WireGuard on Лаборатория Баз знаний

Обзор WireGuard

Mon, 01 Jan 0001 00:00:00 +0000

Концептуальный обзор

Если вы хотите получить общее концептуальное представление о том, что такое WireGuard, читайте дальше. Затем вы можете перейти к установке и прочитать инструкции по быстрому запуску о том, как его использовать.

Если вы заинтересованы во внутреннем устройстве, вас может заинтересовать краткое описание протокола или вы можете углубиться, прочитав технический документ, который более подробно описывает протокол, криптографию и основы. Если вы намерены реализовать WireGuard для новой платформы, пожалуйста, прочитайте заметки о кросс-платформенной разработке.

Установка WireGuard

Mon, 01 Jan 0001 00:00:00 +0000

Обзор

WireGuard доступен для широкого спектра операционных систем и платформ. Ниже приведены инструкции по установке для наиболее популярных систем. Если ваша система не указана в списке, вы также можете легко скомпилировать WireGuard из исходного кода.

Краткая таблица установки

Операционная система	Команда установки
Windows 10/11/2016/2019/2022/2025	Скачать MSI-установщик
macOS (App Store)	Установить из App Store
Ubuntu	`sudo apt install wireguard`
Debian	`# apt install wireguard`
Fedora	`sudo dnf install wireguard-tools`
Arch Linux	`sudo pacman -S wireguard-tools`
Android	Google Play или APK-файл
iOS	Установить из App Store
OpenSUSE/SLE	`sudo zypper install wireguard-tools`
Alpine	`# apk add -U wireguard-tools`
Gentoo	`# emerge wireguard-tools`
FreeBSD	`# pkg install wireguard`
OpenBSD	`# pkg_add wireguard-tools`

Подробные инструкции

Установка на сервере Ubuntu

WireGuard включён в репозитории Ubuntu, начиная с версии 20.04 (Focal Fossa). Для более ранних версий рекомендуется использовать PPA.

Быстрый старт

Mon, 01 Jan 0001 00:00:00 +0000

Быстрый старт

Прежде всего, убедитесь, что вы хорошо понимаете концептуальный обзор, а затем установите WireGuard. После этого читайте дальше.

Видео параллельной настройки

Прежде чем подробно объяснять команды, будет чрезвычайно полезно посмотреть видео, где два пира настраиваются одновременно:

Ваш браузер не поддерживает воспроизведение видео.

Или по отдельности, настройка одного узла выглядит так:

Интерфейс командной строки

Новый интерфейс можно добавить с помощью ip-link(8), который должен автоматически загрузить модуль:

wg-quick — руководство

Mon, 01 Jan 0001 00:00:00 +0000

ИМЯ

wg-quick — простая настройка интерфейса WireGuard

СИНТАКСИС

wg-quick [ up | down | save | strip ] [ CONFIG_FILE | INTERFACE ]

ОПИСАНИЕ

Это чрезвычайно простой скрипт для быстрого поднятия интерфейса WireGuard, подходящий для нескольких распространённых сценариев использования.

Используйте up для добавления и настройки интерфейса, и down для его отключения и удаления. Команда up добавляет интерфейс WireGuard, поднимает его с указанными IP-адресами, настраивает MTU и маршруты, и при необходимости выполняет предварительные/последующие скрипты. Команда down при необходимости сохраняет текущую конфигурацию, удаляет интерфейс WireGuard и при необходимости выполняет предварительные/последующие скрипты. Команда save сохраняет конфигурацию существующего интерфейса без его отключения. Используйте strip для вывода конфигурационного файла без специфичных для wg-quick опций, подходящего для использования с wg(8).

wg — руководство

Mon, 01 Jan 0001 00:00:00 +0000

ИМЯ

wg — установка и получение конфигурации интерфейсов WireGuard

СИНТАКСИС

wg [ КОМАНДА ] [ ОПЦИИ ]... [ АРГУМЕНТЫ ]...

ОПИСАНИЕ

wg — это утилита конфигурации для получения и установки параметров туннельных интерфейсов WireGuard. Сами интерфейсы могут быть добавлены и удалены с помощью ip-link(8), а их IP-адреса и таблицы маршрутизации могут быть настроены с помощью ip-address(8) и ip-route(8). Утилита wg предоставляет серию подкоманд для изменения специфичных для WireGuard аспектов интерфейсов.

Компиляция из исходного кода

Mon, 01 Jan 0001 00:00:00 +0000

Компиляция модуля ядра из исходного кода

В этом руководстве вы узнаете, как скомпилировать WireGuard из исходного кода для Ubuntu и Fedora. Это может быть полезно, если вы используете нестандартное ядро, хотите получить самую свежую версию или если ваш дистрибутив не предоставляет готовые пакеты.

