手順: インターネットルーティングを使用して Wireguard VPN サーバーをセットアップする (2024)

Wireguard は最新の VPN ソリューションであり、特にその簡単な設定と高いパフォーマンスにより、ますます人気が高まっています。最も安全な VPN ソリューション特に、ソースコードのサイズが他のソリューションのほんの一部であるため、Wireguard はクロスプラットフォームであるため、Linux、Windows、Mac、Android、iOS などの事実上すべての最新のオペレーティングシステムで利用できます。

この投稿では、Linux サーバーでの Wireguard の基本セットアップについて説明し、重要な概念とパラメーターについて説明したいと思います。

基本知識

Wireguard は技術的にはいわゆるピア他の VPN ソリューションとは異なり、暗号化されたポイントツーポイント (エンドツーエンド) トンネルが 2 つのピア間に常にセットアップされるのはこのためです。ないクライアントとサーバーは区別されるため、クライアントとサーバーの構成は非常に似ています。

各ピアには、次のキーペアがあります。秘密鍵と公開鍵したがって、非対称暗号化が使用され、パートナーピアは常に、使用する必要がある公開キーのみを知っています。暗号化するデータを使用するのは誰ですか。自分の秘密キーは秘密にしておく必要があり、次の目的で使用されます。解読するさらに、パスワード (事前共有鍵)、これは両方のピアに知られている必要があります。

ピアが「Wireguard VPN サーバー」として機能する場合、これは単にこのピアが複数のピアリングパートナーしたがって、いくつかの独立したトンネル接続がセットアップされ、スター構造を形成し、サーバーピアは同じキーペアを使用し、すべてのクライアントピアは同じ公開キーを知っています。

サーバーピアを介して個々のクライアントピア間で通信ができるかどうか、またはクライアントピアがサーバーピアを介してインターネットをサーフィンできるかどうかは、ホストシステムのルーティングとファイアウォール構成の問題です。ないしたがって、IP ルーティングとファイアウォールに関する一定の基本知識が必要です。

サーバーピア構成

Wireguard は Linux カーネルのモジュールとして実装されています。したがって、少なくともバージョン 5.6 の最新のカーネルを使用する必要があります。いずれの場合でも、コマンドラインツールはWGそしてwg-クイックDebian および Ubuntu システムでは、パッケージは単に「トンネル」と呼ばれます。ワイヤーガードツールそして一緒に行くことができますsudo apt install Wireguard-toolsインストールされる。

構成ファイルは構成に使用されます/etc/wireguard/wg0.conf名前は自由に選択できますが (ファイル拡張子を除く)、公式クイックスタートガイド以下は、インターネットルーティングのルールを含む例です (セクションを参照)インターネットルーティング）。

# SERVERピアの設定(/etc/wireguard/wg0.conf)[インターフェース]住所 = 10.0.1.1/24リッスンポート = 54321秘密鍵 = kNSNZaYfpIFP0GOlliBnibWudKg1FroH7UB+Pp+s2HI=アプローチ = iptables -t nat -A ポストルーティング -o enp0s3 -j マスカレードポストダウン = iptables -t nat -D ポストルーティング -o enp0s3 -j マスカレード#クライアントA[ピア]公開鍵 = 6FnnYgd8MgKz7kwfCVAT0EZZ3Zcz3FzctANcl1M52CE=許可されたIP = 10.0.1.20/32#クライアントB[ピア]公開鍵 = e4NgtjOkjViYqhDdKXC3T7KQYJcUSVV15KGrlg3N20o=許可されたIP = 10.0.1.21/32

で[インターフェース]設定が始まります独自のトンネルエンドポイント。これも：

住所：死ぬWireguard トンネル内の自身の IP アドレス。とともに/24ルーティングに関連するアドレス範囲が定義されます。
リッスンポート: のUDPネットワークポート、トンネル接続が実行されます。クライアントピアの場合は省略できます。
秘密鍵: の自分の秘密鍵。公開キーはこれから生成できるため、設定されません。
アプローチそしてポストダウン: 起動時と停止時に実行されるコマンド。これについては、次のセクションで詳しく説明します。

それからみんなで[ピア]- パートナーピアが設定されるセクション通常、設定は非常に単純で、必要なパラメータは 2 つだけで構成されます。

クライアントピアの構成

クライアントピアもサーバーピアと同様に設定されます。この時点で、原理をテキスト形式で表示できるようにするために、Linux システムを再度設定する必要があります。ほとんどのオペレーティングシステムにはグラフィカルインターフェイスもありますが、設定は完了しています同じパラメータで。

次のコードブロックは、前に示したサーバーピア構成と一致する例を示しています。

# ピア構成「クライアント A」 (/etc/wireguard/wg0.conf)[インターフェース]秘密鍵 = YPc+21+sXiwyiV+nvdBMXrADydX39lFdumPKkDmipEM=住所 = 10.0.1.20/24DNS = 8.8.8.8# サーバーピア[ピア]公開鍵 = OpQ+Usx1ZyooZWa3tIOvH6CLJwFrS3isEC28NYAaJmc=許可されたIP = 0.0.0.0/0終点 = サーバー.example.com:54321

ここにももう一つあります[インターフェース]-のためのセクション独自のトンネルの終点サーバーピアとは異なり、通常、ここでは次のことを除いてすべてを行うことができます。自分の秘密鍵そしてその自分のトンネルアドレス取り残される住所ここでのパラメータはネットワークの仕様 (/24) も省略できます。DNSサーバーパラメータ経由DNS定義します。

