Wofür?
Mit dem zunehmenden Internet-Zensur durch autoritäre Regierungen werden immer mehr nützliche Internetressourcen und Websites blockiert, darunter auch technische Informationen.
Somit wird es unmöglich, das Internet umfassend zu nutzen, und das grundlegende Recht auf Meinungsfreiheit, das in der .
Artikel 19
Jeder Mensch hat das Recht auf Meinungsfreiheit und das Recht, diese frei zu äußern; dieses Recht umfasst die Freiheit, seine Meinungen ohne Hindernisse zu vertreten, sowie die Freiheit, Informationen und Ideen durch beliebige Medien und unabhängig von staatlichen Grenzen zu suchen, zu erhalten und zu verbreiten.
In diesem Leitfaden werden wir in 6 Schritten unser eigenes kostenloses* auf der Grundlage von , in der Cloud-Infrastruktur (AWS) mit Hilfe eines kostenlosen Kontos (für 12 Monate) auf einer Instanz (virtuellen Maschine) mit .
Ich habe versucht, dieses detaillierte Schritt-für-Schritt-Handbuch so benutzerfreundlich wie möglich zu gestalten, auch für Personen, die mit IT nicht vertraut sind. Das einzige, was nötig ist, ist Geduld beim Wiederholen der folgenden Schritte.
Hinweis
- AWS stellt zur Verfügung für 12 Monate mit einer Begrenzung von 15 Gigabyte Datenverkehr pro Monat.
- Die aktuellste Version dieses Leitfadens finden Sie unter
Schritte
- Registrierung eines kostenlosen AWS-Kontos
- Erstellung einer AWS-Instanz
- Verbindung zur AWS-Instanz
- Konfiguration von WireGuard
- Konfiguration der VPN-Clients
- Überprüfung der VPN-Installation
Nützliche Links
1. Registrierung eines AWS-Kontos
Für die Registrierung eines kostenlosen AWS-Kontos ist eine reale Telefonnummer und eine zahlungsfähige Kreditkarte von Visa oder Mastercard erforderlich. Ich empfehle die Nutzung von virtuellen Karten, die kostenlos von oder bereitgestellt werden. Zur Überprüfung der Gültigkeit der Karte wird bei der Registrierung 1 $ abgebucht, der später zurückerstattet wird.
1.1. Öffnen der AWS-Verwaltungskonsole
Öffnen Sie einen Browser und gehen Sie zu:
Klicken Sie auf die Schaltfläche „Registrierung“
1.2. Ausfüllen der persönlichen Daten
Geben Sie Ihre Daten ein und klicken Sie auf die Schaltfläche „Weiter“
1.3. Ausfüllen der Kontaktdaten
Geben Sie Ihre Kontaktdaten ein.
1.4. Eingabe der Zahlungsinformationen.
Kartennummer, Ablaufdatum und Karteninhabername.
1.5. Bestätigung des Kontos
In diesem Schritt wird die Telefonnummer bestätigt und 1 $ von der Zahlungsmethode abgebucht. Auf dem Computerbildschirm wird ein 4-stelliger Code angezeigt, und die angegebene Telefonnummer erhält einen Anruf von Amazon. Während des Anrufs muss der auf dem Bildschirm angegebene Code eingegeben werden.
1.6. Auswahl des Tarifplans.
Wählen Sie – Basisplan (kostenlos)
1.7. Zugang zur Verwaltungsoberfläche
1.8. Auswahl des Standortes des Rechenzentrums
1.8.1. Geschwindigkeitstest
Bevor Sie ein Rechenzentrum auswählen, wird empfohlen, die Verbindungsgeschwindigkeit zu den nächstgelegenen Rechenzentren zu testen. In meiner Region sind die Ergebnisse: Zugangsgeschwindigkeit zu den nächstgelegenen Rechenzentren, meine Ergebnisse sind:
- Singapur
- Paris
- Frankfurt
- Stockholm
- London
Das Rechenzentrum in London zeigt die besten Geschwindigkeitswerte. Deshalb habe ich es für die weitere Konfiguration ausgewählt.
