YGGverse
/
howto-db
1
0
Fork 0
Code Issues 1 Releases Activity
How to Wiki Database (change log) http://[222:a8e4:50cd:55c:788e:b0a5:4e2f:a92c]
You can not select more than 25 topics Topics must start with a letter or number, can include dashes ('-') and can be up to 35 characters long.
5 Commits
1 Branch
0 Tags
264 MiB
 
Tree: 99278b3ec0
Branches Tags
${ item.name }
Create tag ${ searchTerm }
Create branch ${ searchTerm }
from '99278b3ec0'
${ noResults }
howto-db/data/pages/wireguard/simple_vpn.txt

185 lines
16 KiB
Raw Blame History

====== Простой VPN-сервер ======
Рассмотрим установку и настройку [[:WireGuard|WireGuard]] в качестве простого VPN-сервера на [[wpru>Debian|Debian 10]].
Будем исходить из задачи настроить VPN c топологией "звезда", сервер - на [[:VPS]]. C клиентов настроим доступ к домашней сети и к компьютеру в офисе (с которого так же будем иметь доступ к домашней сети). Кроме того, через VPN будет маршрутизироваться трафик в [[:yggdrasil:Yggdrasil]], т.е., на клиентах Yggdrasil устанавливать необходимости не будет для того, чтобы получить доступ сеть. Для разрешения доменных имен [[yggdrasil:dns:ALFIS|ALFIS]] через туннель, будем использовать один из [[:yggdrasil:dns:alfis#список_публичных_серверов|публичных серверов]].
//Примечание: этот пример предполагает наличие в домашней сети роутера с возможностью установки в него WireGuard.//
===== Установка =====
Для Debian 10 WireGuard находится в репозитории backports. Добавляем его:
<code>sh -c "echo 'deb http://deb.debian.org/debian buster-backports main' > /etc/apt/sources.list.d/buster-backports.list"</code>
Обновляем информацию о пакетах и устанавливаем WireGuard:
<code>apt update && apt-get --yes install wireguard-dkms wireguard-tools</code>
===== Настройка сервера =====
Активируем режим роутера, включив форвардинг пакетов между сетевыми интерфейсами:
<code>sysctl -w net.ipv4.ip_forward=1
sysctl -w net.ipv6.conf.all.forwarding=1</code>
Для того, чтобы форвардинг работал после перезагрузки системы вносим изменение в конфигурационный файл ''%%/etc/sysctl.conf%%'' -- в строках ''%%#net.ipv4.ip_forward=1%%'' и ''%%#net.ipv6.conf.all.forwarding=1%%'' удаляем признак комментария (''%%#%%''). Должно получиться так:
<code>net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1</code>
Создаем каталог для конфигурационного файла WireGuard и переходим в него:
<code>mkdir -p /etc/wireguard && cd /etc/wireguard</code>
Генерируем ключи сервера:
<code>wg genkey | tee privatekey-server | wg pubkey > publickey-server</code>
И сразу можем сгенерировать ключи для клиентов (например, для: домашнего роутера, смартфона, ноутбука и рабочей машины в офисе)
<code>wg genkey | tee privatekey-client-router | wg pubkey > publickey-client-router
wg genkey | tee privatekey-client-smartph | wg pubkey > publickey-client-smartph
wg genkey | tee privatekey-client-wrkPC | wg pubkey > publickey-client-wrkPC
wg genkey | tee privatekey-client-ntb | wg pubkey > publickey-client-ntb</code>
Создаем конфигурационный файл сервера WireGuard (используем редактор vi, nano или любой другой):
<code>vi wg0.cfg</code>
Содержимое файла:
<code>[Interface]
Address = 10.0.0.1/24, fd00::1/124 # адреса сервера в туннеле и их подсети
PrivateKey = 7Ewkr05HDT/DdmYSM8rGv554OoF3mk9vfC3DdlYW/nc= # приватный ключ сервера
ListenPort = 51820 # порт, на котором будет ожидать подключений сервер (можно изменить, если будут ограничения по используемым портам)
# правила iptables будут добавляться и удаляться автоматически при включении и отключении виртуального сетевого интерфейса WireGuard:
# (эти правила реализуют NAT для клиентов)
#IPv4
PostUp = iptables -A FORWARD -i %i -j ACCEPT
PostUp = iptables -A FORWARD -o %i -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#IPv6
PostUp = ip6tables -A FORWARD -i %i -j ACCEPT
PostUp = ip6tables -A FORWARD -o %i -j ACCEPT
