Как установить WireGuard на Linux: пошаговое руководство

Ubuntu / Debian

Обновите пакетный менеджер и установите WireGuard:

sudo apt update
                    sudo apt install wireguard wireguard-tools

Для Ubuntu 20.04 и новее WireGuard уже есть в репозиториях. Для более старых версий добавьте PPA:

sudo add-apt-repository ppa:wireguard/wireguard
                    sudo apt update
                    sudo apt install wireguard

CentOS / RHEL / Fedora

Для CentOS 8 / RHEL 8 / Fedora:

sudo dnf install wireguard-tools

Для CentOS 7 (с включённым EPEL):

sudo yum install epel-release
                    sudo yum install wireguard-tools

Если модуль ядра не установлен автоматически, установите его через DKMS.

wg --version

Создайте директорию для ключей и сгенерируйте приватный ключ:

cd /etc/wireguard
                    umask 077
                    wg genkey | tee privatekey | wg pubkey > publickey

Теперь у вас есть файлы privatekey и publickey. Сохраните содержимое приватного ключа — оно понадобится в конфигурации.

Откройте файл в редакторе:

sudo nano /etc/wireguard/wg0.conf

Вставьте следующую конфигурацию (замените YOUR_PRIVATE_KEY на содержимое файла privatekey, а CLIENT_PUBLIC_KEY — на публичный ключ клиента):

[Interface]
                    Address = 10.0.0.1/24
                    ListenPort = 51820
                    PrivateKey = YOUR_PRIVATE_KEY
                    SaveConfig = false

                    [Peer]
                    PublicKey = CLIENT_PUBLIC_KEY
                    AllowedIPs = 10.0.0.2/32

Где:

• Address — IP-адрес сервера в VPN-сети (можно выбрать любую частную подсеть).
• ListenPort — порт, на котором WireGuard будет слушать входящие соединения (по умолчанию 51820).
• PrivateKey — приватный ключ сервера.
• Peer.PublicKey — публичный ключ клиента.
• AllowedIPs — IP-адрес, который будет назначен клиенту в VPN-сети.

Для добавления нескольких клиентов просто добавьте новые секции [Peer] с их публичными ключами и уникальными IP.

Включите форвардинг:

echo "net.ipv4.ip_forward = 1" | sudo tee -a /etc/sysctl.conf
                    sudo sysctl -p

Добавьте правило NAT в iptables (замените eth0 на имя вашего внешнего сетевого интерфейса):

sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Чтобы правило сохранялось после перезагрузки, установите пакет iptables-persistent (на Debian/Ubuntu) или сохраните правила через service iptables save (на CentOS).

Для автоматического применения правил при запуске WireGuard можно добавить их в секцию [Interface] конфига:

PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
                    PreDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Interface]
                    Address = 10.0.0.2/24
                    PrivateKey = CLIENT_PRIVATE_KEY

                    [Peer]
                    PublicKey = SERVER_PUBLIC_KEY
                    Endpoint = SERVER_IP:51820
                    AllowedIPs = 0.0.0.0/0

Замените:

• CLIENT_PRIVATE_KEY — приватный ключ клиента.
• SERVER_PUBLIC_KEY — публичный ключ сервера (из файла publickey на сервере).
• SERVER_IP — реальный IP-адрес вашего VPS-сервера.
• AllowedIPs = 0.0.0.0/0 — направлять весь трафик через VPN (можно указать только нужные подсети).

Запустите WireGuard на сервере:

sudo wg-quick up wg0

Добавьте в автозагрузку:

sudo systemctl enable wg-quick@wg0

На клиенте выполните те же команды.

Проверьте статус соединения:

sudo wg show

Вы должны увидеть информацию о рукопожатии и переданных данных.

Проверьте доступность интернета через VPN, например, запустив curl ifconfig.me — IP-адрес должен соответствовать адресу вашего сервера.