Comment configurer WireGuard sur un VPS ?

Que contient le wg0.conf du serveur ?

Le fichier du serveur contient la clé privée du serveur, son adresse de tunnel, le port d'écoute, les règles NAT et un bloc [Peer] par appareil. Le heredoc ci-dessous remplit les deux clés à partir des fichiers créés à l'étape 3. Remplacez eth0 par l'interface de l'étape 4 avant de l'exécuter.

WireGuard identifie chaque appareil par sa clé publique : un paquet n'est accepté que s'il est signé par une clé connue et provient du AllowedIPs de ce peer.

cd /etc/wireguard
cat > wg0.conf <<EOF
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = $(cat server.key)
# Forward tunnel traffic and hide it behind the VPS address (eth0 = your interface)
PostUp = iptables -I FORWARD -i %i -j ACCEPT
PostUp = iptables -I FORWARD -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostUp = iptables -t nat -I POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

[Peer]
# phone
PublicKey = $(cat phone.pub)
AllowedIPs = 10.8.0.2/32
EOF
chmod 600 wg0.conf

Que contient la configuration client ?

Le fichier client contient la clé privée de l'appareil, son adresse de tunnel, un serveur DNS, ainsi que la clé publique et l'adresse du serveur. AllowedIPs = 0.0.0.0/0, ::/0 envoie tout le trafic dans le tunnel, IPv6 compris, donc rien ne fuit à l'extérieur. Avec le serveur IPv4 uniquement ci-dessus, le trafic IPv6 s'arrête simplement, et la plupart des applications basculent en IPv4.

cd /etc/wireguard
cat > phone.conf <<EOF
[Interface]
PrivateKey = $(cat phone.key)
Address = 10.8.0.2/32
DNS = 9.9.9.9

[Peer]
PublicKey = $(cat server.pub)
Endpoint = YOUR_VPS_IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
EOF

# Phone: scan this QR code in the WireGuard app
apt install -y qrencode
qrencode -t ansiutf8 < phone.conf

# Linux computer: copy phone.conf to /etc/wireguard/, then
# wg-quick up phone

Dois-je ouvrir un port de pare-feu ?

Seulement si un pare-feu tourne sur le VPS : il doit laisser entrer l'UDP 51820 et laisser passer le trafic du tunnel. Avec ufw, exécutez ufw allow 51820/udp. Les règles FORWARD dans wg0.conf sont insérées en tête de chaîne, avant la politique DROP par défaut que ufw applique au trafic routé. Gardez le port 22 ouvert avant d'activer un pare-feu, sinon vous vous enfermez dehors.

Comment ajouter un autre appareil ?

Chaque appareil a sa propre paire de clés, sa propre adresse de tunnel et son propre bloc [Peer]. Exécutez wg genkey | tee laptop.key | wg pubkey > laptop.pub dans /etc/wireguard. Ajoutez un [Peer] avec PublicKey réglé sur la nouvelle clé publique et AllowedIPs = 10.8.0.3/32. Appliquez-le sans couper les autres appareils : systemctl reload wg-quick@wg0, qui exécute wg syncconf. Construisez laptop.conf comme phone.conf, avec Address = 10.8.0.3/32.

Comment router IPv6 à travers le tunnel ?

Ajoutez une plage IPv6 privée des deux côtés, transférez-la et traduisez-la comme IPv4. Choisissez une plage unique locale aléatoire, comme fd42:42:42::/64.

• Serveur : Address = 10.8.0.1/24, fd42:42:42::1/64, et dans le peer AllowedIPs = 10.8.0.2/32, fd42:42:42::2/128.
• NAT : copiez les trois lignes PostUp et PostDown avec ip6tables et la plage IPv6.
• Client : Address = 10.8.0.2/32, fd42:42:42::2/128.
• Transfert : ajoutez net.ipv6.conf.all.forwarding=1 à /etc/sysctl.d/99-wireguard.conf.

Vérifiez d'abord une chose. Avec le transfert activé, le noyau Linux ignore les annonces de routeur sauf si accept_ra vaut 2. Si votre VPS apprend sa route IPv6 de cette façon, réglez net.ipv6.conf.eth0.accept_ra=2 dans le même fichier.

Pourquoi le tunnel se connecte mais aucun site web ne se charge ?

Le handshake fonctionne mais le trafic s'arrête au serveur, presque toujours pour l'une de quatre raisons.

• Le transfert est désactivé : sysctl net.ipv4.ip_forward doit afficher 1.
• Mauvaise interface dans la règle NAT : comparez eth0 dans wg0.conf avec ip route show default.
• Aucun handshake : l'IP ou le port de l'endpoint est erroné, ou un pare-feu bloque l'UDP 51820.
• Les noms ne se résolvent pas : le client n'a pas de ligne DNS fonctionnelle, ou resolvconf manque sur un client Linux.

Après chaque correction, exécutez systemctl restart wg-quick@wg0 et testez à nouveau.

Quel VPS utiliser pour WireGuard ?

N'importe quel VPS KVM avec une adresse IPv4 fait l'affaire ; le plan dépend du trafic qui passe par le tunnel. La page sur quel est le meilleur VPS offshore pour WireGuard compare les plans, les quotas et les emplacements. Les prix de chaque plan sont sur combien coûte un VPS offshore chez OffshoreKVM. Avant de compter dessus pour votre confidentialité, lisez ce que votre fournisseur VPS peut voir sur votre serveur.