Τρέξτε το δικό σας VPN με το WireGuard

Το WireGuard είναι ένα πρωτόκολλο VPN ενσωματωμένο στον πυρήνα του Linux που σας επιτρέπει να στήσετε δικό σας server VPN με λίγες εντολές. Ένα δικό σας VPN στέλνει την κίνησή σας προς τα έξω μέσα από μια διεύθυνση IP που ελέγχετε εσείς. Δεν σας κάνει όμως ανώνυμους: οι ιστότοποι που επισκέπτεστε βλέπουν τη διεύθυνση IP του server σας.

Αυτό το άρθρο καλύπτει σε τι χρησιμεύει ένα δικό σας VPN και τι δεν λύνει, τα βήματα χειροκίνητης εγκατάστασης και την πιο εύκολη διαδρομή με web διεπαφή.

Σε τι χρησιμεύει ένα δικό σας VPN;

• Δημόσιο Wi-Fi: Σε δίκτυο καφέ ή ξενοδοχείου, η κίνησή σας ταξιδεύει κρυπτογραφημένη μέχρι τον server σας.
• Τουρκική IP από το εξωτερικό: Επειδή ο server βρίσκεται στην Κωνσταντινούπολη, μπορείτε να βγαίνετε με τουρκική διεύθυνση IP ενώ βρίσκεστε στο εξωτερικό.
• Πρόσβαση σε ιδιωτικό δίκτυο: Φτάνετε στις συσκευές που συνδέετε στο ίδιο VPN και στις υπηρεσίες του server σαν να βρίσκεστε όλοι στο ίδιο τοπικό δίκτυο.
• Σταθερή διεύθυνση εξόδου: Ακόμη κι αν αλλάξει η IP του σπιτιού σας, η έξοδος του VPN σας μένει η ίδια.

Τι δεν λύνει;

• Δεν σας κάνει ανώνυμους. Οι ιστότοποι βλέπουν τη διεύθυνση IP του server σας και αυτή η διεύθυνση συνδέεται με τον λογαριασμό σας.
• Ορισμένες υπηρεσίες μπλοκάρουν διευθύνσεις IP data center. Μην υποθέτετε ότι κάθε υπηρεσία θα ανοίγει μέσα από το VPN σας.
• Δεν προσφέρει εξόδους σε πολλές χώρες. Ο server σας βρίσκεται σε ένα μέρος, που στη Seturack είναι η Κωνσταντινούπολη.
• Δεν σχεδιάστηκε για να δίνετε πρόσβαση στο διαδίκτυο σε άλλους. Αν παρέχετε πρόσβαση στο διαδίκτυο σε άλλους μέσω του server σας, οι υποχρεώσεις βάσει του Νόμου αρ. 5651 είναι δικές σας σύμφωνα με τη σύμβαση υπηρεσιών. Χρησιμοποιείτε το VPN κυρίως για τις δικές σας συσκευές και διαβάστε τη σύμβαση υπηρεσιών πριν δώσετε πρόσβαση σε κάποιον άλλον.

Γιατί αρέσει το WireGuard

• Μπήκε στον πυρήνα του Linux με την έκδοση 5.6, οπότε στις σύγχρονες διανομές δεν χρειάζεται να εγκαταστήσετε ξεχωριστό driver.
• Δεν υπάρχουν κωδικοί. Κάθε άκρο αναγνωρίζεται από το δικό του ζεύγος ιδιωτικού και δημόσιου κλειδιού.
• Η ρύθμιση είναι σύντομη και χωράει σε ένα αρχείο.
• Χρησιμοποιεί UDP. Η θύρα που βλέπετε πιο συχνά σε παραδείγματα και εργαλεία είναι η 51820.

Χειροκίνητη εγκατάσταση (Ubuntu, ως root)

1. Εγκαταστήστε το πακέτο: apt install wireguard
2. Δημιουργήστε το ζεύγος κλειδιών του server: umask 077 && wg genkey | tee privatekey | wg pubkey > publickey
3. Αφήστε κάθε συσκευή-πελάτη να δημιουργήσει το δικό της κλειδί. Η εφαρμογή WireGuard σε κινητά και υπολογιστές το κάνει αυτό και εσείς χρειάζεστε μόνο το δημόσιο κλειδί της.
4. Γράψτε το /etc/wireguard/wg0.conf ακολουθώντας τον παρακάτω πίνακα.
5. Ενεργοποιήστε το IP forwarding: echo 'net.ipv4.ip_forward=1' | tee /etc/sysctl.d/70-wireguard.conf και μετά sysctl --system
6. Ανοίξτε τη θύρα στο firewall: ufw allow 51820/udp
7. Ξεκινήστε το: systemctl enable --now wg-quick@wg0

Γράψτε πρώτα στο αρχείο τις γραμμές [Interface] και μετά τις γραμμές [Peer]. Κάθε πελάτης παίρνει το δικό του μπλοκ [Peer].