2. Erstellung einer AWS-Instanz
2.1 Erstellung einer virtuellen Maschine
2.1.1. Auswahl des Instanztyps
Standardmäßig ist die Instanz t2.micro ausgewählt, und die brauchen wir. Einfach auf die Schaltfläche klicken Weiter: Instanzdetails konfigurieren
2.1.2. Konfiguration der Instanzparameter
In der Folge werden wir unserem Instanz eine permanente öffentliche IP zuweisen, daher deaktivieren wir in diesem Schritt die automatische Zuordnung der öffentlichen IP und klicken auf die Schaltfläche. Weiter: Speicher hinzufügen
2.1.3. Anbinden von Speicher
Geben Sie die Größe der „Festplatte“ an. Für unsere Zwecke sind 16 Gigabyte ausreichend, und wir klicken auf die Schaltfläche. Weiter: Tags hinzufügen
2.1.4. Tag-Konfiguration
Falls wir mehrere Instanzen erstellen würden, könnten diese zur Erleichterung der Verwaltung nach Tags gruppiert werden. In diesem Fall ist diese Funktionalität jedoch überflüssig, also klicken wir sofort auf die Schaltfläche. Weiter: Sicherheitsgruppe konfigurieren
2.1.5. Ports öffnen
In diesem Schritt konfigurieren wir die Firewall, indem wir die benötigten Ports öffnen. Die Sammlung der geöffneten Ports wird als „Sicherheitsgruppe“ (Security Group) bezeichnet. Wir müssen eine neue Sicherheitsgruppe erstellen, ihr einen Namen und eine Beschreibung geben, einen UDP-Port (Benutzerdefinierte UDP-Regel) hinzufügen und im Feld Portbereich eine Portnummer aus dem Bereich angeben. 49152—65535. In diesem Fall habe ich die Portnummer 54321 gewählt.
Nachdem wir die erforderlichen Daten ausgefüllt haben, klicken wir auf die Schaltfläche. Überprüfen und starten
2.1.6. Übersicht über alle Einstellungen
Auf dieser Seite finden Sie eine Übersicht über alle Einstellungen unserer Instanz. Überprüfen Sie, ob alles in Ordnung ist, und klicken Sie auf die Schaltfläche Starten
2.1.7. Erstellen von Zugriffsschlüsseln
Es öffnet sich ein Dialogfenster, das entweder anbietet, einen neuen SSH-Schlüssel zu erstellen oder einen bestehenden hinzuzufügen, mit dem wir später remote auf unsere Instanz zugreifen können. Wählen Sie die Option „Create a new key pair“, um einen neuen Schlüssel zu erstellen. Geben Sie einen Namen für den Schlüssel ein und klicken Sie auf die Schaltfläche Schlüssel-Paar herunterladen, um die erstellten Schlüssel herunterzuladen. Speichern Sie diese an einem sicheren Ort auf Ihrer lokalen Festplatte. Nachdem Sie heruntergeladen haben, klicken Sie auf die Schaltfläche Instanzen starten
2.1.7.1. Speicherung der Zugriffsschlüssel
Hier wird die Phase der Speicherung der im vorherigen Schritt erstellten Schlüssel gezeigt. Nachdem wir auf die Schaltfläche geklickt haben Schlüssel-Paar herunterladen, wird der Schlüssel als Zertifikatsdatei mit der Erweiterung *.pem gespeichert. In diesem Fall habe ich ihm den Namen wireguard-awskey.pem
2.1.8. Übersicht der Ergebnisse der Erstellung der Instanz
Als nächstes sehen wir eine Nachricht über den erfolgreichen Start der gerade erstellten Instanz. Wir können zur Liste unserer Instanzen wechseln, indem wir auf die Schaltfläche Instanzen anzeigen
2.2. Erstellung einer externen IP-Adresse
2.2.1. Start der Erstellung einer externen IP
Jetzt müssen wir eine permanente öffentliche IP-Adresse erstellen, über die wir uns mit unserem VPN-Server verbinden können. Dazu wählen wir im Navigationsbereich auf der linken Seite den Punkt Elastic IPs aus der Kategorie NETWORK & SECURITY und klicken auf die Schaltfläche Neue Adresse zuweisen
2.2.2. Einrichtung einer externen IP
Im nächsten Schritt stellen wir sicher, dass die Option Amazon-Pool (standardmäßig aktiviert) ausgewählt ist, und klicken auf die Schaltfläche Zuweisen
2.2.3. Übersicht der Ergebnisse der Erstellung einer externen IP-Adresse
Auf dem nächsten Bildschirm wird unsere erhaltene externe IP-Adresse angezeigt. Es wird empfohlen, diese zu notieren, am besten sogar schriftlich festzuhalten, da wir sie im weiteren Verlauf der Konfiguration und Nutzung des VPN-Servers noch häufig benötigen werden. In diesem Leitfaden verwende ich als Beispiel die IP-Adresse 4.3.2.1. Nachdem wir die Adresse notiert haben, klicken wir auf die Schaltfläche Schließen
2.2.4. Liste der externen IP-Adressen
Daraufhin öffnet sich die Liste unserer permanenten öffentlichen IP-Adressen (Elastic IPs).
