อุโมงค์ส่วนตัวที่มีวัตถุประสงค์ชัดเจน

กำหนดเส้นทาง

ตัดสินใจว่าอุโมงค์จะรับส่งเฉพาะทราฟฟิกบริการส่วนตัวหรือทราฟฟิกอินเทอร์เน็ตทั้งหมด กำหนดเส้นทางที่อนุญาตอย่างตั้งใจและคำนึงถึงทั้ง IPv4 และ IPv6 การตั้งค่าแบบ split-tunnel และ full-tunnel มีข้อพิจารณาด้านการรั่วไหลและการเข้าถึงที่แตกต่างกัน

ใช้หนึ่งคีย์ต่ออุปกรณ์

สร้างคีย์ส่วนตัวบนอุปกรณ์เมื่อทำได้ และอย่าเผยแพร่คีย์เหล่านั้น ใช้ตัวตนของเพียร์แยกกัน เพื่อให้อุปกรณ์ที่สูญหายสามารถถูกเพิกถอนได้โดยไม่ต้องเปลี่ยนไคลเอนต์ทั้งหมด เก็บการกำหนดค่าเซิร์ฟเวอร์ด้วยสิทธิ์การเข้าถึงที่ได้รับการป้องกัน

กำหนดค่าการส่งต่อและ DNS

กำหนดกฎการส่งต่อและไฟร์วอลล์อย่างตั้งใจ ตรวจสอบการแปลงชื่อ MTU และเส้นทางขากลับ ทดสอบที่อยู่สาธารณะที่ใช้งานจริงและพฤติกรรม DNS จากฝั่งไคลเอนต์ แทนที่จะสมมติว่าการจับมือสำเร็จหมายความว่าทราฟฟิกทั้งหมดใช้เส้นทางที่ต้องการ

ทำความเข้าใจการเปลี่ยนแปลงของความไว้วางใจ

VPN ที่โฮสต์เองสามารถปกป้องทราฟฟิกบนเครือข่ายท้องถิ่นได้ แต่ VPS และต้นทางยังคงเห็นข้อมูลเมตาและทราฟฟิกที่ไม่ได้เข้ารหัสใดๆ ไม่ได้ทำให้เซสชันเบราว์เซอร์ไม่ระบุตัวตนหรือแทนที่นโยบายของบริการที่คุณเข้าถึง

ใช้ตัวรับฟังที่ระบุชัดเจนและตรวจสอบแฮนด์เชก

UDP 51820 เป็นตัวเลือกการกำหนดค่า WireGuard ที่พบบ่อย ไม่ใช่ข้อกำหนดบังคับหรือการรับประกันของโฮสต์ เปิดเฉพาะพอร์ต UDP ที่เลือกไว้และจำกัดการดูแลระบบแยกต่างหาก คำสั่ง wg show สามารถรายงานข้อมูลแฮนด์เชกและการรับส่งข้อมูลของเพียร์ได้โดยไม่ต้องให้คุณเผยแพร่คีย์ส่วนตัว

• ตรวจสอบแฮนด์เชกล่าสุด
• ทดสอบบริการส่วนตัวที่ต้องการ
• ทดสอบเส้นทางอินเทอร์เน็ตและ DNS เฉพาะเมื่อต้องการใช้อุโมงค์แบบเต็มรูปแบบ

wg show

เอกสารอย่างเป็นทางการ: เริ่มต้นใช้งาน WireGuard อย่างรวดเร็ว

ใช้ keepalive เฉพาะเมื่อเครือข่ายต้องการ

เพียร์ที่อยู่หลัง NAT อาจต้องมีทราฟฟิก keepalive เป็นระยะเพื่อรักษาการแมปสำหรับแพ็กเก็ตขาเข้า การตั้งค่าที่เหมาะสมขึ้นอยู่กับเครือข่าย กำหนดค่าให้เป็นไปตามเจตนา อย่าคัดลอกสูตรอุโมงค์เต็มรูปแบบหากเป้าหมายเป็นเพียงการเข้าถึงแอปพลิเคชันส่วนตัวเพียงตัวเดียว

เลือกการออกแบบแบบแยกทันเนลหรือแบบทันเนลเต็ม

เริ่มจากเป้าหมายจริง อุโมงค์แบบแยกส่วนสามารถรับส่งได้เฉพาะซับเน็ตส่วนตัวหรือบริการสำหรับผู้ดูแลระบบ ส่วนอุโมงค์แบบเต็มยังต้องมีการส่งต่ออินเทอร์เน็ต กฎขาออก และแผน DNS เลือกที่อยู่ของอุโมงค์ที่ไม่ทับซ้อนกัน และตัดสินใจว่าจะจัดการ IPv6 อย่างไร UDP51820 เป็นพอร์ตที่ใช้กันทั่วไป ไม่ใช่พอร์ตที่บังคับ ยืนยันนโยบายของโฮสต์ที่เลือกและคงการเข้าถึงคอนโซล/ผู้ดูแลระบบไว้ขณะเปลี่ยนเส้นทางหรือกฎไฟร์วอลล์