Σύνδεση ενός πελάτη

Στον πελάτη, βάλτε το δικό σας ιδιωτικό κλειδί, τη γραμμή Address = 10.8.0.2/24 και μια διεύθυνση DNS στην ενότητα [Interface]. Στην ενότητα [Peer], βάλτε το δημόσιο κλειδί του server, τη γραμμή Endpoint = SERVER_IP:51820 και τη γραμμή AllowedIPs = 0.0.0.0/0. Η τελευταία τιμή στέλνει όλη την κίνηση IPv4 μέσα από το tunnel. Αν θέλετε να φτάνετε μόνο στο δίκτυο VPN, γράψτε αντί για αυτήν το 10.8.0.0/24. Για συσκευές πίσω από NAT ή firewall, η επίσημη τεκμηρίωση προτείνει PersistentKeepalive = 25.

Εκτελέστε wg show στον server. Αν ο πελάτης έχει συνδεθεί, βλέπετε μια γραμμή «latest handshake».

Όλη η κίνηση ή μόνο ένα μέρος της;

Η τιμή AllowedIPs στον πελάτη αποφασίζει ποια κίνηση μπαίνει στο tunnel. Το 0.0.0.0/0 στέλνει μέσα από αυτό όλη την κίνηση IPv4, αλλά όχι IPv6. Αν η συσκευή σας έχει IPv6, αυτή η κίνηση μπορεί να παρακάμψει το tunnel. Με το 0.0.0.0/0, ::/0, και η IPv6 μπαίνει στο tunnel και απορρίπτεται εκεί, επειδή ο server δεν μεταφέρει IPv6, οπότε δεν μπορεί να διαρρεύσει. Αν θέλετε να φτάνετε μόνο σε συγκεκριμένα δίκτυα, για παράδειγμα το 10.8.0.0/24, γράψτε μόνο αυτά. Αυτό λέγεται split tunneling και η υπόλοιπη κίνηση φεύγει από τη συνηθισμένη διαδρομή της. Για απομακρυσμένη πρόσβαση σε δίκτυο, το split tunneling αρκεί συχνά. Η υπόλοιπη κίνησή σας δεν περνά από το tunnel, οπότε δεν επιβραδύνεται.

Ο πιο εύκολος τρόπος: wg-easy

Το wg-easy είναι ένα εργαλείο που συνδυάζει τον server WireGuard και τη διαχείριση πελατών με web διεπαφή. Προσθέτει και αφαιρεί πελάτες και δείχνει κωδικό QR για κινητά. Εγκαθίσταται με Docker Compose και χρησιμοποιεί 51820/UDP. Αν θέλετε να ανοίξετε με ασφάλεια την οθόνη διαχείρισης στο διαδίκτυο, συνιστάται reverse proxy.

Ο έτοιμος server WireGuard της Seturack χρησιμοποιεί το wg-easy και είναι έτοιμος σε περίπου 4 λεπτά. Στο πάνελ βλέπετε τη διεύθυνση διαχείρισης και τον κωδικό. Το tunnel μεταφέρει μόνο IPv4. Δημιουργήστε ξεχωριστό πελάτη για κάθε συσκευή και, αν χάσετε μια συσκευή, διαγράφετε μόνο τον πελάτη της. Τα βήματα σύνδεσης βρίσκονται στο άρθρο βοήθειας για το WireGuard.

Ρύθμιση των συσκευών σας

Το WireGuard έχει επίσημες εφαρμογές για Windows, macOS, Android και iOS. Στο Linux αρκεί το πακέτο. Στο κινητό προσθέτετε τη ρύθμιση με κωδικό QR και στον υπολογιστή εισάγοντας το αρχείο ρύθμισης. Ενεργοποιείτε και απενεργοποιείτε το tunnel από την εφαρμογή. Όσο το tunnel είναι ενεργό, η κίνησή σας στο διαδίκτυο βγαίνει μέσω του server σας.

Τέσσερις μικροί κανόνες ασφαλείας

• Αφήστε μόνο τον root να διαβάζει το αρχείο ρύθμισης: chmod 600 /etc/wireguard/wg0.conf
• Μη στείλετε ποτέ το ιδιωτικό σας κλειδί σε κανέναν. Το δημόσιο κλειδί είναι το μόνο που μοιράζεστε.
• Διαγράψτε το μπλοκ [Peer] μιας συσκευής που χάσατε ή που δεν θέλετε πια να επιτρέπεται.
• Κρατήστε τον server ενημερωμένο. Οι ενημερώσεις του λειτουργικού και των εφαρμογών είναι δική σας δουλειά μετά την εγκατάσταση.

Επειδή η κίνηση του VPN σας περνά από τον server, μετράει και ο όγκος της κίνησης. Η απεριόριστη κίνηση περιλαμβάνεται στην τιμή της Seturack.

Αν δεν συνδέεται

Ορισμένα δίκτυα μπλοκάρουν την κίνηση UDP. Δοκιμάστε άλλο δίκτυο, για παράδειγμα τα δεδομένα κινητής του τηλεφώνου σας. Ελέγξτε επίσης ότι η θύρα 51820/UDP είναι ανοιχτή στο firewall.

Αν θέλετε να ξεκινήσετε με την έτοιμη εγκατάσταση, δείτε τη σελίδα WireGuard VPN.