2.2.5. Zuweisung der externen IP zu einer Instanz
In dieser Liste wählen wir die erhaltene IP-Adresse aus und klicken mit der rechten Maustaste, um das Dropdown-Menü aufzurufen. Dort wählen wir den Punkt Adresse zuweisen, um es unserem zuvor erstellten Instanz zuzuordnen.
2.2.6. Zuweisen einer externen IP-Adresse
Im nächsten Schritt wählen wir aus dem Dropdown-Menü unsere Instanz aus und klicken auf die Schaltfläche Zuweisen
2.2.7. Überprüfung der Ergebnisse der Zuweisung der externen IP-Adresse
Danach können wir sehen, dass unsere Instanz an unsere festgelegte öffentliche IP-Adresse und deren private IP-Adresse gebunden ist.
Jetzt können wir uns von außerhalb über SSH mit unserer neu erstellten Instanz verbinden.
3. Verbindung zur AWS-Instanz
ist ein sicherer Protokoll zur Fernsteuerung von Computergeräten.
3.1. Verbindung über SSH von einem Windows-Computer
Um eine Verbindung von einem Windows-Computer herzustellen, müssen wir zunächst das Programm .
3.1.1. Import des privaten Schlüssels für Putty
3.1.1.1. Nach der Installation von Putty müssen Sie das mitgelieferte PuTTYgen-Tool starten, um den PEM-Zertifikats-Schlüssel in ein Format zu importieren, das in Putty verwendet werden kann. Dazu wählen wir im oberen Menü den Punkt Conversions->Import Key
3.1.1.2. Auswahl des AWS-Schlüssels im PEM-Format
Als nächstes wählen wir den Schlüssel aus, den wir zuvor im Schritt 2.1.7.1 gespeichert haben, in diesem Fall seinen Namen. wireguard-awskey.pem
3.1.1.3. Festlegung der Importparameter des Schlüssels
In diesem Schritt müssen wir einen Kommentar für diesen Schlüssel (Beschreibung) angeben und zur Sicherheit ein Passwort sowie dessen Bestätigung festlegen. Dieses wird bei jeder Verbindung abgefragt. So schützen wir den Schlüssel mit einem Passwort vor unerwünschter Nutzung. Es ist möglich, kein Passwort festzulegen, aber das ist weniger sicher, falls der Schlüssel in die falschen Hände gerät. Danach klicken wir auf die Schaltfläche Private Schlüssel speichern
3.1.1.4. Speicherung des importierten Schlüssels
Ein Dialogfeld zum Speichern der Datei öffnet sich, und wir speichern unseren privaten Schlüssel als Datei mit der Erweiterung .ppk, die in der Software Putty.
verwendet werden kann. Wir geben den Namen des Schlüssels an (in unserem Fallwireguard-awskey.ppk Speichern.
) und klicken auf die Schaltfläche
3.1.2. Erstellung und Konfiguration der Verbindung in Putty
3.1.2.1. Erstellung der Verbindung Wir öffnen das Programm Putty, wählen die Kategorie Sitzung (diese ist standardmäßig geöffnet) und geben im Feld Host Name die öffentliche IP-Adresse unseres Servers ein, die wir in Schritt 2.2.3 erhalten haben. Im Feld Gespeicherte Sitzung geben wir einen beliebigen Namen für unsere Verbindung ein (in meinem Fallwireguard-aws-london ), und klicken dann auf die Schaltfläche Speichern, um unsere Änderungen zu sichern.