Требования: Вам понадобится gcc ≥ 4.7 и заголовочные файлы вашего ядра, расположенные в правильном месте, для успешной компиляции.

Шаг 1: Установка инструментов сборки

Ubuntu и Debian

sudo apt-get install libelf-dev linux-headers-$(uname -r) build-essential pkg-config

Fedora

sudo dnf install elfutils-libelf-devel kernel-devel pkg-config @development-tools

Red Hat Enterprise Linux / CentOS

sudo yum install elfutils-libelf-devel kernel-devel pkgconfig "@Development Tools"

Arch Linux

sudo pacman -S linux-headers base-devel pkg-config

OpenSUSE

sudo zypper install kernel-default-devel pkg-config

Alpine

apk add build-base linux-hardened-dev # или linux-vanilla-dev для ядра vanilla

Шаг 2: Получение исходного кода

Клонируйте репозитории WireGuard:

Протокол и криптография

Mon, 01 Jan 0001 00:00:00 +0000

Более подробная информация доступна в техническом документе. Для краткого ознакомления читайте далее.

Криптографические примитивы

В WireGuard используются следующие протоколы и примитивы:

ChaCha20 для симметричного шифрования, аутентифицированного с помощью Poly1305, с использованием AEAD-конструкции из RFC7539
Curve25519 для ECDH (обмена ключами по эллиптическим кривым)
BLAKE2s для хеширования и ключевого хеширования, описанный в RFC7693
SipHash24 для ключей хеш-таблиц
HKDF для производной ключей, как описано в RFC5869

Эти примитивы выбраны за их высокую производительность и криптографическую стойкость. Например, ChaCha20-Poly1305 обеспечивает скорость шифрования, сравнимую с AES, но без аппаратного ускорения, что делает его идеальным для встраиваемых устройств. Curve25519 считается одним из самых безопасных и быстрых алгоритмов для обмена ключами.

Формальная верификация

Mon, 01 Jan 0001 00:00:00 +0000

Формальная верификация

WireGuard прошёл все виды формальной верификации, охватывающие аспекты криптографии, протокола и реализации. Ниже приведены подробности различных усилий по верификации.

Что такое формальная верификация? Это процесс математического доказательства того, что система соответствует своей спецификации и свободна от определённых классов ошибок. В контексте криптографических протоколов это означает доказательство того, что протокол безопасен против различных моделей атакующего.

Символическая верификация протокола с использованием Tamarin

Протокол WireGuard, описанный в техническом документе и основанный на Noise, был формально верифицирован в символической модели с использованием Tamarin. Это означает, что существует математическое доказательство безопасности протокола WireGuard.

Кроссплатформенная реализация

Mon, 01 Jan 0001 00:00:00 +0000

Кроссплатформенная пользовательская реализация

Хотя WireGuard изначально был разработан для ядра Linux для максимальной производительности, он может работать в пользовательском пространстве с использованием отдельной реализации. В настоящее время wireguard-go вполне функционален, а wireguard-rs находится в разработке.

Что такое пользовательская реализация? В отличие от реализации в ядре, которая работает на уровне операционной системы, пользовательская реализация работает как обычное приложение. Это позволяет запускать WireGuard на платформах, где нет доступа к ядру, или когда требуется более простая интеграция с приложениями.

Маршрутизация и сетевые пространства имён

Mon, 01 Jan 0001 00:00:00 +0000

Интеграция с маршрутизацией и сетевыми пространствами имён

Как и все сетевые интерфейсы Linux, WireGuard интегрируется в инфраструктуру сетевых пространств имён (network namespaces). Это означает, что администратор может иметь несколько полностью разных сетевых подсистем и выбирать, какие интерфейсы находятся в каждом из них.

Что такое сетевые пространства имён? Это механизм ядра Linux, который позволяет изолировать сетевые стеки. Каждое пространство имён имеет свои собственные сетевые интерфейсы, таблицы маршрутизации, правила файервола и сокеты. Это основа для контейнеризации (Docker, LXC и другие).

Встраивание в приложения

Mon, 01 Jan 0001 00:00:00 +0000

Встраивание WireGuard в пользовательские приложения

Клиентские приложения проекта WireGuard были спроектированы с максимальной возможностью повторного использования, что позволяет создавать пользовательские приложения, использующие WireGuard. Ситуация несколько отличается на разных платформах, и эта страница пытается обобщить то, что доступно в проекте.

Важно: Если вы системный администратор, который просто пытается написать скрипты для существующих клиентов WireGuard, эта страница не для вас. Вместо этого ознакомьтесь с документацией по инструментам wg(8) и wg-quick(8), а также с руководством по корпоративному управлению для Windows.

Зачем встраивать WireGuard?

Встраивание WireGuard в приложения может быть полезно для: