WireGuard VPN на Linux: полное руководство по настройке, безопасности и производительности

Почему WireGuard стал стандартом для VPN на Linux

WireGuard — это современный VPN-протокол, который работает на уровне ядра Linux. В отличие от OpenVPN или IPsec, он не требует громоздких конфигураций и сертификатов. Его кодовая база составляет около 4000 строк, что в разы меньше, чем у предшественников. Это снижает риск ошибок и упрощает аудит безопасности.

WireGuard использует современную криптографию: Curve25519 для обмена ключами, ChaCha20 для шифрования, Poly1305 для аутентификации и BLAKE2s для хеширования. Отсутствие выбора шифров исключает атаки понижения версии. Протокол работает как сетевой интерфейс (wg0), что упрощает интеграцию с существующими инструментами.

Производительность WireGuard заметно выше: он способен насыщать гигабитные каналы даже на скромном оборудовании, тогда как OpenVPN упирается в CPU. Это делает его идеальным для использования на Raspberry Pi, VPS и встроенных системах.

Предварительные требования и установка

Для работы WireGuard нужен Linux-сервер с ядром 5.6 или новее, где модуль уже встроен. Проверить версию можно командой uname -r. На старых ядрах потребуется пакет wireguard-dkms, но такие системы уже устарели.

Установка проста:

• Ubuntu/Debian: sudo apt update && sudo apt install wireguard wireguard-tools
• Fedora/RHEL: sudo dnf install wireguard-tools (после включения EPEL)
• Arch: sudo pacman -S wireguard-tools

Пакет wireguard-tools предоставляет утилиты wg и wg-quick. Модуль ядра уже присутствует, поэтому дополнительная компиляция не нужна. Убедиться, что модуль загружен, можно командой sudo modprobe wireguard.

Генерация ключей и управление доступом

WireGuard использует асимметричные ключи, похожие на SSH. Каждый участник генерирует свою пару: закрытый ключ хранится в секрете, открытый передаётся другим. На сервере и клиенте выполняется:

wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key

Сразу после генерации нужно ограничить права на закрытый ключ: chmod 600 /etc/wireguard/server_private.key. Никогда не передавайте закрытый ключ по сети и не храните его в репозиториях.

Открытые ключи можно свободно распространять. Для каждого клиента создаётся отдельная пара ключей. Повторное использование ключей между клиентами недопустимо — это нарушает изоляцию.

Конфигурация сервера WireGuard

Серверный конфиг хранится в /etc/wireguard/wg0.conf. Минимальный пример:

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <SERVER_PRIVATE_KEY>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <CLIENT_PUBLIC_KEY>
AllowedIPs = 10.0.0.2/32

• Address — VPN-адрес сервера в туннельной подсети.
• ListenPort — UDP-порт, по умолчанию 51820.
• PostUp/PostDown — правила iptables для NAT и форвардинга. Интерфейс eth0 замените на реальный (проверьте ip a).
• AllowedIPs для пира — какие адреса разрешены с его стороны.

Файл должен быть доступен только root: chmod 600 /etc/wireguard/wg0.conf.

Включение IP-форвардинга и настройка firewall

Чтобы клиенты могли выходить в интернет через сервер, необходимо включить IP-форвардинг. Добавьте в /etc/sysctl.conf:

net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1

Примените: sudo sysctl -p. Проверьте: cat /proc/sys/net/ipv4/ip_forward — должно быть 1.

Firewall на сервере должен разрешать UDP-порт WireGuard. Для UFW: sudo ufw allow 51820/udp. Для firewalld: sudo firewall-cmd --permanent --add-port=51820/udp && sudo firewall-cmd --reload. Если используется nftables, добавьте соответствующее правило в input chain.

Важно: на системах с UFW нужно изменить DEFAULT_FORWARD_POLICY на ACCEPT в /etc/default/ufw, иначе форвардинг будет блокироваться.

Настройка клиента и подключение

Клиентский конфиг аналогичен серверному, но с другими параметрами:

[Interface]
Address = 10.0.0.2/32
PrivateKey = <CLIENT_PRIVATE_KEY>
DNS = 1.1.1.1

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = <SERVER_PUBLIC_IP>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

• Address — уникальный VPN-адрес клиента.
• DNS — резолверы, используемые при активном туннеле (предотвращает утечки DNS).
• AllowedIPs = 0.0.0.0/0 — весь трафик через VPN (полный туннель). Для раздельного туннеля укажите конкретные подсети.
• PersistentKeepalive = 25 — отправка keepalive каждые 25 секунд, необходима за NAT.

Запуск: sudo wg-quick up wg0. Для автозапуска: sudo systemctl enable wg-quick@wg0.

Добавление нескольких клиентов и управление пирами

WireGuard легко масштабируется. Для каждого нового клиента генерируется своя пара ключей, и на сервере добавляется блок [Peer] с его открытым ключом и уникальным IP. Можно добавить пира без перезапуска:

sudo wg set wg0 peer <CLIENT_PUBLIC_KEY> allowed-ips 10.0.0.3/32

Чтобы изменения сохранились после перезагрузки, выполните sudo wg-quick save wg0 или отредактируйте конфиг.

Для нескольких интерфейсов (например, wg0 и wg1) используйте разные порты и подсети. Это удобно для разделения клиентов по группам доступа.

Поддержка IPv6 и раздельного туннелирования

WireGuard поддерживает IPv6 из коробки. В конфиге можно указать несколько адресов:

Address = 10.0.0.1/24, fd00::1/64

Для полного туннеля с IPv6 используйте AllowedIPs = 0.0.0.0/0, ::/0. Не забудьте включить IPv6-форвардинг и добавить правила ip6tables в PostUp/PostDown.

Раздельное туннелирование (split tunnel) позволяет отправлять через VPN только определённые подсети, например, 10.10.0.0/24, 192.168.1.0/24. Это снижает нагрузку и сохраняет прямой доступ к локальной сети.

Диагностика и устранение неполадок

Самые частые проблемы:

• Нет handshake: проверьте, слушает ли сервер порт (sudo ss -ulnp | grep 51820), открыт ли порт в firewall, правильность Endpoint и ключей.
• Handshake есть, но трафик не идёт: убедитесь, что IP-форвардинг включён, NAT-правила активны (sudo iptables -t nat -L POSTROUTING -n -v), и AllowedIPs клиента покрывает нужные маршруты.
• Утечки DNS: укажите DNS в конфиге клиента и проверьте через curl ifconfig.me.
• Туннель отваливается после простоя: увеличьте PersistentKeepalive или настройте таймауты.

Для проверки используйте sudo wg show — там видно время последнего handshake и объём переданных данных.

Безопасность и производительность WireGuard

WireGuard считается безопасным благодаря минимальному коду и современной криптографии. Он прошёл формальные проверки, что подтверждает его устойчивость к атакам. Однако он не предоставляет встроенных механизмов аутентификации пользователей и управления ключами — для больших инфраструктур потребуются дополнительные решения (например, wg-easy или централизованное управление).

Производительность WireGuard превосходит OpenVPN и IPsec. На тестах он стабильно достигает гигабитных скоростей даже на недорогих VPS. Это достигается за счёт работы в ядре и отсутствия накладных расходов на пользовательское пространство.

Для максимальной безопасности регулярно обновляйте систему и следите за рекомендациями по настройке firewall.

Вопросы и ответы