WireGuard VPN на offshore VPS: полный технический гайд

# Установка WireGuard
apt install -y wireguard

# Генерация ключей сервера
wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key
SERVER_PRIVATE=$(cat /etc/wireguard/server_private.key)
SERVER_PUBLIC=$(cat /etc/wireguard/server_public.key)

# /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = $SERVER_PRIVATE

# Masquerade для NAT (замените eth0 на вашем интерфейс)
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# Клиент 1
[Peer]
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.0.0.2/32

# Включение IP форвардинга
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p

systemctl enable wg-quick@wg0
wg-quick up wg0

[Interface]
Address = 10.0.0.2/24
PrivateKey = CLIENT_PRIVATE_KEY
DNS = 1.1.1.1

# Kill Switch: весь трафик только через VPN
PreUp = iptables -I OUTPUT ! -o wg0 -m mark ! --mark $(wg show wg0 fwmark) -m addrtype ! --dst-type LOCAL -j REJECT
PostDown = iptables -D OUTPUT ! -o wg0 -m mark ! --mark $(wg show wg0 fwmark) -m addrtype ! --dst-type LOCAL -j REJECT

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = your-vps-ip:51820
AllowedIPs = 0.0.0.0/0, ::/0  # Весь трафик через VPN
PersistentKeepalive = 25

Kill Switch блокирует весь трафик при разрыве VPN соединения. Реальный IP никогда не просочится.

# AllowedIPs для split tunneling (только иностранные сервисы)
# Замените 0.0.0.0/0 на конкретные IP диапазоны:
AllowedIPs = 8.8.8.0/24, 31.13.0.0/16  # Google DNS + Meta
# Или используйте калькулятор: https://www.procustom.com/wireguard-allowed-ips-calculator/

# Пример: весь трафик кроме российских IP через VPN
# Используйте CIDR блоки РФ (список из RIPE)