Eftersom WireGuard blir en del av den framtida Linux 5.6-kärnan, beslutade jag mig för att se hur jag bäst kan integrera denna VPN med min LTE-router/punkt för åtkomst på Raspberry Pi.

Utrustning

• Raspberry Pi 3 med LTE-modul och offentlig IP-adress. Här kommer VPN-servern att finnas (i texten kommer den att kallas edgewalker)
• En Android-telefon som ska använda VPN för all kommunikation
• En Linux-laptop som endast ska använda VPN inom nätverket

Varje enhet som ansluter till VPN måste kunna nå alla andra enheter. Till exempel, telefonen måste kunna ansluta till webbservern på laptopen, om båda enheterna är en del av VPN-nätverket. Om installationen visar sig tillräckligt enkel kan man överväga att ansluta även skrivbordet (via Ethernet).

Med tanke på att trådbundna och trådlösa anslutningar blir allt mindre säkra över tid (målinriktade attacker, KRACK-attacken mot WPA2 och Dragonblood-attacken mot WPA3), överväger jag allvarligt att använda WireGuard för alla mina enheter, oavsett i vilken miljö de fungerar.

Installation av programvara

WireGuard erbjuder förkompilerade paket för de flesta distributioner av Linux, Windows och macOS. Appar för Android och iOS levereras via appbutiker.

Jag har den senaste Fedora Linux 31, och innan installationen orkade jag inte läsa manualen. Jag hittade bara paketen wireguard-tools, installerade dem, och kunde sedan inte förstå varför ingenting fungerade. Vid vidare undersökning visade det sig att jag inte hade paketet wireguard-dkms (med nätverksdrivrutin), och det fanns inte i mitt distributionsförråd.

Om jag hade läst instruktionen, skulle jag ha gjort rätt steg:

$ sudo dnf copr enable jdoss/wireguard
$ sudo dnf install wireguard-dkms wireguard-tools

På Raspberry Pi har jag distributionen Raspbian Buster, där paketet redan finns wireguard, vi installerar det:

$ sudo apt install wireguard

På Android-telefonen installerade jag appen WireGuard VPN från den officiella Google App Store-katalogen.

Installation av nycklar

För autentisering av noder använder Wireguard ett enkelt system med privat/offentlig nyckel för autentisering av VPN-noder. Du kan enkelt skapa VPN-nycklar med följande kommando:

$ wg genkey | tee wg-laptop-private.key |  wg pubkey > wg-laptop-public.key
$ wg genkey | tee wg-server-private.key |  wg pubkey > wg-server-public.key
$ wg genkey | tee wg-mobile-private.key |  wg pubkey > wg-mobile-public.key

Det ger oss tre nyckelpar (sex filer). Vi kommer inte att hänvisa till filerna i konfigurationerna, utan vi kopierar hit innehållet: varje nyckel är en rad i base64.

Skapa konfigurationsfil för VPN-server (Raspberry Pi)

Konfigurationen är ganska enkel, jag har skapat följande fil /etc/wireguard/wg0.conf:

[Interface]
Address = 10.200.200.1/24
ListenPort = 51820
PrivateKey = 
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o wwan0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o wwan0 -j MASQUERADE

[Peer]
# laptop
PublicKey = 
AllowedIPs = 10.200.200.2/32

[Peer]
# mobiltelefon
PublicKey = 
AllowedIPs = 10.200.200.3/32

Några anteckningar:

• Strängarna från nyckelfilerna måste sättas in på de relevanta ställena
• Nätverket för min VPN använder ett internt intervall 10.200.200.0/24
• För kommandon PostUp/PostDown jag har angett det externa nätverksgränssnittet wwan0, du kan ha ett annat (t.ex. eth0)

VPN-nätverket startas enkelt med följande kommando:

$ sudo wg-quick up wg0

En liten detalj: jag använde en DNS-server dnsmasq kopplad till nätverksgränssnittet br0, jag la även till enheter wg0 i listan över tillåtna enheter. I dnsmasq görs detta genom att lägga till en ny rad med nätverksgränssnittet i konfigurationsfilen /etc/dnsmasq.conf, till exempel:

interface=br0
interface=wg0

Dessutom har jag lagt till en iptable-regel för att tillåta trafik till den lyssnande UDP-porten (51280):

$ sudo iptables -I INPUT -p udp --dport 51820 -j ACCEPT

Nu när allt fungerar kan vi ange automatisk uppstart av VPN-tunneln:

$ sudo systemctl enable wg-quick@wg0.service

Klientkonfiguration på bärbara datorn

På bärbara datorn skapar vi en konfigurationsfil /etc/wireguard/wg0.conf med samma inställningar:

[Interface]
Address = 10.200.200.2/24
PrivateKey = 

[Peer]
PublicKey = 
AllowedIPs = 10.200.200.0/24
Endpoint = edgewalker:51820

Noteringar:

• Istället för edgewalker måste du ange den offentliga IP-adressen eller värden på VPN-servern
• Genom att installera AllowedIPs till 10.200.200.0/24, använder vi VPN endast för att få åtkomst till det interna nätverket. Trafiken till alla andra IP-adresser/serverar kommer fortfarande att gå genom "vanliga" öppna kanaler. En förkonfigurerad DNS-server på den bärbara datorn kommer också att användas.

För test och automatisk uppstart använder vi samma kommandon wg-quick och systemd:

$ sudo wg-quick up wg0
$ sudo systemctl enable wg-quick@wg0.service

Klientinställning på Android-telefon

För Android-telefonen skapar vi en mycket liknande konfigurationsfil (vi kallar den mobile.conf):

[Interface]
Address = 10.200.200.3/24
PrivateKey = 
DNS = 10.200.200.1
        
[Peer]
PublicKey = 
AllowedIPs = 0.0.0.0/0
Endpoint = edgewalker:51820

Till skillnad från konfigurationen på bärbara datorer bör telefonen använda vår VPN-server som DNS-server (rad DNS), samt dirigera all trafik genom VPN-tunneln (AllowedIPs = 0.0.0.0/0).

Istället för att kopiera filen till den mobila enheten kan den omvandlas till en QR-kod:

$ sudo apt install qrencode
$ qrencode -t ansiutf8 < mobile.conf

QR-koden kommer att visas i konsolen som ASCII. Den kan skannas från Android VPN-appen och automatiskt konfigurera VPN-tunneln.

Utdata

Inställningen av WireGuard är helt magisk jämfört med OpenVPN.

Källa: habr.com