3.1.2.2. Benutzer-Autologin einrichten
Weiter in der Kategorie Verbindung, wählen wir die Unterkategorie Data und im Feld Auto-login Benutzername geben wir den Benutzernamen ein ubuntu – dies ist der Standardbenutzer des Instanz auf AWS mit Ubuntu.
3.1.2.3. Auswahl des privaten Schlüssels für die SSH-Verbindung
Dann wechseln wir zur Unterkategorie Connection/SSH/Auth und neben dem Feld Privater Schlüsseldatei zur Authentifizierung klicken wir auf den Button Durchsuchen… um die Datei mit dem Schlüsselszertifikat auszuwählen.
3.1.2.4. Importierten Schlüssel öffnen
Wir geben den Schlüssel an, den wir zuvor in Schritt 3.1.1.4 importiert haben, in unserem Fall ist das die Datei Wir geben den Namen des Schlüssels an (in unserem Fall, und klicken auf die Schaltfläche Öffnen.
3.1.2.5. Einstellungen speichern und Verbindung starten
Nachdem wir zur Kategorieseite zurückgekehrt sind Wir öffnen das Programm Putty, wählen die Kategorie klicken wir erneut auf den Button ), und klicken dann auf die Schaltfläche, um die zuvor vorgenommenen Änderungen in den vorherigen Schritten (3.1.2.2 – 3.1.2.4) zu speichern. Anschließend klicken wir auf die Schaltfläche Öffnen um die erstellte und konfigurierte Remote-SSH-Verbindung zu öffnen.
3.1.2.7. Vertrauen zwischen Hosts einrichten
Im nächsten Schritt, bei dem ersten Versuch sich zu verbinden, erhalten wir eine Warnung, dass kein Vertrauen zwischen den beiden Computern eingerichtet ist, und es wird gefragt, ob wir dem entfernten Computer vertrauen möchten. Wir klicken auf die Schaltfläche Ja, wodurch es in die Liste der vertrauenswürdigen Hosts aufgenommen wird.
3.1.2.8. Eingabe des Passworts für den Zugriff auf den Schlüssel
Nach dieser Eingabe öffnet sich ein Terminalfenster, in dem nach dem Passwort für den Schlüssel gefragt wird, sofern Sie es zuvor in Schritt 3.1.1.3 festgelegt haben. Während der Eingabe des Passworts erfolgt keine Anzeige auf dem Bildschirm. Bei einem Fehler können Sie die Taste Backspace.
3.1.2.9. Willkommensnachricht nach erfolgreicher Verbindung
Nach erfolgreichem Eingeben des Passworts wird uns im Terminal ein Willkommensexemplar angezeigt, das signalisiert, dass das entfernte System bereit ist, unsere Befehle auszuführen.
4. Konfiguration des WireGuard-Servers
Die aktuellste Anleitung zur Installation und Nutzung von WireGuard mithilfe der unten beschriebenen Skripte finden Sie im Repository:
4.1. Installation von WireGuard
Geben Sie die folgenden Befehle im Terminal ein (Sie können sie in die Zwischenablage kopieren und durch einen Rechtsklick im Terminal einfügen):
4.1.1. Klonen des Repositories
Wir klonen das Repository mit den Installationsskripten von WireGuard.
git clone https://github.com/pprometey/wireguard_aws.git wireguard_aws4.1.2. Wechsel in das Verzeichnis mit den Skripten
Wir wechseln in das Verzeichnis des geklonten Repositories.
