WireGuard روی VPS: راه‌اندازی VPN خصوصی

WireGuard در کرنل لینوکس از نسخه ۵.۶ به بعد تعبیه شده است. برای Ubuntu 22.04:

apt update
apt install -y wireguard
wg genkey | tee /etc/wireguard/server_private.key |     wg pubkey > /etc/wireguard/server_public.key
chmod 600 /etc/wireguard/server_private.key

ایجاد فایل پیکربندی سرور:

nano /etc/wireguard/wg0.conf

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY_HERE
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

فعال‌سازی IP forwarding:

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

برای هر دستگاه کلاینت جفت کلید جداگانه بسازید:

wg genkey | tee client1_private.key | wg pubkey > client1_public.key

اضافه کردن peer به پیکربندی سرور:

nano /etc/wireguard/wg0.conf

[Peer]
PublicKey = CLIENT1_PUBLIC_KEY_HERE
AllowedIPs = 10.0.0.2/32

فایل پیکربندی برای دستگاه کلاینت:

[Interface]
PrivateKey = CLIENT1_PRIVATE_KEY_HERE
Address = 10.0.0.2/24
DNS = 1.1.1.1, 8.8.8.8

[Peer]
PublicKey = SERVER_PUBLIC_KEY_HERE
Endpoint = VPS_IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

اعمال تغییرات بدون قطع اتصال:

wg syncconf wg0 <(wg-quick strip wg0)

ساده‌ترین روش، تبدیل پیکربندی به QR Code است:

apt install -y qrencode
qrencode -t ansiutf8 < /path/to/client1.conf

برنامه WireGuard را از Google Play یا App Store نصب کنید، QR Code را اسکن کنید و اتصال را فعال کنید.

بررسی اتصال سرور:

wg show
ping 10.0.0.2

WireGuard از پورت UDP 51820 استفاده می‌کند. در برخی شبکه‌های ایران UDP ممکن است مسدود باشد؛ در این صورت Shadowsocks یا V2Ray روی TCP بهتر عمل می‌کنند. پلن‌های VPS آفشور Anubiz Host از $4.99 در ماه شروع می‌شوند.

محدود کردن دسترسی به پورت WireGuard با UFW:

ufw allow 22/tcp
ufw allow 51820/udp
ufw enable

لاگ‌گیری اتصالات:

wg show wg0 latest-handshakes

برای تمدید امنیت، هر ۳ ماه کلیدها را تعویض کنید:

wg genkey | tee /etc/wireguard/server_private_new.key | wg pubkey > /etc/wireguard/server_public_new.key

WireGuard از رمزنگاری Curve25519 برای تبادل کلید، ChaCha20 برای رمزگذاری داده و Poly1305 برای احراز هویت استفاده می‌کند - جدیدترین الگوریتم‌های رمزنگاری موجود.