Como configurar o wireguard

Nesse artigo estarei explicando como funciona o wireguard, como configurar um servidor vpn, como configurar um client vpn.

Oque é o wireguard?

O wireguard é uma ferramenta opensource para criar VPNs, tunnels, entre outros, o processo de configuração do wireguard é bem manual e em alguns casos é necessário usar regras de firewall.

Como configuro um servidor VPN com Wireguard

O wireguard não utiliza sistemas de usuário e senha, ele usa um sistema de chaves públicas e privadas, casa usuário conectado a rede tem uma chave privada, e a chave pública correspondente deve ser informado no servidor principal.

Vamos entender a configuração do wireguard, a baixo veremos um arquivo de configuração.

[Interface]
Address = 10.7.0.1/24
PrivateKey = GIPKfUjt63bB/cXoznFO4T55hDBu+C4u5PtJdDaRgm4=
ListenPort = 51820

[Peer]
# Chave pública do client
PublicKey = gN65BkIKy1eCE9pP1wdc8ROUtkHLF2PfAqYdyYBz6EA=
AllowedIPs = 10.7.0.2/32

[Interface] é a configuração da interface de rede, no caso estamos configurado como servidor, então teremos que informar a porta que essa interface irá escutar, no exemplo a porta é 51820.

[Peer] é o par que irar se conectar a rede, com isso podemos autenticar e informar quais ips o usuário pode atribuir a ele mesmo.

A baixo veremos o mesmo arquivo de configuração para o client.

[Interface]
Address = 10.7.0.2/24
PrivateKey = KGb9dhtkF/I6+A8fp/DjDNQGVBWcYyNuz9Ke6okfcHo=

[Peer]
# Chave pública do servidor
PublicKey = fVeXnp3uRVvF5jYchH5b1bsgizBf5veBLEPBU58zoAQ=
AllowedIPs = 0.0.0.0/0
Endpoint = exemplo.ip.externo:51820

Pode-se notar que nessa configuração a função da interface inverteu, agora ele serve para indentificar o client, e o peer serve para identificar e se conectar com o servidor.

Em AllowedIPs também perdeu sua função inicial, no servidor ele tem a função de definir qual endereço ip o client terá acesso, no client vc irá definir quais ip irão passar pela vpn, ao definir 0.0.0.0/0 você esta informando que todos os ips da sua rede irão trafegar pela vpn.

Wireguard na prática.

Primeiro temos que instalar o wireguard, para isso basta executar os seguintes comandos. (debian/ubuntu)

sudo apt install wireguard

mais informações em wireguard.com/install

Vamos conhecer os comandos para gerar a chave privada e obter a chave pública a partir da chave privada.

Lembrando que o servidor terá sua chave privada diferentes de todos os clients.

# Gerando chave privada
wg genkey

# Obtendo chave pública
echo 'chave_privada_aqui' | wg pubkey chave_privada_aqui

Gere uma chave privada para o servidor e para o client, ex:

wg genkey

# Saída: GIPKfUjt63bB/cXoznFO4T55hDBu+C4u5PtJdDaRgm4=

echo 'GIPKfUjt63bB/cXoznFO4T55hDBu+C4u5PtJdDaRgm4=' | wg pubkey

# Saída: 5D+br5dC65SS1v5Cagdxu5a+X+bsQAQwIe4Mj5lGnVw=

Repita o processo para o client.

Após isso basta seguir o padrão do arquivo informando anteriormente.

Servidor

[Interface]
Address = 10.7.0.1/24
PrivateKey = chave_privada_1
ListenPort = 51820

[Peer]
PublicKey = chave_publica_2
AllowedIPs = 10.7.0.2/32

Client

[Interface]
Address = 10.7.0.2/24
PrivateKey = chave_privada_2

[Peer]
PublicKey = chave_publica_1
AllowedIPs = 0.0.0.0/0
Endpoint = exemplo.ip.externo:51820

O arquivo deve ser armazenado na pasta /etc/wireguard com o nome /wg0.conf.

O arquivo deve ter o mesmo nome tanto para o client quanto para o servidor.

Para habilitar a rede basta executar o seguinte comando.

wg-quick up wg0

Para habilitar a inicialização automática basta executar.

systemctl enable --now wg-quick@wg0.service

Lembrando que o processo no Windows deve ser feito na interface gui do programa wireguard.

No windows a chave privada é gerada automáticamente e a chave pública será informada a cima da privada.

Regras de firewall.

Vimos até aqui que o wireguard permite conectar duas redes pública em um tunnel privado, agora como faremos com que todos o trafego da rede passe pelo servidor?

Bom para isso precisamos de algumas regras de firewall, se você não quiser se aprofundar muito basta criar um serviço no servidor linux para o wireguard, para executar os seguintes comandos assim que o servidor for iniciado.

Na pasta /etc/systemd/system/ crie um arquivo chamado wg-iptables.service.

Copie os seguintes comandos.

[Unit]
Before=network.target
[Service]
Type=oneshot
ExecStart=/usr/sbin/iptables -t nat -A POSTROUTING -s 10.7.0.0/24 ! -d 10.7.0.0/24 -j SNAT --to 192.168.0.101
ExecStart=/usr/sbin/iptables -I INPUT -p udp --dport 51820 -j ACCEPT
ExecStart=/usr/sbin/iptables -I FORWARD -s 10.7.0.0/24 -j ACCEPT
ExecStart=/usr/sbin/iptables -I FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
ExecStop=/usr/sbin/iptables -t nat -D POSTROUTING -s 10.7.0.0/24 ! -d 10.7.0.0/24 -j SNAT --to 192.168.0.101
ExecStop=/usr/sbin/iptables -D INPUT -p udp --dport 51820 -j ACCEPT
ExecStop=/usr/sbin/iptables -D FORWARD -s 10.7.0.0/24 -j ACCEPT
ExecStop=/usr/sbin/iptables -D FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
RemainAfterExit=yes
[Install]
WantedBy=multi-user.target

Lembre-se de mudar o ip 192.168.0.101 para o endereço ipv4 do seu servidor, essas regras vão mascarar a saída da interface wireguard para o ip do servidor, isso irá permitir o tunnel, caso a conexão seja apenas local usando os ips do wireguard essa configuração não é necessária.

A configuração usada nesse artigo explica apenas como configurar tudo em ipv4, para configurar um tunnel ipv6 o processo será diferente.

Referencias: wireguard.com
, script de instalação

O script de instalação facilita o processo de configuração e instalação do wireguard no servidor criando o serviço wg-iptables.service automático.

Caso tenha ficado alguma dúvida peço que responda a publicação a baixo.