cd wireguard_aws4.1.3. Ausführung des Initialisierungsskripts
Wir starten das Installationsskript für Wireguard als Administrator (Root-Benutzer)
sudo ./initial.shWährend der Installation werden bestimmte Daten abgefragt, die für die Konfiguration von Wireguard erforderlich sind
4.1.3.1. Eingabe des Endpunkts
Geben Sie die externe IP-Adresse und den offenen Port des Wireguard-Servers ein. Die externe IP-Adresse des Servers haben wir in Schritt 2.2.3 erhalten, und den Port haben wir in Schritt 2.1.5 geöffnet. Geben Sie sie zusammen, getrennt durch einen Doppelpunkt, ein, zum Beispiel 4.3.2.1:54321, und drücken Sie dann die Taste Enter
Beispielausgabe:
Geben Sie den Endpunkt (externe IP und Port) im Format [ipv4:port] ein (z. B. 4.3.2.1:54321): 4.3.2.1:543214.1.3.2. Eingabe der internen IP-Adresse
Geben Sie die IP-Adresse des Wireguard-Servers im geschützten VPN-Subnetz ein. Wenn Sie nicht wissen, was das ist, drücken Sie einfach die Enter-Taste, um den Standardwert zu verwenden (10.50.0.1)
Beispielausgabe:
Geben Sie die Serveradresse im VPN-Subnetz (CIDR-Format) ein ([ENTER] um auf den Standardwert zu setzen: 10.50.0.1):4.1.3.3. Angabe des DNS-Servers
Geben Sie die IP-Adresse des DNS-Servers ein oder drücken Sie einfach die Enter-Taste, um den Standardwert zu verwenden 1.1.1.1 (Öffentlicher DNS von Cloudflare)
Beispielausgabe:
Geben Sie die IP-Adresse des DNS-Servers (CIDR-Format) ein ([ENTER] um auf den Standardwert zu setzen: 1.1.1.1):4.1.3.4. Angabe der WAN-Schnittstelle
Geben Sie den Namen des externen Netzwerkinterfaces ein, das das interne Netzwerkinterface des VPN abhören wird. Drücken Sie einfach Enter, um den Standardwert für AWS festzulegen (eth0)
Beispielausgabe:
Geben Sie den Namen des WAN-Netzwerkinterfaces ein ([ENTER] auf Standard gesetzt: eth0):4.1.3.5. Angabe des Client-Namens
Geben Sie den Namen des VPN-Benutzers ein. Der Wireguard VPN-Server kann nicht gestartet werden, solange nicht mindestens ein Client hinzugefügt wurde. In diesem Fall habe ich den Namen eingegeben Alex@mobile
Beispielausgabe:
Geben Sie den VPN-Benutzernamen ein: Alex@mobileDaraufhin sollte ein QR-Code mit der Konfiguration des gerade hinzugefügten Clients auf dem Bildschirm angezeigt werden, den Sie mit dem mobilen Wireguard-Client auf Android oder iOS scannen müssen, um ihn einzurichten. Auch unterhalb des QR-Codes wird der Text der Konfigurationsdatei angezeigt, falls Sie die Clients manuell konfigurieren möchten. Wie das geht, wird weiter unten erläutert.
4.2. Hinzufügen eines neuen VPN-Benutzers
Um einen neuen Benutzer hinzuzufügen, müssen Sie das Skript im Terminal ausführen add-client.sh
sudo ./add-client.shDas Skript fragt nach dem Benutzernamen:
Beispielausgabe:
Geben Sie den VPN-Benutzernamen ein: Außerdem kann der Benutzername als Parameter an das Skript übergeben werden (in diesem Fall Alex@mobile):
sudo ./add-client.sh Alex@mobileDurch das Ausführen des Skripts wird im Verzeichnis des Kunden unter dem Pfad /etc/wireguard/clients/{ИмяКлиента} eine Datei mit der Konfiguration des Kunden erstellt. /etc/wireguard/clients/{ИмяКлиента}/{ИмяКлиента}.conf, und auf dem Terminalbildschirm wird ein QR-Code zur Einrichtung mobiler Clients sowie der Inhalt der Konfigurationsdatei angezeigt.