PostUp = ip6tables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#Yggdrasil
PostUp = ip6tables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
#########################
#IPv4
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -o %i -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
#IPv6
PostDown = ip6tables -D FORWARD -i %i -j ACCEPT
PostDown = ip6tables -D FORWARD -o %i -j ACCEPT
PostDown = ip6tables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
#Yggdrasil
PostDown = ip6tables -t nat -D POSTROUTING -o tun0 -j MASQUERADE
#eth0 - имя интерфейса на сервере (у вас может отличаться)
#tun0 - интерфейс Yggdrasil на сервере
#вместо %i WireGuard автоматически подставит имя своего интерфеса (wg0)
#Ниже в конфигурационном файле сервера перечислены клиенты, которым разрешено подключение к серверу
[Peer]
#Роутер
PublicKey = keP1jP+XvTp84kUxct6MGXx8rR1xFCMoBniN8m+WLxE= # соответствующий публичный ключ клиента
AllowedIPs = 10.0.0.2/32, 192.168.1.0/24 # адреса и подсети, которые будут маршрутизироваться сервером, через туннель до клиента (иными словами, то, к чему сервер будет иметь доступ через туннель)
# 192.168.1.0/24 - адрес домашней сети, роутер в этой сети имеет адрес 192.168.1.1
# 10.0.0.2/32 - адрес клиента в туннеле (/32 - означает один хост в подсети)
[Peer]
#Смартфон
PublicKey = ho2zZ01goTnlZ03pjl8cJcvRVzsnAivkKRjHaXa50Q0=
AllowedIPs = 10.0.0.3/32, fd00::3/128 #/128 - один хост
[Peer]
#ноутбук
PublicKey = trrzZ01goTnlZ03pjl8cJcvRVzsnAivkKRjHaXaamd=
AllowedIPs = 10.0.0.4/32, fd00::4/128
[Peer]
#Рабочая машина в офисе
PublicKey = 0Kn68QK84Nb5wkxbzpnLiPPgj15KXpEvRk+ATlxFvHw=
AllowedIPs = 10.0.0.5/32, fd00::5/128
#В секции [Interface] указывается приватный ключ сервера (генерировали ранее), в секциях [Peer] указываются публичные ключи клиентов.</code>
//Примечание: fd00::/8 -- аналог частных IPv4 адресов. Подробнее: [[https://habr.com/ru/post/64592/|Основы IPv6]], [[wpru>Частный_IP-адрес|Частный IP-адрес]].//
Включаем автоматический запуск сервера WireGuard при загрузке системы:
<code>systemctl enable wg-quick@wg0</code>
На этом настройку сервера можно завершить...
Запускаем сервер WireGuard:
<code>wg-quick up wg0</code>
Файлы конфигурации и ключи можно сохранить на локальной машине для того, чтобы проще было настраивать клиенты. Если вы подключаетесь из под Windows можно использовать программу [[https://winscp.net/eng/docs/lang:ru|WinSCP]], под Linux - scp.
===== Настройка клиентов =====
Подробно рассмотрим настройку клиента на Linux.
Клиенты под Windows, на смартфоне и роутере настраиваются c помощью графического интерфейса WireGuard (т.е., нужно установить соответствующее приложение), и при понимании принципов, с этим сложностей возникнуть не должно.
[[:wireguard:simple_vpn#По поводу роутера|Ниже]] будет еще небольшое замечание по поводу настройки роутера...
На ноутбуке с Linux аналогичным описанному выше способом устанавливаем WireGuard, создаем конфигурационный файл, вносим в него:
<code>[Interface]
Address = 10.0.0.4/24, fd00::4/124
PrivateKey = sdwrd1oaoYAFOg0CPBkXhsvfzPrLj79aIQ0THsffes=
DNS = 94.140.14.14, 94.140.15.15, 302:db60::53 # последним указан публичный адрес DNS-сервера ALFIS (можно указать не публичный, а свой)
#так же, в разделе с DNS можно прописать домашний DNS-сервер (pi.hole, например)
#Трафик через туннель маршрутизируется полностью, за исключением нижеследующего:
PostUp = ip route add zzz.zz.zzz.zz via 192.168.1.1 # сервер в офисе (нужно по работе)
PostUp = ip route add $(dig A myDomain.com +short | tail -n 1) via 192.168.1.1 # и еще один сервер, который требует скоростного доступа
#!Если вместе с туннелем Wireguard на этой же машине будет запускаться Yggdrasil, то тут же имеет смысл перечислить
#публичные пиры, к которым будете подключаться, чтобы соединение с ними не шло через туннель.
################################################################
#то, к чему ходим напрямую
PostDown = ip route del zzz.zz.zzz.zz
PostDown = ip route del $(dig A myDomain.com +short | tail -n 1)
#!Если вместе с туннелем Wireguard на этой же машине будет запускаться Yggdrasil, то тут же имеет смысл перечислить
#публичные пиры, к которым будете подключаться, чтобы соединение с ними не шло через туннель.
[Peer]
PublicKey = asdoSDafr2sNv6cp/FcdlKiuVCi2DtCduU0mmrrte=
Endpoint = xxx.xxx.xxx.xxx:51820 # адрес сервера WireGuard и порт, на котором он ожидает подключений
AllowedIPs = 0.0.0.0/0, ::/0 # адреса / подсети, которые будут маршрутизироваться через туннель (маршрутизируем всё)
#!При такой конфигурации необходимо наличие "настоящего" IPv6 на сервере, иначе сайты по IPv6 (не Yggdrasil) открываться не будут
#!Вместо ::/0 можно использовать 200::/7
PersistentKeepalive = 30 # чтобы соединение не прерывалось</code>
Ничто не мешает создать wg1.conf, wg2.conf и т.д. для подключения из разных мест.
На этом клиенте туннель постоянно поднятым держать необходимости нет, симлинк systemd-юнита создавать не нужно. При необходимости активируем туннель так:
<code>wg-quick up wg0</code>
Информацию о соединениях и на сервере и на клиенте можно смотреть так:
<code>wg show wg0</code>
==== По поводу роутера ====
На роутере WireGuard настраивается, в основном, для того, чтобы в любое время из любого места иметь доступ к домашней сети, поэтому туннельный IPv6 ему не нужен. Кроме того, из дома мы в любой момент с любого устройства можем получить доступ к серверу, и это даёт возможность настроить на роутере машрутизацию через туннель к ошибочно заблокированным [[wpru>Роскомнадзор|РКН]] сайтам. Т.о., все устройства дома проблем из-за этого испытывать не будут и не будут требовать каких-либо дополнительных действий. Весь трафик пускать через туннель на роутере смысла нет, можно прописать там конкретные адреса. Но тут кому как будет удобнее...
Устанавливается WireGuard на роутере, как специальный компонент через панель управления, и настраивается так же -- через web-интерфейс, либо через [[wp>Opkg|opkg]] и консоль -- в зависимости от модели и аппаратных возможностей роутера...
===== Заключение =====
Так можно настроить простую приватную сеть с топологией "звезда". Устройства связаны, как нужно, доступ к Yggdrasil через туннель работает, доменные имена успешно разрешаются указанными серверами, в том числе ALFIS.
Если вам доступ к Yggdrasil через туннель не нужен, можно убрать всё, что касается IPv6 из конфигурационных файлов.
В процессе настройки [маршрутизации] вам, скорее всего, понадобятся средства диагности, чтобы видеть, по какому именно маршруту идут пакеты до заданного узла. Для этих целей можно использовать утилиты traceroute или mtr-tiny (совмещает в себе ping и traceroute).
Чтобы увидеть по какому маршруту идут пакеты просто выполните: <code>traceroute google.com</code>
или
<code>mtr -b google.com</code>
Флагами ''%%-4%%'' ''%%-6%%'' можно выбирать, тестируем IPv4 или IPv6.
//Примечание: в Windows утилита traceroute переименована в tracert.//
Иногда, так же бывает полезно узнать, как ресурсы, к которым вы обращаетесь, определяют ваш IP-адрес. Для этого можно использовать такие сайты, как [[https://2ip.ru/|2ip.ru]] или [[https://myip.ru/|myip.ru]]. Подобные сайты в Yggdrasil: [[http://[200:6223::d35b:1fd8:be0d:2841]/|myip.ygg]], [[http://[301:d060:fb10:ae5b::2]/|http://[301:d060:fb10:ae5b::2]/]].
Так, если вы зайдете на [[https://myip.ru/|myip.ru]] до подключения к VPN, он покажет адрес, который выдан вам вашим провайдером Интернет (или прокси-сервера, если подключаетесь через прокси), а если после подключения к VPN (при условии, что маршрутизация настроена правильно), покажет адрес вашего VPN-сервера.
И на последок, пара сайтов, которые могут помочь определить "утечку" (если для вас это критично) вашего реального IP или запросов DNS: [[https://ipleak.net/|ipleak.net]], [[https://dnsleak.com/|dnsleak.com]], [[https://www.dnsleaktest.com|dnsleaktest.com]].