Je eigen VPN draaien met WireGuard

WireGuard is een VPN-protocol dat in de Linux-kernel zit en waarmee je met een paar opdrachten je eigen VPN-server opzet. Met je eigen VPN gaat je verkeer naar buiten via een IP-adres dat jij beheert. Het maakt je echter niet anoniem: de sites die je bezoekt zien het IP-adres van je server.

Dit artikel behandelt waar je eigen VPN goed voor is en wat het niet oplost, de handmatige installatiestappen en de makkelijkere route met een webinterface.

Waar is je eigen VPN goed voor?

• Openbare wifi: Op het netwerk van een café of hotel reist je verkeer versleuteld helemaal tot je server.
• Een Turks IP-adres vanuit het buitenland: Omdat de server in Istanbul staat, kun je met een Turks IP-adres naar buiten komen terwijl je in het buitenland bent.
• Toegang tot een privénetwerk: Je bereikt de apparaten die je met hetzelfde VPN verbindt, en diensten op de server, alsof jullie allemaal op hetzelfde lokale netwerk zitten.
• Een vast uitgangsadres: Ook als je thuis-IP verandert, blijft de uitgang van je VPN hetzelfde.

Wat lost het niet op?

• Het maakt je niet anoniem. Sites zien het IP-adres van je server, en dat adres is gekoppeld aan je account.
• Sommige diensten blokkeren IP-adressen van datacenters. Ga er niet van uit dat elke dienst via je VPN opent.
• Het biedt geen uitgangen in veel landen. Je server staat op één plek, bij Seturack is dat Istanbul.
• Het is niet ontworpen om anderen internettoegang te geven. Geef je via je server anderen internettoegang, dan zijn de verplichtingen onder Wet nr. 5651 volgens de serviceovereenkomst voor jou. Gebruik de VPN vooral voor je eigen apparaten en lees de serviceovereenkomst voordat je iemand anders toegang geeft.

Waarom mensen WireGuard fijn vinden

• Het kwam met versie 5.6 in de Linux-kernel, dus op actuele distributies hoef je geen apart stuurprogramma te installeren.
• Er zijn geen wachtwoorden. Elk uiteinde wordt herkend aan zijn eigen paar van privé- en openbare sleutel.
• De configuratie is kort en past in één bestand.
• Het gebruikt UDP. De poort die je in voorbeelden en tools het vaakst ziet, is 51820.

Handmatig installeren (Ubuntu, als root)

1. Installeer het pakket: apt install wireguard
2. Maak het sleutelpaar van de server aan: umask 077 && wg genkey | tee privatekey | wg pubkey > publickey
3. Laat elk clientapparaat zijn eigen sleutel aanmaken. De WireGuard-app op telefoons en computers doet dat, en jij hebt alleen de openbare sleutel nodig.
4. Schrijf /etc/wireguard/wg0.conf volgens de onderstaande tabel.
5. Zet IP-forwarding aan: echo 'net.ipv4.ip_forward=1' | tee /etc/sysctl.d/70-wireguard.conf en daarna sysctl --system
6. Open de poort in de firewall: ufw allow 51820/udp
7. Start hem: systemctl enable --now wg-quick@wg0

Schrijf eerst de regels van [Interface] naar het bestand en daarna die van [Peer]. Elke client krijgt een eigen blok [Peer].

Een client verbinden

Zet op de client je eigen privésleutel, de regel Address = 10.8.0.2/24 en een DNS-adres in de sectie [Interface]. Zet in de sectie [Peer] de openbare sleutel van de server, de regel Endpoint = SERVER_IP:51820 en de regel AllowedIPs = 0.0.0.0/0. De laatste waarde stuurt al het IPv4-verkeer door de tunnel. Wil je alleen het VPN-netwerk bereiken, schrijf dan 10.8.0.0/24. Voor apparaten achter NAT of een firewall stelt de officiële documentatie PersistentKeepalive = 25 voor.

Voer wg show uit op de server. Heeft de client verbonden, dan zie je een regel "latest handshake".

Al het verkeer of maar een deel?

De waarde AllowedIPs op de client bepaalt welk verkeer de tunnel in gaat. 0.0.0.0/0 stuurt al het IPv4-verkeer erdoorheen, maar geen IPv6. Heeft je apparaat IPv6, dan kan dat verkeer langs de tunnel gaan. Met 0.0.0.0/0, ::/0 gaat ook IPv6 de tunnel in en wordt het daar weggegooid, omdat de server geen IPv6 voert, dus het kan niet lekken. Wil je alleen bepaalde netwerken bereiken, bijvoorbeeld 10.8.0.0/24, schrijf dan alleen die. Dit heet split tunneling, en de rest van het verkeer gaat via de gewone route naar buiten. Om een netwerk op afstand te bereiken is split tunneling vaak genoeg. De rest van je verkeer gaat niet door de tunnel, dus dat wordt niet vertraagd.

De makkelijkere manier: wg-easy

wg-easy is een tool die de WireGuard-server en het beheer van clients bundelt met een webinterface. Het voegt clients toe en verwijdert ze, en toont een QR-code voor telefoons. Het installeert met Docker Compose en gebruikt 51820/UDP. Een reverse proxy wordt aanbevolen als je het beheerscherm veilig naar internet wilt openen.

De kant-en-klare WireGuard-server van Seturack gebruikt wg-easy en staat in ongeveer 4 minuten klaar. In het paneel zie je het beheeradres en het wachtwoord. De tunnel draagt alleen IPv4. Maak voor elk apparaat een aparte client aan, en raak je een apparaat kwijt, dan verwijder je alleen de client daarvan. De verbindingsstappen staan in het helpartikel over WireGuard.

Je apparaten instellen

WireGuard heeft officiële apps voor Windows, macOS, Android en iOS. Op Linux is het pakket genoeg. Op een telefoon voeg je de configuratie toe met een QR-code, op een computer door het configuratiebestand te importeren. Je zet de tunnel aan en uit vanuit de app. Zolang de tunnel actief is, gaat je internetverkeer via je server naar buiten.

Vier kleine beveiligingsregels

• Laat alleen root het configuratiebestand lezen: chmod 600 /etc/wireguard/wg0.conf
• Stuur je privésleutel nooit naar iemand. De openbare sleutel is het enige wat je deelt.
• Verwijder het blok [Peer] van een apparaat dat je kwijt bent of niet meer wilt toelaten.
• Houd de server up-to-date. Updates van het besturingssysteem en de applicaties zijn na de installatie van jou.

Omdat je VPN-verkeer via de server loopt, telt ook het verkeersvolume. Onbeperkt verkeer is bij de prijs van Seturack inbegrepen.

Als het niet verbindt

Sommige netwerken blokkeren UDP-verkeer. Probeer een ander netwerk, bijvoorbeeld de mobiele data van je telefoon. Controleer ook of poort 51820/UDP openstaat in de firewall.

Wil je beginnen met de kant-en-klare installatie, zie dan de pagina over WireGuard VPN.