4.2.1. Datei der benutzerdefinierten Konfiguration
Um den Inhalt der .conf-Datei für die manuelle Einrichtung des Clients anzuzeigen, kann der folgende Befehl verwendet werden: cat
sudo cat /etc/wireguard/clients/Alex@mobile/Alex@mobile.confAusführungsresultat:
[Interface]
PrivateKey = oDMWr0toPVCvgKt5oncLLRfHRit+jbzT5cshNUi8zlM=
Address = 10.50.0.2/32
DNS = 1.1.1.1
[Peer]
PublicKey = mLnd+mul15U0EP6jCH5MRhIAjsfKYuIU/j5ml8Z2SEk=
PresharedKey = wjXdcf8CG29Scmnl5D97N46PhVn1jecioaXjdvrEkAc=
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = 4.3.2.1:54321Beschreibung der Konfigurationsdatei des Clients:
[Interface]
PrivateKey = Privater Schlüssel des Clients
Address = IP-Adresse des Clients
DNS = DNS, das vom Client verwendet wird
[Peer]
PublicKey = Öffentlicher Schlüssel des Servers
PresharedKey = Gemeinsamer Schlüssel von Server und Client
AllowedIPs = Erlaubte Adressen für die Verbindung (alle - 0.0.0.0/0, ::/0)
Endpoint = IP-Adresse und Port für die Verbindung4.2.2. QR-Code der Client-Konfiguration
Um den QR-Code der Konfiguration für den zuvor erstellten Client auf dem Terminalbildschirm anzuzeigen, kann der folgende Befehl verwendet werden: qrencode -t ansiutf8 (In diesem Beispiel wird ein Client mit dem Namen Alex@mobile verwendet):
sudo cat /etc/wireguard/clients/Alex@mobile/Alex@mobile.conf | qrencode -t ansiutf85. Konfiguration der VPN-Clients
5.1. Einrichtung des mobilen Android-Clients
Der offizielle Wireguard-Client für Android kann
Nachdem Sie dies getan haben, müssen Sie die Konfiguration importieren, indem Sie den QR-Code der Client-Konfiguration scannen (siehe Punkt 4.2.2) und ihm einen Namen geben:
Nach erfolgreichem Import der Konfiguration können Sie das VPN-Tunnel aktivieren. Ein Symbol in der Statusleiste von Android zeigt eine erfolgreiche Verbindung an.
5.2. Einrichtung des Windows-Clients
Zuerst müssen Sie das Programm herunterladen und installieren — es ist der Wireguard-Client für Windows.
5.2.1. Erstellen einer Konfigurationsdatei zum Importieren
Rechtsklicken Sie auf den Desktop und erstellen Sie eine Textdatei.
5.2.2. Kopieren des Inhalts der Konfigurationsdatei vom Server
Gehen Sie zurück zu Ihrem Putty-Terminal und zeigen Sie den Inhalt der Konfigurationsdatei des gewünschten Benutzers an, wie im Schritt 4.2.1 beschrieben.
Markieren Sie dann den Konfigurationstext im Putty-Terminal mit der rechten Maustaste; nach dem Markieren wird er automatisch in die Zwischenablage kopiert.
5.2.3. Kopieren der Konfiguration in die lokale Konfigurationsdatei
Jetzt kehren wir zu der zuvor erstellten Textdatei auf dem Desktop zurück und fügen den Konfigurationstext aus der Zwischenablage ein.
5.2.4. Speichern der lokalen Konfigurationsdatei
Wir speichern die Datei mit der Endung .conf (in diesem Fall unter dem Namen london.conf)
5.2.5. Importieren der lokalen Konfigurationsdatei
Als Nächstes muss die Konfigurationsdatei in das Programm TunSafe importiert werden.
5.2.6. Einrichten der VPN-Verbindung
Wählen Sie diese Konfigurationsdatei aus und verbinden Sie sich, indem Sie auf die Schaltfläche Connect.
6. Überprüfung des erfolgreichen Verbindungsaufbaus
Um den erfolgreichen Verbindungsaufbau über den VPN-Tunnel zu überprüfen, öffnen Sie den Browser und besuchen Sie die Website
Die angezeigte IP-Adresse sollte mit der übereinstimmen, die wir in Schritt 2.2.3 erhalten haben.
Wenn dies der Fall ist, funktioniert der VPN-Tunnel erfolgreich.
Im Linux-Terminal können Sie Ihre IP-Adresse überprüfen, indem Sie den Befehl eingeben:
curl http://zx2c4.com/ipAlternativ können Sie einfach auf eine Pornoseite zugreifen, wenn Sie sich in Kasachstan befinden.
Quelle: habr.com