その中で[ピア]セクションでは、クライアントの唯一のピア、つまりサーバーピアが構成されています。サーバーピアの公開鍵必須。パラメータ許可されたIPここで IPv4 アドレス範囲全体を指定します (0.0.0.0/0)、インターネット全体からのパケットをサーバーピア経由で受信できるようにします。wg-クイックこの情報を使用して、クライアントホストシステム上でルーティングを適切に構成します。

インターネットルーティング

これまでのところ、相互に通信できるのはサーバーとクライアントのみですが、すべてのインターネットトラフィックを Wireguard トンネル経由でルーティングできるようにするには、ルーティングを設定する必要があります。

まず第一に、これが事実である必要がありますパケットの転送カーネル内でアクティブ化されますが、デフォルトではそうではありません。これは、たとえばファイル内で行う必要があります。/etc/sysctl.d/90-ipforwarding.conf次の行を保存する必要があります。

net.ipv4.ip_forward=1

次に、コマンドを使用してそれを受け入れますsudo sysctl --systemサーバーを実行または再起動します。

通常、サーバーとクライアントはサーバーの IPv4 アドレスを共有する必要があるため、NATこれは、wg0.conf死ぬアプローチそしてポストダウンパラメータが関係します。サーバーがインターネットにアクセスする際に経由するネットワークインターフェイスの名前を調整する必要があります。次に示す構成ファイルでは、次のようになります。enp0s3。

最後になりましたが、ファイアウォールを使用する場合は、ファイアウォールを設定する必要があります。うわーが使用されます。次のルールを追加する必要があります。

# トンネルエンドポイントをアクセス可能にするsudo ufw 許可 54321/udp# トンネルからデータを受け入れるsudo ufw wg0 での許可# インターネットトラフィックのルーティングsudo ufw ルートは wg0 で許可しますsudo ufw ルートは wg0 でのアウトを許可します

エラー分析のヒント

とWGそして次のようなツールピング接続が機能しているかどうかを簡単にテストできます。インターネット接続が不可能な場合は、まずサーバーピアに到達できるかどうかを確認する必要があります。そうでない場合は、最初に構成ファイルを注意深く確認する必要があります。。

次の例では、サーバーピアに到達できますが、インターネット接続はできません。

クライアント $ ping 10.0.1.1PING 10.0.1.1 (10.0.1.1) 56(84) バイトのデータ。10.0.1.1 からの 64 バイト: icmp_seq=1 ttl=64 time=8.42 ミリ秒^Cクライアント $ ping 8.8.8.8PING 8.8.8.8 (8.8.8.8) 56(84) バイトのデータ。10.0.1.1 以降 icmp_seq=1 宛先ホスト禁止

これはルーティングまたはファイアウォールの問題を示唆しています。ルーティングルールは次のように設定できます。ip Route get ここで、クライアントピアに対して Wireguard インターフェイスが表示されるはずです。開発WG0:

 dev wg0 テーブル 51820 src 10.0.1.20 uid 0

ファイアウォールを一時的に無効にして、再試行することもできます。

ないシステムの場合うわー、たとえば、オラクルクラウド、同等である必要がありますiptablesのルールアプローチそしてポストダウン以下に対応します：

アプローチ = iptables -I INPUT 1 -i %i -j ACCEPT; iptables -I FORWARD 1 -i %i -j ACCEPT; iptables -I FORWARD 1 -o %i -j ACCEPT; iptables -t nat -I ポストルーティング 1 -o enp0s3 -j マスカレードポストダウン = iptables -D INPUT -i %i -j ACCEPT; iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D ポストルーティング -o enp0s3 -j マスカレード

ルールの位置を指定することが重要です (-I <チェーン> 1)、Oracle Cloudイメージでは、デフォルトで最後のルールがパッケージを拒否するため(拒否-icmp-ホスト付き-禁止).または、ルールを次のようにすることもできます。/etc/iptables/rules.v4入力される。

MTUの調整によるパフォーマンスの修正

テスト中に、Wireguard トンネルのパフォーマンスが期待したほど高くないことがわかりました。速度テストでは、250Mbit/s DSL 回線経由で約 50Mbit/s しか送信されませんでした。これは、最大パケットサイズ (MTU) が原因でした。デフォルトでは少し高すぎるように設定されているため、パケットが不必要に分割され、ルートに沿って再び混ざり合い、目に見えて大きなオーバーヘッドが発生します。

ツールを使ってiperf3スループットのテストができるサーバー側で簡単にできるiperf3 -sクライアント上でiperf3 -c <サーバー IP>クライアントからサーバー(上流)へのスループットを測定します。クライアントパラメータを追加変更することで方向を入れ替えることができます-Rが使用されているか、VPN クライアント上で iperf3 サーバーが起動されています。

1360 バイトの MTU では、ほぼ全帯域幅を使用できました。パフォーマンスに問題がある場合は、MTU を試してみてください。目標は、オーバーヘッドを低く保つために、できるだけ高い MTU を選択することです。スループットが Gbit/s の方向にある場合は、CPU 負荷も監視する必要がありますが、そこにボトルネックがあるわけではありません。

手順: インターネット ルーティングを使用して Wireguard VPN サーバーをセットアップする (2024)