• มอบคู่คีย์ที่ไม่ซ้ำกันและตัวตน peer ที่แคบให้แต่ละอุปกรณ์
• เก็บคีย์ส่วนตัวไว้บนอุปกรณ์ที่ตั้งใจไว้ และอย่าเก็บไว้ในไฟล์สาธารณะหรือแชร์ผ่าน QR
• ถือว่าปลายทางสาธารณะและการโรมมิ่งของไคลเอนต์เป็นส่วนหนึ่งของการออกแบบเครือข่าย

เอกสารอย่างเป็นทางการ: เริ่มต้นใช้งาน WireGuard อย่างรวดเร็ว

สร้างทันเนลขนาดเล็กขึ้นมาก่อนที่จะเพิ่มการกำหนดเส้นทางอินเทอร์เน็ต

ปฏิบัติตามการติดตั้งระบบปฏิบัติการที่รองรับและสร้างคีย์ด้วยสิทธิ์ไฟล์ที่จำกัด กำหนดค่าอินเทอร์เฟซเซิร์ฟเวอร์ เพียร์หนึ่งรายการ และตัวรับฟัง UDP ที่เลือก โดยปกติเพียร์ฝั่งเซิร์ฟเวอร์ควรมีที่อยู่ทันเนลของตนเองใน AllowedIPs แทนที่จะใช้ที่อยู่ครอบคลุมทั้งหมดที่ทับซ้อนกันซึ่งกำหนดให้ไคลเอนต์หลายราย เริ่มจากการเข้าถึงที่อยู่ทันเนล จากนั้นเพิ่มการส่งต่อและการกำหนดเส้นทางปลายทางที่ได้รับอนุมัติ การจับมือสำเร็จพิสูจน์ว่าติดต่อเพียร์ได้ ไม่ได้พิสูจน์ว่า DNS หรือการออกสู่อินเทอร์เน็ตถูกต้อง

# Inspection examples; these do not reveal a private key:
wg show
ip address show dev wg0
ip route get 10.44.0.1

เอกสารอย่างเป็นทางการ: การกำหนดค่าอินเทอร์เฟซและเพียร์ของ WireGuard

ทดสอบเส้นทางที่คาดหวังและเส้นทางที่ต้องห้าม

จากไคลเอนต์ ให้ตรวจสอบแฮนด์เชกเมื่อเร็วๆ นี้และบริการส่วนตัวที่ได้รับอนุญาต ลองปลายทางที่ควรถูกปฏิเสธ หากใช้ฟูลทันเนล ให้ตรวจสอบเส้นทางสาธารณะที่มีผลจริง ตัวแปลง DNS และพฤติกรรม IPv6 จากไคลเอนต์นั้น ทราฟฟิกสปลิตทันเนลควรคงเส้นทางภายในเครื่องตามที่ตั้งใจ ทำซ้ำหลังการเปลี่ยนเครือข่ายของไคลเอนต์ ใช้ NAT keepalive เฉพาะเมื่อเครือข่ายของเพียร์ต้องการ และรักษาช่วงเวลาให้สอดคล้องกับการออกแบบที่บันทึกไว้

• ไม่มีการจับมือ: ตรวจสอบปลายทาง DNS, การเข้าถึง UDP, คีย์และการแมปเพียร์
• แฮนด์เชกผ่านแต่ไม่มีบริการ: ตรวจสอบ AllowedIPs ไฟร์วอลล์ การส่งต่อ และเส้นทางขากลับ
• บางไซต์ค้าง: ตรวจสอบ path MTU ก่อนกำหนดค่าถาวรแบบสุ่ม

ทำให้การเพิกถอนและการรีบูตทำซ้ำได้

ลบคีย์เพียร์ของอุปกรณ์ที่สูญหายและยืนยันว่าไม่สามารถสร้างการเข้าถึงตามที่ตั้งใจได้อีกต่อไป เก็บสำรองการกำหนดค่าที่เข้ารหัสไว้และทำบัญชีว่าคีย์สาธารณะใดเป็นของอุปกรณ์ใด ทดสอบว่าอินเทอร์เฟซและกฎการกำหนดเส้นทางที่จำเป็นกลับมาหลังรีบูตตามปกติหรือไม่ VPN เปลี่ยนความไว้วางใจไปยัง VPS และต้นทางอัปสตรีม ไม่ได้ลบตัวระบุแอปพลิเคชัน คุกกี้บัญชี หรือความจำเป็นในการใช้ HTTPS ไปยังปลายทางสุดท้าย

เอกสารอย่างเป็นทางการ: คู่มือ WireGuard wg-quick