Bir VPS'te WireGuard'ı nasıl kurarım?

Sunucunun wg0.conf dosyasına neler girer?

Sunucu dosyası sunucunun özel anahtarını, tünel adresini, dinleme portunu, NAT kurallarını ve her cihaz için birer [Peer] bloğu içerir. Aşağıdaki heredoc, 3. adımda oluşturulan dosyalardan her iki anahtarı da doldurur. Çalıştırmadan önce eth0 yerine 4. adımdaki arayüzü yazın.

WireGuard her cihazı ortak anahtarıyla tanımlar: bir paket yalnızca bilinen bir anahtarla imzalanmışsa ve o peer'in AllowedIPs adresinden geliyorsa kabul edilir.

cd /etc/wireguard
cat > wg0.conf <<EOF
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = $(cat server.key)
# Forward tunnel traffic and hide it behind the VPS address (eth0 = your interface)
PostUp = iptables -I FORWARD -i %i -j ACCEPT
PostUp = iptables -I FORWARD -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostUp = iptables -t nat -I POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

[Peer]
# phone
PublicKey = $(cat phone.pub)
AllowedIPs = 10.8.0.2/32
EOF
chmod 600 wg0.conf

İstemci yapılandırmasına neler girer?

İstemci dosyası cihazın özel anahtarını, tünel adresini, bir DNS sunucusunu ve sunucunun ortak anahtarını ve adresini içerir. AllowedIPs = 0.0.0.0/0, ::/0 tüm trafiği, IPv6 dahil, tünelden geçirir, böylece dışarıya hiçbir şey sızmaz. Yukarıdaki yalnızca IPv4 sunucusuyla IPv6 trafiği tamamen durur ve çoğu uygulama IPv4'e geri döner.

cd /etc/wireguard
cat > phone.conf <<EOF
[Interface]
PrivateKey = $(cat phone.key)
Address = 10.8.0.2/32
DNS = 9.9.9.9

[Peer]
PublicKey = $(cat server.pub)
Endpoint = YOUR_VPS_IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
EOF

# Phone: scan this QR code in the WireGuard app
apt install -y qrencode
qrencode -t ansiutf8 < phone.conf

# Linux computer: copy phone.conf to /etc/wireguard/, then
# wg-quick up phone

Güvenlik duvarı portu açmam gerekir mi?

Yalnızca VPS'te bir güvenlik duvarı çalışıyorsa: UDP 51820'ye gelen trafiğe izin vermeli ve tünel trafiğini geçirmelidir. ufw ile ufw allow 51820/udp komutunu çalıştırın. wg0.conf içindeki FORWARD kuralları, ufw tarafından yönlendirilen trafik için ayarlanan varsayılan DROP ilkesinden önce, zincirin en üstüne eklenir. Herhangi bir güvenlik duvarını etkinleştirmeden önce 22 numaralı portu açık tutun, yoksa kendinizi kilitlersiniz.

Başka bir cihazı nasıl eklerim?

Her cihaz kendi anahtar çiftini, kendi tünel adresini ve kendi [Peer] bloğunu alır. /etc/wireguard içinde wg genkey | tee laptop.key | wg pubkey > laptop.pub komutunu çalıştırın. PublicKey değeri yeni ortak anahtar ve AllowedIPs = 10.8.0.3/32 olarak ayarlanmış bir [Peer] ekleyin. Diğer cihazları düşürmeden uygulayın: wg syncconf çalıştıran systemctl reload wg-quick@wg0. laptop.conf dosyasını Address = 10.8.0.3/32 ile phone.conf gibi oluşturun.

IPv6'yı tünelden nasıl yönlendiririm?

Her iki tarafa özel bir IPv6 aralığı ekleyin, yönlendirin ve IPv4 gibi çevirin. fd42:42:42::/64 gibi rastgele benzersiz bir yerel aralık seçin.

• Sunucu: Address = 10.8.0.1/24, fd42:42:42::1/64 ve peer içinde AllowedIPs = 10.8.0.2/32, fd42:42:42::2/128.
• NAT: üç PostUp ve PostDown satırını ip6tables ve IPv6 aralığıyla kopyalayın.
• İstemci: Address = 10.8.0.2/32, fd42:42:42::2/128.
• Yönlendirme: /etc/sysctl.d/99-wireguard.conf dosyasına net.ipv6.conf.all.forwarding=1 ekleyin.

Önce bir şeyi kontrol edin. Yönlendirme açıkken Linux çekirdeği, accept_ra değeri 2 olmadıkça yönlendirici duyurularını yok sayar. VPS'iniz IPv6 rotasını bu şekilde öğreniyorsa aynı dosyada net.ipv6.conf.eth0.accept_ra=2 ayarlayın.

Tünel bağlanıyor ama hiçbir web sitesi yüklenmiyorsa neden?

El sıkışma çalışıyor ama trafik sunucuda duruyor; neredeyse her zaman dört nedenden biridir.

• Yönlendirme kapalı: sysctl net.ipv4.ip_forward 1 yazdırmalı.
• NAT kuralında yanlış arayüz: wg0.conf içindeki eth0 ile ip route show default değerini karşılaştırın.
• Hiç el sıkışma yok: endpoint IP'si veya portu yanlıştır ya da bir güvenlik duvarı UDP 51820'yi engelliyordur.
• Adlar çözümlenmiyor: istemcide çalışan bir DNS satırı yoktur ya da bir Linux istemcisinde resolvconf eksiktir.

Her düzeltmeden sonra systemctl restart wg-quick@wg0 komutunu çalıştırıp tekrar test edin.

WireGuard için hangi VPS'i kullanmalıyım?

IPv4 adresi olan herhangi bir KVM VPS işinizi görür; plan, tünelden ne kadar trafik geçtiğine bağlıdır. WireGuard için en iyi offshore VPS hangisi sayfası planları, kotaları ve konumları karşılaştırıyor. Her planın fiyatı OffshoreKVM'te offshore VPS ne kadar sayfasında. Gizlilik için güvenmeden önce VPS sağlayıcınız sunucunuzda neleri görebilir yazısını okuyun.