidarebefordran och returvägen.
• Vissa webbplatser fastnar: undersök sökvägens MTU innan du tillämpar ett slumpmässigt permanent värde.

Gör återkallande och omstartsbeteende repeterbart

Ta bort en förlorad enhets peer-nyckel och bekräfta att den inte längre kan upprätta den avsedda åtkomsten. Behåll krypterade konfigurationssäkerhetskopior och en förteckning över vilken publik nyckel som tillhör vilken enhet. Testa om gränssnittet och nödvändiga routingregler återkommer efter en normal omstart. En VPN flyttar förtroendet till VPS och dess uppströmsleverantör; den tar inte bort applikationsidentifierare, kontocookies eller behovet av HTTPS till den slutliga destinationen.

Officiell dokumentation: WireGuard wg-quick-manual