Інструкція користувача

Кожен тунель WireGuard являє собою системний інтерфейс, що працює на третьому (мережевому) рівні Моделі OSI. Трафік може бути змаршрутизований в нього, а також для нього можна налаштувати політику доступу по IP (мережевий екран)

Інтерфейс WireGuard має кілька основних параметрів конфігурації: пари приватних і публічних ключів, адресу і порт прослуховування.

При створенні інтерфейсу WireGuard, вам буде потрібно створити пару ключів шифрування — Private і Public, а також призначити внутрішню IP-адресу пристрою в тунелі VPN і визначити номер порту прослуховування на стороні сервера VPN.

Private і Public ключі використовуються для безпеки з'єднання. Ці ключі використовуються для автентифікації учасників. Публічний і приватний ключі - це пара ключів, які створюються (генеруються) одночасно. Криптографічні алгоритми передбачають спільне використання такої пари ключів. Обидва ключі повинні 'відповідати' зашифрованій частині інформації. Наприклад, якщо шифрування здійснюється за допомогою приватного ключа, розшифровка може здійснюватися тільки за допомогою публічного ключа.

Вам потрібно згенерувати ключі шифрування по обидва боки тунелю VPN. Під час налаштування підключення вам потрібно буде обмінюватися лише публічними ключами по обидва боки тунелю VPN.

Що стосується внутрішньої адреси інтерфейсу тунелю, то це повинна бути будь-яка підходяща адреса з приватного діапазону, але вона не повинна належати іншим підмережам на самому маршрутизаторі Keenetic. IP-адреса вказується у форматі IP/бітова маска (наприклад, 10.11.12.1/24). На VPN-клієнті і VPN-сервері повинні бути встановлені різні адреси, але вони повинні бути з однієї підмережі. Наприклад, 172.16.82.1/24 на сервері і 172.16.82.2/24 на клієнті.

Вам потрібно буде вказати номер порту прослуховування на стороні сервера VPN. Цей порт буде використовуватися для вхідних підключень до інтерфейсу WireGuard. Можна встановити випадковий номер порту (наприклад, 16632); найголовніше, щоб цей порт не був заблокований вашим провайдером і не дорівнював вже відкритим портам інших сервісів на роутері.

Також вам потрібно додати учасників (peer(s)). Пір - це учасник або клієнт певного з'єднання. Ви можете створити кілька пірів в одному VPN-з'єднанні, наприклад, для підключення до VPN-сервера з різних комп'ютерів або мобільних пристроїв.

Кожен пір(учасник) унікально характеризується публічним ключем віддаленої сторони. В налаштуваннях піру вам потрібно буде вказати відкритий ключ до пристрою, внутрішню IP-адресу в тунелі, та дозволені підмережі з іншого боку тунелю VPN

Список дозволених підмереж (Дозволені адреси IP) є спеціальним параметром в налаштуваннях пірів. Це адресні області, з яких цей пір може отримувати трафік (IP-адреси джерела) і на який трафік може бути відправлений (цільові IP-адреси). Технічно ці адреси використовуються для шифрування та розшифровки трафіку. Ця технологія називається Crypto Routing і є основною особливістю WireGuard. Ви повинні додати підмережу 0.0.0.0/0, щоб дозволити передачу на будь-яку адресу.

Важливо вказати публічну IP-адресу або доменне ім'я Сервера WireGuard VPN на стороні VPN-клієнта і вказати порт прослуховування, до якого буде підключатися VPN-клієнт (наприклад, myrouter01.keenetic.pro:16632). На VPN-клієнтах це поле зазвичай називається Віддалена кінцева точка.

Також необхідно вказати інтервал між спробами перевірки активності піру в його налаштуваннях. Це внутрішня перевірка доступності віддаленої сторони з'єднання шляхом надсилання пакетів keepalive в тунелі. За замовчуванням значення 'Persistent keepalive' у налаштуваннях пірів Keenetic дорівнює 30 секундам. Але, як правило, 10 або 15 секунд між перевірками достатньо.

WireGuard має концепцію маршрутизації ключів шифрування, яка використовує прив'язки приватних ключів до кожного мережевого інтерфейсу. Підключення VPN ініціалізується шляхом спільного використання відкритих ключів і схоже на SSH модель.

Ключі шифрування призначаються списку IP-адрес VPN, дозволених у тунелі. Доступ до списку IP-адрес дозволений по мережевому інтерфейсу. Коли сервер приймає і розшифровує автентифікований пакет, його поле джерела перевіряється. Якщо воно відповідає тому, що вказано в полі 'Дозволені IP-адреси' автентифікованого піру, інтерфейс WireGuard прийме пакет. Коли ви відправляєте вихідний пакет, IP-адреса призначення перевіряється, щоб визначити його правомірність, і на його основі вибирається відповідний пір. Потім пакет підписується своїм ключем, шифрується за допомогою однорангового ключа та надсилається на публічну адресу та порт піра (до Віддаленої кінцевої точки). Всі IP-пакети, отримані на інтерфейс WireGuard, інкапсулюються в UDP і безпечно доставляється іншим пірам.

WireGuard захищає дані користувачів за допомогою розширених типів криптографії: Curve25519 для обміну ключами, ChaCha20 для шифрування, Poli1305 для автентифікації даних, SipHash для хеш-ключів та BLAKE2 для хешування.

Crypto routing дозволяє надати користувачеві до 100% надійний трафік і забезпечує високу безпеку і продуктивність при виході з інтерфейсу.